Mobiles Bezahlen: Sicherheit, Haftung und Grenzen

Handy ans Terminal halten, Gesicht zeigen, fertig. Mobiles Bezahlen wirkt beiläufiger als die Karte – ist aber technisch der sicherere Weg, und rechtlich sind Sie genauso geschützt.

Was beim Bezahlen wirklich übertragen wird

Beim Einrichten wird die Kartennummer nicht auf dem Gerät gespeichert, sondern durch eine gerätegebundene Ersatznummer ersetzt – einen Token. Beim Bezahlen übermittelt das Handy per NFC diesen Token zusammen mit einem einmaligen Sicherheitscode.

Daraus folgen zwei praktische Konsequenzen: Der Händler bekommt Ihre echte Kartennummer nie zu sehen, und ein abgegriffener Token ist außerhalb Ihres Geräts wertlos. Wird das Gerät gesperrt, wird nur der Token ungültig – die Karte selbst bleibt nutzbar.

Die Freigabe ist gesetzlich vorgeschrieben

Der Zahlungsdienstleister muss eine starke Kundenauthentifizierung verlangen, wenn der Zahler online auf sein Konto zugreift, einen elektronischen Zahlungsvorgang auslöst oder über einen Fernzugang eine betrugsanfällige Handlung vornimmt (§ 55 Absatz 1 ZAG). Bei elektronischen Fernzahlungen muss die Authentifizierung zudem Elemente enthalten, die den Vorgang dynamisch mit Betrag und Empfänger verknüpfen (§ 55 Absatz 2 ZAG).

Genau das leistet die Freigabe per Fingerabdruck oder Gesichtserkennung: Sie kombiniert Besitz (das Gerät) mit Inhärenz (das biometrische Merkmal). Die technischen Details zur Kartenzahlung im Netz stehen unter 3D Secure.

Wenn das Handy weg ist

Die Haftungsregeln sind dieselben wie bei der Karte: Für nicht autorisierte Zahlungen vor der Sperranzeige haften Sie mit höchstens 50 Euro, danach mit nichts mehr; bei grober Fahrlässigkeit oder Vorsatz in voller Höhe (§ 675v BGB). Nicht autorisierte Zahlungen muss die Bank unverzüglich erstatten, spätestens am Geschäftstag nach Ihrer Anzeige (§ 675u BGB).

Die Reihenfolge bei Verlust:

1. Gerät aus der Ferne sperren und orten – über den Dienst des Geräteherstellers. Damit ist der Token in der Regel sofort unbrauchbar.
2. Zahlungsmittel sperren lassen, wenn Zweifel bestehen: Sperr-Notruf 116 116, aus dem Ausland +49 116 116. Er sperrt auch die SIM-Karte.
3. Abrechnung prüfen und unbekannte Umsätze schriftlich reklamieren.

Ein Vorteil gegenüber der physischen Karte: Wer nur das Handy verliert, muss die Karte nicht zwingend sperren lassen und bekommt keine neue Kartennummer. Was bei echtem Kartenverlust gilt, steht unter Kreditkarte verloren oder gestohlen.

Was es kostet

• Keine Zusatzgebühr für das Bezahlen selbst – weder beim Kunden noch als Aufschlag an der Kasse. Händler dürfen für Karten- und Mobilzahlungen im SEPA-Raum kein gesondertes Entgelt verlangen.
• Die Konditionen der hinterlegten Karte gelten weiter. Ein Fremdwährungsentgelt fällt auch dann an, wenn per Handy gezahlt wird – siehe Kreditkarte im Ausland.
• Debit oder Kredit macht einen Unterschied. Je nachdem, welche Karte hinterlegt ist, wird sofort vom Konto abgebucht oder monatlich abgerechnet – der Vergleich steht unter Debitkarte oder Kreditkarte.

Grenzen und Stolpersteine

• Nicht jede Bank, nicht jede Karte. Ob Ihre Karte unterstützt wird, hängt vom Kartenherausgeber ab – bei manchen Instituten funktioniert nur die eigene Banking-App, nicht der Dienst des Geräteherstellers.
• Leerer Akku, kein Bezahlen. Eine physische Karte als Reserve gehört ins Portemonnaie, gerade auf Reisen.
• Mietwagen und Hotelkaution verlangen fast immer die physische Karte mit geprägter Nummer – mobiles Bezahlen hilft dort nicht.
• Die Ausgabenkontrolle leidet. Weil die Zahlung so beiläufig ist, fallen kleine Beträge weniger auf. Push-Benachrichtigungen für jede Buchung sind das einfachste Gegenmittel.
• Kein Freibrief bei Nachlässigkeit. Wer die Gerätesperre deaktiviert oder Fremden die Biometrie hinterlegt, riskiert den Vorwurf der groben Fahrlässigkeit – und damit die volle Haftung.

Drei Einstellungen, die sich lohnen

1. Push-Benachrichtigung für jede Transaktion aktivieren. Missbrauch fällt dann in Minuten auf statt bei der Monatsabrechnung.
2. Bezahlen ohne Entsperren deaktivieren. Manche Geräte erlauben Zahlungen vom Sperrbildschirm – bequem, aber genau der Fall, in dem ein gefundenes Handy zahlt.
3. Limits setzen. Ein Tages- oder Transaktionslimit begrenzt den Schaden, auch wenn die Haftung ohnehin bei 50 Euro endet.

Wer ohnehin gerade die Karten sortiert: Welche Karte sich für welchen Zweck eignet, steht unter kostenlose Kreditkarte und Reisekreditkarte. Und wenn eine Zahlung strittig ist, hilft der Ratgeber Chargeback weiter.

Die Haftungsregeln gelten auch für Zahlungen per Smartphone – siehe nicht autorisierte Kartenzahlung.

Entscheidend ist die zugrunde liegende Karte, nicht das Gerät – mehr unter Gebühr bei Kartenzahlung.