Mit dem Handy bezahlen: Sicherheit, Grenzen und Ihre Rechte

Kontaktlos mit der Karte zu bezahlen ist an der Kasse längst Alltag. Mit dem Handy zögern viele noch. Das liegt selten an der Technik, oft an einem Bild im Kopf: Das Telefon funke die Kartendaten durch die Luft, und wer nah genug steht, fange sie ab. So funktioniert es nicht.

Dazu kommt Bewegung im Markt. Seit die EU-Kommission Apple zur Öffnung der NFC-Schnittstelle verpflichtet hat, gibt es auf dem iPhone mehr als einen Weg zum Bezahlen. NFC steht für Near Field Communication, also Funk über wenige Zentimeter.

Was zwischen Handy und Kasse übertragen wird

Das Entscheidende passiert, wenn Sie eine Karte im Wallet hinterlegen. Statt der Kartennummer speichert das Gerät eine Ersatznummer, die nur für dieses Gerät gilt – das Verfahren heißt Tokenisierung. Apple beschreibt, wo diese Gerätekontonummer liegt: im Secure Element, einem gesondert gesicherten Chip. Auf Apple-Servern oder in iCloud wird sie nicht gespeichert.

Bei jeder Zahlung erzeugt das Gerät zusätzlich einen dynamischen Sicherheitscode, der nur für diese eine Transaktion gilt. Händler bekommen die echte Kartennummer nach Apple-Angaben nie zu sehen. Google Wallet setzt eine eingerichtete Displaysperre voraus und verlangt vor dem Bezahlen eine Bestätigung per PIN, Muster, Passwort oder sicherer Biometrie. Die Funkstrecke ist kurz: Laut girocard, dem Kartensystem der deutschen Banken und Sparkassen, liegt sie typischerweise bei einem bis vier Zentimetern.

Auch beim Datenschutz steht das Handy nicht schlechter da als die Karte. Die Transaktion bleibt nach Apple-Angaben zwischen Ihnen, dem Händler und Ihrer Bank; Apple selbst speichert nur anonyme Transaktionsinformationen wie den ungefähren Kaufbetrag. Beim Hinzufügen einer Karte prüft die Bank Angaben zur Karte und zum Gerät, etwa ob bestimmte Geräteeinstellungen aktiv sind.

Warum das Handy auch über der 50-Euro-Grenze keine PIN braucht

Für elektronische Zahlungen schreibt das Zahlungsdiensteaufsichtsgesetz (ZAG) eine starke Kundenauthentifizierung vor. Gemeint sind zwei voneinander unabhängige Elemente aus den Kategorien Wissen, Besitz und Inhärenz – also etwas, das nur Sie wissen, haben oder sind. Bei der Plastikkarte sind das Karte und PIN. Für kleine kontaktlose Beträge gibt es Ausnahmen: Laut girocard ist bis 50 Euro in der Regel keine PIN nötig.

Nach mehreren Zahlungen in Folge kann das Terminal die PIN trotzdem verlangen. Das schützt vor dem Missbrauch einer verlorenen Karte. Beim Handy sind beide Elemente dagegen schon erbracht, bevor es ans Terminal geht: Besitz durch das Gerät mit der hinterlegten Karte, Inhärenz oder Wissen durch Gesicht, Fingerabdruck oder Gerätecode. Deshalb fragt das Terminal beim Handy in der Regel auch bei größeren Beträgen nicht nach der Karten-PIN.

Für den Wocheneinkauf ist das Handy damit oft schneller als die Karte. Eine Besonderheit hat Android: Bei Google Wallet gilt eine Bestätigung laut Google für eine gewisse Zeit, danach ist bei der nächsten Zahlung eine neue fällig. Für Tickets im Nahverkehr lässt sich die Bestätigung abschalten, für Zahlungen nicht.

Welche Wege es auf iPhone und Android gibt

Auf Android-Geräten stehen neben dem Wallet des Systems seit Jahren auch Banking-Apps mit eigener Bezahlfunktion offen. Auf dem iPhone war die NFC-Schnittstelle lange Apple Pay vorbehalten. Am 11. Juli 2024 hat die EU-Kommission Zusagen von Apple für verbindlich erklärt, die das ändern. Andere Anbieter erhalten seitdem kostenlos Zugang zur NFC-Funktion, und Nutzer können eine andere App als Standard für Zahlungen festlegen.

Die Zusagen gelten zehn Jahre im gesamten Europäischen Wirtschaftsraum. Rechtsgrundlage war ein Kartellverfahren wegen des Missbrauchs einer marktbeherrschenden Stellung nach Artikel 102 AEUV – nicht der Digital Markets Act, wie oft zu lesen ist. Für Kundinnen und Kunden zählt vor allem, was ihre Bank daraus macht.

Welche Wege Ihnen offenstehen, hängt nach Angaben von girocard von Bank, Kartenmodell und Gerät ab. Kreditkarten lassen sich bei vielen Banken direkt im Wallet des Systems hinterlegen. Unterschiede der Systeme beschreibt der Vergleich iPhone oder Android.

Einrichten und für den Verlust vorsorgen

Der letzte Schritt ist der, der im Ernstfall zählt. Auf dem iPhone sperrt der Modus „Verloren“ in „Wo ist?“ auch Apple Pay; Karten lassen sich zusätzlich über die Seite Ihres Apple Accounts entfernen. Bei Android markieren Sie das Gerät in „Mein Gerät finden“ als verloren. Beides funktioniert nur, wenn die Gerätesuche vorher eingerichtet war – wie das geht, steht im Ratgeber Handy orten.

Beim Gerätewechsel ziehen hinterlegte Karten nicht mit: Sie werden auf dem neuen Gerät neu hinterlegt und auf dem alten entfernt. Die ganze Übergabe steht im Ratgeber altes Handy verkaufen.

Wenn eine Zahlung nicht von Ihnen stammt

Für Zahlungen, die Sie nicht autorisiert haben, ist das Bürgerliche Gesetzbuch eindeutig. Die Bank muss den Betrag erstatten, und zwar unverzüglich, spätestens bis zum Ende des Geschäftstags nach Ihrer Meldung (§ 675u BGB). Ihr Eigenanteil bei einem verlorenen, gestohlenen oder missbrauchten Zahlungsmittel beträgt höchstens 50 Euro (§ 675v BGB). Er entfällt ganz, wenn Sie den Verlust vorher nicht bemerken konnten, wenn die Bank keine starke Kundenauthentifizierung verlangt hat und für alle Zahlungen nach Ihrer Sperrmeldung.

Ein Rechenbeispiel mit angenommenen Beträgen: Ein Dieb zahlt mit Ihrer gestohlenen Karte dreimal je 40 Euro kontaktlos, bevor Sie die Karte sperren lassen. Von den 120 Euro tragen Sie höchstens 50 Euro, die übrigen 70 Euro muss die Bank erstatten. Konnten Sie den Diebstahl vor den Zahlungen gar nicht bemerken, tragen Sie nichts. Mit dem Handy wäre es so weit kaum gekommen, weil ohne Freigabe am Gerät keine Zahlung möglich ist.

Die Grenze hat eine Kehrseite: Wer betrügerisch handelt oder vorsätzlich oder grob fahrlässig gegen seine Sorgfaltspflichten verstößt, haftet voll. Dazu kann zählen, den Gerätecode zusammen mit dem Handy aufzubewahren oder einen bemerkten Verlust tagelang nicht zu melden. Melden müssen Sie unberechtigte Abbuchungen unverzüglich; spätestens 13 Monate nach der Belastung erlöschen Ihre Ansprüche (§ 676b BGB). Karten und Online-Banking sperren Sie rund um die Uhr über den Sperr-Notruf 116 116, aus dem Ausland unter +49 116 116 oder +49 30 4050 4050.

Zum Schluss ein Wort zu NFC selbst: Abschalten bringt kaum Sicherheit, weil Zahlungen ohnehin eine Freigabe am Gerät brauchen – ausgenommen ausdrücklich freigeschaltete Nahverkehrstickets. Dieselbe Funktion braucht man für digitale Fahrscheine, Zutrittskarten und das Auslesen des Personalausweises, mehr dazu im Ratgeber Ausweis auf dem Handy.

Quellen und Stand

• EU-Kommission: Kommission akzeptiert Verpflichtungszusagen von Apple zur Öffnung der „tap and go“-Funktion auf iPhones – Pressemitteilung vom 11. Juli 2024
• Apple Support: Übersicht zu Sicherheit und Datenschutz bei Apple Pay
• Google Wallet-Hilfe: Identität für Kaufabschluss bestätigen
• Google Android-Hilfe: Verlorenes Android-Gerät orten, sperren oder Daten darauf löschen
• girocard: Wie funktioniert kontaktlos bezahlen? (16. Juli 2026), Mit Smartphone bezahlen (11. September 2026) und Digitale girocard
• Sperr-Notruf 116 116: Sperr-Notruf – Erreichbarkeit rund um die Uhr und aus dem Ausland
• Bundesministerium der Justiz: § 1 ZAG (Begriff der starken Kundenauthentifizierung) und § 55 ZAG
• Bundesministerium der Justiz: § 675u BGB, § 675v BGB und § 676b BGB
• ESET: NGate Android malware relays NFC traffic to steal cash (22. August 2024)

Geprüft am 4. Oktober 2026. Betragsgrenzen und PIN-Abfragen legen Banken und Kartensysteme fest; maßgeblich sind die Bedingungen Ihrer Bank.

Häufige Fragen

Funktioniert Bezahlen mit dem Handy ohne Internet?

Meist ja, denn die Verbindung zum Zahlungsnetz stellt das Terminal her, nicht Ihr Handy. Auf dem iPhone liegen die Zahlungsdaten im Secure Element des Geräts. Bei manchen Android-Lösungen lädt das Gerät Einmalschlüssel aus dem Netz nach; ohne Verbindung sind dann nur einige Zahlungen hintereinander möglich.

Kostet das Bezahlen mit dem Handy Gebühren?

Für Kundinnen und Kunden in aller Regel nicht; es gelten die Bedingungen der hinterlegten Karte. Die Kosten für die Kartenzahlung trägt der Händler. Achten Sie nur bei Kreditkarten mit Fremdwährungsentgelt darauf, was bei Zahlungen im Ausland anfällt.

Ist Bezahlen mit der Smartwatch genauso sicher?

Es folgt demselben Prinzip: Die Uhr speichert eine eigene Ersatznummer und braucht eine Displaysperre. Zahlungen gibt sie nur frei, solange sie nach dem Entsperren am Handgelenk bleibt; wird sie abgenommen, verlangt sie wieder den Code.