Neues Handy: Banking-App und TAN-Verfahren ohne Sperre umziehen

Ein Beispiel: Lena wechselt das Handy vor der Reise

Fiktives Beispiel: Lena aus Kassel bekommt Mitte Juni ein neues Handy, zehn Tage vor ihren Ferien. Am ersten Abend überträgt sie Fotos und Apps, lässt das alte Gerät aber in der Schublade.

Am nächsten Morgen liest sie die Wechselanleitung ihrer Bank. Mit dem funktionierenden alten Gerät kann sie die neue Freigabe-App bestätigen; ohne bräuchte sie ein Aktivierungspasswort aus einem Brief, den sie nicht mehr findet. Lena richtet die App ein, bestätigt mit dem alten Handy und gibt zur Probe eine kleine Überweisung auf ihr Sparkonto frei. Erst dann löscht sie das alte Gerät und schenkt es ihrer Nichte.

Warum zieht die Freigabe nicht einfach mit?

Seit dem 14. September 2019 gilt in der EU die starke Kundenauthentifizierung. Für Login und Zahlungen brauchst du zwei Faktoren aus den Kategorien Wissen (etwa ein Passwort), Besitz und Inhärenz (etwa der Fingerabdruck). Den Besitz weist meist dein Handy nach. Die österreichische Finanzmarktaufsicht nennt als Beispiel eine App auf einem «bei der Bank registrierten Mobiltelefon».

Die Delegierte Verordnung (EU) 2018/389 verlangt, dass nur du mit deinen Sicherheitsmerkmalen und Authentifizierungsgeräten verknüpft bist. Geschieht das aus der Ferne, braucht es selbst eine starke Kundenauthentifizierung, und eine erneute Aktivierung folgt denselben Verfahren wie die erste. Ein Backup bringt deine Inhalte aufs neue Gerät, für die Freigabe musst du deine Identität aber oft erneut bestätigen. Laut «eBanking – aber sicher!» der Hochschule Luzern geschieht das häufig per QR-Code oder Aktivierungsbrief per Post, was Zeit kostet.

Welches Verfahren nutzt du, und was hängt am Handy?

Welche Verfahren es gibt, legt deine Bank fest, und die Namen unterscheiden sich je nach Institut. Das BSI ordnet sie in diese Gruppen:

Den Besitz weist laut BaFin etwa das Mobiltelefon nach, genauer die SIM-Karte. Nutzt du Banking- und Freigabe-App auf demselben Handy, ziehst du beide um; ein TAN-Generator ist nicht betroffen. Das BSI empfiehlt ohnehin, Banking und TAN-Erstellung auf getrennten Geräten zu erledigen.

Was erledigst du vor, am und nach dem Wechseltag?

Ein Aktivierungsbrief per Post kostet Zeit. Fang deshalb einige Tage vorher an und leg den Wechsel nicht direkt vor eine Reise oder eine wichtige Zahlung.

Einige Tage vorher

• Wechselanleitung deiner Bank lesen: Brauchst du das alte Gerät, einen Brief oder einen QR-Code?
• Zugangsdaten prüfen, also Anmeldename oder Legitimations-ID und PIN, und dich zur Probe einmal anmelden.
• Bankkarte und vorhandene Aktivierungsbriefe bereitlegen; fehlt etwas, jetzt die Bank fragen.

Am Wechseltag

1. Daten aufs neue Handy übertragen, das alte aber nicht zurücksetzen.
2. Apps nur aus dem offiziellen Store oder über die Website der Bank installieren, siehe Eine App installieren: den richtigen Anbieter finden.
3. Die Reihenfolge der Bank einhalten, bei den Sparkassen etwa erst pushTAN, dann die App Sparkasse.
4. Bildschirmsperre aktivieren und eine selbst ausgelöste Freigabe testen.

Danach

1. Bank-Apps auf dem alten Gerät deinstallieren. Zeigt deine Bank eine Liste registrierter Geräte, das alte dort entfernen.
2. Erst jetzt das alte Handy zurücksetzen (Schritte weiter unten).

Wie sieht eine Wechselanleitung aus? Beispiel Sparkassen

pushTAN heisst das App-Verfahren der Sparkassen; andere Banken nennen ihre Freigabe-App anders. Für den Wechsel brauchst du laut Sparkasse das neue Gerät, das funktionstüchtige alte Gerät mit der pushTAN-App oder alternativ die Kartennummer deiner Sparkassen-Card, deine Online-Banking-Zugangsdaten, Angaben zu deiner Sparkasse und eine Internetverbindung.

Das Aktivierungs-Passwort schickt die Sparkasse in der Regel bei der ersten Anmeldung zu pushTAN per Post. Bewahre solche Briefe sicher und getrennt vom Handy auf.

Wann darfst du das alte Handy löschen?

Erst wenn Freigaben auf dem neuen Gerät sicher funktionieren. «eBanking – aber sicher!» rät, das alte Smartphone so lange zu behalten, bis die Banking-Apps auf dem neuen eingerichtet sind.

Was du vor einer Weitergabe sonst prüfst: Altes Handy weitergeben: erst sichern, dann richtig abmelden.

Altes Handy kaputt, weg oder schon gelöscht: was nun?

Dann fehlt das Gerät, mit dem du das neue aus der Ferne bestätigen könntest, und die Bank braucht einen anderen sicheren Weg: bei den Sparkassen Kartennummer und Aktivierungs-Passwort, bei anderen Banken laut «eBanking – aber sicher!» oft QR-Code oder Aktivierungsbrief. Als sichere Umgebung für die Identitätsprüfung nennt die EU-Verordnung auch die Geschäftsräume der Bank. Frag also, ob die Freischaltung in einer Filiale geht, und plane bis dahin Karte oder Bargeld ein.

Ist das alte Handy verloren oder gestohlen, informiere sofort deine Bank, rät die Verbraucherzentrale. Das BSI empfiehlt, SIM-Karte und Bankzugänge sperren zu lassen. Mehr dazu: Handy verloren: sperren, Ersatzwege nutzen und Kontakte ordnen.

Aufforderung zum «Neu-Registrieren»: woran erkennst du eine Falle?

Einen Gerätewechsel startest du selbst. Die französische Hilfeplattform cybermalveillance.gouv.fr beschreibt Nachrichten, die sich auf die EU-Zahlungsregeln berufen, zum Aktivieren einer Sicherheitsfunktion drängen, mit einer Kontosperre drohen und auf nachgebaute Bankseiten führen.

• Deine Bank fragt dich nie per E-Mail oder Telefon nach deinem Passwort, betont die Verbraucherzentrale.
• Öffne das Onlinebanking selbst über die App oder ein Lesezeichen, nie über einen Link aus einer Nachricht.
• Gib nur Vorgänge frei, die du selbst ausgelöst hast, nie die Einrichtung eines fremden Geräts.
• Lass dich per Video nur identifizieren, wenn der Zweck klar ist, etwa weil du die Freischaltung selbst beantragt hast.

Wie du Freigabe-Meldungen liest, zeigt Freigabe in der Banking-App: Push-Meldungen genau lesen.