|
Getting your Trinity Audio player ready...
|
Die Sparkassen setzen auf elektronische Identitäten zur Freischaltung ihrer pushTAN-App – ein Komfortgewinn für Nutzer, der jedoch die fundamentalen Sicherheitsprobleme des Verfahrens unberührt lässt. Während der Einrichtungsprozess modernisiert wird, bleiben strukturelle Schwächen bestehen, die Gerichte bereits mehrfach kritisiert haben.
Der postalische Brief als Sicherheitsanker hat ausgedient. Die deutschen Sparkassen ermöglichen es ihren Kunden nun, die pushTAN-App nach einem Gerätewechsel digital zu reaktivieren – mittels elektronischem Personalausweis oder künftig per eIDAS 2.0‑konformer digitaler Identität. Was zunächst wie ein überfälliger Schritt in die digitale Gegenwart klingt, entpuppt sich bei genauerer Betrachtung als zwiespältige Neuerung: fortschrittlich im Prozess, problematisch in der Substanz.
Effizienz als Triebfeder
Niemand wird dem Wegfall des Medienbruchs eine Träne nachweinen. Die bisherige Praxis – nach jedem Smartphone-Wechsel einen Freischaltbrief per Post abwarten zu müssen – war anachronistisch, kostenintensiv und ökologisch fragwürdig. Die neue eID-basierte Authentifizierung beschleunigt den Vorgang auf Minuten, spart Ressourcen und entspricht den Erwartungen einer Generation, die digitale Unmittelbarkeit als Normalzustand begreift. Als Modernisierungsschritt der Sparkassen-Infrastruktur ist die Maßnahme unzweifelhaft ein Gewinn.
Die juristische Sollbruchstelle
Doch hinter der technischen Fassade lauert ein fundamentales Problem, das durch die Neuerung nicht gelöst, sondern lediglich übertüncht wird. Das pushTAN-Verfahren selbst – jener Mechanismus, der Transaktionen absichern soll – steht seit Jahren in der Kritik. Der Grund ist simpel und schwerwiegend zugleich: Wenn Banking-App und TAN-Generator auf demselben Smartphone laufen, entfällt die für echte Zwei-Faktor-Authentifizierung notwendige Trennung der Komponenten.
Diese technische Schwäche ist längst nicht mehr nur theoretischer Natur. Das OLG Dresden urteilte 2025, das Landgericht Heilbronn bereits 2023: Im Phishing-Fall sprachen beide Gerichte Geschädigten Schadensersatz zu, weil das pushTAN-Verfahren die Anforderungen an eine „starke Kundenauthentifizierung” nach PSD2 und Zahlungsdiensteaufsichtsgesetz nicht erfülle. Die Logik der Richter ist bestechend: Wenn ein einziger Angriffspunkt – das kompromittierte Smartphone – sowohl Zugang zum Konto als auch zur TAN-Erzeugung gewährt, fehlt der zweite Faktor im eigentlichen Sinne.
Die eID-Integration ändert an dieser Grundkonstellation nichts. Sie verbessert zwar die Identitätsprüfung bei der Einrichtung erheblich – ein nicht zu unterschätzender Fortschritt –, doch die eigentliche Transaktionsabsicherung im Alltag bleibt auf demselben, juristisch umstrittenen Niveau. Es ist, als würde man die Haustür durch eine Sicherheitstür ersetzen, während die Hintertür weiterhin sperrangelweit offen steht.
Datenschutz als Preis des Komforts
Die engere Verzahnung mit staatlichen Identitätsinfrastrukturen wirft zudem datenschutzrechtliche Fragen auf, die in Deutschland traditionell sensibel diskutiert werden. Die AusweisApp2 mag technisch sauber implementiert sein, doch neue Abhängigkeiten entstehen unweigerlich: von der Funktionsfähigkeit der eID-Infrastruktur, von Drittanbieter-Apps, von der eigenen Fähigkeit, legitime von betrügerischen Authentifizierungsanfragen zu unterscheiden.
Besonders heikel: Social Engineering und Phishing-Attacken könnten sich künftig auf die eID-Funktion konzentrieren. Nutzer, die den elektronischen Personalausweis mit seiner NFC-Funktion erstmals im Bankenkontext verwenden, sind potenzielle Ziele für Betrüger, die sich als Bank ausgeben und zur „Verifizierung” auffordern. Die technische Sicherheit der Infrastruktur ist das eine – die Kompetenz und Wachsamkeit der Nutzer das andere.
Hinzu kommt eine pragmatische Einschränkung: Die alternative Authentifizierung mittels Sparkassen-Card funktioniert derzeit nur auf Android-Geräten. iOS-Nutzer bleiben außen vor – eine Fragmentierung, die der proklamierten Nutzerautonomie widerspricht.
Vorreiter oder Nachzügler?
Die Sparkassen inszenieren sich als Pioniere der eID-Nutzung im deutschen Bankensektor. Tatsächlich ist die Verbreitung digitaler Identitäten in der Finanzbranche nach wie vor überschaubar. Die angekündigte Ausweitung auf eIDAS 2.0‑Standards könnte langfristig bedeutsam werden, steht aber noch auf unsicherem Fundament. Ob andere Institute nachziehen oder ob sich die Sparkassen mit ihrer Strategie isolieren, wird sich erst zeigen.
Trügerische Sicherheitsversprechen
Das eigentliche Problem liegt tiefer: in der Kommunikation. Banken und Verbände haben das pushTAN-Verfahren jahrelang als „hochsicher” vermarktet – eine Einschätzung, die Gerichte mittlerweile widerlegt haben. Die jetzige Modernisierung des Einrichtungsprozesses darf nicht darüber hinwegtäuschen, dass die strukturellen Schwächen des Verfahrens fortbestehen. Kunden wiegen sich möglicherweise in falscher Sicherheit, während die juristische und technische Realität eine andere Sprache spricht.
Die Bankenbranche steht vor einer unbequemen Wahrheit: Solange Banking-App und TAN-Erzeugung auf demselben Gerät verbleiben, bleibt das pushTAN-Verfahren angreifbar. Hardware-TAN-Generatoren mögen unhandlich sein, chipTAN-Leser altmodisch wirken – doch sie bieten jene physische Trennung, die eine echte Zwei-Faktor-Authentifizierung ausmacht.
Fortschritt mit Fragezeichen
Die eID-Integration ist kein Paradigmenwechsel, sondern eine Optimierung an der Oberfläche. Sie macht den Einrichtungsprozess komfortabler und sicherer – das ist anzuerkennen. Doch sie löst nicht das Kernproblem eines Verfahrens, dessen Sicherheitsarchitektur von Gerichten in Zweifel gezogen wird. Die digitale Transformation der Sparkassen ist ein Schritt nach vorn – aber einer, der die Sollbruchstelle im System nicht beseitigt, sondern lediglich eleganter kaschiert.
Wer Sicherheit ernst nimmt, muss ehrlich kommunizieren: über Fortschritte ebenso wie über fortbestehende Risiken. Andernfalls droht der Komfortgewinn zum Bumerang zu werden – spätestens wenn das nächste Urteil die Banken zur Haftung verdonnert.
Quellen:
Sparkassen führen Wiedereinrichtung der pushTAN-App per eID ein – und planen noch mehr
pushTAN-Verfahren unsicher. Mobiles Banking laut Gerichtsurteil ein Sicherheitsrisiko
OLG-Urteil: S‑PushTAN für Transaktions-Authentifizierung unzureichend
OLG-Urteil: S‑pushTAN-Verfahren reicht nicht für starke Kundenauthentifizierung
Eine Sparkasse muss einem Kunden, der grob fahrlässig Phishing-Opfer wurde, wegen Verzicht auf einen sicheren Login-Schutz einen Teil seines Schadens erstatten.