Hallo zusammen,
ich habe gerade eine Sofortüberweisung bei der DKB via QR-Code TAN-Generator losgetreten (in Hibsicus). Eigentilich nichts weltbewegendes - sollte man meinen.

Ich habe kurz davor vorab bereits eine Kontostands- bzw. Umsatzabfrage gemacht - hatte also die initiale "readonly" 2FA schon hinter mir, wo man nur einen Startcode bekommt und dann die TAN daraus generiert und eingibt. Bis dahin alles schick (wie üblich).

Dann die Sofortüberweisung losgetreten. Kein VoP-Thema. Es wurde einfach nochmal ein Startcode übertragen - nochmal TAN dazu generiert. Dann ----> fertig!!!! Keine weitere TAN-Abfrage zur Bestätigung der Transaktion mit Angabe des Zahlungsempfängers / IBAN.

Ich habe verifiziert, ob die Überweisung tatsächlich angenommen wurde und geprüft, ob die Ziel-IBAN korrekt ist - via HBCI und Webbanking. Die Überweisung wurde ausgeführt. In beiden Kanälen so angezeigt. Der Empfänger war ok.

Was ist bei denen jetzt wieder kaputt? Man glaubt es nicht. Haben die die Technik überhaupt ansatzweise im Griff? Ich habe mittlerweile nicht mehr den Eidnruck, dass die wissen, was sie tun.

war die Echtzeitüberweisung evtl. unterhalb einer betragsabhängige TAN-Freigabegrenze?

seit wann gibt es bei der DKB eine betragsabhängige TAN-Freigabegrenze?

79,95 €

Egal - hier geht es doch darum, einen potentiellen man in the middle attack zu erkennen. Und es gab ja eine TAN - eben die für die Anmeldung. Aus meiner Sicht haben die da schlicht was falsch zusammengeklickt - statt Überweisungs-TAN nur den Startcode. Und wie üblich nichts getestet.

@Tizian
da div. Banken dies ja anbieten, hätte es sein können, dass es nun auch bei der DKB aktiviert wurde

oder wie kannst du dir sonst das Verhalten erklären?
(abgesehen von @hbciuser angedachte Fehlkonfig.)

Für eine Überweisung i. H. v. 1 € wurde gerade eine Freigabe per Push angefordert.

Ich konnte das Problem gerade reproduzieren mit einer Testüberweisung auf ein zweites Konto von mir. Wieder keine Bestätgigungs-TAN für die Sofortüberweisung erhalten. Dafür eine Startcode-TAN (obwohl direkt davor eine Kontostandsabfrage durchgeführt wurde, welche kein 2FA benötigt hat - hatte er noch von heute morgen gecacht).
Das Geld war sofort auf meinem zweiten Konto. Überweisung ging also raus!

Wurde da der Zahlungsempfänger angezeigt oder auch nur eine 0815-Freigabe (ohne prüfen zu können, was da konkret freigegeben wurde)?

Betrag, Empfängername und -IBAN werden angezeigt.

Ihr redet ja von 2 verschiedenen Verfahren. Das push-Verfahren der DKB ist ja was komplett anderes und hilft nicht als Vergleich.
Er nutzt chipTAN und bekommt, so wie ich seine Empörung lese, nur einen Startcode 800xxxxx in dem keine Zahlungsdaten verwendet wurden. Ist diese Annahme korrekt? Falls ja, würde ich auch davon ausgehen, dass hier etwas zusammengesteckt wurde, was so nicht zulässig ist. Es müsste mindestens eine TAN, die Betrag und IBAN-Teile enthält generiert werden. Das wäre ein Grund mal nachzufragen und auf den Misstand hinzuweisen.

Ergänzung: der Threattitel sagt noch "ohne korrekte TAN". Ist das wirklich so? Ich denke eher, dass die Startcode 800xxxxx TAN zumindest korrekt sein muss.

Ja

Korrekt - das wäre ein korrekte TAN-Anforderung.

Ich gehe davon aus, dass da irgendeiner den falschen TAN-Typ (Startcode - TAN zur simplen 2FA-Anmeldung vs. Transaktions-TAN zur Freigabe einer Transaktion oder wie die beiden TAN-Typen eben heißen) eingestellt / programmiert hat. Wie auch immer. Mehr kann ich dazu nicht sagen.

Normal wäre bei der DKB für die Freigabe einer Transaktion:
1. TAN für Anmeldung: 2FA via Startcode (falls nicht schon einige Zeit / Stunden vorher schon mal eine Anmeldung durchgeführt wurde).
2. TAN auf Basis Transaktionsdaten für die Freigabe der Transaktion

Stattdessen wurde aus meiner Sicht für die Freigabe der Transaktion der TAN-Typ für Punkt 1 statt für Punkt 2 verwendet.

Ok dann wird das was du sagst passiert sein. Die haben statt einer TAN-Anforderung mit 2 transaktionsabhängigen Elementen offenbar eine ohne diese aufgerufen für deine Überweisung. Klarer Fehler bei der DKB beim Aufruf der TAN-ErzeugungsAPI aus meiner Sicht.

Deine Ziel IBAN ist nicht zufällig irgendwie im Ausland und enthält Buchstaben in den letzten 10 Zeichen und das passiert deswegen? (Auch wenn das immer noch nicht die korrekte Herangehensweise für die Umgehung dieses Problemes wäre.)

Ich würde an deiner Stelle mal ein Supportticket bei denen öffnen und darauf hinweisen. Es klingt für den Hobbyjuristen in mir nicht so als wäre diese TAN PSD2-konform für eine Überweisung.

Hallo zusammen,
das oben beschriebene ist mir vorletzten Sonntag 23.8.2026 auch passiert, als ich bei meinem Vater Banking im Browser gemacht habe und von seinem DKB-Konto eine verauslagte Summe (269 Euro) an mich bei den Atruvia-Genossen überweisen wollte. Auch mit Chiptan.
Für die Anmeldung im Browser bei der DKB kam die Abfrage mit dem Startcode fürs Einloggen, aber die danach angelegte Sofortüberweisung konnte freigegeben werden OHNE TAN (nach Freigabe verschwand das Eingabefenster kommentarlos. Eine VoP war auch nicht sichtbar). Allerdings wurde diese Überweisung bei der DKB weder gespeichert noch ausgeführt.

Diesen Vorgang konnte ich sogar mehrfach wiederholen - immer gleiches Verhalten.

Ich rechnete schon damit, dass der Zugang evtl. plötzlich gesperrt werden würde, was ich von einer ordentlichen Sicherheitsmechanik (Browserbanking!) erwartet hätte. Weil ich das fürchtete und es mich inzwischen angekotzt hat, hab ich direkt danach eine normale Überweisung angelegt, da hat es wie vorgesehen funktioniert (VoP, TAN Abfrage mit Transaktionsdaten der Überweisung. Die angelegte Überweisung war nach Freigabe auch sichtbar bei der DKB und wurde am folgenden Bankarbeitstag ausgeführt und landete bei mir.

Auf eine Kontaktaufnahme mit der DKB hab ich nach der letzten "Serviceerfahrung" verzichtet (Fachlich wenig kompetent zur Klärung einer Legitimationsfrage, aber in der Unwissenheit extrem selbstbewusst und forsch). Als ehemaliger (bin Jungrentner) Mitarbeiter im Bereich "Recht, Compliance und Geldwäsche" eines großen Bankkonzerns tu ich mich bisweilen schwer mit solchen "Hotlines", die nur ihrem Leitfaden folgen.

Wenn mit diesem Anspruch programmiert werden sollte, dann gute Nacht ...

Einzige "Besonderheit " ist aus meiner Sicht, dass das Banking beim Senior per (Debian)-Linux erfolgt und neben dem Debian eigenen ESR-Firefox sowohl noscript als auch uBlockOrigin im Einsatz sind. Natürlich mit den passenden Freigaben für die DKB Webseite und alles mit aktuellem Software-Stand. Aber selbst mit solchen Konstellationen sollte eine "freie" Freigabe wie geschildert unmöglich sein.

Scheint ein Problem bei "der komischen Bank" zu sein ...