Schutz vor BetrugRatgeber

Online-Banking sicher nutzen: TAN-Verfahren, Limits und was bei Betrug gilt

Ruf dein Online-Banking immer selbst auf, lade Banking-Apps nur aus offiziellen Stores und prüfe vor jeder Freigabe die Daten im TAN-Verfahren. Ein Überweisungslimit begrenzt den Schaden, und deine Bank fragt nie per E-Mail nach PIN oder TAN. Bei Verdacht lässt du den Zugang sofort sperren, etwa über den Sperr-Notruf 116 116.

Ein Mann in den Fünfzigern hält am Schreibtisch ein kleines Kartenlesegerät neben einer Bankkarte, vor ihm ein zugeklappter Laptop
Bild: KI-generiert

Nach einer Mitteilung des Bundesamts für Sicherheit in der Informationstechnik (BSI) vom 30.10.2025 erlebte etwa jede zehnte Person (11 Prozent), die im Vorjahr von Cyberkriminalität betroffen war, Betrug beim Online-Banking [3]. Die größte Gefahr besteht nach dem BSI im Ausspähen der Zugangsdaten, dem Phishing [12]. Mit ein paar festen Gewohnheiten und den richtigen Einstellungen machst du Tätern das deutlich schwerer.

Den Zugang richtig aufrufen

Das BSI rät, die Internetadresse der Bank bei jedem Aufruf neu über die Tastatur einzugeben [1]. So landest du nicht über einen Link aus einer Mail oder einer Suchanzeige auf einer gefälschten Seite. Online-Banking betreibst du möglichst nur von eigenen Geräten aus; bei öffentlich zugänglichen Computern ist besondere Vorsicht geboten [1]. Nach jeder Sitzung meldest du dich ab und leerst den Zwischenspeicher des Browsers [1].

Banking-Apps lädst du ausschließlich aus den offiziellen App-Stores oder über die Website deiner Bank herunter [3]. Updates für Betriebssystem, Browser und Banking-App spielst du zeitnah ein [3]. Beim Online-Banking ist die Zwei-Faktor-Authentisierung nach dem BSI bereits verpflichtend; für andere Konten mit hinterlegten Zahlungsdaten empfiehlt es sie ebenfalls. Passkeys nennt es als Alternative zur Kombination aus starkem Passwort und zweitem Faktor [3]. Wie das im Einzelnen geht, erklärt Sichere Passwörter und Anmeldung in zwei Schritten.

Banking auf dem Smartphone

Für das Mobile Banking gibt das BSI eigene Hinweise. Nutze kein gerootetes oder gejailbreaktes Gerät, also keines, bei dem die Schutzmechanismen des Herstellers entfernt wurden [12]. Verzichte beim Banking auf öffentliche Netzwerke und WLAN-Hotspots [12]. Sichere das Gerät mit einem Code oder einer biometrischen Sperre, und speichere PIN und TAN nie im Gerät, auch nicht getarnt als Telefonnummer oder Geburtsdatum [12]. Geht das Smartphone verloren, lässt du sofort die SIM-Karte und alle Zugänge zu deinen Bankkonten sperren [12].

TAN-Verfahren im Vergleich

Für Überweisungen brauchst du eine TAN, die aus den Daten der jeweiligen Zahlung erzeugt wird [1]. Welches Verfahren du nutzen kannst, entscheidet weitgehend deine Bank [2]. Das BSI bewertet die gängigen Verfahren so:

Ein kleines Kartenlesegerät und eine Bankkarte liegen neben einer Kaffeetasse auf einem Holztisch
Bild: KI-generiert
VerfahrenEinschätzung des BSI
pushTAN oder App-TANweit verbreitet, bei richtiger Anwendung gutes Sicherheitsniveau [2]
chipTAN mit TAN-Generatorzwei unabhängige Geräte, der Generator hat keine Verbindung zum Internet und ist aus der Ferne nicht angreifbar [2]
photoTAN oder QR-TANbietet Angreifern wenig Ansatzpunkte, ein veraltetes Smartphone kann aber eine Schwachstelle sein [2]
chipTAN-USBhohes Sicherheitsniveau, weil du die Auftragsdaten am Lesegerät bestätigst [2]
smsTANvon vielen Banken abgeschafft, SMS lassen sich mit technischem Wissen abfangen [2]

Beim chipTAN-Verfahren gilt eine TAN nur für die Überweisung, aus deren Daten sie erzeugt wurde; gestohlene TANs lassen sich deshalb nicht für andere Zahlungen verwenden [2]. Die Kontrolle am Gerät schützt allerdings nur, wenn du hinschaust, denn Schadsoftware auf dem Rechner kann Aufträge verändern, etwa die IBAN des Empfängers [2]. Am sichersten ist nach Einschätzung des BSI ein externer TAN-Generator, weil er vom Internet getrennt ist und nur für das Online-Banking dient [2]. Bei App-Verfahren steigt die Sicherheit, wenn du Banking und TAN-Erzeugung auf zwei verschiedenen Geräten erledigst [2]. Wechselst du das Smartphone, musst du eine pushTAN-App neu einrichten [4]. Die pushTAN-App zeigt dir die eingegebenen Überweisungsdaten noch einmal an [2]. Lies sie vor jeder Freigabe genau: Stimmen Empfänger, IBAN und Betrag mit dem überein, was du selbst eingegeben hast? Das rät auch die Verbraucherzentrale [9].

Was deine Bank nie von dir will

Deine Bank fordert dich niemals per E-Mail auf, vertrauliche Daten wie PIN, TAN oder Kontonummer bekannt zu geben [1]. Bekommst du eine solche Nachricht, folgst du den Anweisungen nicht [1]. Wirst du nach einer TAN gefragt, ohne selbst eine Zahlung ausgelöst zu haben, ist das nach Angaben des BSI ein klares Zeichen für eine gefälschte Seite [11]. Das BSI rät, E-Mails und SMS genau zu prüfen, bevor du Links oder Anhänge öffnest [3].

Auch am Telefon fragt deine Bank nach Angaben des BSI nie nach deinen Zugangsdaten [3]. Wie Anrufe falscher Bankmitarbeiter ablaufen, beschreibt Anrufe von falschen Bankmitarbeitern. Typische Merkmale gefälschter Mails zeigt Phishing-Mails erkennen.

Überweisungslimit und Kontrolle der Umsätze

Vereinbare mit deiner Bank ein Limit für tägliche Geldbewegungen beim Online-Banking [1]. Kommen Täter trotz aller Vorsicht an deinen Zugang, begrenzt das Limit, wie viel sie in kurzer Zeit abziehen können.

Eine Frau in den Sechzigern prüft am Esstisch mit Lesebrille und Stift einen Stapel ausgedruckter Kontoauszüge
Bild: KI-generiert

Deine Kontoaktivitäten kontrollierst du regelmäßig, damit du verdächtige Abbuchungen früh bemerkst [3]. Das BSI empfiehlt außerdem, gedruckte Kontoauszüge in kurzen Abständen zu prüfen, weil Online-Auszüge manipuliert sein könnten [1]. Je früher du eine fremde Buchung entdeckst, desto besser sind die Chancen, sie zu stoppen. Welche Maschen rund um Konto und Depot verbreitet sind, beschreibt Betrug mit Bankkonto und Depot.

Der Namensabgleich bei Überweisungen

Seit Oktober 2025 müssen Banken und Sparkassen prüfen, ob Name und IBAN bei Überweisungen zusammenpassen [5]. Die Prüfung gilt für SEPA-Überweisungen in Euro, ob online, in der Filiale oder als Echtzeitüberweisung, auch für neue Daueraufträge und Terminüberweisungen [5]. Ausgenommen sind unter anderem Lastschriften, Überweisungen in Länder außerhalb der EU sowie Spar-, Tagesgeld- und Darlehenskonten [5].

  • Passen Name und IBAN, gibt es grünes Licht [5].
  • Bei kleinen Abweichungen wie einem Tippfehler zeigt die Bank den richtigen Namen an, damit du selbst prüfen kannst [5].
  • Bei einer deutlichen Abweichung erscheint ein Warnhinweis [5].
  • War keine eindeutige Prüfung möglich, bekommst du auch das mitgeteilt [5].

Das Ergebnis bekommst du angezeigt, bevor du die Überweisung autorisierst. Danach entscheidest du, ob du sie trotzdem ausführst oder die Daten noch einmal prüfst [13]. Nach einer Warnung oder ohne eindeutiges Ergebnis rät die Verbraucherzentrale, die Überweisung auf keinen Fall freizugeben und den Empfänger über einen offiziellen Kanal zu kontaktieren [5]. Wer trotz Warnung überweist, trägt das Risiko selbst. Die Bank haftet nur, wenn der Abgleich ausdrücklich ergeben hat, dass Name und IBAN zusammenpassen [5]. Vor Phishing schützt der Abgleich nicht: Haben Kriminelle direkten Zugriff auf dein Konto, greift er nicht [5].

Wer haftet, wenn doch etwas passiert

Hast du eine Zahlung nicht autorisiert, muss die Bank dir den Betrag unverzüglich erstatten, spätestens bis zum Ende des Geschäftstags, der auf den Tag folgt, an dem sie davon erfahren hat [7]. Hat die Bank einer zuständigen Behörde berechtigte Gründe für den Verdacht schriftlich mitgeteilt, dass du selbst betrügerisch gehandelt hast, muss sie unverzüglich prüfen und erstatten, sobald sich der Verdacht nicht bestätigt [7]. Sie muss beweisen, dass eine Authentifizierung stattgefunden hat [9]. Beruht die Zahlung auf einem verlorenen, gestohlenen oder missbrauchten Zahlungsinstrument, kann die Bank von dir bis zu 50 Euro Schadensersatz verlangen [6]. Auch das entfällt, wenn du den Missbrauch vor der Zahlung nicht bemerken konntest [6]. Für den gesamten Schaden haftest du, wenn du betrügerisch gehandelt oder vorsätzlich oder grob fahrlässig gegen deine Sorgfaltspflichten verstoßen hast [6]. Ob grobe Fahrlässigkeit vorliegt, wird im Einzelfall beurteilt, und die Bank muss einen schweren Verstoß nachweisen [9]. Die Verbraucherzentrale weist darauf hin, dass die Bank trotz eines solchen Vorwurfs zunächst erstatten muss und den Schaden erst danach zurückverlangen kann, wenn sie die Pflichtverletzung nachweist [9].

Zu den Sorgfaltspflichten gehört, PIN, Passwörter, TAN und Freigabegeräte vor unbefugtem Zugriff zu schützen [9]. PIN und TAN gibst du deshalb nicht an Dritte weiter [12]. Bemerkst du einen Missbrauch, musst du die Bank unverzüglich informieren [8]. Für Schäden, die nach dieser Meldung entstehen, haftest du nicht, außer bei eigener betrügerischer Absicht [6]. Spätestens 13 Monate nach der Belastung erlöschen deine Ansprüche wegen einer nicht autorisierten Zahlung, wenn du sie der Bank bis dahin nicht gemeldet hast [8]. Diese Frist läuft nur, wenn die Bank dich vorher über die Zahlung informiert hat [8]. Mehr zur Haftung steht unter Wer zahlt, wenn Betrüger dein Konto leeren.

Bei Verdacht sofort sperren

Hast du den Verdacht, dass jemand deinen Zugang kennt, lässt du ihn sperren, telefonisch bei der Bank oder über die Sperrfunktion im Online-Banking [1]. Die Telefonnummer deiner Bank solltest du griffbereit haben [1]. Girocard, Kreditkarte und Online-Banking lassen sich auch über den Sperr-Notruf 116 116 sperren, rund um die Uhr, aus dem Ausland über +49 116 116 oder +49 30 4050 4050 [10]. Ob deine Bank am Sperr-Notruf teilnimmt, solltest du vorher prüfen [9].

Eine Hand hält einen Telefonhörer, daneben liegt eine Bankkarte auf einer Kommode im Flur
Bild: KI-generiert
  1. Zugang und Karten sperren lassen [9].
  2. Strafanzeige erstatten, am schnellsten online, und das Aktenzeichen der Bank mitteilen [9].
  3. Jede fremde Buchung schriftlich oder per E-Mail als nicht autorisiert melden [9].

Die Reihenfolge im Einzelnen zeigt Karte und Konto sperren, Geld zurückholen.

  1. Behörde Sicherheitsmaßnahmen beim Onlinebanking und TAN-Verfahren. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
  2. Behörde TAN-Verfahren. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
  3. Behörde Weltspartag: Wie Verbraucherinnen und Verbraucher ihr Geld beim Onlinebanking schützen (Pressemitteilung). Bundesamt für Sicherheit in der Informationstechnik. Stand 30.10.2025. abgerufen am 29.10.2026
  4. Behörde Wie sicher und einfach sind Verfahren der Zwei-Faktor-Authentisierung?. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
  5. Organisation Neue Pflicht: Banken gleichen Name und IBAN bei Überweisungen ab. Verbraucherzentrale Bundesverband. Stand 01.09.2026. abgerufen am 29.10.2026
  6. Gesetz § 675v BGB: Haftung des Zahlers bei missbräuchlicher Nutzung eines Zahlungsinstruments. Bundesministerium der Justiz. Stand ohne Datum. abgerufen am 29.10.2026
  7. Gesetz § 675u BGB: Haftung des Zahlungsdienstleisters für nicht autorisierte Zahlungsvorgänge. Bundesministerium der Justiz. Stand ohne Datum. abgerufen am 29.10.2026
  8. Gesetz § 676b BGB: Anzeige nicht autorisierter oder fehlerhaft ausgeführter Zahlungsvorgänge. Bundesministerium der Justiz. Stand ohne Datum. abgerufen am 29.10.2026
  9. Organisation Kreditkartenbetrug und Kontobetrug: Das können Sie jetzt tun. Verbraucherzentrale Bundesverband. Stand 16.10.2026. abgerufen am 29.10.2026
  10. Organisation Sperr-Notruf 116 116. Sperr-Notruf 116 116 e.V.. Stand ohne Datum. abgerufen am 29.10.2026
  11. Behörde Wie erkenne ich Phishing in E-Mails und auf Webseiten?. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
  12. Behörde Mobile Banking. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
  13. Behörde Fragen und Antworten zu Echtzeitüberweisungen und Empfängerüberprüfung. Deutsche Bundesbank. Stand ohne Datum. abgerufen am 29.10.2026

Zuletzt geprüft am 30.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.

Weitere Artikel