Warum ist das Scannen einer auf einem unkompromittierten PC angezeigten photoTAN-Grafik mit einem photoTAN-Generator ohne Internetverbindung sicherer als das Scannen mit einer u. U. kompromittierten photoTAN-App auf einem Smartphone? Was ist der maximale Schaden? IMHO die Tatsache, dass die Transaktion nicht ausgeführt werden kann, weil die TAN falsch ist. Oder?
Kommt auch die konkrete Implementation an. Es gibt gibt Systemen, bei denen auf dem TAN-Gerät die Transaktionsdaten angezeigt werden. Wenn der Angreifer es schafft, diese Anzeige zu manipulieren (und das Onlinerbanking im Browser o.ä. natürlich auch in seiner Hand ist), kann er z.B. bei Überweisungen dem Nutzer die vermeintliche Ziel-IBAN (und Betrag) anzeigen, während er die Überweisung in Wirklichkeit auf ein Konto unter seiner Kontrolle gehen lässt.
Andere Möglichkeit, falls er das Gerät mit der TAN-App kompromittiert, wäre, selbständig eine TAN zu erzeugen für eine Transaktion seiner Wahl. Die notwendigen Credentials sind ja in der App gespeichert.
Alle Angriffsszenarien setzen voraus, dass der PC/Browser (über den das OLB gemacht wird) auch kompromittiert ist. Falls man das in seiner Risikobetrachtung kategorisch ausschließt, braucht man gar keine TANs. Diese wurden ja genau deswegen eingeführt (als "zweiter Faktor" sozusagen).
Und ja, es gibt in der Praxis erfolgreiche Angriffe auf PC/Browser + Smartphone.
Und nochmals ja, häufig ist der Mensch dabei die entscheidende Schwachstelle.
