PIN-TAN-Verfahren

1. Begriff: PIN-TAN-Verfahren ist ein Verfahren des Homebanking, - genauso wie das Homebanking Computer Interface (HBCI)-Verfahren - zur Berechtigungsprüfung von Nutzern. Eine Persönliche Identifikationsnummer (personal identification number, PIN, Geheimzahl) ist eine nur einer oder wenigen Personen bekannte Zahl, mit der sich diese gegenüber einer Maschine authentifizieren können. In der Umgangssprache sind auch der redundante Begriff „PIN-Nummer“ oder die Tautologie „PIN-Code“ in Verwendung. Eine PIN besteht grundsätzlich nur aus Ziffern, mittlerweile gibt es aber Banken, die beim Onlinebanking PINs aus Ziffern und Buchstaben vorschreiben. Eine Transaktionsnummer (TAN) ist ein Einmalpasswort, das i.d.R. aus sechs Dezimalziffern besteht und vorwiegend im Onlinebanking verwendet wird. Ein PIN/TAN-Verfahren nutzt daher sowohl PIN als auch TAN.

2. Merkmale einer PIN: Eine häufige Anwendung für PINs ist die Authentifizierung des Karteninhabers an einem Geldautomaten. Dazu bedarf es der Eingabe einer mind. vierstelligen Zahl um einen Kontozugriff durch Unbefugte zu verhindern oder zumindest zu erschweren. Mit der EC-Karte und der zugehörigen PIN kann in vielen Geschäften bargeldlos gezahlt werden. Auch für das Onlinebanking ist meist eine PIN nötig. Mit dieser PIN und den Kontodaten kann man sich Kontostand und einzelne Buchungen ansehen. Mit einer TAN können Überweisungen oder andere Bankgeschäfte abgewickelt werden. Eine PIN ist nicht auf dem Datenträger gespeichert, der beim Authentifizieren verwendet wird. Dadurch ist es nicht möglich, durch Auslesen solcher Datenträger in einem Kartenleser die PIN zu rauben. Es wird mit dem Datenträger ein Code generiert, der in Verbindung mit der eingegebenen PIN durch ein Prüfprogramm verarbeitet wird. Bei einer Karte ohne Chip erfolgt diese Verarbeitung nach dem Lesen der Daten von der Karte ausschließlich in einer geschützten Umgebung, bei Karten mit Chip leistet diese zusätzlich einen durch die Verbindung zum Leser geschützten Beitrag.

3. Verfahren zur Entwicklung einer TAN: Es gibt bes. zwei Ansätze, um TANs zu erzeugen, zu prüfen und zum Nutzer zu übertragen: a) TAN-Liste (klassisches TAN-Verfahren): Beim klassischen TAN-Verfahren erhält der Teilnehmer beim Electronic Banking, meist per Post, eine TAN-Liste. Bei jedem Buchungsvorgang muss - in Ergänzung zur PIN - eine beliebige TAN aus der Liste eingegeben werden. Erhält die Bank nach Eingabe der korrekten PIN einen Buchungsauftrag mit korrekter TAN, geht sie davon aus, dass der Auftrag vom Kunden abgesendet wurde. Die TAN wird von der Bank als Quasi-Unterschrift interpretiert. Sie verfällt nach einmaligem Gebrauch. Aufgrund der stark wachsenden Zahl der Phishing-Fälle wird diese Art der TAN-Liste heute kaum noch verwendet. Die meisten Banken setzen nun die Form der sog. indizierten TAN ein: b) Indizierte TAN-Liste (iTAN): Der Kunde kann hier seinen Auftrag nicht mehr mit einer beliebigen TAN aus einer Liste legitimieren, sondern wird von der Bank aufgefordert, eine bestimmte, durch eine Nummer bezeichnete TAN aus seiner zu diesem Zweck nun durchnummerierten Liste einzugeben. Der TAN-Aufforderung muss der Kunde innerhalb weniger Minuten folgen.