Apple Pay und Google Pay: warum mobiles Bezahlen sicherer ist als die Karte
Das verbreitete Bauchgefühl – Karte sicher, Handy riskant – steht auf dem Kopf. Beim mobilen Bezahlen wird nicht Ihre Kartennummer übertragen, sondern ein gerätegebundenes Ersatzkennzeichen, und jede Zahlung erfordert eine Entsperrung. Dieser Beitrag erklärt, warum das technisch überlegen ist und wo die tatsächlichen Risiken liegen.
Was beim Bezahlen tatsächlich übertragen wird
Wenn Sie eine Karte in Apple Pay oder Google Pay hinterlegen, wird sie nicht kopiert. Das Kartennetzwerk erzeugt stattdessen ein Ersatzkennzeichen – den Device Account Number oder Token –, das fest mit diesem einen Gerät verknüpft ist. Die echte Kartennummer liegt weder auf dem Telefon noch beim Wallet-Anbieter im Zugriff.
Bei der Zahlung überträgt das Gerät diesen Token zusammen mit einem Kryptogramm, das für genau diese Transaktion berechnet wurde und danach wertlos ist. Der Händler erhält also nie die Daten, mit denen sich eine zweite Zahlung auslösen ließe.
Das ist der strukturelle Unterschied zur Kartenzahlung: Dort gibt der Händler die Kartendaten weiter und speichert sie häufig, um Folgezahlungen zu ermöglichen. Genau diese gespeicherten Daten sind es, die bei Datenlecks abfließen.
Die zweite Schicht: Authentifizierung am Gerät
Jede mobile Zahlung verlangt die Entsperrung – Gesichtserkennung, Fingerabdruck oder Code. Damit ist die starke Kundenauthentifizierung, die PSD2 für elektronische Zahlungen fordert, bei jeder einzelnen Zahlung erfüllt, auch bei Kleinbeträgen.
Bei der physischen Karte ist das anders: Kontaktlose Zahlungen bis 50 Euro laufen ohne PIN, und erst nach einer bestimmten Anzahl oder Summe verlangt das Terminal eine Eingabe. Eine gestohlene Karte lässt sich deshalb für eine Reihe kleiner Beträge einsetzen, bevor sie gesperrt ist.
Bei biometrischer Freigabe verlassen die biometrischen Daten das Gerät nicht. Verglichen wird lokal im Sicherheitselement des Telefons; weder Bank noch Wallet-Anbieter erhalten Fingerabdruck oder Gesichtsmodell.
| Merkmal | Physische Karte | Apple Pay / Google Pay |
|---|---|---|
| Übertragene Daten | echte Kartennummer | gerätegebundener Token |
| Nutzbar bei Verlust | ja, kontaktlos bis 50 € ohne PIN | nein, Entsperrung erforderlich |
| Nach Händler-Datenleck | Karte muss getauscht werden | Token wertlos, Karte unberührt |
| Sperren | Kartensperre nötig | Token entfernen genügt |
| Schutz gegen Phishing | gering | gering – die Freigabe erteilen Sie selbst |
Wenn das Telefon verloren geht
Der entscheidende Punkt: Die Karte selbst ist nicht betroffen. Der Token lässt sich aus der Ferne deaktivieren, ohne dass die physische Karte gesperrt oder neu ausgestellt werden muss – Ihre Daueraufträge und hinterlegten Zahlungsmittel bleiben also funktionsfähig.
- 1Gerät als verloren markieren
Über „Wo ist?" bei Apple oder „Mein Gerät finden" bei Google. Der Modus sperrt das Gerät und deaktiviert die Wallet sofort, auch wenn das Telefon offline ist – die Sperre greift beim nächsten Netzkontakt.
- 2Karten aus der Wallet entfernen
Über das Web-Konto des Anbieters, unabhängig vom Gerät. Der Token wird beim Kartennetzwerk ungültig gemacht.
- 3Bank informieren
Nicht zwingend zur Sperre, aber sinnvoll für die Dokumentation. Prüfen Sie die letzten Umsätze und melden Sie unbekannte Buchungen unverzüglich.
- 4Physische Karte nur bei Verdacht sperren
Wenn neben dem Telefon auch die Karte abhandengekommen ist, gilt der normale Weg: Sperre beim Herausgeber oder über 116 116.
Wer haftet, wenn doch etwas passiert
Für nicht autorisierte Zahlungen gilt § 675u BGB: Die Bank muss den Betrag unverzüglich erstatten. Eine Beteiligung des Kunden kommt nach § 675v BGB nur in Betracht, wenn er Sorgfaltspflichten grob fahrlässig verletzt oder in betrügerischer Absicht gehandelt hat.
Grobe Fahrlässigkeit wäre etwa, den Entsperrcode notiert beim Gerät aufzubewahren oder die Sperre nach Kenntnis des Verlusts hinauszuzögern. Das bloße Nutzen von Apple Pay oder Google Pay ist es ausdrücklich nicht.
Die Beweislast liegt zudem bei der Bank: Sie muss nachweisen, dass die Zahlung authentifiziert und technisch einwandfrei war – die Aufzeichnung der Nutzung allein genügt dafür nach § 675w BGB nicht.
Die Risiken, die bleiben
Tokenisierung schützt Daten, nicht Entscheidungen. Der heute dominierende Betrugsweg läuft über Überredung: Ein angeblicher Bankmitarbeiter meldet einen verdächtigen Vorgang und bittet darum, eine Karte in einer Wallet zu „bestätigen" oder eine Push-Benachrichtigung freizugeben. Wer das tut, autorisiert eine echte Zahlung.
Ein zweites reales Risiko ist die Ersteinrichtung: Wird eine Karte in einer fremden Wallet hinterlegt, verlangt die Bank eine Bestätigung – per Push-TAN oder SMS-Code. Genau dieser Code ist das Ziel vieler Phishing-Nachrichten. Ein solcher Code darf niemals weitergegeben werden.
Und schließlich die banale Schwachstelle: ein zu einfacher Entsperrcode. Wer den Code kennt und das Gerät hat, kann zahlen. Sechsstellige Codes, biometrische Entsperrung und eine kurze automatische Sperrzeit sind die wirksamsten Einstellungen.