Online Banking: Funktionen, Voraussetzungen und Sicherheit

Was ist Online Banking und welche Funktionen bietet es?

Online Banking bezeichnet die digitale Verwaltung eines Bankkontos bzw. Girokontos. Der Zugang erfolgt entweder über die Website der Bank oder über eine offizielle Banking-App. Mobile Banking ist damit keine völlig eigene Form des Bankings, sondern die Nutzung von Online Banking auf Smartphone oder Tablet.

Zu den typischen Funktionen gehören:

• Kontostand und Umsätze prüfen
• Überweisungen und Echtzeitüberweisungen ausführen
• Daueraufträge anlegen oder ändern
• Lastschriften kontrollieren
• Kontoauszüge abrufen
• Karten verwalten oder sperren
• Überweisungslimits anpassen
• Nachrichten mit der Bank austauschen

Je nach Institut lassen sich zusätzlich Kredite verwalten, Wertpapierdepots einsehen oder Versicherungsdokumente abrufen. Direktbanken bilden fast den gesamten Kundenkontakt digital ab. Klassische Filialbanken kombinieren Internet Banking dagegen häufig mit persönlicher Beratung vor Ort.

Der Trend zum digitalen Banking zeigt sich auch beim Filialnetz: Ende 2024 gab es in Deutschland noch 17.870 Bankzweigstellen, 8,4 Prozent weniger als ein Jahr zuvor. Die Deutsche Bundesbank nennt die zunehmende Nutzung digitaler Bankangebote als einen Einflussfaktor. Das bedeutet allerdings nicht, dass Filialen nur wegen Online Banking verschwinden – auch Zusammenschlüsse, Kostendruck und veränderte Kundengewohnheiten spielen eine Rolle.

Online Banking ist außerdem mehr als eine reine Kontostandsanzeige. Moderne Systeme verbinden Kontoverwaltung, Zahlungsverkehr, Dokumentenarchiv und Sicherheitsfunktionen in einer Oberfläche. Manche Banken nutzen dafür mehrere Anwendungen: Eine Banking-App für die Kontoverwaltung und eine separate App für TAN oder Zahlungsfreigaben.

Wie funktioniert Online Banking technisch?

Beim Online Banking werden Anfragen und Aufträge digital zwischen deinem Gerät und dem Banksystem übertragen. Der Zugang erfolgt meist über die Website der Bank oder eine offizielle Banking-App.

Typischerweise läuft der Prozess so ab:

1. Du meldest dich mit Benutzername, Legitimations-ID oder einer vergleichbaren Kennung an.
2. Zusätzlich gibst du deine Online-Banking-PIN ein oder nutzt eine biometrische Anmeldung.
3. Für bestimmte Aktionen verlangt die Bank eine weitere Freigabe, etwa per pushTAN, ChipTAN oder photoTAN.
4. Die Bank prüft die Daten und führt den Auftrag aus.
5. Anschließend erscheint eine Bestätigung im Online Banking.

Die Verbindung zwischen Gerät und Bank wird üblicherweise über HTTPS und aktuelle TLS-Verfahren verschlüsselt. Dadurch sollen Zugangsdaten und Transaktionsinformationen während der Übertragung geschützt werden.

Das Schlosssymbol im Browser reicht als Sicherheitsprüfung jedoch nicht aus. Es zeigt nur, dass die Verbindung zur aufgerufenen Adresse verschlüsselt ist. Auch eine täuschend echte Phishing-Seite kann ein gültiges Zertifikat besitzen. Entscheidend ist deshalb, die Internetadresse der Bank genau zu prüfen und keine Login-Links aus unerwarteten Nachrichten zu öffnen.

Bei Banking-Apps übernimmt die Anwendung einen Teil dieser Prüfung automatisch. Sie sollte trotzdem nur aus dem offiziellen App-Store installiert und regelmäßig aktualisiert werden.

Welche Voraussetzungen gelten für Online Banking?

Für Online Banking brauchst du zunächst ein Konto mit freigeschaltetem Onlinezugang. Dazu kommen persönliche Zugangsdaten, ein internetfähiges Gerät und ein unterstütztes TAN- oder Freigabeverfahren.

Je nach Bank werden benötigt:

• Anmeldename, Legitimations-ID oder Benutzerkennung
• Online-Banking-PIN
• Smartphone, Tablet oder Computer
• Aktueller Browser oder offizielle Banking-App
• TAN-App, Bankkarte mit TAN-Generator oder separates Lesegerät
• Internetverbindung
• Sichere Gerätesperre und aktuelle Software

Die Freischaltung läuft je nach Institut unterschiedlich ab. Manche Banken versenden einen Aktivierungsbrief oder QR-Code. Andere richten den Zugang direkt bei der Kontoeröffnung ein. Bei Direktbanken erfolgt der gesamte Prozess häufig digital.

Ein Gerätewechsel kann zusätzliche Schritte erfordern. Banking- oder TAN-App müssen dann meist neu registriert werden. Dafür kann ein Aktivierungscode, ein bereits freigeschaltetes Altgerät oder ein Brief der Bank nötig sein. Das sollte vor dem Zurücksetzen des bisherigen Smartphones geprüft werden.

Auch die Betriebssystemversion spielt eine Rolle. Banken stellen ältere Versionen ihrer Apps häufig nicht dauerhaft bereit, weil Sicherheitsupdates fehlen. Wer Online Banking nutzt, sollte deshalb Browser, Betriebssystem und Banking-App regelmäßig aktualisieren.

TAN-Verfahren im Vergleich: pushTAN, ChipTAN und photoTAN

TAN-Verfahren bestätigen, dass eine Überweisung oder eine andere sensible Aktion tatsächlich freigegeben werden soll. Entscheidend ist nicht nur, wie die TAN erzeugt wird, sondern ob Betrag und Zahlungsempfänger:in vor der Bestätigung korrekt angezeigt werden.

Bei pushTAN erscheint die Freigabe in einer separaten App. Das Verfahren ist bequem, weil kein zusätzliches Lesegerät benötigt wird. Wichtig ist, die angezeigten Auftragsdaten sorgfältig zu prüfen und keine unerwartete Freigabe zu bestätigen.

Bei ChipTAN wird die Bankkarte in einen TAN-Generator gesteckt. Je nach Variante werden die Transaktionsdaten manuell oder optisch übertragen. Der Generator zeigt Betrag und Empfängerkonto separat an, bevor die TAN erzeugt wird.

photoTAN arbeitet mit einem grafischen Code, der per App oder Lesegerät gescannt wird. Auch hier sollten die angezeigten Transaktionsdaten vor der Freigabe kontrolliert werden.

Die frühere smsTAN wird seltener eingesetzt, weil unter anderem SIM-Swapping und kompromittierte Geräte Risiken darstellen. Vorgedruckte iTAN-Listen erfüllen die heutigen Anforderungen an die starke Kundenauthentifizierung nicht mehr.

Welches Verfahren am besten passt, hängt von Bank, Gerät und persönlicher Nutzung ab. Ein separates TAN-Gerät kann mehr technische Trennung bieten, während App-Verfahren meist komfortabler sind.

PSD2 und starke Kundenauthentifizierung

Die zweite EU-Zahlungsdiensterichtlinie PSD2 hat die Sicherheitsanforderungen für digitale Zahlungen und Kontozugriffe erweitert. Seit dem 14. September 2019 gilt grundsätzlich die starke Kundenauthentifizierung.

Dabei kombiniert die Bank mindestens zwei unabhängige Faktoren aus drei Kategorien:

• Wissen: etwa PIN oder Passwort
• Besitz: zum Beispiel Smartphone, Bankkarte oder TAN-Generator
• Inhärenz: etwa Fingerabdruck oder Gesichtserkennung

Die Abfrage kann beim Login, beim Abruf bestimmter Kontodaten oder bei einer Überweisung erforderlich sein. Sie erfolgt jedoch nicht ausnahmslos bei jeder Aktion. Für bestimmte risikoarme Vorgänge oder bekannte Zahlungsempfangende können Ausnahmen gelten.

Zur PSD2 gehört außerdem der regulierte Zugriff von Drittanbietern. Mit deiner Einwilligung können Kontoinformationsdienste Umsätze verschiedener Banken bündeln oder Zahlungsauslösedienste eine Überweisung anstoßen. Solche Berechtigungen sollten regelmäßig geprüft und widerrufen werden, wenn sie nicht mehr benötigt werden.

Die BaFin überwacht, wie beaufsichtigte Institute die regulatorischen Vorgaben umsetzen. Das bedeutet allerdings nicht, dass jede einzelne Zahlung von der Aufsicht geprüft wird.

Überweisungen, Echtzeitüberweisungen und Empfängerüberprüfung

Im Online Banking kannst du zwischen klassischen SEPA-Überweisungen und Echtzeitüberweisungen wählen. Standardüberweisungen werden in der Regel innerhalb der gesetzlichen Ausführungsfrist verarbeitet. Wochenenden und Feiertage können den Eingang verzögern.

Echtzeitüberweisungen werden dagegen grundsätzlich innerhalb weniger Sekunden und rund um die Uhr ausgeführt. Seit 2025 gelten im Euroraum schrittweise neue Vorgaben: Banken müssen Echtzeitüberweisungen empfangen und versenden können. Außerdem darf eine Echtzeitüberweisung nicht teurer sein als eine vergleichbare Standardüberweisung. Details dazu stehen im Beitrag Rechnungen per American Express Karte.

Vor einer Euro-Überweisung prüft die Bank heute typischerweise, ob der eingegebene Name zur IBAN passt. Mögliche Ergebnisse sind:

• Vollständige Übereinstimmung
• Teilweise Übereinstimmung
• Keine Übereinstimmung
• Prüfung nicht möglich

Eine Warnung sollte ernst genommen werden. Sie bedeutet aber nicht automatisch, dass ein Betrugsversuch vorliegt. Umgekehrt schützt eine Namensübereinstimmung nicht davor, Geld bewusst an ein betrügerisches Konto zu überweisen.

Gerade bei Echtzeitüberweisungen ist sorgfältiges Prüfen wichtig. Nach der Freigabe lässt sich die Zahlung meist nicht ohne Weiteres stoppen. Betrag, IBAN und Name sollten deshalb vor der TAN-Bestätigung noch einmal kontrolliert werden.

Die Empfängerüberprüfung vergleicht den eingegebenen Namen mit der zur IBAN hinterlegten Kontobezeichnung. Kleine Abweichungen, etwa durch Abkürzungen oder Doppelnamen, können bereits zu einer teilweisen Übereinstimmung führen.

Risiken beim Online Banking und typische Betrugsmaschen

Die meisten Angriffe zielen nicht direkt auf die Banktechnik, sondern auf die Person vor dem Bildschirm. Betrügerische Nachrichten erzeugen Zeitdruck, warnen vor einer angeblichen Kontosperre oder fordern zur Bestätigung einer ungewöhnlichen Zahlung auf.

Typische Betrugsmaschen sind:

• Phishing-E-Mails und gefälschte Bankwebseiten
• Betrügerische SMS oder Messenger-Nachrichten
• Anrufe angeblicher Bankmitarbeitender
• Fernwartungsbetrug
• Gefälschte Banking-Apps
• Schadsoftware auf Smartphone oder Computer
• Unerwartete TAN- oder App-Freigaben

Besonders kritisch wird es, wenn Zugangsdaten und anschließend eine TAN abgefragt werden. Eine TAN bestätigt normalerweise keinen Sicherheitscheck, sondern einen konkreten Auftrag. Vor jeder Freigabe sollten deshalb Betrag, Empfänger und Auftragsart geprüft werden.

Auch ein gültiges Sicherheitszertifikat schützt nicht vor Phishing. Betrügerische Webseiten können ebenfalls verschlüsselt sein. Die Bankseite sollte daher über ein gespeichertes Lesezeichen, die manuell eingegebene Adresse oder die offizielle App geöffnet werden.

In fremden WLAN-Netzen ist die Mobilfunkverbindung meist die vorsichtigere Wahl. Wer dennoch ein öffentliches Netzwerk nutzt, sollte ausschließlich über die offizielle Banking-App oder die selbst aufgerufene Bankseite arbeiten.

Ein passend gesetztes Tageslimit kann mögliche Schäden begrenzen, falls Zugangsdaten missbraucht werden. Benachrichtigungen für Kontobewegungen helfen zusätzlich, unbekannte Abbuchungen oder Überweisungen früh zu erkennen und schneller zu reagieren.

Was tun bei Betrugsverdacht oder verlorenem Gerät?

Bei einem Betrugsverdacht zählt vor allem schnelles Handeln. Wurde eine unbekannte Zahlung ausgelöst, eine TAN weitergegeben oder das Smartphone verloren, sollte zuerst die Bank über die offizielle Telefonnummer kontaktiert werden.

Sinnvolle Schritte sind:

• Online-Banking-Zugang sperren lassen
• TAN-App oder registriertes Gerät deaktivieren
• Karten bei Bedarf sperren
• Zugangsdaten ändern
• betroffene Transaktionen dokumentieren
• Überweisungsrückruf anfragen
• weitere Kontobewegungen prüfen
• Strafanzeige erstatten

Bei einem verlorenen Smartphone sollte zusätzlich die Ortungs- und Fernsperrfunktion des Betriebssystems genutzt werden. Reicht das nicht aus, kann ein Zurücksetzen des Geräts nötig sein.

Nicht autorisierte Zahlungen sollten der Bank unverzüglich gemeldet werden. Ob der Schaden ersetzt wird, hängt vom Einzelfall ab. Dabei kann auch eine Rolle spielen, ob Zugangsdaten oder Freigaben grob fahrlässig weitergegeben wurden. Ein Überweisungsrückruf ist nicht garantiert. Besonders bei Echtzeitüberweisungen kann das Geld bereits nach wenigen Sekunden auf dem Empfängerkonto verfügbar sein.

Über die zentrale Sperrnummer 116 116 lassen sich viele Karten und elektronische Berechtigungen sperren. Ob auch der konkrete Online-Banking-Zugang erfasst ist, hängt vom teilnehmenden Institut ab.

Fazit: Online Banking sicher und sinnvoll nutzen

Online Banking erleichtert viele Bankgeschäfte und macht den Zugriff auf das eigene Konto unabhängig von Öffnungszeiten. Überweisungen, Daueraufträge, Kontoauszüge und Karten lassen sich heute meist direkt im Browser oder per App verwalten.

Die technische Sicherheit hängt dabei nicht nur von Verschlüsselung und TAN-Verfahren ab. Ebenso wichtig ist das Verhalten der Nutzenden: Freigaben sollten nie ungeprüft bestätigt, Links aus verdächtigen Nachrichten nicht geöffnet und Geräte regelmäßig aktualisiert werden.

Besonders bei Echtzeitüberweisungen, neuen Zahlungsempfangenden und ungewöhnlichen Freigabeanfragen lohnt sich ein zweiter Blick. Kommt es dennoch zu einem Verdacht, sollte die Bank sofort kontaktiert und der Zugang gegebenenfalls gesperrt werden.