und wo steckt die Sicherheit beim Blinkgenerator? Irgendwo muss der doch sicher einen key speichern um die Blinkübertragung fälschungssicher zu machen. Ist da ein smartcardchip integriert?

Die TAN wird generiert. Die Daten zu dieser Generierung setzen sich zusammen aus den Daten dieser Transaktion (per "Flickering" übertragen) und Daten von deiner Chipkarte. Der TAN-Generator selber ist "beliebig", er hat keinen Key und er speichert nichts relevantes.

ah ok,
meine ec Karte steck ich in den Flickerkasten
got it.
Na dann wart ich mal ab wann die Spardabanken das für nötig erachten es einzuführen.
Werde zumindest mal offiziell schriftlich dazu anfragen, um das Haftungsrisiko bei itan zu minimieren.

Viele Volksbanken und Raiffeisenkassen haben mittlerweile den "optischen Chip-TAN-Generator" (smartTAN plus/smartTAN optic/...). Da die Sparda-Banken Mitglied im Verband der Volks- und Raiffeisenbanken sind, ist die Chance nicht klein, dass die das auch übernehmen werden - muss aber nicht sein.
(Postbank hat es auch und so weit ich weiß die meisten Sparkassen)

Das Teil als einfache Ausführung kostet ca. € 10,-

OK, habe mich arg ungenau ausgedrückt...

"Man in the middle" muss ja nicht unbedingt ein Schadprogramm auf dem eigenen Rechner sein, in seltenen Fällen wurden auch Zertifikate gefälscht und die Daten auf einem Server "mitten zwischen" dem Kundenrechner und dem Bankrechner verfälscht... Diesen Server muss man dann natürlich irgendwie "zwischen" den Kundenrechner und den Bankrechner bringen...