Du hast mich zwar nicht gefragt, aber: IT-Nerd reporting in
Meiner Einschätzung nach ist die Methode von Number26 genau so sicher wie Push-TAN, und deutlich sicherer als mTAN, da die Bestätigungen nicht von anderen Apps abgefangen werden können. Sofern wirklich Angriffe per Tapjacking, wie du sie in den Kommentaren anspricht, auftreten sollten, kann Number26 ja relativ kurzfristig eine zweite Bestätigung einbauen.
Wenn Android auf Systemebene kompromittiert ist, versagen natürlich prinzipiell alle Sicherheitsmaßnahmen (bzw. es beginnt ein zermürbendes Katz-und-Maus-Spiel zwischen Banken/App-Entwicklern und Kriminellen), sofern kein zusätzliches Gerät verwendet wird.
Besser geht es nur mit einem tatsächlich unabhängigen Token, wie beispielsweise chipTAN. Das habe ich auch bei einer anderen Bank, aber meistens habe ich es nicht dabei wenn es darauf ankommt, und so verwende ich dort auch meistens Push-TAN.