Online und mobil bezahlen

Wie Sie mobil und online bezahlen können, welche Betrugsarten es dabei gibt und wie Sie sich schützen können, erfahren Sie hier.

Hand hält ein Smartphone an ein Kartenlesegerät, auf dem Display erscheint die Bestätigung der Zahlung

Digitale Karten auf mobilen Geräten

Mit Smartphone oder Wearables können Verbraucherinnen und Verbraucher in einem Geschäft mobil bezahlen, indem sie das jeweilige Gerät kurz an das Bezahlterminal halten. Die Zahlungskarte muss dafür auf dem jeweiligen Gerät hinterlegt sein. Um online zu bezahlen, benötigen Sie ebenfalls eine Debit- oder Kreditkarte.

Mobiles Bezahlen funktioniert sowohl mit Ihrem Smartphone als auch mit Wearables (z. B. Smartwatches) an der Kasse, über In-App-Käufe oder die Integration in Banking-Apps. Dank Near Field Communication (NFC) müssen Sie Ihr Gerät lediglich an das Kartenlesegerät halten, um eine Transaktion abzuschließen. Eine PIN-Eingabe ist nicht mehr nötig, die Zahlung wird in der Regel durch Biometrie (z. B. Gesichtserkennung oder Fingerabdruck) freigeschaltet.

Zum mobilen Bezahlen können Sie Ihre Bezahlkarte in Wallets wie Apple Pay oder Google Pay hinterlegen, sofern Ihr kartenausgebendes Institut Zahlungen mit Apple Pay oder Google Pay ermöglicht. Das können Sie herausfinden, indem Sie entweder auf der Website Ihrer Bank oder Sparkasse danach suchen oder versuchen, eine Karte der digitalen Wallet hinzuzufügen.

Beim iPhone die Einstellungen öffnen → Wallet & Apple Pay auswählen → Karte hinzufügen, dem Assistenten folgen und schauen, ob das Institut in der Liste steht bzw. sich hinzufügen lässt.
Bei einem Android-Gerät die Google Wallet oder die Google Pay App öffnen, auf „Karte hinzufügen“ tippen, die Kartendaten eingeben oder die Karte scannen. Wenn die Karte akzeptiert wird, ist sie ist für das mobile Bezahlen mit Google Pay zugelassen.

Nach Hinzufügen der Zahlungskarte in Apple Pay oder Google Pay können Sie ganz einfach mit dem Handy mobil bezahlen. Vertrauliche Daten Ihrer Debit- oder Kreditkarte werden im Smartphone nicht gespeichert. Stattdessen erzeugt Ihr Institut neue Daten für das Gerät, einen sogenannten Token, der es dem Institut ermöglicht, das Smartphone der hinterlegten Karte zuzuordnen.

Alternativ können Sie Ihre Karten in Apps von Händlerinnen und Händlern hinterlegen und so mobiles Bezahlen per App nutzen. Die Integration in Händler-Apps ermöglicht beispielsweise die Zahlung über das Scannen eines optischen Bezahlcodes im Handel. Der Bezahlvorgang wird innerhalb der App angestoßen und erfolgt dann direkt dort oder durch das Vorhalten eines Barcodes beziehungsweise QR-Codes vor den Kassenscanner.

Ziel von Kriminellen ist es, in den Besitz von Kartendaten zu gelangen, um die jeweilige Kredit- oder Debitkarte für das mobile Bezahlen mit Diensten wie Apple Pay oder Google Pay auf ihren eigenen Geräten zu aktivieren. Nach dieser Aktivierung können Kriminelle mit Ihrem Smartphone in Geschäften bezahlen und die Abbuchung des Rechnungsbetrages erfolgt auf dem Konto des Opfers.

Durch Phishing oder Diebstahl gelangen Betrügerinnen und Betrüger in den Besitz der Kartendaten und benötigen nun einen zweiten Faktor – also einen Aktivierungscode oder eine TAN, um die Karte einsetzen zu können.

Die kartenausgebende Bank bzw. Sparkasse schickt Code oder TAN an das Smartphone des Kontoinhabers oder der Kontoinhaberin. Über Phishing versuchen die Betrügerinnen und Betrüger, an diese Daten zu gelangen.

Werden Code oder TAN an die Betrügerinnen und Betrüger gegeben, können diese künftig mit der Karte mobil bezahlen.

Die PIN der Karte benötigen sie nicht, da die Zahlung in der Regel mit biometrischen Faktoren der Betrügerinnen und Betrüger auf deren Smartphone freigeschaltet wird.

Vorsicht vor unerwarteten Nachrichten mit Links oder Aufforderungen zur Eingabe von Zugangs- oder Zahlungsdaten.
Überprüfen Sie jede erhaltene Nachricht aufmerksam. Das gilt insbesondere für Nachrichten mit Aktivierungs- oder Bestätigungscodes (TANs).
Klicken Sie nicht auf Links in Nachrichten, die Sie nicht selbst angefordert haben.
Geben Sie auch per Anruf von vermeintlichen Bank- bzw. Sparkassen-Mitarbeitenden keine Zugangs- oder Zahlungsdaten heraus. Besser auflegen und die Bank über die offizielle Rufnummer zurückrufen.
Kontrollieren Sie regelmäßig Ihr Konto auf ungewöhnliche Transaktionen – nutzen Sie auch die Möglichkeit, sich über Transaktionen informieren zu lassen (per Push-Nachricht).

Für Zahlungen im Onlinehandel mit Debit- oder Kreditkarten benötigen Sie:

Ihre Kartennummer (PAN),
den Namen des Karteninhabers beziehungsweise der Karteninhaberin,
das Kartengültigkeitsdatum,
teilweise bei Zahlungen mit Kreditkarten die auf der Karte aufgedruckte Kreditkartenprüfnummer (Card Validation Code, kurz „CVC“).

Ältere Frau tippt auf ihrem Smartphone auf die Produktseite eines Online-Shops

Der Zahlungsdienstleister erzeugt aus den Kartendaten einen Token, der beim Bezahlvorgang genutzt wird. Durch diese Tokenisierung wird lediglich der Token zur Abwicklung von Einkäufen genutzt bzw. im Kundenkonto gespeichert, nie Ihre Kartendaten. Wird die gleiche Karte bei mehreren Onlineshops bzw. in mehreren Bezahl-Apps verwendet, wird jedes Mal ein neuer Token erzeugt.

Sollte ein Token in die Hände von Betrügerinnen und Betrügern geraten, kann dieser den Token nur bei dem entsprechenden Onlineshop oder über die entsprechende Bezahl-App verwenden. Dies schränkt die Möglichkeiten des Missbrauchs eines Tokens im Vergleich zur PAN ein.

Im Online-Handel können die Sicherheitsmerkmale der physischen Karte nicht überprüft werden, daher bedarf es eines zusätzlichen Sicherheitsverfahrens, um sicher online bezahlen zu können. Die starke Kundenauthentifizierung stellt sicher, dass Sie auf Ihr Konto zugreifen bzw. mit Ihrer Karte bezahlen. Dafür werden bei Zahlungsvorgängen zwei Faktoren zur Authentifizierung benötigt. Diese müssen aus zwei der drei folgenden Kategorien stammen:

Wissen – etwas, das Sie wissen, z. B. Passwort, PIN
Besitz – etwas, das Sie haben, z. B. Smartphone, TAN-Generator
Inhärenz – etwas, das Sie sind, z. B. Fingerabdruck, Gesichtserkennung

Eine Form der Zwei-Faktor-Authentifizierung für Kredit- und Debitkartenzahlungen im Internet ist 3D-Secure, ein weltweiter Sicherheitsstandard für Onlinehändlerinnen und -händler. Verbraucherinnen und Verbrauchern begegnet 3D-Secure unter Bezeichnungen wie „Visa Secure“ oder „Mastercard Identity Check“.

Die Registrierung für 3D-Secure wird in der Regel im Onlineportal Ihrer Bank oder Sparkasse angeboten. Nach erfolgreich abgeschlossener Registrierung können Sie einfach und sicher mit 3D-Secure bezahlen:

Sie geben die verlangten Karteninformationen wie gewohnt ein.
Es findet eine zusätzliche Sicherheitsabfrage statt. Das können Einmal-Passwörter, z. B. per SMS-TAN, oder biometrische Faktoren sein. Mit diesem zweiten einzugebenden Faktor bestätigen Sie, dass es sich bei Ihnen um die rechtmäßige Karteninhaberin bzw. den rechtmäßigen Karteninhaber handelt.

Gerät Ihre Karte in die Hände von Betrügerinnen und Betrügern, können diese die aufgedruckte Kartennummer (PAN) ablesen und unter falschem Namen eine E-Commerce-Transaktion durchführen. Daher ist es wichtig, bei einem Kartenverlust sofort die Karte zu sperren. Wie das funktioniert, erfahren Sie im Bereich Kartensperrung.

Abgesehen davon kann Onlinebetrug dadurch entstehen, dass Betrügerinnen und Betrüger Fakeshops, also gefälschte Onlineshops, nutzen, um an Geld zu gelangen. In der Regel bedeutet das, dass die gesamte Shopwebsite nur zu dem Zweck aufgesetzt wurde, um Sie zu einem Kauf zu überreden. Nachdem Sie bezahlt haben, wird das bestellte Produkt aber nie geliefert.

Es ist schwierig, Fakeshops von realen Shops zu unterscheiden, da diese wie die Originalwebsites aussehen. Auf diese Merkmale können Sie achten, um Onlinebetrug zu verhindern und sicher online zu bezahlen:

Auffällige URL: Achten Sie auf Rechtschreibfehler oder falsch geschriebene Markennamen.
Zahlung nur per Vorkasse: Shops sollten mehr als eine Zahlungsart anbieten. Vorkasse birgt für Sie die meisten Risiken.
Zu niedriger Preis: Leider sind die „Superangebote“ in der Regel zu gut, um wahr zu sein.
Kein Impressum: Hat ein Shop kein Impressum oder wirkt die hinterlegte Adresse auffällig, weist dies auf einen Fakeshop hin.
Gibt es offizielle Gütesiegel auf der Website? Die „Initiative D21“ führt eine Empfehlungsliste mit Gütesiegel-Anbietern(externer Link, öffnet in neuem Tab).

Online und mobil bezahlen: Weitere Informationen

Fakeshop Finder

Überprüfen Sie den Onlineshop mit dem Fakeshop Finder der Verbraucherzentrale, so können Sie betrügerische Websites direkt identifizieren.

Zur Website(externer Link, öffnet in neuem Tab)

Watchlist Internet

Informieren Sie sich in dieser Liste über aktuelle Fakeshops und betrügerische Onlineshops.

Zur Website(externer Link, öffnet in neuem Tab)

DsiN-Digitalführerschein

Testen Sie Ihr Wissen rund um die digitalen Themen des Alltags. Wie nutze ich soziale Medien sicher? Wie kann ich echte von gefälschten Nachrichten unterscheiden? Wie schütze ich mich vor Schadsoftware?

Zur Website(externer Link, öffnet in neuem Tab)