2FA-Regelung für mehr Sicherheit beim Online-Shopping
Die sogenannte Zwei-Faktor-Authentisierung ( 2FA ) gibt es in zahlreichen Varianten.
Am 14. September 2019 tritt eine neue EU-Zahlungsrichtlinie in Kraft. Die besagt, dass Kunden bei Bezahlvorgängen in Online-Shops sowie bei mobilen Bankgeschäften sich zusätzlich identifizieren müssen. Dafür braucht es eine TAN, die über eine spezielle Apps oder einen TAN-Generator erzeugt wird. Die sogenannte Zwei-Faktor-Authentifizierung (2FA) soll für mehr Sicherheit im Netz sorgen.
„Wichtig ist dabei, dass die Faktoren aus verschiedenen Kategorien stammen, also eine Kombination aus eigenem Wissen wie Passwort oder PIN, Dingen im persönlichen Besitz wie Chipkarte oder einem TAN-Generator oder Biometrie, etwa dem eigenen Fingerabdruck, verwendet wird“, erläutert Matthias Gärtner, Sprecher des Bundesamts für Sicherheit in der Informationstechnik (BSI).
mTAN nicht empfehlenswert
Nutzer können also über ihr Smartphone mithilfe einer App eine TAN generieren. Wer kein Smartphone nutzt, kann auf einen TAN-Generator zurückgreifen. „Es gibt verschiedene Hardware-TAN-Generatoren, zum Beispiel Chip-TAN-Generatoren oder auch Photo-TAN-Generatoren“, erklärt Tanja Beller vom Bundesverband deutscher Banken (BDB). Aber: Die kleinen Geräte muss sich jeder Nutzer selber bei seiner Bank besorgen und auch bezahlen.
Als praktisch erscheint vielen das sogenannte mTAN-Verfahren. Dabei bekommt der Nutzer eine SMS mit der TAN auf sein Handy geschickt. Das BSI rät aber von mTAN ab. Der Grund: Eine SMS sei kein sicherer Kanal für die Übertragung.
BSI rät: Zwei-Faktor-Authentifizierung auf zwei Geräten
TAN-Generatoren bieten laut Experten die höchste Sicherheit. Aber: Die Geräte werden bislang hauptsächlich für das Online Banking genutzt. Beim Online-Shopping steht der Dienst aktuell nicht zur Verfügung. Die Commerzbank will das ändern. Laut einem Sprecher plant das Finanzinstitut den Photo-TAN-Generator (Kosten um die 30 Euro) ab 14. September auch für Onlinezahlungen freizugeben. Alternativ können Kunden weiterhin die TAN-App nutzen.
Generell rät das BSI von der Zwei-Faktor-Authentifizierung auf ein und demselben Gerät ab, wenn das genutzte Smartphone keinen Sicherheitschip (Secure Element) besitzt. Dieser Chip gewährleistet, dass die Identifizierung sicher gekapselt ablaufen kann. „Grundsätzlich ist es immer riskanter, wenn Kriminelle nur ein Gerät unter Kontrolle bringen müssen", erläutert BSI-Sprecher Gärtner.
