Postbank steigt aus chipTAN-Verfahren aus

Es gibt Kunden, die halten chipTAN die Treue, da es ein sicheres, robustes und bankenunabhängiges Verfahren ist. Doch mit der Postbank steigt nun ein weiteres Institut aus diesem Authentifizierungsverfahren aus. IT-Finanzmagazin fragte nach, was die Hintergründe sind.

 

Noch nicht einmal zwei Jahre ist es her, da gewann das chipTAN-Verfahren sogar neuen Zuspruch. Grund war die PSD2-Richtlinie, die in vielen Fällen neue Sicherheitsverfahren beim Online-Banking nötig machte. So auch bei der Postbank, die allerdings mit der Umstellung auf die Zwei-Faktor-Authentifizierung etliche Kunden in pure Verzweiflung stürzte (wir berichteten).

Nicht alle Kunden waren von der Postbank-Smartphone-App und dem darüber angebotenen BestSign-Verfahren überzeugt und entschieden sich lieber für den Kontenzugang per Flickercode, der zur Erzeugung einer TAN ein Lesegerät und die girocard benötigt. Schon damals zeichnete sich ab, dass in Teilen der Finanzbranche chipTAN ausgeflickert hatte. Doch Sparkassen, Volksbanken und einige andere Institute nutzten es weiterhin, so dass Kunden mit einem Gerät – das nicht vernetzt und damit nicht direkt angreifbar ist – den Zugang zu verschiedenen Konten herstellen konnten.

Einstellung kommt „bald“

Seit Anfang der Woche informiert die Deutsche-Bank-Tochter Postbank Kundinnen und Kunden schrittweise darüber, dass das chipTAN-Verfahren „bald“ ausgedient hat, an anderer Stelle findet sich die Formulierung, es werde „perspektivisch eingestellt“. Die Bank empfiehlt daher, frühzeitig auf eine Alternative umzusteigen, nämlich das BestSign-Verfahren, das eine Authentifizierung per Smartphone und dessen biometrischen Verfahren wie Fingerprint und Face-ID ermöglicht.

Auf Nachfrage nannte die Postbank den Zeitraum „erste Jahreshälfte 2022“ – genauer lasse es sich derzeit nicht eingrenzen. Sobald ein exakter Zeitpunkt feststeht, will das Institut die Kund:innen entsprechend informieren.

Gründe für den Stopp des Verfahrens

Die Postbank-Website zum chipTAN-Verfahren gibt eine wenig befriedigende Auskunft zu der Frage, warum das bewährte Verfahren eingestellt wird:

Wir entwickeln unsere Systeme kontinuierlich weiter und möchten unseren Kunden daher stets die modernsten, sichersten und komfortabelsten Sicherheitsverfahren anbieten. Dies alles erfüllt das BestSign-Sicherheitsverfahren.“

Die Pressestelle der Postbank nennt dagegen noch einen zweiten Grund. Demnach werden seit kurzem neu ausgegebene girocards aufgrund regulatorischer Vorgaben mit einem neuen Chip ausgestattet. Ältere chipTAN-Geräte seien mit diesen Bankkarten-Chips nicht kompatibel und würden nicht mehr funktionieren. Deshalb empfehle man bereits jetzt allen Nutzerinnen und Nutzern einen Wechsel auf das BestSign-Verfahren.

Was auf Nutzer zukommt

Natürlich gibt es auch chipTAN-Lesegeräte, die mit den modernen girocard-Chips zurechtkommen. Doch die Postbank nutzt die Gelegenheit, sich von dem Verfahren zu verabschieden, das auch bei der Muttergesellschaft – der Deutschen Bank – nicht eingesetzt wird.

BestSign werde bereits von 80 Prozent der mehr als 7 Mio. Postbank-Kunden genutzt, auch zwei Drittel der chipTAN-Nutzer seien bereits für das BestSign-Verfahren freigeschaltet. Demnach müssten etwa 4 Mio. Kund:innen betroffen sein, von denen rund 1,4 Mio. bislang ausschließlich auf den Flickercode setzen.

Sie können nun wie von der Postbank empfohlen auf die Smartphone-App und das BestSign-Verfahren umsteigen. Dieses greift auf eine Authentifizierung über die im Smartphone aktivierten biometrischen Verfahren, wie die Gesichtserkennung oder den Fingerabdruck zurück.

Wer das nicht möchte, kann sich ein BestSign-Zusatzgerät des Hersteller SealOne bestellen, das mittels USB oder Bluetooth mit PC bzw. Laptop oder Smartphone verbunden wird. Fünf verschiedene Modelle zwischen 30 und 45 Euro stehen zur Wahl, aktuell gibt es eine Ermäßigung von 3,90 Euro mit dem Rabattcode BESTSIGN-2020PB, so die Postbank-Website. Wer auch damit ein Problem hat, muss sich eine neue Bank suchen.

Für die Hersteller von Banking-Software kommt mit der Ankündigung der Postbank übrigens keine zusätzliche Programmierarbeit zu: Sie haben in der Regel das BestSign-Verfahren längst implementiert. Vermutlich werden es aber die Service-Hotlines zu spüren bekommen, wenn die Anwender die Umstellung nicht alleine schaffen. hj