Kartenzahlung: Warum Transaktionen mit Apple Pay sicherer sind als mit physischen Karten

Der Bezahldienst von Apple arbeitet mit der NFC-Schnittstelle. Beim iPhone handelt es sich dabei um aktives NFC, während eine aktuelle Kredit- oder Debitkarte mit passivem NFC ausgerüstet ist. Die physische Karte kann man deshalb nur auslesen, wenn sie in Kontakt mit einem aktiven elektrischen Feld gebracht wird. Ein solches Feld erzeugen auch die Kartenlesegeräte an der Ladenkasse.

Das iPhone-NFC hat dabei eine Reichweite von ca. zehn Zentimetern. Bei physischen Karten liegt diese bei ca. vier Zentimetern. So nah muss ein potenzieller Betrüger an die Karte, die man vielleicht im Geldbeutel in der Gesäßtasche verstaut hat, heran. Dann gibt es aber keine weitere Hürde mehr, da die Karte ja passiv ist und munter alle Daten sendet. Wenn ein Angreifer beispielsweise mit einem Lesegerät hinter einem läuft kann er so kleine Beträge abbuchen, da für kleinere Summen bis zu einer Grenze von 25 bis 50 Euro keine Bestätigung des Kartenbesitzers notwendig ist.

Hier liegt der erste große Vorteil der Kartenzahlung mit dem Smartphone, da diese auf dem iPhone nur aktiviert wird, wenn man zweimal die Seitentaste drückt und den Vorgang via Touch ID oder Face ID bestätigt. Passives Auslesen, das man mit einem RFID-Blocker (Angebote von Amazon) unterbinden kann, ist mit der Wallet nicht möglich.

Der meiner Meinung nach größte Pluspunkt, den Zahlungen via Apple Pay mitbringen, ist die vollständige Anonymisierung der persönlichen Daten gegenüber des Händlers. Nutzt man die Kartenzahlung mit der physischen Karte, werden beim Bezahlvorgang alle notwendigen Daten wie der Name oder die Kartennummer an den Händler übertragen. Kommt es da zu einem Datenleck, liegen die eigenen Daten offen und sind nicht vor Missbrauch geschützt.

Apple Pay und auch die Wallet von Google gehen hier einen anderen Weg. Beim Einrichten einer neuen Karte in der Wallet wird eine Pseudo-Kartennummer, die mit anderen Daten wie zum Beispiel der hinterlegten Handynummer oder dem Gerätenamen verknüpft ist, im sogenannten „Secure Element“ auf dem Gerät gespeichert. Bei Apple heißt der Chip, der vom restlichen System isoliert ist, „Secure Enclave“.

Die in der „Secure Enclave“ gespeicherte Karte wird mit allen zugehörigen Daten als „Device Account Number“ bzw. „Gerätekontonummer“ zusammengefasst. Zahlt man an der Kasse mit Apple Pay, erhält der Händler lediglich die „Device Account Number“, die während des Bezahlvorgangs mit der Bank abgeglichen wird. Dort wurde die Nummer beim Einrichten in der Wallet registriert.

Auch wenn die beiden beschriebenen Vorteile auch zusammen mit Android-Telefonen funktionieren, gibt es zwischen Google und Apple einen wesentlichen Unterschied. Die „Secure Enclave“ des iPhones konnte bisher noch nicht geknackt werden. Der Chip sitzt als separates Bauteil auf dem Logic Board und hielt bis jetzt jedem Versuch stand, Daten durch Unbefugte auszulesen.

Auf Android-Smartphones sieht es da etwas anders aus, denn nicht jedes aktuelle Gerät verfügt über einen solchen Chip. Zwar gehen immer mehr Hersteller dazu über, Apples System der „Secure Enclave“ zu übernehmen. Doch vor allem auf günstigeren Smartphones übernimmt die Funktion oft der Prozessor oder gar die SIM-Karte.

Darüber hinaus landen die Daten von Google-Handys in nahezu jedem Fall auch auf den Servern des Suchmaschinenbetreibers. Wer Apple Pay im Einsatz hat, kann sich dagegen sicher sein, dass alle Daten lokal in der „Secure Enclave“ verbleiben.