photoTAN-Verfahren: So funktioniert es und welche Banken es nutzen

Wer im Online-Banking eine Überweisung freigibt, braucht neben dem Passwort einen zweiten Sicherheitsbaustein. Eine der bekanntesten Lösungen ist das photoTAN-Verfahren, oft auch als Phototan, Photo TAN oder Foto-TAN geschrieben. Dabei scannt Ihr eine bunte Mosaikgrafik mit einer App oder einem kleinen Lesegerät und gebt den Auftrag so frei. Bekannt ist das Verfahren vor allem von der Commerzbank und comdirect.

In diesem Guide erklären wir, wie photoTAN technisch funktioniert, welche Banken das Verfahren anbieten, wie Ihr es einrichtet und was bei einem neuen Smartphone zu tun ist. Außerdem vergleichen wir photoTAN mit pushTAN, chipTAN, smsTAN und BestSign und ordnen die Sicherheit ein.

Das Wichtigste in Kürze: Bei photoTAN wird jeder Auftrag als verschlüsselte Farbgrafik angezeigt, die Ihr mit der photoTAN-App oder einem Lesegerät scannt. Die Technik stammt von Cronto und gehört heute zu OneSpan. Die Commerzbank nutzt photoTAN seit Februar 2013, comdirect ebenfalls, die ING bietet nur noch den photoTAN-Generator als Gerät an. Die Deutsche Bank richtet seit dem 25. August 2025 kein neues photoTAN mehr ein und setzt auf BestSign. Ein Lesegerät kostet bei der Commerzbank einmalig 34,90 Euro, bei der ING 32 Euro.

Was ist das photoTAN-Verfahren?

Eine TAN, also eine Transaktionsnummer, bestätigt der Bank, dass wirklich Ihr einen Auftrag erteilt habt. Früher kamen TANs von Papierlisten oder per SMS. Beim photoTAN-Verfahren entsteht die TAN dagegen erst, nachdem Ihr eine Grafik aus dem Online-Banking gescannt habt. Diese Grafik sieht aus wie ein farbiges Mosaik aus kleinen Punkten und enthält die Auftragsdaten in verschlüsselter Form.

Anders als oft beschrieben handelt es sich nicht um einen gewöhnlichen QR-Code. Hinter photoTAN steckt die Technik des britischen Anbieters Cronto, der aus Cambridge stammt und heute zum Sicherheitsunternehmen OneSpan gehört. Die Commerzbank hat das Verfahren im Februar 2013 unter dem Namen photoTAN eingeführt und damit die alte iTAN-Liste abgelöst.

Der Clou: Die App oder das Lesegerät entschlüsselt die Grafik und zeigt Euch Empfänger und Betrag noch einmal an. Erst wenn Ihr diese Daten geprüft habt, gebt Ihr die daraus erzeugte TAN ein. Weil die TAN nur zu genau diesem Auftrag passt, nützt sie Betrügern für eine andere Überweisung nichts.

Wie funktioniert photoTAN mit App und Lesegerät?

Die Commerzbank beschreibt drei Wege, photoTAN im Alltag zu nutzen. Welchen Ihr wählt, hängt davon ab, ob Ihr ein Smartphone habt und ob es gerade online ist.

photoTAN-Push: Ist die Push-Funktion aktiviert, bekommt Ihr bei jedem freizugebenden Auftrag eine Benachrichtigung aufs Smartphone. In der photoTAN-App seht Ihr die Auftragsdaten und gebt den Auftrag mit einem Klick frei, ganz ohne Scannen und TAN-Eingabe.

photoTAN-Scan: Ihr scannt die im Online-Banking angezeigte Farbgrafik mit der App und tippt die erzeugte TAN ein. Das funktioniert laut Commerzbank auch dann, wenn Euer Smartphone gerade offline ist.

photoTAN-Lesegerät: Wer kein passendes Smartphone besitzt, kann ein separates Lesegerät nutzen. Es scannt die Grafik mit einer eingebauten Kamera und zeigt die TAN auf seinem Display an. Das Gerät braucht kein Mobilfunknetz.

Erledigt Ihr Eure Bankgeschäfte direkt in der Banking-App auf dem Smartphone, springt die App automatisch in die photoTAN-App und wieder zurück. Diese sogenannte App2App-Freigabe nennt die Commerzbank den sichersten und einfachsten Weg. Wichtig zu wissen: Für das Mobile Banking der Commerzbank ist eine aktivierte photoTAN-App Voraussetzung.

Die photoTAN-App selbst ist kostenlos. Das Lesegerät bestellt Ihr bei der Commerzbank im Online-Banking oder in einer Filiale, es kostet einmalig 34,90 Euro und wird über das Girokonto abgerechnet. Der photoTAN-Generator der ING kostet 32 Euro inklusive Versand innerhalb Deutschlands.

Welche Banken nutzen das photoTAN-Verfahren?

Das photoTAN-Verfahren ist vor allem bei Banken verbreitet, die schon früh auf die Cronto-Technik gesetzt haben. Seitdem haben sich die Wege aber getrennt. Wir haben die Angaben im Oktober 2026 auf den offiziellen Seiten der Banken geprüft.

Commerzbank: Für die Commerzbank ist photoTAN das zentrale Verfahren, nutzbar per App mit Push- und Scan-Funktion oder per Lesegerät. Mehr zum Konto selbst lest Ihr in unserem Beitrag zum Commerzbank Girokonto.

comdirect: Die Commerzbank-Marke comdirect setzt ebenfalls auf photoTAN mit App, Push-Funktion und Lesegerät. Lesegeräte der Commerzbank funktionieren ab Firmware-Version 6.1.1 auch für comdirect-Kunden, das neue Commerzbank-Modell mit Tastatur allerdings nicht. Details zum Konto findet Ihr bei unserem comdirect Girokonto.

ING: Bei der ING heißt das Verfahren photoTAN-Generator und funktioniert nur mit dem gleichnamigen Gerät. Standard ist dort die App Banking to go. Wer vom ING Girokonto aus ohne Smartphone freigeben möchte, greift zum Generator.

HypoVereinsbank: Auch die HVB bietet laut ihrer Starthilfe ein photoTAN-Verfahren an, dort ausschließlich mit Lesegerät, das über ihre Website bestellt wird.

Deutsche Bank und norisbank: Die Deutsche Bank richtet seit dem 25. August 2025 nur noch BestSign neu ein. Wer photoTAN bereits aktiv hat, kann es weiter nutzen, neue oder zusätzliche Aktivierungen sind aber nicht mehr möglich. Bei einem Gerätewechsel landet Ihr also automatisch bei BestSign, Infos zum Konto gibt es bei unserem Deutsche Bank Girokonto. Die Tochter norisbank setzt ebenfalls auf BestSign in ihrer App.

Die Sparkassen nutzen kein photoTAN. Sie setzen auf die Verfahren pushTAN und chipTAN, die wir weiter unten vergleichen.

Wie richtet man photoTAN ein und was tun bei neuem Handy?

Die Einrichtung unterscheidet sich je nach Bank im Detail. Am Beispiel der Commerzbank läuft die erste Aktivierung mit der App so ab:

1. Ladet die photoTAN-App aus dem App Store oder Google Play Store. Die Commerzbank setzt mindestens Android 7.0 oder iOS 15.0 voraus.
2. Öffnet die App, wählt „photoTAN aktivieren“ und meldet Euch mit Euren Online-Banking-Zugangsdaten an.
3. Scannt die Aktivierungsgrafik aus dem Aktivierungsbrief, den die Bank Euch einige Tage nach der Kontoeröffnung per Post schickt.
4. Erlaubt Push-Benachrichtigungen und schließt die Aktivierung ab.

Neukunden, die ihr Konto online eröffnet haben, bekommen bei der Commerzbank alternativ einen Aktivierungscode per SMS. Er ist drei Stunden gültig, danach verschickt die Bank automatisch einen Aktivierungsbrief. Bewahrt diesen Brief gut auf, denn mit ihm könnt Ihr später auch weitere Geräte aktivieren.

Bekommt Ihr ein neues Smartphone, aktiviert Ihr photoTAN am besten, solange das alte Gerät noch funktioniert. In der photoTAN-App der Commerzbank wählt Ihr dafür unter „Aktionen“ den Punkt „Neues Gerät aktivieren“. Das alte Gerät zeigt dann eine Aktivierungsgrafik, die Ihr mit dem neuen Smartphone scannt. Die Grafik bleibt höchstens fünf Minuten sichtbar. Habt Ihr das alte Gerät nicht mehr, aktiviert Ihr das neue mit dem Aktivierungsbrief oder fordert im Online-Banking einen neuen an.

Achtung: Ist Euer Smartphone oder Lesegerät verloren gegangen oder gestohlen worden, solltet Ihr es sofort sperren lassen. Bei der Deutschen Bank geht das im Online-Banking unter „Sicherheitsverfahren“ oder über den 24-Stunden-Service unter 069 910-10000. Die Commerzbank weist außerdem darauf hin, dass sie Euch nie per Brief oder E-Mail auffordert, photoTAN zu erneuern. Solche Nachrichten sind Phishing.

Wie sicher ist photoTAN?

photoTAN erfüllt die Anforderungen an die starke Kundenauthentifizierung, die mit der europäischen Zahlungsdiensterichtlinie PSD2 seit dem 14. September 2019 für Online-Banking gilt. Dafür müsst Ihr zwei von drei Faktoren kombinieren: etwas, das Ihr wisst, etwa Passwort oder PIN, etwas, das Ihr besitzt, etwa das aktivierte Smartphone oder Lesegerät, und etwas, das Ihr seid, etwa Fingerabdruck oder Gesichtserkennung. Bei photoTAN sind das in der Regel Zugangsdaten plus das registrierte Gerät.

Ein wichtiger Pluspunkt ist die Auftragsbindung. Die Grafik kann nur von Eurem aktivierten Gerät entschlüsselt werden, und die erzeugte TAN gilt ausschließlich für den angezeigten Auftrag. Manipuliert eine Schadsoftware die Überweisung im Browser, seht Ihr in der App oder auf dem Lesegerät den falschen Empfänger und könnt abbrechen. Genau gegen solche Banking-Trojaner hat die Commerzbank photoTAN im Jahr 2013 eingeführt.

Die größte Schwachstelle bleibt der Mensch. Wer einen Auftrag freigibt, ohne die angezeigten Daten zu prüfen, hebelt den Schutz selbst aus. Betrüger versuchen deshalb, Kunden per Telefon oder gefälschter E-Mail zu einer Freigabe zu drängen. Wie solche Maschen funktionieren, erklären wir im Guide zum Kreditkartenbetrug. Die Commerzbank verspricht mit ihrer Sicherheitsgarantie, Schäden durch Phishing oder Schadsoftware zu erstatten, sofern Ihr den Schaden nicht vorsätzlich verursacht habt, ihn sofort meldet, Strafanzeige stellt und bei der Aufklärung helft.

Was unterscheidet photoTAN von pushTAN, chipTAN und smsTAN?

Alle modernen TAN-Verfahren verfolgen dasselbe Ziel, unterscheiden sich aber darin, wie die Freigabe abläuft und ob Ihr ein zusätzliches Gerät braucht. Die folgende Übersicht zeigt die wichtigsten Varianten:

pushTAN: Der Begriff stammt vor allem von den Sparkassen, die ihn für die S-pushTAN-App nutzen. Ihr gebt den Auftrag direkt in der App frei, ohne Grafik. Die photoTAN-Push-Funktion ist im Alltag sehr ähnlich, nur bietet photoTAN zusätzlich den Scan-Weg für Situationen ohne Internet.

chipTAN: Hier steckt Ihr Eure Bankkarte in einen separaten TAN-Generator. Das Verfahren gilt als sehr sicher und eignet sich für alle ohne Smartphone, ist unterwegs aber weniger praktisch. Sparkassen bieten chipTAN neben pushTAN an.

BestSign: Die Deutsche Bank und die norisbank haben ihr Sicherheitsverfahren direkt in die Banking-App integriert. Eine zweite App braucht Ihr nicht mehr, auf Wunsch gibt es ein kostenpflichtiges BestSign-Gerät.

smsTAN: Die TAN per SMS galt lange als bequem, ist aber anfällig für Betrug, etwa wenn Kriminelle eine Ersatz-SIM-Karte erschleichen. Viele Banken haben das Verfahren deshalb abgeschafft. Die ING stellt die mTAN seit April 2021 schrittweise ein, bei der Deutschen Bank lassen sich Aufträge nicht mehr per mobileTAN freigeben, und auch die Sparkassen verlangen den Wechsel zu pushTAN oder chipTAN. Papier-TAN-Listen spielen seit der PSD2 praktisch keine Rolle mehr.

Welche Vor- und Nachteile hat das photoTAN-Verfahren?

Im Alltag überzeugt das photoTAN-Verfahren vor allem durch seine Flexibilität. Ein paar Haken solltet Ihr trotzdem kennen, bevor Ihr Euch für eine Bank entscheidet.

Vorteile: Die TAN ist fest an den Auftrag gebunden, und Ihr seht die Auftragsdaten vor der Freigabe noch einmal auf einem zweiten Kanal. Mit der Push-Funktion genügt ein Klick. Die Scan-Funktion klappt auch mit einem Smartphone ohne Internetverbindung, und wer gar kein Smartphone nutzen möchte, greift zum Lesegerät. Die App ist kostenlos.

Nachteile: Bei vielen Banken braucht Ihr neben der Banking-App eine separate photoTAN-App. Die Ersteinrichtung dauert oft einige Tage, weil der Aktivierungsbrief per Post kommt. Ein Lesegerät kostet extra, bei der ING 32 Euro und bei der Commerzbank 34,90 Euro. Und geht das Smartphone verloren, ohne dass Ihr den Aktivierungsbrief griffbereit habt, kommt Ihr erst einmal nicht an Eure Freigaben.

Unser Tipp: Legt den Aktivierungsbrief zu Euren wichtigen Unterlagen. Bekommt Ihr ein neues Smartphone, aktiviert photoTAN darauf, bevor Ihr das alte Gerät zurücksetzt oder verkauft. So spart Ihr Euch das Warten auf einen neuen Brief.

Ob die separate App stört, hängt von Euren Gewohnheiten ab. Wer Banking ohnehin am Smartphone erledigt, merkt dank App2App-Freigabe kaum einen Unterschied zu einer integrierten Lösung.

Fazit zum photoTAN-Verfahren

Das photoTAN-Verfahren ist ein sicheres und flexibles Werkzeug, um Aufträge im Online-Banking freizugeben. Die verschlüsselte Farbgrafik bindet jede TAN an genau einen Auftrag, und mit Push-Funktion, Scan-Weg und Lesegerät gibt es für fast jede Situation eine passende Variante.

Gleichzeitig ist photoTAN kein Standard für alle Banken mehr. Commerzbank und comdirect setzen weiter darauf, die ING nur noch beim Generator, während Deutsche Bank und norisbank zu BestSign gewechselt sind. Wer photoTAN nutzt, sollte vor allem zwei Dinge beachten: jeden Auftrag vor der Freigabe prüfen und den Aktivierungsbrief sicher aufbewahren. Dann ist das Verfahren eine der komfortabelsten Lösungen für sicheres Banking.