Drahtloses Bezahlen mit Handys und Uhren

Das macht dann 35 Euro, bitte.“ Piep. „Einen schönen Tag noch.“ So schnell geht mobiles Bezahlen mit dem Smartphone – in der Kassenschlange hat man es aus Langeweile meist eh schon in der Hand. Falls nicht, ist es schneller aus der Tasche gezogen, als das passende Kleingeld aus dem Portemonnaie zusammengesucht. Ganz Eilige halten einfach ihre Uhr oder ihr Sportarmband an das Kassenterminal. So geht das Bezahlen nicht nur schneller, es ist auch hygienischer: Das Mobilgerät muss sich dem Kassenterminal nur auf einen Zentimeter nähern, es aber nicht berühren. Und sogar das Eintippen der PIN auf dem betatschten Ziffernfeld des Terminals entfällt.

Mittlerweile kann man fast überall auch mit Smartphones- und -watches bezahlen, wo Kartenzahlungen angeboten werden. Sobald man an der Ladentür ein Mastercard-Logo oder am Kassenterminal ein Piktogramm sieht, das an das Wi-Fi-­Logo erinnert, stehen die Chancen sehr gut.

Als Apple und Google vor drei Jahren mit ihren Smartphone-Payment-Apps auf der Bühne erschienen, fremdelten die meisten Banken mit der Technik. Mittlerweile spielen fast alle mit Apple Pay und Google Pay zusammen. Darauf angewiesen ist man aber gar nicht mehr: Mittlerweile lässt sich auch PayPal einbinden oder man nutzt virtuelle Kreditkarten, die Fintechs wie VIMpay kostenlos bereit­stellen. Auch Samsung will inzwischen mit einem eigenen Bezahldienst ein Stück vom Mobile-Payment-Kuchen abschneiden.

Es muss längst nicht mehr das Smartphone zum Bezahlen herhalten, sondern es eignen sich auch Smartwatches, Fitnesstracker und sogar klassische Analoguhren. Die Geldbörse fürs Handgelenk ist besonders praktisch, wenn man Handy und Brieftasche nicht aus dem Rucksack klauben möchte oder vom Joggen frische Brötchen mitbringen will.

Gründe genug, auf die neuen Gadgets und die einzelnen Payment-Dienste einen kritischen Blick zu werfen. Neben Hard- und Software von Apple und Google haben wir dafür auch Geräte und die Apps von Fitbit, Garmin, Samsung und Swatch unter die Lupe genommen.

Kartenhaus

Um ohne Umschweife mit dem mobilen Bezahlen loszulegen, öffnet man auf dem Smartphone vorinstallierte Bezahl-App von Apple oder Google. Auf Android-­Smart­phones von Samsung läuft auch Samsung Pay. Die Bezahl-Apps fordern beim ersten Start auf, Kreditkartendaten zu hinterlegen. Nachdem man die Kartennummer nebst Gültigkeitsdatum abfotografiert oder manuell eingetippt hat, erfolgt die Bestätigung und Freischaltung durch die herausgebende Bank. Je nach Kreditinstitut geschieht das per SMS, TAN, 2FA oder über einen Telefonanruf.

Hinsichtlich der unterstützten Kreditinstitute gibt es zwischen Apple und Google kaum Unterschiede – wohl aber beim Hinterlegen alternativer Zahlungsquellen. So ist es bei Apple Pay seit Kurzem möglich, normale Girokarten diverser Sparkassen als Zahlungsquelle zu hinterlegen. So kommen auch die Kunden in den Genuss des mobilen Bezahlens, die bislang bei ihrer Bank keine Kreditkarte beantragt hatten oder das aus Kostengründen nicht möchten. Google unterstützt zwar Kreditkarten vieler Banken, eine Girocard können aber nur Kunden der Commerzbank und von deren Tochter Comdirect einbinden.

Dafür hat Google einen Deal mit PayPal abgeschlossen. Unabhängig von der eigenen Bank kann man einen kostenlosen PayPal-Account einrichten und diesen in Google Pay hinterlegen. Ein kleiner Fallstrick: PayPal-Konten lassen sich in Google Pay nur mit dem Smartphone verknüpfen, jedoch nicht mit Smartwatches.

Kleinere Anbieter wie Fitbit, Garmin oder Swatch haben bei großen Banken weniger Gewicht und werden entsprechend von nur wenigen Instituten unterstützt. Um trotzdem die breite Bevölkerung zu erreichen, arbeiten sie mit Fintech-Unternehmen zusammen. Dort bekommt man im Allgemeinen nicht nur eine Smartphone-App fürs mobile Bezahlen, sondern auch eine virtuelle Kreditkarte, die sich für Online-Shopping und Mobile-Payment verwenden lässt (siehe Kasten auf S. 62), bei manchen Unternehmen auch eine physische Karte.

Aus dem Handgelenk

Technisch läuft das Bezahlen mit dem Handy oder der Smartwatch ähnlich ab wie das drahtlose Bezahlen mit einer Kreditkarte: Sobald man Handy oder Uhr ans Bezahlterminal im Laden hält, wird über NFC ein Token ans Lesegerät übertragen. Anhand dessen überprüfen die im Hintergrund arbeitenden Transaktionsdienstleister, welche Bank beziehungsweise welche Kreditkarte mit dem Betrag belastet werden soll. Nach wenigen Sekunden geben sie die Zahlung frei. Die technischen Details beleuchtet der Artikel auf Seite 64.

Grundsätzlich werden kleine Beträge bis 50 Euro ohne PIN-Abfrage abge­wickelt. Überschreitet der Betrag die 50-Euro-Grenze, fragt das Terminal wie bei herkömmlichen Zahlungen nach der PIN; zumindest theoretisch, denn hier sind Smartphones und Smartwatches gegenüber Karten im Vorteil: Sie wissen, ob sie von ihrem Eigentümer benutzt werden oder nicht. Um sich zu legitimieren, muss man vorm Bezahlen lediglich das Handy oder die Uhr entsperren. Die Mobilgeräte teilen dem Terminal dann mit, dass die Authentifizierung bereits stattgefunden hat und die Zahlung dadurch legitimiert wurde. Das Kassenterminal verzichtet dann auf die PIN-Abfrage. Das Bezahlen mit dem Handy oder eine Smartwatch ist deshalb sogar ein wenig bequemer als mit einer kontaktlosen Giro- oder Kreditkarte.

Das setzt voraus, dass die Mobilgeräte mit einer Bildschirmsperre mittels PIN, Muster oder Fingerabdruck gesichert sind. Zumindest bei Smartphones sollte das aber sowieso eine Selbstverständlichkeit sein. Anders Smartwatches: Dort ist eine Bildschirmsperre eher die Ausnahme, weshalb Apple und Google bei der Installation ihrer Bezahl-Apps die Einrichtung dieser explizit vorschreiben. Da die Uhren keinen Fingerabdrucksensor besitzen, kommen zur Legitimierung numerische PINs oder Entsperrmuster zum Einsatz. Auf den Uhren von Fitbit, Garmin und Samsung muss man beim erstmaligen Aufruf des Tages der Bezahlfunktion die PIN eingeben.

Deren Eingabe ist mit dem Finger auf den kleinen Uhrendisplays aber nicht immer ganz einfach und braucht deshalb mitunter mehrere Versuche. Glücklicherweise braucht man die PIN nicht bei jedem Bezahlen, sondern nur bei der erstmaligen Nutzung nach dem Anlegen. Die Sensoren der Uhren erkennen anhand der Bewegungen automatisch, ob sie am Handgelenk bleiben, und sperren erst beim Ablegen.

Eine Internetverbindung ist beim Bezahlen nicht nötig. Smartwatches und Handys halten für die Offline-Nutzung mehrere Bezahl-Token im internen Speicher in Reserve. Das macht sie zu einem begehrten Ziel von Malware. Damit schädliche Apps die Token nicht aus dem internen Speicher auslesen, funktionieren die Bezahl-Apps meist nicht auf modifizierten Smartphones mit Jailbreak oder Root-Zugriff oder auf sogenannten Custom-ROMs mit alternativen Android-Versionen.

Bei den Uhren von Swatch ist so eine Sicherung mangels Display und smarten Funktionen nicht möglich. Bei Zahlungen oberhalb von 50 Euro ist daher stets die Eingabe der PIN am Kassenterminal nötig.Die Swatch-Uhren sollte man daher genauso ­sicher verwahren wie echte Kreditkarten, denn ein Dieb könnte viele Zahlungen unter 50 Euro durchführen. Ein Vorteil ist, dass sie auch mit leerem Akku noch zum Zahlen taugen.

Alles im Blick

Das Gros der getesteten Dienste zeigen in ihren Apps eine Liste der Transaktionen an, damit man den Überblick über Zahlungen behält. Bei Apple, Fitbit, Swatch und Samsung sind die Daten an den Account gebunden und lassen sich deshalb auf jedem Mobilgerät einsehen. Google macht es anders und trennt zwischen den Geräten: Sämtliche Umsätze, die mit dem Smartphone getätigt wurden, lassen sich nur dort einsehen. Unpraktisch fanden wir, dass Google bei den Uhren genauso verfährt: Die Zahlungshistorie lässt sich nur auf den winzigen Smartwatches aufrufen, was zu einer wahren Scroll-Orgie führt.

Wer auf ein neues Android-Smartphone umsteigt, muss ein umständliches Prozedere durchmachen: Uhren mit Wear OS lassen sich nur an ein neues Telefon koppeln, wenn man sie auf Werkseinstellungen zurücksetzt. Dabei gehen allerdings die auf der Uhr hinterlegten Zahlungsquellen verloren. Um eine Kreditkarte anschließend erneut auf der Uhr zu nutzen, ist in den meisten Fällen ein Anruf bei der herausgebenden Bank notwendig.

Gut schneidet das mobile Bezahlen in puncto Sicherheit ab. Als vor einigen Jahren die ersten Giro- und Kreditkarten mit NFC-Chips für drahtloses Bezahlen auf der Bildfläche erschienen, machten alsbald Horrormeldungen die Runde. Es wurde gezeigt, dass man mit einem für jedermann verfügbaren mobilen Bezahlterminals einfach im Vorbeigehen Beträge bis zu 25 Euro (die damalige Obergrenze für Zahlungen ohne PIN-Eingabe) abbuchen kann, ohne dass das Opfer davon etwas bemerkt – etwa im Gedränge auf einer Rolltreppe oder in einer Kassenschlange.

Smartphones sind gegen solche Angriffe immun. Ihr NFC-Chip ist nur aktiv, wenn das Display eingeschaltet ist. Die Gefahr, dass man es versehentlich in der Tasche aktiviert und ein Dieb währenddessen eine Abbuchung vornimmt, dürfte gegen null gehen. Zudem verlangt das Terminal bei großen Beträgen eine PIN. Achtung aber, dass Sie diesen Schutz nicht selbst aufheben: Einige Handys bleiben entsperrt und der NFC-Chip aktiv, wenn sie beispielsweise mit einem vertrauenswürdigen Bluetooth-Gerät gekoppelt sind (Smart Lock). Bei Samsung war das beispielsweise der Fall. Wenn Sie also Ihre Smartwatch oder Kopfhörer als vertrauenswürdig konfigurieren, sollten Sie beim Musikhören in der U-Bahn niemanden in die Nähe des Handys kommen lassen.

Besser sieht es bei Smartwatches von Apple, Google, Fitbit, Garmin und Samsung aus. Zum Bezahlen muss man die entsprechende Pay-App erst auf der Uhr manuell aufrufen und hat dann nur wenige Sekunden Zeit, um die Uhr ans Terminal zu halten.

Wird die Uhr oder das Handy geklaut, kann der Dieb Kleinstbeträge abbuchen. Solche Fälle sind von den Versicherungen der Banken gedeckt, wenn man das Gerät gesperrt hat, sobald der Verlust bemerkt wurde.

Zudem geben gesperrte Smartphones und Smartwatches weder die Kreditkartennummer noch die zugehörige Prüfnummer preis. Bei echten Karten sind diese sensiblen Daten auf der Vorder- und Rückseite für jeden lesbar aufgedruckt. Mit einer gefundenen oder geklauten ­physische Karte können sich Diebe und unehrlicher Finder auf Online-Shopping-­Tour begeben.

Anders bei Swatch-Uhren und anderen Gadgets mit passiver Bezahlfunktion: Zwar zeigen auch sie keine Kartendaten an, sie erlauben aber das unbemerkte Abbuchen von Kleinbeträgen, wenn man ihnen mit einem mobilen Terminal nahekommt. Es ist deshalb ein Vorteil, nur eine Prepaid-Karte zu verknüpfen, damit im Ernstfall der Schaden durch das hinterlegte Guthaben gedeckelt wird.

Fazit

Für das mobile Bezahlen spricht, dass man selbst den Lieblingsbäcker um die Ecke nicht mehr überzeugen muss, endlich auch mal passende Lesegeräte zu installieren. Corona hat dem kontaktlosen Bezahlen einen massiven Schub beschert.

Wer keine Lust auf ein neues Konto oder Bezahlsystem hat, ist auf Apple oder Google festgelegt – nur die beiden werden von einer nennenswerten Anzahl von ­Banken unterstützt. Über eine kostenlose ­Zusatzkarte zum Beispiel von VIMpay bekommt man aber jedes Girokonto ans ­mobile Bezahlen angebunden. Samsungs Ansinnen, das gesamte Privatkonto zu durchschnüffeln, machte uns jedoch skeptisch. Die Geräte von Fitbit, Garmin und Swatch bieten etwas mehr Auswahl bei den Zahlungsdienstleistern – deren Dienste sich aber nicht alle komfortabel mit Guthaben aufladen lassen. Beim Bezahlen von mehr als 50 Euro erfordert Swatch umständlicherweise die Eingabe der PIN am Kassenterminal. Andererseits sind die Gadgets auch dann am Handgelenk, wenn man Handy und Brieftasche nicht dabei hat.

Davon abgesehen unterscheiden sich die Bezahlsysteme nur in Details, sodass man sich eher danach richten kann, welche der Tracker, Fitnessuhren oder Smartwatches einem preislich, optisch und hinsichtlich des übrigen Funktionsumfangs zusagen. (spo@ct.de)