Ja, klingt plausibel. Hat jemand die Möglichkeit, zwei HBCI Traces (comdirect mit einer TAN vs. comdirect mit 2 TAN) zu vergleichen?

Vielen Dank an icbh und yoda.man für die Unterstützung. Es beruhigt mich, dass ich jetzt nicht mehr als der alleinige Depp dastehe, der es nicht "gebacken" bekommt.
Und wen ich nochmal darüber nachdenke ist es tatsächlich so, dass das Problem zeitlich so ziemlich genau seit Update auf die Version 2.12.0 (also Implementierung der VoP-Prüfung) auftritt.

Nimm meine initial abwehrende Haltung nicht persönlich. Ich erhalte so viele Bug-Meldungen, die sich in 95% der Fälle auf veraltete Versionen oder Betriebssysteme, falsche Zugangsdaten, Missverständnisse bei Zugangsverfahren oder 100 andere Gründe zurückführen lassen. Würde ich die alle ausführlich analysieren, würde sich ein Stau von zu bearbeitenden Anfragen ergeben. Der Support nimmt ohnehin bereits einen Großteil meiner verfügbaren Zeit ein. Insofern bin ich auch sehr dankbar über die User hier, die so tatkräftig mit unterstützen.

Alles gut. Ich arbeite selber in der IT und kenne die Problematik mit der "Qualität" von Fehlermeldungen von Kunden zu genüge. Und es ist auch so, dass wenn ich Probleme nicht selber lösen kann und den Support des Herstellers benötige, es sich meistens auch um sehr komplexe und/oder ungewöhnliche Dinge handelt.