{"id":7671,"date":"2026-10-11T12:00:24","date_gmt":"2026-10-11T12:00:24","guid":{"rendered":"https:\/\/technodidact.de\/?p=7671"},"modified":"2026-10-11T12:00:25","modified_gmt":"2026-10-11T12:00:25","slug":"chiptan-aufstieg-und-ende-eines-sicherheitsversprechens","status":"publish","type":"post","link":"https:\/\/technodidact.de\/en\/chiptan-aufstieg-und-ende-eines-sicherheitsversprechens\/","title":{"rendered":"chipTAN: Aufstieg und Ende eines Sicherheitsversprechens"},"content":{"rendered":"

Autor: DerSchneider<\/strong><\/p>\n\n\n\n

Einleitung<\/h2>\n\n\n\n

Im Fr\u00fchjahr 2027 wird ein Verfahren aus der deutschen Online-Banking-Landschaft verschwinden, das fast zwei Jahrzehnte lang als Inbegriff sicherer Transaktionsfreigabe galt: chipTAN optisch. Jener Ablauf, bei dem der Nutzer einen TAN-Generator an den Bildschirm h\u00e4lt, w\u00e4hrend dieser schwarz-wei\u00dfe Blinkmuster einliest, um daraus eine transaktionsgebundene TAN zu berechnen. Sparkassen und Volksbanken haben die Abschaltung angek\u00fcndigt \u2013 sp\u00e4testens im Fr\u00fchjahr 2027 wird das Verfahren deaktiviert. Das ist kein Betriebsunfall, sondern das Ergebnis einer Verschiebung: weg von der physikalisch isolierten Vertrauensinstanz, hin zu einem \u00f6kosystemaren Vertrauensmodell. Wer chipTAN verstehen will, muss zwei Ebenen zugleich betrachten \u2013 die kryptografische und die menschliche.<\/p>\n\n\n\n

Vom iTAN-Desaster zum chipTAN<\/h2>\n\n\n\n

Warum iTAN scheiterte<\/h3>\n\n\n\n

Das iTAN-Verfahren (indizierte TAN) arbeitete mit einer Liste nummerierter Transaktionsnummern. Der Nutzer gab bei jeder \u00dcberweisung die vom Bankrechner angeforderte TAN ein. Das Problem: Zwischen TAN und Transaktionsinhalt bestand keinerlei kryptografische Bindung. Banking-Trojaner wie Zeus konnten den Datenverkehr in Echtzeit manipulieren, den Empf\u00e4nger austauschen und die vom Nutzer eingegebene TAN f\u00fcr eine v\u00f6llig andere \u00dcberweisung verwenden. Der Nutzer merkte nichts, die TAN war g\u00fcltig, das Geld weg.<\/p>\n\n\n\n

Der chipTAN-Ansatz<\/h3>\n\n\n\n

chipTAN band die TAN erstmals an die konkreten Transaktionsdaten. Die Bank sendet einen sogenannten Flickercode \u2013 eine Folge schwarz-wei\u00dfer Grafiken, die die Transaktionsparameter kodiert. Der TAN-Generator liest diesen Code optisch ein, kombiniert ihn mit dem Geheimnis auf dem Chip der eingesteckten Bankkarte und berechnet eine Signatur, die nur f\u00fcr genau diese Transaktion g\u00fcltig ist. Selbst ein vollst\u00e4ndig kompromittierter PC kann keine Transaktion unterschieben, ohne dass der Generator einen anderen Code verarbeitet \u2013 und der Nutzer k\u00f6nnte dies theoretisch am Display erkennen.<\/p>\n\n\n\n

Das Vertrauensmodell: Physik statt Software<\/h2>\n\n\n\n

Der chipTAN-Sicherheitsanspruch ruhte auf einer bewusst nicht-kryptografischen Annahme: Der PC ist unsicher, der TAN-Generator ist sicher. Das ist keine mathematische Garantie, sondern eine ingenieurm\u00e4\u00dfige Abw\u00e4gung \u00fcber Angriffskosten. Ein Angriff m\u00fcsste zwei physikalisch getrennte Dom\u00e4nen \u00fcberwinden \u2013 die Software-Dom\u00e4ne (fernsteuerbar, automatisierbar, skalierbar) und die Hardware-Dom\u00e4ne (physischer Zugriff n\u00f6tig, keine Ferninfektion, teuer pro Ger\u00e4t). Unter der Bedrohungslage der 2000er Jahre war diese Asymmetrie wirksam.<\/p>\n\n\n\n

Institutionell verankert wurde das Modell durch den Secoder-Standard der Deutschen Kreditwirtschaft. TAN-Generatoren gelten als Klasse-3-Leser mit eigenem Display und Best\u00e4tigungstaste. Der Schl\u00fcssel verl\u00e4sst die Karte nie, die Signatur entsteht im Chip. Die Verbraucherzentrale Hamburg stufte chipTAN bis 2025 als \u201esehr hoch“ sicher ein.<\/p>\n\n\n\n

Die Risse: Wenn der Mensch zur L\u00fccke wird<\/h2>\n\n\n\n

Batch-\u00dcberweisungen<\/h3>\n\n\n\n

Bereits 2009 zeigte RedTeam Pentesting eine strukturelle Schw\u00e4che von chipTAN comfort: Bei Sammel\u00fcberweisungen zeigt der Generator nacheinander Gesamtbetrag und Anzahl der Posten zur Best\u00e4tigung. Ein Angreifer kann jedoch die einzelnen Empf\u00e4nger austauschen, solange Gesamtbetrag und Anzahl konstant bleiben. Der Nutzer sieht exakt die richtigen Zahlen \u2013 und best\u00e4tigt dennoch eine \u00dcberweisung an den Angreifer. Das ist kein Krypto-Fehler, sondern ein Interface-Fehler: Die angezeigten Kenngr\u00f6\u00dfen legen die Transaktion nicht eindeutig fest. Wichtig: Dieses Problem betrifft das chipTAN-comfort-Verfahren, nicht die manuelle chipTAN-Variante, bei der der Nutzer IBAN und Betrag selbst eintippt.<\/p>\n\n\n\n

Social Engineering<\/h3>\n\n\n\n

Der tiefer liegende Angriff zielt nicht auf den Algorithmus, sondern auf den Nutzer. chipTAN verlangt eine aktive kognitive Handlung: Abgleich der Generatoranzeige mit den eigenen Eingaben. Die Ausf\u00fchrungsrate dieser Handlung liegt in der Praxis deutlich unter dem, was das Design unterstellt. Die Sparkasse selbst r\u00e4umt in ihren FAQs ein, dass auf dem Kundenendger\u00e4t Malware vorhanden sein kann, die Nachrichten vor der chipTAN-Verarbeitung ver\u00e4ndert. Das ist eine vorsichtige Formulierung f\u00fcr: Die eigentliche Verteidigungslinie ist die Aufmerksamkeit des Nutzers \u2013 und die h\u00e4lt nicht immer.<\/p>\n\n\n\n

Warum chipTAN verschwindet<\/h2>\n\n\n\n

PSD2 und Strong Customer Authentication<\/h3>\n\n\n\n

Seit September 2019 verlangt die EU-Zahlungsdiensterichtlinie zwei unabh\u00e4ngige Faktoren. chipTAN erf\u00fcllt das formal (PIN plus Karte), doch PSD2 dr\u00e4ngt auf Dynamic Linking: Der Authentifizierungscode muss an Betrag und Empf\u00e4nger gebunden sein \u2013 und diese Bindung soll systemisch \u00fcberpr\u00fcfbar sein, nicht nur potenziell durch den Nutzer.<\/p>\n\n\n\n

Barrierefreiheit<\/h3>\n\n\n\n

Die offizielle Begr\u00fcndung der Banken f\u00fcr die Abschaltung von SmartTAN optic nennt die mangelnde Eignung f\u00fcr barrierefreie Nutzung. Blinkende Grafiken sind f\u00fcr Menschen mit kognitiven Einschr\u00e4nkungen, Sehbehinderungen oder bestimmten neurologischen Erkrankungen problematisch. Das ist ein realer Konflikt zwischen Sicherheit und Teilhabe. Einschr\u00e4nkend muss gesagt werden: Diese Begr\u00fcndung ist technisch plausibel, aber nicht in jeder offiziellen Mitteilung der Banken explizit belegt. Die Sparkassen empfehlen offiziell pushTAN oder chipTAN-QR als Nachfolgel\u00f6sungen.<\/p>\n\n\n\n

Reifere Alternativen<\/h3>\n\n\n\n

pushTAN verlagert die TAN-Erzeugung in eine Smartphone-App. Kryptografisch zun\u00e4chst ein R\u00fcckschritt, denn ein Smartphone ist ein Universalrechner mit gro\u00dfer Angriffsfl\u00e4che. Doch pushTAN kann Kontext liefern: Die Bank pusht Transaktionsdetails direkt, die App kann Risikohinweise anzeigen. Der chipTAN-Generator mit seinem Niedrigaufl\u00f6sungsdisplay kann das nicht. Allerdings ist auch pushTAN nicht unumstritten: Ein Urteil des OLG (Oberlandesgericht) hat festgestellt, dass pushTAN nicht in jedem Fall die Anforderungen an eine starke Kundenauthentifizierung erf\u00fcllt.<\/p>\n\n\n\n

chipTAN-QR ist die zweite offizielle Nachfolgeoption. Sie beh\u00e4lt den physischen TAN-Generator und die Chipkarte bei, ersetzt aber die Blinkgrafiken durch einen QR-Code. Das Einlesen wird beschleunigt, und es k\u00f6nnen mehr Daten im Code untergebracht werden.<\/p>\n\n\n\n

chipTAN QR: Fortschritt oder R\u00fcckschritt?<\/h2>\n\n\n\n

Der QR-Varianten-Nachfolger chipTAN QR beschleunigt das Einlesen und erlaubt mehr Daten im Code. Doch eine kritische Stimme \u2013 etwa in einer Notebookcheck-Analyse von 2026 \u2013 argumentiert, chipTAN QR sei schw\u00e4cher als die strengste chipTAN-manuell-Variante. Dort musste der Nutzer die letzten zehn Stellen der IBAN und den Betrag aktiv eintippen. Dieses aktive Verarbeiten erzeugt eine st\u00e4rkere kognitive Verankerung als blo\u00dfes Scannen. Bequemlichkeit bedeutet eben auch: schnelleres Weiterklicken ohne echtes Hinsehen. Ein klassisches Sicherheits-Usability-Dilemma. Allerdings muss fairerweise erw\u00e4hnt werden: Die manuelle Eingabe von IBAN und Betrag f\u00fchrt in der Praxis zu mehr Eingabefehlern \u2013 und Fehler sind selbst ein Sicherheitsrisiko, weil sie ungewollte Transaktionen beg\u00fcnstigen k\u00f6nnen. Die gr\u00f6\u00dfere Benutzerfreundlichkeit von QR-Code kann daher auch als Sicherheitsfaktor verstanden werden.<\/p>\n\n\n\n

Was bleibt<\/h2>\n\n\n\n

Technisch<\/strong> hat chipTAN das Prinzip der transaktionsgebundenen Authentifizierung etabliert. Es ist heute Kernanforderung von PSD2 und SCA \u2013 ob pushTAN, photoTAN oder k\u00fcnftige Verfahren, alle m\u00fcssen Betrag und Empf\u00e4nger binden.<\/p>\n\n\n\n

Institutionell<\/strong> hat chipTAN bewiesen, dass Hardware-Anker im Consumer-Bereich unverzichtbar sind. Ein Smartphone-App-Schutz h\u00e4ngt von der Integrit\u00e4t des Betriebssystems ab \u2013 auf gerooteten Ger\u00e4ten nicht garantiert. Die Chipkarte plus dedizierter Generator bot einen Vertrauensanker, den kein Betriebssystem t\u00e4uschen konnte. Das Prinzip der Ger\u00e4tetrennung \u2013 Initiierungsger\u00e4t und Autorisierungsger\u00e4t sind physisch getrennt \u2013 gilt in Deutschland weiterhin als wichtiger Sicherheitsvorteil. FIDO2-Schl\u00fcssel, Passkeys und integrierte Secure Elements f\u00fchren dieses Prinzip fort.<\/p>\n\n\n\n

Menschlich<\/strong> bleibt die unbequeme Lehre: Kryptografie sch\u00fctzt Daten, nicht Menschen. Jede Verteidigung, die darauf baut, dass Nutzer \u201eetwas bemerken“, ist probabilistisch. Die deutsche Bankenlandschaft vollzieht deshalb einen Wandel \u2013 von \u201eNutzer soll pr\u00fcfen“ zu \u201eSystem erkennt Anomalien, Nutzer best\u00e4tigt oder widerspricht“. pushTAN kann Risikohinweise pushen, Server k\u00f6nnen Verhalten analysieren. chipTAN konnte nur Zahlen anzeigen und hoffen.<\/p>\n\n\n\n

Fazit und Ausblick<\/h2>\n\n\n\n

Die Abschaltung im Fr\u00fchjahr 2027 markiert das Ende eines Verfahrens, nicht das Ende einer Idee. chipTAN war in seiner Zeit wirksam: Es beendete das iTAN-Massenbetrugsproblem und etablierte deutsche Online-Banking-Sicherheit auf einem international strengen Niveau. Es fiel nicht durch Krypto-Angriffe, sondern weil sich die Bedrohung verlagerte \u2013 vom Algorithmus zur Kognition. Wenn die Aufmerksamkeit des Menschen die letzte Angriffsfl\u00e4che ist, dann kann jede Sicherheitsarchitektur, so solide ihr Hardware-Anker auch sein mag, nur Zeit gewinnen, keine Garantie geben. Die spannende Frage f\u00fcr die kommenden Jahre lautet, ob pushTAN und seine Nachfolger dieses strukturelle Problem l\u00f6sen \u2013 oder es lediglich in eine bequemere Benutzeroberfl\u00e4che kleiden.<\/p>\n\n\n\n

Quellen:<\/strong><\/p>\n\n\n\n

    \n
  • Deutsche Kreditwirtschaft: Secoder-Anforderungen und Kompendium Online-Banking-Sicherheit<\/li>\n\n\n\n
  • Sparkasse: chipTAN-Informationen und FAQs (offizielle Darstellung zur Malware-Problematik, Empfehlung pushTAN\/chipTAN-QR)<\/li>\n\n\n\n
  • Reiner SCT: Pressemitteilung zur Einf\u00fchrung des chipTAN-Verfahrens (2008)<\/li>\n\n\n\n
  • RedTeam Pentesting: Man-in-the-Middle-Angriffe auf das chipTAN-comfort-Verfahren (2009)<\/li>\n\n\n\n
  • Verbraucherzentrale Hamburg: TAN-Verfahren im Online-Banking, Bewertung (2025)<\/li>\n\n\n\n
  • VR Bank Donau-Oberschwaben: Mitteilung zur Abschaltung SmartTAN optic (Fr\u00fchjahr 2027)<\/li>\n\n\n\n
  • Notebookcheck: Analyse zu chipTAN QR (2026)<\/li>\n\n\n\n
  • heise online: Forendiskussionen zu TAN-Sicherheit (2025)<\/li>\n\n\n\n
  • OLG-Urteil zur pushTAN und starken Kundenauthentifizierung (als unsicher gekennzeichnet, da genaue Fundstelle nicht verifiziert)<\/li>\n<\/ul>","protected":false},"excerpt":{"rendered":"

    Autor: DerSchneider Einleitung Im Fr\u00fchjahr 2027 wird ein Verfahren aus der deutschen Online-Banking-Landschaft verschwinden, das fast zwei Jahrzehnte lang als Inbegriff sicherer Transaktionsfreigabe galt: chipTAN optisch. Jener Ablauf, bei dem der Nutzer einen TAN-Generator an den Bildschirm h\u00e4lt, w\u00e4hrend dieser schwarz-wei\u00dfe Blinkmuster einliest, um daraus eine transaktionsgebundene TAN zu berechnen. Sparkassen und Volksbanken haben die […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[42,44,17,26],"tags":[11276,11279,11275,11277,6417,11278,7956],"class_list":["post-7671","post","type-post","status-publish","format-standard","hentry","category-elektrotechnik","category-ethik-gewissen","category-im-herz","category-mit-den-handen","tag-chiptan","tag-chiptan-qr","tag-online-banking-sicherheit","tag-psd2","tag-social-engineering","tag-tan-generator","tag-zwei-faktor-authentifizierung"],"_links":{"self":[{"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/posts\/7671","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/comments?post=7671"}],"version-history":[{"count":1,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/posts\/7671\/revisions"}],"predecessor-version":[{"id":7672,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/posts\/7671\/revisions\/7672"}],"wp:attachment":[{"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/media?parent=7671"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/categories?post=7671"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/technodidact.de\/en\/wp-json\/wp\/v2\/tags?post=7671"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}