Zahlen mit dem Smartphone: Wie sicher es wirklich ist

Österreicherinnen und Österreicher lieben ihr Bargeld. Umfragen zufolge bezahlen hierzulande nach wie vor 57 Prozent der Konsumentinnen und Konsumenten ihre Einkäufe am liebsten mit Geldschein und Münze. Europaweit erlebt der bargeldlose Zahlungsverkehr derzeit allerdings einen Aufschwung, wohl auch bedingt durch die Covid-19-Pandemie. 64 Prozent der Europäerinnen und Europäer setzen mittlerweile primär auf elektronische Bezahlsysteme.

Nicht alle Banken bieten Smartphonezahlung an

Bargeldlose Zahlungsalternativen gibt es mittlerweile einige. Neben Bankomat- und Kreditkartenunternehmen kämpfen vor allem Technologiekonzerne wie Apple, Google und neuerdings Samsung um die Herrschaft an den Registrierkassen.

Seit 2019 ist Apple Pay in Österreich verfügbar. Um es nutzen zu können, muss die Bank oder das Kreditkartenunternehmen den Dienst jedoch unterstützen. Bank Austria, Erste Bank und Raiffeisen bieten das Service beispielsweise an. Bawag-Kunden müssen sich gedulden, wann das Service dort zur Verfügung steht, steht noch nicht fest. Das Konkurrenzprodukt Google Pay wird mittlerweile zwar von 29 europäischen Banken unterstützt, ein österreichisches Institut ist aber noch nicht dabei.

Um mit einem mobilen Gerät wie einem Smartphone oder Tablet bezahlen zu können, muss eine App installiert sein. Mobile Payment Apps setzen, ähnlich wie eine herkömmliche Bankomatkarte, auf die Near Field Communication-Technologie (NFC), erklärt Markus Montz, Redakteur bei „c’t“, dem Computerfachmagazin des deutschen Heise-Verlags. Das Bezahlterminal kontaktiert dabei mit Hilfe der Smartphone-Antenne den NFC-Chip, über diese Kommunikation wird die Bezahlung dann abgewickelt.

Kreditkartendaten werden anonymisiert

Wenn es um mobile Zahlungen geht, haben europäische Konsumentinnen und Konsumenten Umfragen zufolge vor allem Sicherheitsbedenken. Und hinsichtlich der Sicherheit habe sich Apple auch tatsächlich einiges einfallen lassen, meint der „c’t“-Redakteur. So werde beispielsweise die Kreditkartennummer verschleiert und durch eine anonyme Zahlenkombination ersetzt.

Das bedeutet, dass keine tatsächlichen Zahlungsinformationen, die auf der Kreditkarte aufgedruckt sind, auf dem Smartphone gespeichert werden. Dies habe den großen Vorteil, dass man mit den am Handy gespeicherten Informationen überhaupt nichts anfangen könne, wenn man keinen Zugriff auf das Gerät hat. Mobilgerät und die getarnten Zahlungsinformationen seien stets miteinander verknüpft, so Montz.

Mobilgerät vor Fremdzugriff schützen

Um Missbrauch zu verhindern, sei es natürlich wichtig, dass das für mobile Zahlungen genutzte Gerät vor unbefugtem Zugriff geschützt ist. Smartphone oder Tablet müssen vom Nutzer zwingend mit einer Pin oder einem komplexen Passwort gesichert werden, so Montz. Auch biometrische Daten wie der Fingerabdruck oder die Gesichtserkennung schützen mobile Geräte vor unerwünschten Fremdzugriffen.

Wer aber sein Mobilgerät entsprechend geschützt hat, könne sich mit der elektronischen Geldbörse relativ sicher fühlen, meint Montz. In jedem Fall sicherer als mit der herkömmlichen Kreditkarte. Denn wenn eine Kreditkarte einem Unbefugten in die Hände fällt, könne dieser sofort online einkaufen oder in Geschäften bezahlen, da alle notwendigen Zahlungsinformationen auf der Karte abgedruckt sind. Diese Gefahr bestehe bei der Zahlung über ein Mobilgerät schlicht und ergreifend nicht, so der Experte.

Elektronische Geldbörse sicherer als die Kreditkarte

Sicherheitstechnisch seien sowohl das System von Apple als auch das Android Pendant von Google (Google Pay) durchaus empfehlenswert, meint Montz. Im direkten Vergleich mache aber Apple das Rennen. Apple-Geräte wie das iPhone sind mit einem Hardwarebauteil, dem so genannten Secure Element, ausgerüstet. Alle sicherheitsrelevanten Informationen, wie die fingierte Kartennummer oder auch der Fingerabdruck, werden verschlüsselt auf diesem Chip abgelegt und nicht auf der Festplatte des Handys gespeichert. Daher seien die Daten vom Betriebssystem isoliert und könnten kaum gehackt werden, so der Experte.

Bei Android-Anwendungen wie Google Pay werden die Daten in einem isolierten Bereich innerhalb des Betriebssystem abgelegt, erklärt der „c’t“-Redakteur. Es sei bei Heise aber kein Fall bekannt, in dem ein derart gesicherter Bereich tatsächlich aufgebrochen worden wäre. Grundsätzlich sei es jedoch einfacher, in solch einen Bereich vorzudringen, als einen Hardwarechip wie das Secure Element zu knacken.

Experte: Apple wertet Zahlungsinformationen nicht aus

Bleibt die Frage, welche Informationen über unser Konsumverhalten bei den Konzernen landen. Google Pay ist kostenlos, sowohl für Kunden als auch für Händler. Google dürfte daher letzten Endes mit den Einkaufsdaten der Kunden Geld verdienen wollen, meint Montz. Apple verdient 0,15 Prozent pro Einkauf. Die Kosten zahlen die Händler und dürften diese wohl letztendlich über den Preis an die Kunden weitergeben.

Apple sei vom Geschäftsmodell her so ausgelegt, dass die Bezahldaten an sich nicht benötigt werden. Die Daten würden auch nicht ausgewertet, sagt Montz. Google werte die verfügbaren Nutzerdaten derzeit allem Anschein nach ebenfalls nicht aus, behalte sich dies aber in den Allgemeinen Geschäftsbedingungen (AGB) vor, so der „c’t“-Fachredakteur.

Dass abgesehen von Händler und Zahlungsbetrag auch Informationen über die eingekauften Produkte an die Konzerne gelangen, bezweifelt der Experte. Händler seien nicht verpflichtet und erfahrungsgemäß auch nicht willens, die komplette Quittung an einen US-Konzern zu übermitteln, meint Montz. Informationen über den Händler und der Zahlungsbetrag müssten aber natürlich eingesehen werden, da anderenfalls eine mobile Zahlung natürlich nicht ordnungsgemäß abgewickelt werden könne.