Bezahlen mit dem Handy Zwölf populäre Bezahl-Apps im Check

Sicherheit und Daten im Check

Keine Frage, das Bezahlen per App ist flott und bequem. Aber ist es auch sicher? Finanztest hat zwölf Bezahl-Apps untersucht, die in Deutsch­land zum Einsatz kommen. Es ging unter anderem um Sicherheit, Daten­sende­verhalten, Allgemeine Geschäfts­bedingungen (AGB) und Daten­schutz­erklärungen.

Unser Fazit: Die Bezahl-Apps schützen in hohem Maße vor Betrug. Kunden müssen aber wissen, dass sie beim Zahlen per App Informationen über sich preis­geben. Beim Daten­sende­verhalten und den Daten­schutz­bestimmungen liegt noch einiges im Argen. Die Apps von Handels­anbietern wie Edeka, Payback und Netto greifen zudem reichlich Kunden­daten ab.

Beim Post­bank Finanz­assistenten und bei der App der VR-Banken gab es nichts zu bean­standen. Bei der VR-Banken-App konnten wir die Verschlüsselung nicht knacken.

Privates wird sicht­bar

Um zu klären, was beim Bezahlen genau passiert, hat eine Test­person jeweils mit einem präparierten Smartphone einge­kauft. Wir haben geprüft, ob Daten verschlüsselt über­tragen werden und an wen sie fließen.

Sendete die App unnötige Daten, haben wir das Daten­sende­verhalten als kritisch bewertet. Ein Beispiel dafür sind Informationen über die Position des Nutzers. Die Dienst­leister erfahren auf diese Weise, in welcher Filiale einge­kauft oder in welchem Restaurant gegessen wurde. Brauchen App-Anbieter solche Informationen über ihre Nutzer? Wir finden: nein.

Speziell geschützt waren die Kunden­daten lediglich bei Apple Pay, weil dieser Anbieter ein besonderes Sicher­heits­verfahren nutzt und das Schlüssel­material (Glossar) in einem gesicherten Bereich auf dem Endgerät lagert. Kunden sollten sich aber bewusst sein, dass bei allen Apps die am Zahlungs­vorgang Beteiligten – etwa Kreditkarten-Lizenz­geber oder Finanz­dienst­leister wie Vimpay – die Trans­aktionen einsehen können. Experten sind sicher, dass sie das in der Praxis auch tun.

Die Anbieter von Kunden-Apps wie Edeka oder Payback haben ein besonderes Interesse daran, viel über ihre Nutzer zu erfahren. Über die Apps erhalten sie etwa Informationen über Einkäufe und bevor­zugte Filialen.

Bei den AGB und Daten­schutz­bestimmungen gab es teils sehr deutliche Mängel. So behält sich etwa Fitbit das Recht vor, das Konto „zu sperren oder zu deaktivieren“. Bei einigen Anbietern finden Kunden keine AGB, hier gilt insbesondere das Bürgerliche Gesetz­buch (BGB). Für Kunden ist das kein Nachteil: Die BGB-Vorgaben sind streng.

App laden, Geld­einzug bestimmen

Um ohne Portemonnaie zu shoppen, entscheiden sich Kunden zunächst für eine App und richten ein Bezahl­verfahren ein. Bei vielen Apps läuft die Abrechnung über bestehende Kreditkarten­konten, manchmal können Kunden eine Girocard als Zahlungs­methode fest­gelegen.

Apple Pay, Fitbit Pay, Garmin Pay und Google Pay arbeiten mit Finanz­dienst­leistern wie Paypal oder Boon zusammen, für die sich die Nutzer zunächst registrieren müssen. Bei Kunden-Apps wie Edeka erteilen die Nutzer ein Last­schrift­mandat.

Die Bezahl-App bestimmt, wie das Bezahlen an der Kasse abläuft. Es gibt diese Varianten:

Über die NFC-Schnitt­stelle (z. B. Apple Pay, Google Pay)

Kunden halten ihre Smartwatch oder ihr Fitness­armband beim Bezahlen an die Kontakt­stelle der Kasse. Smartphones werden bei diesem Verfahren in der Regel vor der Zahlung entsichert.

Mit NFC und Karten-Pin (z. B. App der Deutschen Bank, Sparkassen-App)

Kunden entsichern die App oder nur ihr Gerät und halten zum Zahlen ihr Gerät an eine NFC-Kontakt­stelle. Zusätzlich müssen sie noch ab einem bestimmten Betrag die Pin ihrer Giro- oder Kreditkarte am Kassen­terminal eingeben.

Mit Einmal-Pin (z. B. Netto, Edeka)

Kunden geben in der App an, in welchem Laden sie zahlen möchten. Sie erhalten eine zeitlich begrenzte Einmal-Pin, die sie an der Kasse nennen oder über­tragen.

Mit Code (z. B. Payback, Bluecode)

Kunden öffnen zum Bezahlen die App und entsichern sie mit einer Pin oder einem biome­trischen Verfahren wie dem Finger­abdruck. Die App erzeugt einen QR- oder Strichcode, den Kunden an die Kontakt­stelle der Kasse halten.

Welche Apps welche Bezahl­systeme und Karten unterstützen

Geben Sie an, welche App Sie nutzen möchten. Unsere Über­sicht zeigt Ihnen, welches Bezahl­verfahren dafür in Frage kommt.

Welche Bezahl­verfahren mit welcher App möglich sind

Hier können Sie angeben, welches Bezahl­verfahren Ihre Bank Ihnen zur Verfügung stellt. Wir sagen Ihnen, welche App Sie nutzen können.

Unterschiedliche Technik

Hinter den Zahl­vorgängen, die an der Kasse mühelos aussehen, stecken unterschiedliche Technologien. Das Gros der Apps funk­tioniert über NFC-Schnitt­stellen. Die Abkür­zung NFC (Near Field Communication) steht für drahtlose Über­tragungs­technik, die auf Distanzen unter vier Zenti­metern funk­tioniert.

Die Kasse braucht eine NFC-Schnitt­stelle. Etwa 800 000 Stück gibt es in Deutsch­land bereits. Auch das verwendete Endgerät muss mit einem NFC-Chip ausgestattet sein, was bei älteren Handys nicht immer der Fall ist. Und schließ­lich muss die Bank oder Sparkasse des Kunden eine NFC-App unterstützen.

So kommt es, dass iPhone-Besitzer unter den Sparkassen­kunden bislang nicht Apple Pay nutzen, da die Sparkassengruppe noch nicht mit dem US-Unternehmen koope­riert. In wenigen Monaten soll es aber so weit sein.

Auch Google Pay funk­tioniert nicht auf iPhones.

Es klappt auch ohne NFC

Die Zahlung per NFC geht oft besonders zügig, da die Apps mit biome­trischen Merkmalen wie dem Finger­abdruck entsperrt werden. Bei Google Pay können Beträge unter 25 Euro bezahlt werden, wenn das Handy nur akti­viert ist. Es ist nicht nötig, eine App zu öffnen.

Auch unabhängig von NFC-Schnitt­stellen können Besitzer von vielen Smartphones und einigen Smartwatches an der Kasse zahlen. Einige App-Anbieter nutzen andere Technologien (siehe oben).

Hoher Schutz gegen Betrug

Seit dem 14. September 2019 schreibt die Europäische Union (EU) für bargeldlose Zahlungen die Zwei-Faktor-Authentifizierung vor. Es sind mindestens Elemente aus zwei von drei Kategorien einzusetzen: Die Pin-Nummer ist ein Beispiel aus der Kategorie Wissen. Beim Bezahlen mit Apps eignet sich das jeweilige Gerät, also das Smartphone oder die Smartwatch, als Element aus der Kategorie Besitz. Außerdem kommen biome­trische Verfahren wie das Entsperren durch Finger­abdruck oder die Gesichts­erkennung infrage. Sie fallen in die dritte Kategorie Inhärenz.

Die von uns untersuchten Bezahl-Apps setzen die EU-Vorgaben um. Kreditkarten- oder Konto­nummer der Kunden bleiben stets geheim: Zahlungs­daten sichert die sogenannte Tokenization ab (Glossar).