Apple Pay

Apple Pay ist ein bargeldloses, auf Sicherheit und Schutz der persönlichen Daten optimiertes Zahlungssystem des Unternehmens Apple für hauseigene, mobile Geräte, das von immer mehr Händlern, Akzeptanzstellen und Banken in mittlerweile über 40 Ländern unterstützt wird.

Bargeldlos zahlen ist bequem. Immer mehr Menschen zahlen mit Karte statt mit Bargeld. Und immer häufiger wird dabei sogar kontaktlos gezahlt: Die Daten werden per NFC (Near Field Communication) an das Bezahlterminal übertragen. Doch die Bequemlichkeit hat auch ihren Preis: Wird die Kredit- oder Bankkarte gestohlen oder geraten die Daten in die Hände von Hackern, dann sind betrügerischen Abbuchungen Tür und Tor geöffnet. Das Problem: Für jede Transaktion bleiben die Kartendaten und die PIN gleich, das Handler-Terminal benötigt aber genau diese Daten, um die Transaktion durchzuführen.

Bei Apple Pay ist das anders: Nachdem der Nutzer seine (unterstützte) Kredit- oder Bankkarte in die zugehörige digitale Wallet eingetragen und authorisiert hat, wird eine DAN (Device Account Number) erzeugt und in einem sicheren Speicherbereich („secure enclave“) abgelegt. Diese DAN ist spezifisch für das Gerät und das verwendete Zahlungsmittel – und sie kann nur von diesem einen Gerät genutzt werden.

Bei einer Zahlung über Apple Pay wird diese DAN per NFC an das Händlerterminal und von dort an das Bankennetzwerk übertragen. Hier wird überprüft, ob mit der DAN eine gültige Kreditkarten- oder Kontonummer verknüpft ist und ob das verwendete Gerät (z.B. iPhone oder Apple Watch) für die Verwendung der DAN autorisiert ist. Ist dies der Fall, wird die Transaktion freigegeben und der Händler kann den Zahlungsbetrag anfordern, sieht aber niemals die tatsächlichen Kreditkarten- oder Kontodaten.

Selbst wenn die übermittelten Daten kopiert werden, sind sie zudem für Hacker wertlos, da sie weder personenbezogene Daten enthalten noch auf einem anderen Gerät verwendet werden können (da die DAN eine device- bzw. geräteabhängige, generierte Nummer darstellt). Über kryptographische Verfahren wird zudem sichergestellt, dass der Nutzer die Transaktion nicht mit einer dauerhaft gültigen PIN bestätigt, sondern das verwendete Gerät nach biometrischer Verifikation (Fingerabdruck, bei Apple Touch ID genannt, oder Gesichtserkennung, gemäß Apple-Nomenklatur Face ID) eine jeweils transaktionsspezifische TAN generiert und mit dem Bankennetzwerk austauscht. Auch diese abzufangen ist damit wertlos, da sie nur für die aktuelle Transaktion gültig ist.

Damit ergibt sich im Vergleich zur klassischen kontaktlosen Kartenzahlung eine hohe Sicherheit für den Nutzer. Sollte z.B. das iPhone gestohlen werden, so kann der Dieb bei Apple Pay aufgrund der biometrischen Absicherung trotzdem keine Zahlungen autorisieren. Auch kann der Nutzer seine Zahlungsmittel jederzeit aus der Wallet entfernen und damit die generierte DAN sperren. Richtet er z.B. die gleiche Kreditkarte auf einem anderen iPhone ein, so ergibt sich automatisch eine neue DAN.

Apple Pay ist damit ein sehr sicheres und gegenüber dem Händler relativ anonymes kontaktloses Zahlungsverfahren. Kritisch sehen einige Experten vor allem, dass das System nur mit Geräten von Apple genutzt werden kann und dass sich die Banken und Kreditkartenorganisationen aktiv dafür entscheiden müssen, an dem System teilzunehmen. Dem ersten Kritikpunkt kann damit begegnet werden, dass das System auf der „secure enclave“ und den biometrischen Verfahren Touch ID bzw. Face ID aufbaut, die nur von modernen Apple-Geräten unterstützt werden. Der zweite Kritikpunkt allerdings betrifft die Banken selbst, die zum Teil lange zögern und (wie im Fall der deutschen Sparkassen) lange Zeit (vergeblich) versucht haben, ihr eigenes, wesentlich nutzerunfreundliches System im Markt zu etablieren, das auch noch an nationalen Grenzen stoppte.

(Bild von Mohamed Hassan auf Pixabay)