Kontaktlos bezahlen: NFC, Apple Pay, Google Pay

Kontaktloses Bezahlen ist in wenigen Jahren vom Ausnahmefall zum Standard geworden. An der Kasse dauert eine Zahlung dadurch selten länger als drei Sekunden. Was dabei technisch passiert, verstehen die wenigsten — dabei ist es genau dieses Verständnis, das die Frage beantwortet, wie sicher das Ganze eigentlich ist.

NFC in einem Satz

NFC steht für „Near Field Communication”. Es ist ein Funkstandard, der auf einer Frequenz von 13,56 MHz arbeitet und Daten über eine Distanz von wenigen Zentimetern austauscht — typisch 2 bis 4 cm. Weiter reicht das Feld physikalisch nicht, weil die Antennen im Terminal und in Ihrer Karte für so kurze Distanzen ausgelegt sind.

Genau diese Kurzreichweite ist ein zentrales Sicherheitsmerkmal. Anders als bei WLAN oder Bluetooth kann ein Angreifer nicht aus mehreren Metern Entfernung „mitschneiden” oder Zahlungen auslösen — dazu müsste er die Karte praktisch berühren.

Was auf der Karte passiert

Physisch sitzt in Ihrer Kreditkarte ein winziger Chip mit Antenne. Wenn das Terminal sein Feld aufbaut, wird der Chip induktiv mit Strom versorgt — die Karte braucht keine eigene Batterie. Über das EMV-Contactless-Protokoll (der Standard für sichere Chip-Zahlungen) tauschen Karte und Terminal:

1. Eine Karten-Identifikation
2. Kryptographische Signaturen (jede Zahlung ist einzeln signiert)
3. Betragsbestätigung

Wichtig: Es wird nicht die statische Kartennummer allein übertragen. Bei jeder Transaktion generiert der Chip einen einmaligen kryptographischen Wert — eine Art digitalen Fingerabdruck der konkreten Zahlung. Wer diesen Wert abhört, kann damit keine zweite Zahlung auslösen.

Das 50-€-Limit und die PIN-Regel

In der EU dürfen kontaktlose Kartenzahlungen bis zu 50 € pro Transaktion ohne PIN freigegeben werden. Größere Beträge verlangen zwingend Ihre PIN oder eine andere starke Authentifizierung.

Zusätzlich greift eine kumulative Regel aus PSD2 (Zweite Zahlungsdiensterichtlinie): Nach fünf aufeinanderfolgenden PIN-freien Kontaktloszahlungen oder wenn Sie insgesamt 150 € kontaktlos ohne PIN ausgegeben haben, fordert das Terminal wieder eine PIN — auch für kleine Beträge. Diese Zähler setzen sich zurück, sobald Sie einmal per PIN autorisiert haben.

Sinn der Regelung: geringes Risiko bei Kleinbeträgen, aber ein wirksamer Riegel gegen serielle Kleinzahlungen aus einer gestohlenen Karte.

Mehr zur Sicherheitsarchitektur dahinter finden Sie in unserem Artikel Kartensicherheit: 3-D Secure, CVV, PIN und Tokenisierung.

Karte-NFC vs. Handy-Wallet: der zentrale Unterschied

Wer mit seiner Kreditkarte kontaktlos zahlt, überträgt einen Einmalcode auf Basis seiner realen Kartennummer (PAN). Wer dagegen mit dem Handy zahlt — Apple Pay, Google Pay, Samsung Wallet — überträgt einen Token.

Was ist ein Token? Ein Token ist eine Ersatzkartennummer, die nur für dieses eine Gerät und diesen einen Nutzer gültig ist. Fachsprache: Device Account Number (DAN). Beispiel: Ihre echte Kartennummer beginnt mit 5432 1098 7654 3210. Auf Ihrem iPhone wird stattdessen ein Token gespeichert, der zwar auch 16-stellig aussieht (etwa 5432 1099 5555 4444), aber ausschließlich Ihr Gerät identifiziert.

Wenn Sie mit dem Handy zahlen, sendet das Gerät den Token plus einen einmaligen Sicherheitscode ans Terminal. Der Händler sieht Ihre echte Kartennummer nicht — und kann sie auch nicht speichern. Bei einem Datenleck beim Händler ist der Token wertlos: Er funktioniert nur mit Ihrem entsperrten Gerät.

Dieses Verfahren nennt sich Tokenisierung und ist ein wesentlicher Grund, warum Mobile-Wallet-Zahlungen als sicherer gelten als klassische Kartenzahlungen.

Wo der Token gespeichert wird: SE und HCE

Apple und Google gehen technisch unterschiedliche Wege, wie sie den Token auf dem Gerät sichern.

Secure Element (SE). Ein separater, manipulationssicherer Chip im Gerät. Apple setzt auf ein integriertes SE im A/M-Chip. Der Token verlässt diesen Chip nie unverschlüsselt.

Host Card Emulation (HCE). Der Token liegt in einer geschützten Software-Umgebung (Trusted Execution Environment) und wird vom Betriebssystem verwaltet. Google Pay nutzt HCE.

Beide Ansätze gelten nach heutigem Stand als sicher, wenn der Nutzer die üblichen Grundregeln beachtet: Bildschirmsperre aktiv, Betriebssystem aktuell, keine Root/Jailbreak-Manipulationen.

Authentifizierung: Biometrie ersetzt die PIN

Bei einer kontaktlosen Kartenzahlung schützt die 50-€-Grenze vor Missbrauch. Beim Handy-Bezahlen greift stattdessen eine starke Kundenauthentifizierung (SCA nach PSD2) — bei jeder Zahlung.

• iPhone: Face ID oder Touch ID freigibt die Zahlung.
• Android: Fingerabdruck, Face Unlock oder Geräte-PIN.
• Smartwatch: Handgelenkerkennung (die Uhr entriegelt sich, sobald Sie sie anlegen) und PIN-Eingabe zu Beginn des Tragens.

Weil jede Handy-Zahlung authentifiziert wird, entfällt das 50-€-Limit — Sie können mit Apple Pay oder Google Pay auch dreistellige Beträge ohne separate PIN-Eingabe am Terminal freigeben. Das Terminal weiß aus dem Zahlungsdatensatz, dass die Authentifizierung bereits auf dem Gerät stattgefunden hat.

Praktische Sicherheit im Alltag

Ein paar Aspekte, nach denen Nutzer häufig fragen:

Kann jemand mich in der U-Bahn abkassieren? Praktisch nein. Ein Zahlterminal muss registrierter Händler bei einem Acquirer sein. Selbst wenn ein Angreifer ein Terminal in die Menge hält, sehen Sie die Zahlung auf Ihrer Abrechnung — und können sie zurückbuchen lassen. Zusätzlich verhindert die kurze NFC-Reichweite (wenige Zentimeter) einfaches Abgreifen.

Sind RFID-Schutzhüllen sinnvoll? Für die statistische Alltagsrealität überflüssig. Wer sich sicherer fühlt, kann sie nutzen — verhindert wird damit nichts wesentliches, weil kontaktlose Zahlungen ohnehin durch das 50-€-Limit und die kryptographische Absicherung geschützt sind.

Zahlt meine Karte auch bei leerem Handy-Akku? Ja. NFC an der Kreditkarte funktioniert ohne Batterie — das Feld des Terminals versorgt den Chip. Nur bei reinen Handy-Wallets (ohne physische Karte) sind Sie auf Akku angewiesen. Ausnahme: iPhones mit „Reserve-Modus” halten Wallet-Zahlungen einige Stunden über den regulären Akku-Aus-Punkt hinaus verfügbar.

Wenn die Karte verloren geht

Bei Kartenverlust ist die kontaktlose Funktion die sensible Stelle bis zur Sperrung: Wer die Karte findet, kann bis zum 150-€-Kumulativ­limit ohne PIN zahlen. Zu Haftung und Sperrverfahren finden Sie Details im Ratgeber Kreditkarte verloren oder gestohlen: sperren, ersetzen, haften.

Wo NFC noch nicht funktioniert

In wenigen Situationen scheitert die Kontaktlos­zahlung — meist aus banalen Gründen:

• Der Händler hat den NFC-Empfänger im Terminal deaktiviert.
• Die Karte ist zu neu; einige Karten sind erst nach der ersten PIN-Zahlung „scharf”.
• Die Karte liegt zusammen mit anderen NFC-Karten in derselben Hülle — das Terminal erkennt zwei Signale und bricht ab.
• Das kumulative PIN-Limit ist überschritten.

FAQ

Wie weit reicht NFC?

Physikalisch wenige Zentimeter — typisch 2 bis 4 cm. Über größere Distanzen ist eine Kartenzahlung nicht möglich.

Warum manchmal PIN, obwohl der Betrag unter 50 € liegt?

Weil eine PSD2-Regel greift: Nach fünf PIN-freien Zahlungen oder 150 € kumuliert verlangt das Terminal wieder eine PIN — auch bei Kleinbeträgen. Nach einer PIN-Eingabe setzt sich der Zähler zurück.

Ist Apple Pay oder Google Pay sicherer als die Kartenzahlung?

Ja, in der Regel. Die Übertragung erfolgt über einen gerätespezifischen Token statt Ihrer echten Kartennummer. Zusätzlich wird jede Zahlung biometrisch autorisiert.

Kann ich mit Apple Pay Beträge über 50 € ohne PIN am Terminal zahlen?

Ja. Die 50-€-Regel gilt nur für Kartenzahlungen ohne separate Authentifizierung. Weil Sie am Handy per Face ID/Touch ID authentifizieren, entfällt die zusätzliche PIN-Eingabe.

Muss ich meine Karte in die Wallet aufnehmen, um sie zu nutzen?

Nein. Die physische Karte funktioniert unabhängig. Die Wallet ist ein zusätzlicher Zahlweg — praktisch, aber nicht Pflicht.

---

Die Mancus Mastercard® ist eine echte Kreditkarte mit Verfügungsrahmen und wird von der Multitude Bank p.l.c. ausgegeben. Mehr über die Karte erfahren.