Die Frage im Titel lässt sich nicht mit ja oder nein beantworten, weil sie zwei Dinge vermischt. Die eine ist, ob Sie Onlinebanking praktisch brauchen. Die andere ist, ob Sie es sicher betreiben können. Beides hängt zusammen, aber nicht so, wie es Werbung und Warnmeldungen nahelegen.
MerkeDieser Beitrag ist allgemeine Verbraucherinformation und keine Rechts-, Anlage- oder Finanzanlagenberatung im Sinne von Paragraf 34f der Gewerbeordnung. Er nennt bewusst keine Banken, Tarife oder Sicherheitsprodukte. Bei einem konkreten Streit mit Ihrer Bank ist die Rechtsberatung durch eine Anwaltskanzlei, eine Verbraucherzentrale oder die Ombudsstelle der jeweiligen Bankengruppe der richtige Weg. Rechtsstand ist der 1. August 2026.
Wie verbreitet ist Onlinebanking wirklich?
Das Statistische Bundesamt hat für 2024 einen Höchstwert gemeldet: 67 Prozent der 16- bis 74-Jährigen in Deutschland erledigten Bankgeschäfte online, das entspricht 41,7 Millionen Menschen. Zehn Jahre zuvor lag der Anteil bei 49 Prozent. Damit liegt Deutschland genau im Durchschnitt der Europäischen Union. In der Gruppe der 16- bis 29-Jährigen sind es über 90 Prozent, bei den über 65-Jährigen deutlich weniger.
Praktisch heißt das zweierlei. Erstens sind Sie nicht altmodisch, wenn Sie die Filiale bevorzugen, denn ein Drittel macht es genauso. Zweitens dünnt das Filialnetz aus, Überweisungsformulare werden bei manchen Instituten kostenpflichtig, und Beleglos-Konditionen sind der Normalfall geworden. Die Kostenunterschiede zwischen belegloser und beleghafter Kontoführung stehen im Preis- und Leistungsverzeichnis Ihrer Bank, das sie öffentlich bereitstellen muss. Ein Blick in die Konditionen lohnt sich, bevor Sie sich entscheiden, und die Übersicht zu kostenlosen Girokonten und ihren Bedingungen zeigt, woran die Gebührenfreiheit oft hängt.
Was leistet die Zwei-Faktor-Authentisierung?
Seit der Umsetzung der zweiten europäischen Zahlungsdiensterichtlinie ist die starke Kundenauthentifizierung Pflicht. Sie verlangt zwei voneinander unabhängige Elemente aus drei Kategorien: Wissen, also PIN oder Passwort. Besitz, also Karte, TAN-Generator oder registriertes Smartphone. Und Inhärenz, also ein biometrisches Merkmal wie Fingerabdruck oder Gesichtsscan. Zwei Passwörter sind keine Zwei-Faktor-Authentisierung, weil beide aus derselben Kategorie stammen.
| Verfahren | Zweiter Faktor | Einschätzung |
|---|---|---|
| Chip-TAN mit separatem Generator | Bankkarte plus Lesegerät | Empfängerkonto und Betrag fließen in die TAN ein. Vom BSI als besonders sicher eingestuft, weil das Gerät nicht mit dem Internet verbunden ist. |
| Photo-TAN mit separatem Lesegerät | optischer Code plus Lesegerät | Vergleichbar zum Chip-TAN-Generator, ebenfalls mit Anzeige der Transaktionsdaten. |
| Push-TAN oder App-TAN auf zweitem Gerät | App auf einem anderen Gerät als dem Banking-Gerät | Hohe Sicherheit, solange die Trennung eingehalten wird. |
| Push-TAN auf demselben Smartphone | App auf dem Banking-Gerät | Die Trennung der Faktoren entfällt. Ein kompromittiertes Gerät liefert beide Faktoren. |
| SMS-TAN (mTAN) | SMS aufs Mobiltelefon | Vom BSI kritisch gesehen, wenn dasselbe Gerät genutzt wird. Zusätzliches Risiko durch SIM-Tausch-Betrug. |
| Indexierte TAN-Liste auf Papier | gedruckte Nummernliste | Entspricht nicht mehr den Anforderungen an die starke Kundenauthentifizierung und wird nicht mehr ausgegeben. |
Die zentrale Empfehlung des BSI ist die Gerätetrennung. Wer Konto und TAN-App auf demselben Smartphone betreibt, hat rechtlich zwar zwei Faktoren, praktisch aber nur ein Gerät, das beide erzeugt. Schadsoftware auf diesem Gerät sieht alles. Ein Chip-TAN-Generator hat dagegen keine Netzverbindung und lässt sich nicht aus der Ferne manipulieren.
Woran erkennen Sie Phishing?
Phishing-Nachrichten sind seit Jahren nicht mehr an Rechtschreibfehlern zu erkennen. Der Verbraucherzentrale Bundesverband hat in einer Untersuchung gezeigt, dass selbst geübte Nutzer echte und gefälschte Bankmails kaum unterscheiden können. Verlassen Sie sich deshalb nicht auf das Aussehen, sondern auf ein einziges Prinzip: Kreditinstitute fordern niemals PIN, Passwort oder TAN per Nachricht oder Telefon an. Nie, in keiner Situation, auch nicht zur angeblichen Sicherheitsprüfung.
- Zeitdruck: Formulierungen wie Konto wird in 24 Stunden gesperrt oder Sicherheitsupdate bis morgen erforderlich sind ein Standardmuster. Echte Fristen setzen Banken schriftlich und mit Wochen Vorlauf.
- Links in Nachrichten: Rufen Sie Onlinebanking ausschließlich über ein selbst gesetztes Lesezeichen oder die manuell eingegebene Adresse auf. Klicken Sie keine Links in E-Mails oder SMS an, auch nicht zum Nachsehen.
- Anrufe angeblicher Bankmitarbeiter: Die angezeigte Rufnummer lässt sich fälschen. Legen Sie auf und rufen Sie die Nummer von Ihrer Bankkarte oder Ihrem Kontoauszug zurück, nicht die Nummer aus dem Display.
- Fehlermeldungen nach der Freigabe: Wenn direkt nach einer Freigabe eine Störung gemeldet und eine zweite TAN verlangt wird, brechen Sie ab. Dieses Muster gehört zu den häufigsten Angriffen.
- Freigabetext lesen: Auf dem TAN-Gerät oder im Freigabedialog stehen Empfängerkonto und Betrag. Prüfen Sie beide Angaben, bevor Sie bestätigen. Steht dort Händlerregistrierung oder Datenabgleich, geben Sie eine Zahlung frei, keine Prüfung.
- Verfügungsrahmen begrenzen: Ein mit der Bank vereinbartes Tageslimit deckelt den möglichen Schaden. Das lässt sich in wenigen Minuten anpassen.
Wer haftet, wenn unautorisiert abgebucht wird?
Die Grundregel steht in Paragraf 675u BGB. Bei einem nicht autorisierten Zahlungsvorgang hat die Bank keinen Anspruch auf Erstattung ihrer Aufwendungen. Sie muss dem Zahler den Betrag unverzüglich erstatten und das Konto wieder auf den Stand bringen, auf dem es ohne die Belastung wäre, spätestens bis zum Ende des Geschäftstags, der auf die Anzeige folgt. Bei einem begründeten Betrugsverdacht darf sie zuerst die zuständige Behörde informieren.
Paragraf 675v BGB regelt, was der Kunde davon selbst trägt. Beruht die Zahlung auf der Nutzung eines verlorenen, gestohlenen oder sonst abhandengekommenen Zahlungsinstruments, kann die Bank nach Absatz 1 höchstens 50 Euro verlangen. Nach Absatz 3 haftet der Kunde dagegen in voller Höhe, wenn er in betrügerischer Absicht gehandelt oder seine Sorgfaltspflichten vorsätzlich oder grob fahrlässig verletzt hat. Absatz 4 kehrt die Lage wieder um: Verlangt die Bank keine starke Kundenauthentifizierung, haftet der Kunde nicht, sofern er nicht selbst betrügerisch gehandelt hat.
Grobe Fahrlässigkeit ist der Streitpunkt. Banken lehnen die Wiedergutschrift häufig mit dem Argument ab, der Kunde habe grob fahrlässig gehandelt oder die Zahlung selbst autorisiert. Die Verbraucherzentralen weisen darauf hin, dass nicht jeder, der auf eine Phishing-Falle hereinfällt, automatisch grob fahrlässig handelt. Wer eine TAN weitergibt, steht allerdings schlecht da. Melden Sie einen Vorfall sofort schriftlich, lassen Sie das Konto über den Sperr-Notruf 116 116 sperren, erstatten Sie Anzeige bei der Polizei und bewahren Sie alle Nachrichten und Bildschirmfotos auf. Nach Paragraf 676b BGB sind Ansprüche ausgeschlossen, wenn Sie die Belastung nicht spätestens 13 Monate nach dem Belastungstag anzeigen.
Was tun Sie im Verdachtsfall Schritt für Schritt?
- Verbindung trennen. Schließen Sie die Sitzung, trennen Sie das Gerät vom Netz und geben Sie keine weitere TAN ein, auch wenn eine Fehlermeldung dazu auffordert.
- Zugang sperren. Rufen Sie den bundesweiten Sperr-Notruf 116 116 oder die Sperrnummer Ihrer Bank an. Der Anruf ist aus dem deutschen Festnetz kostenfrei und rund um die Uhr erreichbar.
- Bank schriftlich informieren. Zeigen Sie den Vorgang unverzüglich an und fordern Sie ausdrücklich die Wiedergutschrift nach Paragraf 675u BGB. Notieren Sie Datum, Uhrzeit und Namen des Gesprächspartners.
- Anzeige erstatten. Erstatten Sie Strafanzeige bei der Polizei, auch online über die Internetwache Ihres Bundeslands. Das Aktenzeichen verlangen Banken regelmäßig.
- Gerät prüfen. Untersuchen Sie den genutzten Rechner oder das Smartphone auf Schadsoftware und ändern Sie Passwörter von einem anderen, sauberen Gerät aus.
- Ablehnung nicht hinnehmen. Lehnt die Bank die Erstattung ab, bleiben die kostenfreie Schlichtung über die Ombudsstelle der jeweiligen Bankengruppe und der Rechtsweg. Prüfen Sie vorher, ob eine Rechtsschutzversicherung greift.
Brauchen Sie Onlinebanking, wenn Sie es nicht wollen?
Nein. Es gibt kein Gesetz, das Sie dazu verpflichtet. Sie sollten aber wissen, was der Verzicht kostet und was er nicht bringt. Beleghafte Überweisungen kosten bei vielen Instituten Geld, Filialöffnungszeiten schrumpfen, und einige Konditionen setzen Onlinenutzung voraus. Sicherheit gewinnen Sie durch den Verzicht nur begrenzt, denn Kartenmissbrauch, Enkeltrick und gefälschte Rechnungen funktionieren offline genauso.
Wer den Einstieg wagt, sollte klein anfangen: ein niedriges Tageslimit, ein separater TAN-Generator, keine Zahlungen im öffentlichen WLAN, wöchentlicher Blick in die Umsätze. Welcher Kontotyp überhaupt passt, klärt der Vergleich der verschiedenen Kontoarten und ihrer Zwecke. Und wer über Onlinebanking auch Kredite abwickeln will, sollte die Konditionen im Blick behalten, die der Beitrag zum schnellen Kredit bei der Direktbank aufschlüsselt. Ein konkreter erster Schritt heute: Prüfen Sie im Onlinebanking Ihren aktuellen Verfügungsrahmen und setzen Sie ihn auf den Betrag, den Sie tatsächlich pro Tag brauchen.