mTAN: Das mobile Transaktionsverfahren für sichere Online-Banking-Autorisierung

Die mTAN (mobile Transaktionsnummer), oft auch als SMS-TAN bezeichnet, ist ein weit verbreitetes Sicherheitsverfahren im Online-Banking, bei dem eine einmalig gültige Transaktionsnummer zur Autorisierung von Überweisungen oder anderen Bankgeschäften per Short Message Service (SMS) auf das registrierte Mobiltelefon des Kunden gesendet wird. Als Teil der sogenannten Zwei-Faktor-Authentifizierung (2FA) kombiniert die mTAN etwas, das der Nutzer weiß (die Zugangsdaten wie PIN) mit etwas, das der Nutzer besitzt (das registrierte Mobiltelefon). Dieses Verfahren löste in vielen Banken die älteren Listen-TAN-Verfahren ab und diente als Übergangslösung zu den heute von der Europäischen Zahlungsdiensterichtlinie (PSD2) geforderten starken Kundenauthentifizierungsmethoden.

Der Kernprozess der mTAN ist denkbar einfach: Der Nutzer loggt sich mit seinen Zugangsdaten in das Online-Banking-Portal ein, gibt die Überweisungsdaten ein und bestätigt den Auftrag. Das Banksystem generiert daraufhin eine zufällige, meist sechsstellige Zahlenfolge, die nur für diese spezifische Transaktion gültig ist. Diese Nummer wird als SMS an die hinterlegte Handynummer gesendet. Der Nutzer liest die SMS ab, tippt die Nummer in das entsprechende Feld im Browser oder der Banking-App ein und schließt damit den Vorgang ab. Stimmt die eingegebene Nummer mit der generierten überein, wird die Transaktion ausgeführt. Die mTAN bietet somit einen hohen Sicherheitsstandard, da ein Angreifer sowohl die Zugangsdaten des Nutzers als auch physischen Zugriff auf dessen Mobiltelefon benötigen würde, um eine Transaktion zu autorisieren.

Trotz ihrer weiten Verbreitung und Benutzerfreundlichkeit steht die mTAN aufgrund bekannter Sicherheitslücken im Bereich der Telekommunikationsinfrastruktur zunehmend in der Kritik. Angriffsvektoren wie SIM-Swapping, bei dem Kriminelle die Handynummer des Opfers auf ihre eigene SIM-Karte umleiten, oder das Abfangen von SMS über Schwachstellen im SS7-Signalisierungsprotokoll des Mobilfunknetzes, haben dazu geführt, dass viele Sicherheitsbehörden und Banken das Verfahren als nicht mehr zukunftssicher einstufen. In Deutschland hat die mTAN daher in vielen Instituten bereits dem TAN-Verfahren per Banking-App (pushTAN) oder dem chipTAN-Verfahren Platz gemacht, bleibt aber im internationalen Vergleich und bei bestimmten Bankengruppen weiterhin eine gängige Methode.

Funktionsweise und technischer Ablauf

Die Technologie hinter der mTAN verbindet die IT-Systeme der Bank mit den Infrastrukturen der Mobilfunkanbieter. Der Prozess ist eine Kette aus mehreren sicherheitskritischen Schritten, die innerhalb weniger Sekunden ablaufen müssen, um den Nutzer nicht im Workflow zu stören.

Der Autorisierungsprozess im Detail

Der Lebenszyklus einer mTAN beginnt mit der Eingabe der Transaktionsdaten durch den Kunden im Online-Banking-Interface. Sobald der Nutzer auf „Bestätigen“ oder „TAN anfordern“ klickt, sendet der Banking-Server eine verschlüsselte Anfrage an den TAN-Server der Bank. Dieser Server generiert eine kryptografisch sichere Zufallszahl. Wichtig ist hierbei, dass diese Zahl oft in einen Kontext gesetzt wird: Viele Banken blenden im Online-Banking zusätzlich zur Eingabemaske für die TAN auch die Details der Transaktion (Empfänger, Betrag) noch einmal zur Kontrolle an, bevor die SMS überhaupt verschickt wird, oder die SMS enthält selbst diese Details (siehe Abschnitt „Safety-First-Ansatz“).

Nach der Generierung übergibt der TAN-Server die Nummer an einen SMS-Gateway-Dienstleister. Dieser Dienstleister fungiert als Brücke zwischen dem geschlossenen Bankennetz und dem öffentlichen Mobilfunknetz. Er leitet die Nachricht an den zuständigen Mobilfunkbetreiber (MNO – Mobile Network Operator) des Kunden weiter. Der Mobilfunkbetreiber übermittelt die SMS über die Funkzelle an das Endgerät des Kunden.

Der Nutzer erhält die Nachricht, entnimmt die TAN und gibt sie in das Online-Banking-Fenster ein. Das System prüft nun drei Kriterien: Ist die TAN syntaktisch korrekt? Ist sie noch gültig (TANs haben oft eine kurze Lebensdauer von wenigen Minuten)? Und wurde sie bereits verwendet? Da jede mTAN nur einmalig (one-time password, OTP) ist, wird sie nach erfolgreicher Nutzung sofort aus der Datenbank der gültigen TANs gelöscht. Bei fehlerhafter Eingabe wird der Zähler für Fehlversuche hochgezählt; nach einer bestimmten Anzahl falscher Eingaben wird das Konto temporär gesperrt, um Brute-Force-Angriffe zu verhindern.

Die Rolle der SMS-Technologie

Die Nutzung von SMS als Transportmedium war zum Zeitpunkt der Einführung der mTAN eine pragmatische und geniale Entscheidung. SMS (Short Message Service) ist ein etablierter Standard, der auf praktisch jedem Mobiltelefon funktioniert, von alten Feature-Phones bis hin zu modernen Smartphones. Sie benötigt keine Internetverbindung (Mobile Data), sondern nutzt das Signalisierungsnetz des Mobilfunks. Das bedeutete, dass auch Kunden ohne Datentarif oder in Gebieten mit schlechtem Internetempfang, aber gutem Sprachnetz, sicher banken konnten.

Technisch gesehen wird eine SMS über den Signaling System No. 7 (SS7) Kanal oder den neueren Diameter-Protokollstack übertragen. Dies sind dieselben Kanäle, die für den Aufbau von Sprachverbindungen und das Roaming-Management genutzt werden. Die Nachricht wird im Store-and-Forward-Verfahren übermittelt: Ist das Empfängergerät gerade nicht erreichbar (z. B. ausgeschaltet), speichert das Short Message Service Center (SMSC) die Nachricht und sendet sie, sobald das Gerät wieder im Netz eingebucht ist. Für Banking-Transaktionen ist diese Zuverlässigkeit essenziell, stellt aber gleichzeitig ein Sicherheitsrisiko dar, da die Nachricht auf mehreren Servern zwischengespeichert wird, bevor sie das Ziel erreicht.

Sicherheitsmerkmale der generierten TAN

Die TAN selbst ist eine reine Zahlenfolge, typischerweise sechs Ziffern lang. Dies ergibt eine Million möglicher Kombinationen (000000 bis 999999). Die Wahrscheinlichkeit, dass ein Angreifer eine gültige TAN durch zufälliges Raten errät, liegt somit bei 1:1.000.000 pro Versuch. Durch die Begrenzung der Fehlversuche auf meist drei bis fünf Eingaben wird dieses Risiko weiter minimiert.

Moderne mTAN-Verfahren binden die TAN oft kryptografisch an die Transaktionsdaten. Das bedeutet, der Server generiert die TAN nicht isoliert, sondern als Hash-Wert oder verschlüsselten Block, der Betrag und Empfänger enthält. Würde ein Angreifer die TAN abfangen und versuchen, sie für eine andere Überweisung zu nutzen, würde die Prüfung auf der Serverseite scheitern, da die TAN nicht zu den geänderten Daten passt. Diese Bindung ist jedoch nur wirksam, wenn der Nutzer die Daten im Online-Banking-Fenster prüft, bevor er die TAN eingibt, oder wenn die SMS selbst die Daten zur Kontrolle enthält.

Sicherheitsanalyse und bekannte Angriffsvektoren

Obwohl die mTAN als sicherer galt als die alten Papier-TAN-Listen, hat sich im Laufe der Jahre gezeigt, dass die Abhängigkeit vom Mobilfunknetz und der SMS-Technologie signifikante Schwachstellen mit sich bringt. Sicherheitsforscher und Behörden wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) in Deutschland haben mehrfach vor den Risiken gewarnt.

SIM-Swapping: Die Übernahme der Identität

Eine der gravierendsten Bedrohungen für das mTAN-Verfahren ist das SIM-Swapping (auch SIM-Jacking genannt). Bei diesem Angriff manipulieren Kriminelle den Mobilfunkanbieter des Opfers, um dessen Telefonnummer auf eine neue SIM-Karte zu übertragen, die sich im Besitz der Betrüger befindet.

Der Angriff beginnt oft mit Social Engineering: Die Täter sammeln im Vorfeld persönliche Daten des Opfers (durch Phishing-Mails, Datenlecks oder Profile in sozialen Netzwerken). Mit diesen Daten kontaktieren sie den Kundenservice des Mobilfunkanbieters, geben sich als das Opfer aus und behaupten, das Handy sei verloren gegangen oder defekt. Sie bitten darum, die eigene Nummer auf eine neue SIM-Karte zu aktivieren, die sie bereits in Händen halten. Gelingt dieser Trick, bucht sich die SIM-Karte der Betrüger im Mobilfunknetz mit der Telefonnummer des Opfers ein. Das originale Handy des Opfers verliert daraufhin den Netzempfang.

Ab diesem Moment erhalten die Kriminelle alle SMS, die an das Opfer gesendet werden – einschließlich der mTANs für Online-Banking-Transaktionen. Da sie oft parallel dazu die Online-Banking-Zugangsdaten des Opfers (ebenfalls durch Phishing erlangt) besitzen, können sie nun Überweisungen tätigen, die mTAN empfangen und die Transaktion vollständig autorisieren. Das Opfer bekommt davon oft erst etwas mit, wenn es Kontoauszüge prüft oder Benachrichtigungen über Abbuchungen erhält, wenn das Handy wieder im Netz ist.

Schwachstellen im SS7-Protokoll

Ein weiteres, technisch komplexeres Risiko liegt im SS7-Protokoll (Signaling System No. 7), dem globalen Standard für die Signalisierung in Telekommunikationsnetzen. SS7 wurde in den 1970er Jahren entwickelt, zu einer Zeit, als Netzwerke als geschlossene, vertrauenswürdige Umgebungen betrachtet wurden. Sicherheitsaspekte im heutigen Sinne spielten kaum eine Rolle.

Angreifer, die Zugang zum SS7-Netzwerk haben (was käuflich über zwielichtige Dienstleister oder durch Kompromittierung kleinerer Mobilfunkanbieter im Ausland möglich ist), können den Datenverkehr manipulieren. Sie sind in der Lage, SMS-Nachrichten abzufangen, umzuleiten oder sogar eigene SMS in das Netz einzuspeisen. Ein Angreifer könnte somit eine mTAN, die von der Bank an den Kunden gesendet wird, abfangen, bevor sie das Zielgerät erreicht, und sie an sein eigenes Gerät weiterleiten. Für den Nutzer und die Bank sieht der Vorgang dabei völlig normal aus. Da die Schwachstelle im globalen Routing-Protokoll liegt, kann eine einzelne Bank oder ein einzelner Mobilfunkanbieter sich kaum allein davor schützen; es bedarf einer weltweiten Aufrüstung der Netzinfrastruktur, was nur langsam voranschreitet.

Malware auf dem Endgerät

Auch das Endgerät selbst ist ein potenzieller Angriffspunkt. Trojaner und Banking-Malware, die sich auf dem Smartphone des Nutzers eingenistet haben, können SMS-Nachrichten mitlesen. Viele dieser Schadprogramme fordern bei der Installation weitreichende Berechtigungen an, unter anderem das Lesen und Senden von SMS. Im Hintergrund filtern sie dann nach Schlüsselwörtern wie „TAN“, „Bank“ oder dem Namen der Bank. Wird eine entsprechende SMS empfangen, leitet die Malware den Inhalt an einen Command-and-Control-Server der Kriminellen weiter oder blendet die TAN direkt über das Banking-Fenster des Nutzers ein (Overlay-Angriff), während die originale SMS im Hintergrund gelöscht wird, damit der Nutzer nichts merkt.

Besonders gefährlich ist hierbei, dass der Nutzer oft keine Chance hat, den Angriff zu bemerken, da die Malware tief im Betriebssystem agiert. Dies untergräbt das Prinzip der Zwei-Faktor-Authentifizierung, da beide Faktoren (Wissen und Besitz) auf demselben kompromittierten Gerät landen oder der Besitzfaktor (das Lesen der SMS) durch Software ausgehebelt wird.

Rechtliche Einordnung und PSD2-Konformität

Die Einführung der Zahlungsdiensterichtlinie PSD2 (Payment Services Directive 2) der Europäischen Union im Jahr 2018 hat die Landschaft der Online-Autorisierungsverfahren grundlegend verändert. Ziel der Richtlinie ist es, den Zahlungsverkehr sicherer zu machen und den Wettbewerb zu fördern. Ein Kernstück von PSD2 ist die Verpflichtung zur „Starken Kundenauthentifizierung“ (SCA – Strong Customer Authentication).

Die Anforderungen an Starke Kundenauthentifizierung (SCA)

SCA verlangt, dass bei elektronischen Zahlungen mindestens zwei der folgenden drei unabhängigen Faktoren genutzt werden:

1. Wissen: Etwas, das nur der Nutzer weiß (z. B. PIN, Passwort).
2. Besitz: Etwas, das nur der Nutzer besitzt (z. B. Smartphone, TAN-Generator, Karte).
3. Inhärenz: Etwas, das der Nutzer ist (z. B. Fingerabdruck, Gesichtserkennung, Iris-Scan).

Zusätzlich müssen diese Faktoren so implementiert sein, dass die Vertraulichkeit der Authentifizierungsdaten gewahrt bleibt. Das bedeutet konkret für TAN-Verfahren: Die TAN darf nicht im selben Kanal übertragen werden wie die Transaktionsdaten selbst, wenn dieser Kanal kompromittiert werden kann.

Der Status der mTAN unter PSD2

Die mTAN erfüllte die Kriterien der SCA zunächst, da sie den Faktor „Wissen“ (PIN beim Login) und den Faktor „Besitz“ (Handy zum Empfang der SMS) kombinierte. Allerdings geriet sie aufgrund der oben genannten Sicherheitslücken (insbesondere SIM-Swapping und Malware) unter Druck. Die Europäische Bankenaufsichtsbehörde (EBA) und nationale Behörden wie das BSI in Deutschland stuften die Sicherheit von SMS als Transportmedium für TANs als nicht mehr ausreichend ein, da das Mobilfunknetz nicht als „vertrauenswürdiger, isolierter Kanal“ betrachtet werden kann.

Ein entscheidender Punkt ist die sogenannte „Dynamic Linking“-Anforderung. PSD2 schreibt vor, dass die Autorisierung dynamisch mit dem spezifischen Betrag und dem Empfänger der Transaktion verknüpft sein muss. Bei der klassischen mTAN ohne Detail-Anzeige in der SMS war dies nicht immer garantiert, da der Nutzer die Daten im Browser prüfen musste, die TAN aber „blind“ eingab. Viele Banken haben dies nachgebessert, indem sie die Überweisungsdaten in den SMS-Text aufnahmen (z. B. „Ihre TAN für 500 EUR an Max Mustermann: 123456“).

Trotz dieser Anpassungen haben viele Aufsichtsbehörden signalisiert, dass SMS-TANs langfristig nicht mehr als konform betrachtet werden, insbesondere weil die Risiken des Mobilfunknetzes außerhalb der Kontrolle der Banken liegen. In Deutschland haben sich die großen Bankenverbände darauf geeinigt, die mTAN schrittweise abzuschaffen und durch App-basierte Verfahren zu ersetzen, die in einer isolierten Umgebung (Sandbox) auf dem Smartphone laufen und als sicherer gelten. Für Bestandskunden wird die mTAN oft noch übergangsweise angeboten, für Neukunden ist sie bei vielen Instituten bereits gar nicht mehr buchbar.

Vergleich mit anderen TAN-Verfahren

Um die Position der mTAN im Sicherheitsökosystem zu verstehen, hilft ein Vergleich mit den anderen gängigen Methoden zur Transaktionsautorisierung. Jedes Verfahren hat spezifische Vor- und Nachteile in Bezug auf Sicherheit, Usability und Kosten.

mTAN vs. chipTAN (Smartcard-TAN)

Beim chipTAN-Verfahren nutzt der Kunde einen kleinen Hardware-Generator, in den eine EC- oder Kreditkarte gesteckt wird. Der Generator liest Daten von dem Chip auf der Karte und zeigt auf einem kleinen Display eine TAN an, die oft zusätzlich durch Blinken eines optischen Sensors mit den Transaktionsdaten auf dem Bildschirm synchronisiert wird.

• Sicherheit: chipTAN gilt als extrem sicher. Es ist eine echte Zwei-Faktor-Lösung, bei der der Besitzfaktor (Generator + Karte) komplett vom Internet und vom Mobilfunknetz entkoppelt ist. Ein Angriff per SIM-Swapping oder Internet-Malware ist hier unmöglich, da die TAN auf einem isolierten Gerät berechnet wird.
• Usability: Der Nutzer muss ein extra Gerät bereithalten und die Karte einstecken. Der Prozess ist etwas umständlicher als das Ablesen einer SMS. Zudem funktioniert es nicht auf Smartphones im mobilen Banking (außer mit speziellen Kartenlesern für das Handy).
• Fazit: chipTAN ist sicherer als mTAN, aber weniger komfortabel.

mTAN vs. pushTAN (App-TAN)

Beim pushTAN-Verfahren erhält der Nutzer keine SMS, sondern eine Push-Nachricht in einer speziellen Banking-App auf seinem Smartphone. Die Transaktionsdaten werden verschlüsselt über das Internet an die App gesendet, der Nutzer bestätigt sie in der App oft mittels Biometrie (Fingerabdruck, FaceID) oder einer App-PIN.

• Sicherheit: pushTAN gilt als sehr sicher, da die Kommunikation verschlüsselt über das Internet läuft und nicht über das anfällige SMS-Netz. Die App läuft in einer Sandbox des Betriebssystems, was den Zugriff durch andere Apps erschwert. Die Kombination mit Biometrie erfüllt zudem den Inhärenz-Faktor der PSD2 optimal. Allerdings ist das Smartphone hier ein „Single Point of Failure“: Ist das Handy mit einem Trojaner infiziert, der Bildschirminhalte ausliest oder die App manipuliert, ist auch dieses Verfahren gefährdet.
• Usability: Sehr hoch. Der Nutzer hat alles auf einem Gerät. Die Bestätigung ist oft nur ein Fingerabdruck. Es fallen keine SMS-Gebühren an (auch im Ausland).
• Fazit: pushTAN ist der moderne Nachfolger der mTAN, bietet bessere Usability und gilt bei korrekter Implementierung als sicherer, ist aber abhängig von der Sicherheit des Smartphone-Betriebssystems.

mTAN vs. photoTAN / QR-TAN

Ähnlich wie chipTAN nutzt photoTAN einen separaten Leser (oder die Smartphone-Kamera), der ein verschlüsseltes Muster (ähnlich einem QR-Code) vom Bildschirm einliest. Aus diesem Muster wird die TAN berechnet.

• Sicherheit: Sehr hoch, vergleichbar mit chipTAN, da die Datenübertragung optisch und damit luftgekoppelt („Air Gap“) erfolgt. Keine Angriffsfläche über Netzwerke.
• Usability: Erfordert ein Lesegerät oder die Nutzung der Kamera-App. Etwas umständlicher als mTAN, aber sicherer.
• Fazit: Eine sichere Alternative für Nutzer, die keine App auf dem Handy nutzen wollen oder können, aber höhere Sicherheit als mTAN suchen.

Praktische Anwendung und Nutzerhinweise

Trotz der bekannten Risiken nutzen Millionen von Menschen täglich die mTAN. Für Nutzer, die dieses Verfahren noch verwenden, ist es wichtig, bestimmte Sicherheitsregeln zu befolgen, um das Risiko eines Missbrauchs zu minimieren.

Checkliste für sichere Nutzung

1. Prüfung der Transaktionsdaten in der SMS: Achten Sie darauf, dass Ihre Bank die Details der Überweisung (Empfängername und Betrag) in die SMS aufnimmt. Geben Sie die TAN nur ein, wenn diese Daten in der SMS exakt mit Ihrer beabsichtigten Überweisung übereinstimmen. Blindes Eintippen einer TAN ist gefährlich.
2. Umgang mit Netzverlust: Wenn Ihr Mobiltelefon plötzlich keinen Empfang mehr hat („Kein Dienst“) und Sie dies nicht durch einen Aufenthalt in einer Funkloch-Region erklären können, handeln Sie sofort. Es könnte ein SIM-Swap-Angriff im Gange sein. Kontaktieren Sie umgehend Ihren Mobilfunkanbieter und Ihre Bank, um das Konto sperren zu lassen.
3. Gerätesicherheit: Halten Sie Ihr Smartphone aktuell. Installieren Sie Sicherheitsupdates für das Betriebssystem sofort. Vermeiden Sie die Installation von Apps aus unbekannten Quellen (Side-Loading), besonders bei Android-Geräten. Nutzen Sie eine zuverlässige Sicherheitssoftware.
4. Berechtigungen prüfen: Kontrollieren Sie regelmäßig, welche Berechtigungen Ihre installierten Apps haben. Eine Taschenlampen-App oder ein einfaches Spiel benötigt keinen Zugriff auf Ihre SMS. Entziehen Sie unnötige Berechtigungen sofort.
5. Phishing-Vorsicht: Klicken Sie niemals auf Links in SMS oder E-Mails, die Sie zur Eingabe Ihrer Banking-Daten auffordern. Ihre Bank wird Sie niemals per SMS oder E-Mail nach Ihrer PIN oder einer TAN fragen. Geben Sie Zugangsdaten nur manuell in die offizielle Webseite oder App ein.

Internationale Unterschiede

Während in Deutschland, Österreich und der Schweiz der Trend klar weg von der mTAN hin zu App- und Chip-Verfahren geht, ist die mTAN in vielen anderen Ländern Europas und weltweit nach wie vor der dominierende Standard. In Ländern mit weniger ausgeprägter Infrastruktur für Smartphones oder wo die Durchdringung mit modernen Geräten geringer ist, bietet die SMS-basierte Lösung den Vorteil, dass sie auf jedem Handy funktioniert. Auch die regulatorische Handhabung variiert: Einige nationale Aufsichtsbehörden tolerieren die mTAN weiterhin als ausreichendes SCA-Verfahren, solange bestimmte Zusatzmaßnahmen (wie die Anzeige der Transaktionsdaten in der SMS) umgesetzt sind.

Für Reisende ist die mTAN oft eine Hürde. Da im Ausland oft Roaming-Gebühren für den Empfang von SMS anfallen können (obwohl dies innerhalb der EU mittlerweile abgeschafft wurde) oder der Empfang technisch schwierig ist, kann die Autorisierung von Transaktionen im Urlaub scheitern. Viele Banken empfehlen daher, vor Reiseantritt alternative Verfahren wie chipTAN einzuplanen oder die Banking-App so zu konfigurieren, dass sie auch im Ausland funktioniert (pushTAN nutzt das Internet, was im EU-Ausland meist kein Kostenproblem darstellt).

Zukunftsperspektiven und Ablösungsszenarien

Die Tage der mTAN als primäres Sicherheitsverfahren im Online-Banking sind gezählt. Die technologische Entwicklung und der regulatorische Druck treiben einen Wandel voran, der das Banking sicherer und gleichzeitig nahtloser in den digitalen Alltag integrieren soll.

Der Aufstieg der Banking-App als Sicherheitszentrale

Die Zukunft liegt eindeutig in dedizierten Banking-Apps, die das Smartphone in einen sicheren TAN-Generator verwandeln. Diese Apps nutzen die modernen Sicherheitsfeatures der Smartphones: Hardware-basierte Verschlüsselung, Trusted Execution Environments (TEE) und biometrische Sensoren. Verfahren wie pushTAN oder die Integration in digitale Wallets (Apple Pay, Google Pay) werden zum Standard.

Der Vorteil liegt in der Flexibilität: Die App kann nicht nur TANs generieren, sondern auch Kontostände anzeigen, Umsätze kategorisieren und persönliche Finanzverwaltung (PFM) bieten. Durch die ständige Verbindung zur Bank können verdächtige Aktivitäten in Echtzeit erkannt und der Nutzer sofort gewarnt werden. Die Trennung von Transaktionsdaten (Internet) und Autorisierung (App) bleibt erhalten, aber beide Kanäle laufen über das verschlüsselte Internet statt über das unsichere SMS-Netz.

FIDO2 und Passkeys: Das Ende des Passworts?

Ein noch weiterreichender Trend ist die Einführung von FIDO2-Standards (Fast Identity Online) und Passkeys. Diese Technologie zielt darauf ab, Passwörter und TANs langfristig vollständig durch kryptografische Schlüssel zu ersetzen, die auf dem Gerät des Nutzers gespeichert sind.

Bei einer Authentifizierung mit Passkey bestätigt der Nutzer eine Transaktion oder den Login lediglich durch Biometrie (Fingerabdruck, Gesicht). Im Hintergrund tauscht das Gerät kryptografische Signaturen mit dem Server der Bank aus. Da keine geheimen Daten (wie eine PIN oder TAN) über das Netzwerk übertragen werden und diese auch nicht auf dem Server gespeichert sind, sind Phishing-Angriffe und Man-in-the-Middle-Attacken praktisch unmöglich. Die mTAN würde in einem solchen Szenario obsolet, da der „Besitzfaktor“ und der „Inhärenzfaktor“ untrennbar im Gerät verschmolzen sind. Erste Banken testen bereits Pilotprojekte mit dieser Technologie.

Fazit: Ein Auslaufmodell mit Restnutzung

Zusammenfassend ist die mTAN ein wichtiger Meilenstein in der Geschichte des sicheren Online-Bankings, der den Übergang von statischen Listen zu dynamischen, transaktionsgebundenen Verfahren ermöglicht hat. Sie hat Millionen von Nutzern sichere Transaktionen erlaubt und die digitale Wirtschaft vorangebracht. Aufgrund der inhärenten Sicherheitsrisiken des SMS-Protokolls und der modernen Angriffsmethoden ist sie jedoch zu einem Auslaufmodell geworden.

Für Nutzer bedeutet dies: Solange die Bank die mTAN noch anbietet, kann sie unter Beachtung der Sicherheitsregeln genutzt werden. Es ist jedoch ratsam, aktiv auf sicherere Alternativen wie die Banking-App oder chipTAN umzusteigen, sobald dies möglich ist. Die Banken werden den Support für mTAN in den kommenden Jahren voraussichtlich weiter einschränken und schließlich ganz einstellen, um den Anforderungen an ein sicheres, digitales Ökosystem gerecht zu werden.