Apple, Google, Sparkasse & Co.: Wie weit ist Deutschland beim mobilen Bezahlen?

Einfach das Handy oder die Smartwatch ans Kassenterminal halten, kurz warten, bis es piept, und schon können Sie Ihre Ware einpacken. Während andere noch ihr Wechselgeld zählen, haben Sie den Laden vielleicht schon verlassen. Bei Beträgen unter 25 Euro müssen Sie oft nicht einmal das Gerät entsperren.

Mobile Payment per NFC: Was lange Zeit eher als technische Spielerei für Freaks galt, soll durch Google Pay seit Ende Juni in Deutschland neuen Auftrieb bekommen. In der Folge hat auch Apple angekündigt, noch 2018 mit dem hauseigenen Apple Pay bei uns zu starten.

Die technischen Voraussetzungen sind gut, denn das Bezahlen per Smartphone ist grundsätzlich überall da möglich, wo auch kontaktlose Karten zum Einsatz kommen können. Immerhin sind rund 475.000 der zirka 800.000 hierzulande installierten Terminals bereits mit der erforderlichen Technik ausgestattet. Bis 2020 sollen laut Visa und Mastercard auch noch die restlichen Geräte gegen nahfunkfähige Modelle ausgetauscht werden. Zu erkennen sind diese an dem an ein WLAN-Symbol erinnerndes Zeichen mit vier Kreisbögen.

Land der Barzahler

Dass etwas schnell und einfach geht, heißt natürlich noch lange nicht, dass es auch gemacht wird. Schließlich hängen die Deutschen an ihrem Bargeld. Nach einer Studie der Bundesbank zum Zahlungsverhalten hierzulande ist zwar der Anteil der Barzahlungen im Handel gemessen am Umsatz erstmals unter 50 Prozent gesunken, allerdings entfallen auf diesen Wert knapp drei Viertel aller Transaktionen. Gerade Zahlungen bis 50 Euro werden hierzulande größtenteils bar getätigt, Kleinbeträge bis 5 Euro sogar zu 96 Prozent. Andere Länder in Europa sind da weiter, allen voran Schweden. Dort beträgt der Anteil der Bargeschäfte noch 20 Prozent, und selbst die Obdachlosenzeitung wird mit per App bezahlt.

Im Euro-Währungsraum befinden wir uns allerdings in guter Gesellschaft. Nach einer Erhebung der Europäischen Zentralbank wird in neun der beteiligten Länder noch mehr bar bezahlt als bei uns, etwa in Österreich. In den übrigen neun Ländern sind Münzen und Scheine weniger angesagt.Trotz alledem steigt die Zahl der kontaktlosen Bezahlvorgänge hierzulande stetig an und mit ihr auch der mobile Anteil.

Die Technik dahinter

Das Verfahren beim Mobile Payment setzt auf den seit Jahren etablierten EMV-Kontaktlos-Standard auf, der auch das berührungslose Bezahlen mit der Plastikkarte ermöglicht. Das Kürzel EMV steht für die drei Gründungsunternehmen Europay, Mastercard und Visa. An der Kasse gibt sich das Smartphone nun einfach als kontaktlose Kreditkarte oder Girocard aus. Dafür muss es zunächst einmal über einen NFC-Chip für die Funkübertragung verfügen. Mittlerweile ist das bei nahezu allen neueren Geräten der Fall. Darüber hinaus müssen die Kartendaten an einem sicheren Ort gespeichert werden. Bei Apple befinden sich diese seit dem iPhone 6 zusammen mit einem geheimen Kryptoschlüssel in einem geschützten Microchip im Gerät, dem Secure Element.

Google hat keinen Einfluss auf Aufbau und Sicherheit der meisten Android-Geräte und setzt deshalb seit Android 4.4. auf eine Software-Lösung, die so genannte Host Card Emulation. Das Secure Element wird hier in der Cloud emuliert (siehe Grafik), wodurch das Verfahren mit allen Android-Smartphones funktioniert, die NFC unterstützen.

Nutzlose Nummern​

Das Bezahlen mit dem Smartphone ist nicht weniger sicher als mit der physischen Karte. Geht es um den Schutz der bei der Zahlung übertragenen Daten, steht der Handyzahler sogar besser da; denn anders als die Plastikkarte gibt das Mobilgerät weder die echte Kreditkartennummer noch das Ablaufdatum oder etwa den Namen des Besitzers preis. Stattdessen wird für die Zahlung ein Token verwendet, ein Platzhalter, der lediglich wie eine richtige Kartennummer aussieht. Erst im Zahlungsnetzwerk wird es entschlüsselt und daraus die korrekte Zahlenfolge generiert.

Bei der Host Card Emulation von Android wird für jede Zahlung ein eigenes Token beim Service Provider generiert, da der geheime Kryptoschlüssel nicht beim Nutzer, sondern im Secure Element in der Cloud gespeichert ist. Für das Übertragen des Token zum Nutzer ist eine Online-Verbindung notwendig. Um auch ohne Datenverbindung bezahlen zu können, kann die Bezahl-App üblicherweise auf einige vorgespeicherte Token zugreifen, die aufgefüllt werden, wenn das Gerät wieder online ist.Beim iPhone ist das Token eine vom Zahlungsinstitut generierte, an das Gerät gebundene Device Account Number (DAN), die im Secure-Element-Chip gespeichert und bei der Zahlung zusammen mit einem einmaligen, zufälligen Sicherheitscode an das Lesegerät gesendet wird.