PIN und TAN-Gerät bleiben bei der Person, der sie gehören
Geben Sie die Zugangsdaten zum Online-Banking nicht an Mitarbeiter weiter, auch nicht an die eigene Buchhaltung. Wir haben dazu die Bedingungen für das Online-Banking zweier Banken gelesen: das Muster der Sparkassen in der Fassung vom Juni 2025 und die Fassung einer Privatbank vom Oktober 2025. In beiden steht in Nummer 7.1 wortgleich, dass die PIN geheim zu halten ist. Sie darf weder mündlich noch per E-Mail oder Messenger mitgeteilt werden, und das TAN-Gerät oder das Handy mit der TAN-App ist vor dem Zugriff anderer Personen zu schützen. Was Ihre eigene Bank verlangt, steht in deren Bedingungen für das Online-Banking unter den Sorgfaltspflichten.
Für Mitarbeiter gibt es einen eigenen Zugang. Beide Bedingungen fassen Kontoinhaber und Bevollmächtigte unter dem Begriff „Teilnehmer“ zusammen, und jeder Teilnehmer meldet sich mit seiner eigenen Kennung und seinen eigenen Sicherheitsmerkmalen an. Sie erteilen der Buchhalterin bei der Bank eine Vollmacht, sie bekommt eigene Zugangsdaten und ein eigenes TAN-Verfahren. Was sie damit darf, legen Vollmacht und Limit fest.
Firmenkunden: Haftung schon bei Fahrlässigkeit möglich
Nach § 675v BGB kann die Bank bei missbrauchten Zugangsdaten vom Zahler bis zu 50 Euro Schadensersatz verlangen, den ganzen Schaden nur bei Betrug, Vorsatz oder grober Fahrlässigkeit. Für Firmen muss das nicht gelten. Nach § 675e Abs. 4 BGB dürfen Bank und Kunde, der kein Verbraucher ist, vereinbaren, dass unter anderem die §§ 675v bis 676 BGB ganz oder teilweise nicht gelten. Die beiden gelesenen Bedingungen nutzen das: Ist der Kontoinhaber kein Verbraucher, haftet er für nicht autorisierte Zahlungen über 50 Euro hinaus schon dann, wenn ein Teilnehmer fahrlässig gegen seine Sorgfaltspflichten verstoßen hat.
Die Weitergabe der PIN zählt Nummer 7.1 ausdrücklich zu diesen Pflichtverstößen. Gibt die Buchhalterin die PIN des Inhabers auf einer gefälschten Bankseite ein und geht danach Geld ab, kann die Firma nach diesen Bedingungen über 50 Euro hinaus haften. Dieser Text ist keine Rechtsberatung. Wie Ihr Vertrag im Einzelnen aussieht, sagt Ihnen Ihre Bank.
Welche Wege Banken für Mitarbeiter anbieten
Die Bezeichnungen sind von Bank zu Bank verschieden. Fragen Sie Ihren Firmenkundenberater nach diesen drei Bausteinen:
| Weg | So funktioniert es | Passt für |
|---|---|---|
| Kontovollmacht mit eigenem Online-Zugang | Die Mitarbeiterin wird Bevollmächtigte und bekommt eigene Anmeldedaten und ein eigenes TAN-Verfahren. Ihr Limit erhöhen darf sie laut den Sparkassen-Bedingungen nur, wenn das mit Sparkasse und Kontoinhaber eigens vereinbart ist. | Buchhaltung, die selbst überweist |
| Freigabe durch eine zweite Person | Die Sparkassen nennen auf ihrer gemeinsamen Seite zum Geschäftskonto mehrere Zugänge mit unterschiedlichen Rechten und für ihre Banking-Software das Vier-Augen-Prinzip. Wie Erfassen und Freigeben verteilt werden, beschreibt die Seite nicht. Fragen Sie, ob die Buchhaltung erfassen und die Geschäftsführung freigeben kann. | Betriebe, in denen nur die Chefin Geld bewegen soll |
| EBICS | Jede Person bekommt unter der Kunden-ID der Firma eine eigene Teilnehmer-ID mit eigener Unterschriftsklasse. Die Antragsformulare zweier Banken nennen die Klassen E (allein), A und B (gemeinsam) und T (nur Übertragung, ohne Zeichnungsrecht), eines davon auch ein Limit je Teilnehmer. | Firmen mit Buchhaltungs- oder Zahlungsprogramm |
Mit Klasse T darf die Buchhalterin laut dem Formular einer Bank Zahlungsdateien nur einliefern. Unterschreiben muss dann eine Person mit E, A oder B, etwa über die verteilte elektronische Unterschrift. Ob Ihre Bank einen Online-Zugang nur zum Lesen anbietet, etwa für die Steuerberaterin, steht in den Unterlagen, die wir gelesen haben, nicht. Fragen Sie danach, bevor Sie eine volle Vollmacht erteilen.
Was in den Tresor gehört und was nicht
Die Anmeldung bei der Bank ist persönlich, sie gehört in keinen gemeinsamen Tresor. Rund um das Konto gibt es aber einiges, das die Firma geordnet und für die Vertretung greifbar haben sollte.
In die Sammlung „Bank“
- die richtige Adresse des Online-Bankings, gespeichert am Eintrag, damit niemand einem Link aus einer Mail folgt
- IBAN, BIC, Kundennummer, Name und Telefon des Firmenkundenberaters
- eine Übersicht, wer welche Vollmacht, welches Limit und welche Unterschriftsklasse hat, dazu Kopien der Vollmachten als Anhang
- die Sperrnummer der Bank und den Sperr-Notruf 116 116, wenn Ihre Bank daran teilnimmt
- bei EBICS die Bankparameter: Kunden-ID, Host-ID und Adresse des Bankrechners
Die Sammlung sehen Geschäftsführung und Buchhaltung. Was die übrigen Sammlungen einer Firma enthalten und wer sie öffnet, beschreibt Passwörter im Team teilen.
Nicht in den Tresor der Firma
- die PIN eines Teilnehmers, weder die des Inhabers noch die eigene
- den Registrierungs- oder Aktivierungscode der TAN-App. Die Bedingungen verlangen, ihn vor dem Zugriff anderer zu schützen, sonst kann jemand sein eigenes Handy als TAN-Gerät für einen fremden Zugang einrichten.
- den Zugang einer ausgeschiedenen Person „für alle Fälle“
Die eigene PIN im persönlichen Bereich des Tresor-Kontos abzulegen, liegt nahe. Davon raten wir ab. In einem Firmentresor, wie wir ihn einrichten, ist die Kontowiederherstellung für alle Mitglieder eingeschaltet, damit ein Verantwortlicher ein vergessenes Master-Passwort zurücksetzen kann. Wer diese Berechtigung hat, kommt damit auch an den persönlichen Bereich der Mitarbeiterin und an ihre PIN. Dazu verbieten beide Bedingungen, die PIN auf dem Gerät zu notieren, das als TAN-Gerät dient, also auf dem Handy mit der TAN-App.
Buchhaltungsprogramme mit Bankanbindung
Ein Buchhaltungsprogramm mit Bankanbindung holt die Umsätze direkt vom Konto und fragt dafür nach Zugangsdaten. Die Bedingungen erlauben ausdrücklich, die eigenen Sicherheitsmerkmale bei Kontoinformations- und Zahlungsauslösediensten und bei sorgfältig ausgewählten sonstigen Drittdiensten zu verwenden. Die Ausnahme gilt für den Teilnehmer selbst. Die Daten des Inhabers in fremde Hände zu geben, erlaubt sie nicht.
Richten Sie die Anbindung deshalb mit dem Zugang der Person ein, die das Programm bedient. Widerrufen Sie beim Austritt ihre Vollmacht, funktioniert auch die Anbindung nicht mehr, und die Nachfolgerin richtet sie mit ihrem eigenen Zugang neu ein. Planen Sie das in die letzte Arbeitswoche ein, sonst fehlen im nächsten Monat die Kontoumsätze in der Buchhaltung.
Fehler mit Bankzugängen im Büro
- Das alte Firmenhandy in der Schublade. Darauf läuft die TAN-App des Chefs, und wer eine Überweisung freigeben will, nimmt es heraus. Die Bedingungen verlangen, dass andere die App auf dem Gerät nicht nutzen können.
- Diensthandy weitergegeben, Banking-App noch aktiv. Nach den Bedingungen ist die App zu deaktivieren, bevor das Gerät an jemand anderen geht.
- Fingerabdruck der Kollegin im Telefon. Sind auf dem Handy Fingerabdrücke oder andere biometrische Merkmale weiterer Personen gespeichert, ist für das Banking nach beiden Bedingungen die PIN zu nutzen.
- SMS-TAN an die Nummer des Inhabers. Kein Passwort-Tresor kann SMS empfangen, und die Codes landen dann bei einer einzigen Person. Mehr dazu auf Bestätigungscodes im Team.
- Vollmacht nie widerrufen. Die ehemalige Buchhalterin kann zwei Jahre nach ihrem Austritt noch Umsätze sehen. Der Widerruf bei der Bank gehört in jede Liste für den Austritt, siehe Mitarbeiter verlässt die Firma.
Beispiel: Reinigungsfirma mit Sammelüberweisung
Eine erfundene Gebäudereinigung mit 38 Beschäftigten, fast alle in Teilzeit, und einem Büro mit Geschäftsführerin und Lohnbuchhalterin. Am Monatsende gehen die Löhne als Sammelüberweisung hinaus. Bisher hat die Lohnbuchhalterin sich dafür mit den Daten der Geschäftsführerin angemeldet und die TAN auf deren altem Handy erzeugt, das im Büroschrank lag.
Heute hat sie eine eigene Vollmacht mit eigenem Zugang. Sie erfasst die Sammelüberweisung, die Geschäftsführerin gibt sie am Abend von unterwegs auf ihrem eigenen Handy frei. Das alte Handy ist zurückgesetzt, die Banking-App darauf vorher deaktiviert. Im Tresor liegt die Sammlung „Bank“ mit Beraterkontakt, Sperrnummer und der Übersicht der Vollmachten. Damit die Löhne auch während eines Krankenhausaufenthalts der Geschäftsführerin hinausgehen, hat der Betriebsleiter eine eigene Vollmacht zum Freigeben. Welche Zugänge eine Reinigungsfirma sonst noch hat, steht auf der Seite für Gebäudereinigung. Wie der Notfallzugang zum Tresor für so einen Fall vorbereitet wird, steht unter Notfallzugriff auf Firmenpasswörter.
Andere Zahlungskonten und fremde Konten
Für Zahlungsdienste wie PayPal gilt derselbe Gedanke mit eigenen Regeln des Anbieters, siehe PayPal-Geschäftskonto mit mehreren Nutzern. Wer als Lohn- oder Buchhaltungsbüro Bankzugänge von Mandanten nutzt, findet den Weg über die Vollmacht des Mandanten auf der Seite für Buchhaltungsbüros.
Bei Passwortheld
Passwortheld ist ein gewarteter Tresor auf einem Server, der Ihrer Firma gehört und den sie direkt bei netcup bezahlt, ab 3,69 € im Monat inkl. MwSt. Unsere Wartung kostet dazu 16,99 € im Monat inkl. MwSt. bei einer Mindestlaufzeit von 12 Monaten, ohne Aufpreis für weitere Nutzer, nur für Unternehmer. Bankdaten und Notizen im Tresor sind Ende-zu-Ende-verschlüsselt, wir können sie nicht lesen. Die Sammlung „Bank“ legen Sie selbst an und bestimmen, wer sie öffnet. Vollmachten und TAN-Verfahren richtet Ihre Bank ein, eine Bankberatung bieten wir nicht. Fragen zum Tresor beantworten wir im kostenlosen Erstgespräch (15 Minuten), am Telefon oder per Video.
Quellen: § 675e BGB: Abweichende Vereinbarungen; § 675l BGB: Pflichten des Zahlers in Bezug auf Zahlungsinstrumente; § 675v BGB: Haftung des Zahlers bei missbräuchlicher Nutzung eines Zahlungsinstruments; Sperr-Notruf 116 116. Stand: 14.10.2026.