Das Symptom
Das neue Telefon ist eingerichtet, das Backup ist eingespielt, alles ist da:
Fotos, Nachrichten, sogar die Spielstände. Nur die App, die Überweisungen
freigibt, startet mit einem leeren Bildschirm und will einen Aktivierungscode.
Die Banking-App selbst lässt sich anmelden – aber jede Überweisung endet an
derselben Stelle. Und der Code, den es braucht, kommt per Brief. Nächste Woche.
Die „Layer 8“-Wahrheit
Das Ärgerliche daran ist gleichzeitig der Punkt: Es funktioniert genau deshalb
nicht, weil es funktionieren soll. Für Zugriff auf das Zahlungskonto verlangt
§ 55 Absatz 1 des Zahlungsdiensteaufsichtsgesetzes eine starke
Kundenauthentifizierung, und Artikel 4 Absatz 1 der Delegierten Verordnung (EU)
2018/389 legt fest, worauf die beruhen muss: auf mindestens zwei Elementen der
Kategorien Wissen, Besitz und Inhärenz. Dein Zugangspasswort ist das Wissen. Die
Freigabe-App auf genau diesem Gerät ist der Besitz. Und für Besitz-Elemente sagt
Artikel 7 Absatz 2 einen einzigen, kurzen Satz: „Für die Verwendung dieser
Elemente durch den Zahler sind Maßnahmen zu treffen, um ihre Nachbildung zu
verhindern.“ Eine App, die ein Backup mitnimmt, wäre nachgebildet. Damit wäre
das zweite Element keines mehr – und damit hätte die Bank die Vorschrift
gerissen, nicht erfüllt.
Der Rest des Ablaufs ist die logische Fortsetzung. Artikel 24 Absatz 1 verlangt
sicherzustellen, dass „nur der Zahlungsdienstnutzer mit den personalisierten
Sicherheitsmerkmalen, den Authentifizierungsgeräten und der Software verknüpft
wird“. Das neue Gerät ist zunächst nichts weiter als ein fremdes Stück Hardware,
das behauptet, deins zu sein – die Verknüpfung muss also hergestellt werden, und
über einen Fernzugang nach Artikel 24 Absatz 2 Buchstabe b nur mit starker
Kundenauthentifizierung. Deshalb der entscheidende praktische Rat: Setze das
alte Telefon erst zurück, wenn das neue freigeben kann. Solange die alte
Installation lebt, liefert sie diese Authentifizierung selbst, und der Umzug
dauert Minuten statt Tage. Ist sie weg, bleibt der Weg über Artikel 25 Absatz 2
Buchstabe c: erst Aktivierung vor der Nutzung, und die Zustellung getrennt vom
übrigen Zugang – also per Post. Artikel 26 stellt zusätzlich klar, dass eine
erneute Aktivierung dieselben Verfahren durchläuft wie die erste.
Nüchtern betrachtet ist der Aufwand also einmalig und vorhersehbar, und die
teure Variante entsteht fast immer durch dieselbe Reihenfolge: Handy verkauft,
Backup eingespielt, gemerkt, dass die Freigabe fehlt. Wer den Ablauf einmal
kennt, plant den Gerätewechsel mit der Bank statt gegen sie – oder legt sich für
das eigene Konto ein Verfahren zu, das gar nicht am Telefon hängt. Das BSI hält
dazu den externen TAN-Generator weiterhin für die sicherste Variante, gerade
weil er vom Internet getrennt bleibt. Er ist außerdem das einzige Verfahren, das
einen Gerätewechsel überhaupt nicht bemerkt.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.Vor dem Gerätewechsel klären, wie freigegeben wird
Der beste Zeitpunkt, sich um die TAN-App zu kümmern, ist der Tag vor dem Umzug. Sieh im Banking-Zugang nach, welche Freigabeverfahren dein Konto hat und ob ein zweites hinterlegt ist. Das BSI ordnet die Verfahren so ein: pushTAN bietet bei richtiger Anwendung ein gutes Sicherheitsniveau, und mit der photoTAN steht ein weiteres sicheres Verfahren zur Verfügung – „Jedoch bleibt der Einsatz eines externen TAN-Generator am sichersten, da dieser vom Internet getrennt ist und ausschließlich für das Onlinebanking benutzt wird.“ Ein solcher Generator mit Karte hängt an keinem Handy und übersteht jeden Gerätewechsel unbeschadet.
2.Das alte Gerät noch nicht zurücksetzen
Das ist der Schritt, der am häufigsten übersprungen wird und am meisten Zeit spart. Solange die alte Installation noch freigeben kann, lässt sich die neue in vielen Fällen direkt daraus aktivieren, ohne Postweg. Artikel 24 Absatz 2 Buchstabe b der Delegierten Verordnung (EU) 2018/389 erklärt, warum das überhaupt geht: Bei der Verknüpfung mit Authentifizierungsgeräten oder Software über einen Fernzugang erfolgt eine starke Kundenauthentifizierung. Die kann die alte, noch aktive App liefern. Ein bereits gelöschtes Telefon kann das nicht mehr.
3.Ist das alte Gerät schon weg: Freischaltung neu anfordern
Dann bleibt der reguläre Weg über die Bank, in der Regel mit einem Aktivierungsbrief oder einem Termin in der Filiale. Das ist kein Sonderfall, sondern der in Artikel 25 Absatz 2 Buchstabe c Ziffer ii vorgesehene Normalfall: Die Software muss vor der Nutzung aktiviert werden. Plane den Postlauf ein und verschiebe fällige Überweisungen lieber, statt sie in der Lücke zu vergessen.
4.Vorher prüfen, ob die hinterlegte Anschrift stimmt
Der Brief geht an die Adresse, die die Bank führt – nicht an die, unter der du wohnst. Nach einem Umzug ist genau das die häufigste Ursache dafür, dass die Freischaltung nicht ankommt und der Vorgang von vorn beginnt. Adresse also vor der Anforderung im Kundenbereich kontrollieren, nicht danach.
5.Die alte Installation ausdrücklich abmelden
Ein altes Telefon, das weitergegeben oder verkauft wird, sollte nicht mit einer noch verknüpften Freigabe-App weiterziehen. Artikel 27 Buchstabe a der Verordnung verpflichtet die Zahlungsdienstleister zu Prozessen für die „sichere Vernichtung, sichere Deaktivierung und sicherer Widerruf der personalisierten Sicherheitsmerkmale, der Authentifizierungsgeräte und der Software“. Es gibt diesen Weg also – er heißt je nach Bank Gerät entfernen, Zugang zurücksetzen oder Freischaltung widerrufen und steht in den Sicherheitseinstellungen des Kontos.
6.In dieser Phase besonders misstrauisch sein
Ein Gerätewechsel ist der eine Moment, in dem eine Nachricht mit dem Betreff „Ihre TAN-App muss neu aktiviert werden“ vollkommen plausibel wirkt. Genau darauf zielen Betrugsanrufe und Phishing-Nachrichten in dieser Woche. Die Regel des BSI gilt unverändert: „Ihre Bank fordert Sie niemals per E-Mail dazu auf, vertrauliche Daten wie PIN, TAN oder Kontonummer bekannt zu geben.“ Aktivierungscodes gehören in die App, nicht ans Telefon und nicht in ein Formular, das aus einer Nachricht heraus geöffnet wurde.
7.Nach der Umstellung eine Freigabe bewusst lesen
Die erste Überweisung nach der Neuaktivierung ist ein guter Anlass, die Anzeige in der App wirklich zu lesen statt wegzutippen. § 55 Absatz 2 des Zahlungsdiensteaufsichtsgesetzes verlangt bei elektronischen Fernzahlungsvorgängen eine starke Kundenauthentifizierung, „die Elemente umfasst, die den Zahlungsvorgang dynamisch mit einem bestimmten Betrag und einem bestimmten Zahlungsempfänger verknüpfen“. Betrag und Empfänger stehen deshalb in der Freigabe – sie sind kein Beiwerk, sondern der eigentliche Inhalt der Prüfung.