Die Transaktionsnummer (TAN) wird beim Internet-Banking als Einmalpasswort genutzt. Zusätlich zur PIN müssen alle Transaktionen mit einer TAN bestätigt werden. Jede TAN kann nur einmal verwendet werden.
Die TANs werden dem Kunden als Liste zur Verfügung gestellt. Die TAN soll verhindern, das ein Angreifer die Kommunikation belauscht um die PIN zu erhalten. Auf diesem Weg beschaffte TANs sind wertlos, da diese nur für eine Transaktion genutzt werden können.
Ein Schwachpunkt des PIN/TAN-Verfahrens ist die einseitige Authentifizierung. Nur der Kunde weist sich gegenüber der Bank aus. Er selber kann die Echheit der Bankwebsite kaum überprüfen.
Die TANs sind beliebtes Angriffsziel von Phishern. Es gibt auch Trojaner, die sich in die Kommunikation zwischen PC und Bank einhängen und TANs abfangen. Die gewünschte Transaktion (z.B. Überweisung) wird einfach abgebrochen und die TAN an den Angreifer übermittelt.