mTAN

mTAN – mobile Transaction Authentication Number

Der mTAN ist ein Einmal‑Passwort, das per SMS an das Mobiltelefon des Kontoinhabers gesendet wird, um eine Online‑Banktransaktion zu autorisieren. Er dient als zweiter Authentifizierungsfaktor (2‑FA) und ergänzt das reguläre Login‑Passwort, um das Risiko von Phishing, Credential‑Theft und unbefugten Zahlungen zu verringern.

Funktionsablauf (klassisch)

Kunde loggt sich in das Online‑Banking‑Portal ein (Passwort + ggf. TAN‑Liste).
Transaktion initiieren – z. B. Überweisung, Rechnung bezahlen.
Bank generiert einen zufälligen TAN‑Code (meist 6 – 8 Ziffern) und verschickt ihn per SMS an die beim Konto hinterlegte Mobilnummer.
Kunde gibt den empfangenen mTAN im Web‑Formular ein.
Bank prüft den Code; bei Übereinstimmung wird die Transaktion ausgeführt.

Merkmale

Merkmal	Beschreibung
Einmal‑Code	Gültig nur für eine einzelne Transaktion, meist 5–10 Minuten.
Zwei‑Faktor‑Authentifizierung	Etwas, das der Nutzer kennt (Passwort) + etwas, das er besitzt (SIM‑Karte).
SMS‑Zustellung	Einfach zu implementieren, erfordert keine zusätzliche Hardware (z. B. TAN‑Generator).
Kosten	In der Regel kostenlos für den Kunden, die Banksysteme zahlen für den SMS‑Versand.
Sicherheitsstufe	Höher als reines Passwort, aber anfällig gegenüber SIM‑Swap‑Angriffen und abgefangenen SMS.

Vorteile

Benutzerfreundlich – Fast jeder besitzt ein Mobiltelefon, kein zusätzliches Gerät nötig.
Kein spezielles Hardware‑Token – Reduziert Beschaffungs‑ und Wartungskosten.
Flexibel – Funktionsfähig auf allen Smartphones und sogar Feature‑Phones.

Risiken und Schwachstellen

Risiko	Ursache	Gegenmaßnahme
SIM‑Swap‑Fraud	Angreifer übernehmen die Mobilfunknummer beim Anbieter.	Zusatz‑Verifikation beim Anbieter, Nutzung von 2‑FA‑Methoden, die nicht ausschließlich SMS nutzen (z. B. Authenticator‑Apps, Push‑Benachrichtigungen).
SMS‑Abfangen	Schwache Mobilfunknetz‑Sicherheit, Malware, SS7‑Angriffe.	Wechsel zu App‑basierten TAN‑Generatoren (TOTP), Nutzung von OTP‑Push‑Lösungen.
Man‑in‑the‑Middle (SMS‑Relay)	Angreifer leiten SMS über manipulierte Netzwerke um.	Verschlüsselte Transportkanäle (z. B. Signal‑App), Sicherheit auf Mobilnetz‑Seite verbessern.
Verzögerungen	Netzwerk‑Latenz, überlastete SMS‑Gateways.	Alternativ‑Optionen (z. B. E‑Mail‑TAN, Telefon‑Callback).

Alternativen zu mTAN

Alternative	Beschreibung
pushTAN / Mobile‑App‑TAN	TAN wird über eine Banking‑App per Push‑Notification gesendet, oft mit zusätzlicher Finger‑/Face‑ID.
TOTP‑Generator	Zeitbasierte Einmal‑Passwörter (z. B. Google Authenticator, Authy).
Hardware‑Token (z. B. Secure Key)	Physisches Gerät erzeugt TANs, unabhängig vom Mobilfunknetz.
Chip‑TAN (iTAN)	TAN‑Generator, der über das TAN‑Verfahren des Kontos (z. B. iTAN‑Verfahren) die TAN berechnet.
FIDO‑U2F / WebAuthn	Kryptografische Schlüssel, die mittels USB‑ oder NFC‑Token (z. B. YubiKey) authentifiziert werden.

Best‑Practice‑Empfehlungen für Banken

Mehrschichtige Sicherheit – mTAN nur als Teil einer mehrstufigen Authentifizierung (Kombination mit Passwort, Biometrie, Hardware‑Token).
Erkennung von ungewöhnlichen Mustern – Echtzeit‑Analyse von Transaktions‑ und Versand‑Verhalten (z. B. mehrere mTAN‑Anfragen in kurzer Zeit).
Benutzeraufklärung – Aufklärung über SIM‑Swap‑Risiken und Hinweise, keine mTAN‑Codes an Dritte weiterzugeben.
Fallback‑Verfahren – Sicheres alternatives Verfahren (z. B. Telefon‑Callback) bereitstellen, wenn SMS nicht zugestellt werden kann.

PHNETZ - Internetagentur

Marketing für Ihren Erfolg