Für das Online-Banking sind TAN-Verfahren unabdingbar. Sie sorgen dafür, dass Überweisungen gesichert ablaufen und Gelder auch nur durch authorisierte Personen verwaltet werden. Für Kriminelle hat sich auf einem dieser Verifizierungswege allerdings eine Möglichkeit zum Betrug ergeben, wie Richter urteilten.

Risiko TAN: Dieses Verfahren ist problematisch

Einem kürzlich öffentlich gemachten Urteil des Landesgerichts Heilbronn vom Mai 2023 zufolge weist das „pushTAN-Verfahren, in dem die TAN auf dem Mobiltelefon in einem anderen Programm (App) angezeigt wird, als demjenigen, das den Bankzugang ebenfalls mittels auf demselben Smartphone installierter BankApp (SecureGo-App) vermittelt, […] ein erhöhtes Gefährdungspotential auf“.

Den Grund dafür sieht man demnach in der „Verwendung nur noch zweier Apps auf einem Gerät statt [der] Nutzung getrennter Kommunikationswege“. Damit liege keine Authentifizierung aus mindestens zwei voneinander unabhängigen Elementen vor. Entsprechend lasse sich „die Annahme eines Anscheinsbeweises für die Autorisierung einer Zahlungsanweisung […] erforderliche sehr hohe Sicherheit“ nicht bejahen, heißt es weiter.

Lesetipp: Diese Alternativen gibt es zur pushTAN

Hintergrund des Urteils

Dass es überhaupt zu einer solchen kritischen Einschätzung des TAN-Verfahrens gekommen ist, liegt an einem konkret verhandelten Fall. Dabei wurde dem Kläger die pushTAN zum Verhängnis, der einem Betrüger am Telefon drei generierte Nummer zur Verfügung stellte.

Dieser hatte sich als Mitarbeiter der Bank ausgegeben und das Opfer davon überzeugt, Dritte hätten unberechtigterweise Zahlungen getätigt und den Kreditrahmen auf 10.000 Euro erhöht. Zum Rückgängigmachen seien besagte drei TAN nötig, die der Mann dann anschließend weitergab.

Erst später stellte sich das als Social-Engineering bekannte Vorgehen als Betrug heraus, woraufhin das Opfer sich an seine Bank wandte. Es forderte die Übernahme des Schadens durch die von den Kriminellen mittels TAN-Verfahren abgehobene Summe. Die Bank lehnte das allerdings ab, sodass der Fall schließlich vor Gericht landete.

Die Klage wurde wegen grober Fahrlässigkeit abgewiesen, es leuchte jedem ein, „dass online-banking eben nur online erfolgt, gerade nicht telefonisch oder schriftlich, egal, wer sich am Telefon wegen angeblicher Maßnahmen meldet“, heißt es im dazugehörigen Protokoll weiter.

Quellen: BadenWürttemberg Landesrecht BW

Seit dem 24. Februar 2022 herrscht Krieg in der Ukraine. Hier kannst du den Betroffenen helfen.