Wie funktioniert das Bezahlen per NFC?

Bei NFC-Zahlungen können Sie bezahlen, indem Sie eine kontaktlose Bankkarte, ein Smartphone oder eine Smartwatch in die Nähe eines kompatiblen Zahlungsterminals halten. NFC übernimmt die drahtlose Kurzstreckenverbindung, während der Kartenchip, das Terminal, das Zahlungsnetzwerk und die Bank die eigentliche Transaktion abwickeln.

Ein Antippen dauert zwar nur eine Sekunde, doch in dieser Zeit laufen mehrere Schritte ab. Das Zahlungsgerät kommuniziert mit dem Terminal, erstellt Sicherheitsdaten für die Transaktion und sendet die Zahlung zur Genehmigung über das Bankennetzwerk.

Was ist NFC-Bezahlen?

NFC (Near Field Communication) ist eine drahtlose Nahbereichstechnologie, die mit einer Frequenz von 13,56 MHz arbeitet. Im Zahlungsverkehr ermöglicht sie die Kommunikation zwischen einer Zahlungskarte oder einem Mobilgerät und einem Kassenterminal, ohne dass diese in das Lesegerät eingeführt werden müssen.

EMV Contactless unterstützt Zahlungen sowohl mit kontaktlosen Chipkarten als auch mit NFC-fähigen Mobilgeräten. Die Karte oder das Gerät muss lediglich ganz nah an das Terminal gehalten werden.

Zu den gängigen NFC-Zahlungsmethoden zählen kontaktlose Debit- und Kreditkarten, Apple Pay, Google Pay sowie Smartwatches mit Zahlungsfunktion.

Über die NFC-Verbindung selbst wird kein Geld zwischen Konten transferiert. Sie stellt lediglich die lokale Kommunikationsverbindung zwischen dem Zahlungsgerät und dem Terminal her. Der Rest der Transaktion läuft über die übliche Zahlungsinfrastruktur ab.

Wie funktioniert das Bezahlen per NFC?

Eine typische kontaktlose Kartentransaktion lässt sich in fünf Phasen unterteilen.

1. Das Terminal aktiviert die Karte

Der Händler gibt zunächst den Kaufbetrag ein oder bestätigt ihn. Das Zahlungsterminal erzeugt daraufhin ein Hochfrequenzfeld um seinen kontaktlosen Lesekopf herum.

Eine kontaktlose Bankkarte benötigt keine eigene Batterie. Ihre integrierte Antenne nimmt Energie aus dem Magnetfeld des Terminals auf und liefert ausreichend Strom für den Betrieb des Chips.

Daher kann eine kontaktlose Karte manchmal jahrelang ungenutzt in einer Brieftasche liegen und dennoch mit einem Terminal kommunizieren, wenn man sie daran hält.

Smartphones und Smartwatches unterscheiden sich dadurch, dass sie über eine eigene Stromquelle verfügen, obwohl sie bei der Kommunikation mit dem Zahlungsterminal dieselbe kontaktlose Schnittstelle mit kurzer Reichweite nutzen.

2. Die Karte und das Terminal stellen eine Verbindung her

Sobald die Karte in das Feld des Terminals gelangt, nehmen das Terminal und die Karte die Kommunikation auf.

Kontaktlose Zahlungskarten nutzen in der Regel eine auf ISO/IEC 14443 basierende Technologie. Die EMV-Spezifikationen legen dann fest, wie die Zahlungsanwendung und das Terminal die für die Abwicklung der Transaktion erforderlichen Informationen austauschen.

Das Terminal erkennt eine verfügbare Zahlungsanwendung und leitet die EMV-Transaktion ein. Zu diesem Zeitpunkt tut die Karte mehr, als nur eine gespeicherte Kartennummer zu übermitteln.

3. Die Karte generiert Transaktionsdaten

Der Zahlungsprozessor enthält Zugangsdaten und kryptografische Informationen, die im Rahmen des Zahlungskartensystems ausgestellt wurden.

Bei einer Transaktion werden diese Zugangsdaten verwendet, um für diese Zahlung spezifische Sicherheitsdaten zu generieren. EMV bezeichnet dies als Einmal-Sicherheitscode oder Kryptogramm. Für jede weitere Transaktion wird ein neuer Wert generiert, anstatt jedes Mal denselben festen Sicherheitscode zu verwenden.

Die Transaktion kann auch vom Terminal bereitgestellte Informationen enthalten, wie beispielsweise den Kaufbetrag und andere Transaktionsparameter.

4. Die Transaktion wird zur Autorisierung übermittelt

Nach der Kommunikation mit der Karte leitet das Terminal die Zahlung an das Finanznetzwerk weiter.

Ein vereinfachter Ablauf sieht folgendermaßen aus:

Karte oder Smartphone → POS-Terminal → Acquirer/Zahlungsabwickler des Händlers → Kartennetzwerk → ausstellende Bank

Die ausstellende Bank ist die Bank oder das Finanzinstitut, das für die Karte des Kunden zuständig ist.

Es empfängt die Transaktionsdaten und führt die erforderlichen Prüfungen durch, um zu entscheiden, ob die Zahlung akzeptiert werden soll. Dazu können die Überprüfung der Zahlungsdaten und kryptografischen Daten sowie die Überprüfung des Kontostatus und des Transaktionsstatus gehören.

5. Die Bestätigung oder Ablehnung wird an das Terminal zurückgesendet

Der Emittent übermittelt seine Entscheidung über das Zahlungsnetzwerk.

Bei einer Genehmigung bestätigt das POS-Terminal die Zahlung. Bei einer Ablehnung erhält das Terminal stattdessen die entsprechende Rückmeldung.

Der gesamte Vorgang ist oft schon nach wenigen Sekunden abgeschlossen.

Die Abrechnung der Geldbeträge zwischen den Finanzinstituten erfolgt separat. Das Antippen am Terminal dient in erster Linie der Authentifizierung und Autorisierung der Transaktion und nicht der sofortigen Überweisung von Geld von einem Bankkonto direkt auf das Konto des Händlers.

Ist für NFC-Zahlungen eine Internetverbindung erforderlich?

Für den NFC-Austausch über kurze Entfernungen ist keine Mobilfunk- oder WLAN-Verbindung auf dem Smartphone des Kunden erforderlich. Ein typisches Zahlungsterminal eines Händlers benötigt jedoch eine Verbindung zum Acquirer oder Zahlungsabwickler, um eine Online-Autorisierung anzufordern. Einige Zahlungsumgebungen unterstützen unter bestimmten Voraussetzungen möglicherweise eine eingeschränkte Offline-, zeitversetzte oder „Store-and-Forward“-Verarbeitung.

Was steckt in einer kontaktlosen Bankkarte?

Eine kontaktlose Debit- oder Kreditkarte ist eine spezielle kontaktlose Chipkarte.

In der Plastikkarte befinden sich zwei wichtige Komponenten: ein Sicherheitschip und eine Antenne. Die Antenne verläuft in der Regel um einen Großteil der Karte herum, damit sie sich mit dem vom Terminal erzeugten elektromagnetischen Feld koppeln kann.

Der Chip enthält die Zahlungsanwendung sowie die für Zahlungsvorgänge erforderlichen geschützten Daten. Er kann kryptografische Operationen ausführen und verhält sich nicht lediglich wie ein einfacher lesbarer Speicher.

Dies erklärt auch, warum eine Beschädigung der Antenne das kontaktlose Bezahlen unterbinden kann, selbst wenn die sichtbaren Chipkontakte auf der Vorderseite der Karte noch funktionieren. Beim kontaktbehafteten Bezahlen über die Metallkontakte und beim kontaktlosen Bezahlen werden unterschiedliche physikalische Schnittstellen für die Kommunikation mit dem Chip genutzt.

Ist eine kontaktlose Bankkarte also eine NFC-Karte?

Im normalen Gebrauch ja: Es handelt sich um eine Karte, die NFC-/kontaktlose Kommunikation bei 13,56 MHz unterstützt. Genauer gesagt ist es eine sichere Zahlungs-Smartcard, die für kontaktlose EMV-Transaktionen entwickelt wurde, und kein allgemeiner NFC-Tag.

Welche Informationen werden bei einer NFC-Zahlung ausgetauscht?

Manchmal wird behauptet, dass kontaktlose Karten lediglich “Ihre Kartendaten übermitteln”. Diese Beschreibung lässt jedoch den wichtigsten Teil des Vorgangs außer Acht.

Bei der Transaktion können bestimmte Zahlungsdaten übertragen werden. Visa gibt beispielsweise an, dass seine kontaktlosen Karten die Kontonummer, das Ablaufdatum und einen Einmalcode übertragen können, der sich bei jeder Transaktion vor Ort ändert.

Der wichtige Unterschied besteht zwischen relativ statischen Kontoinformationen und dynamischen Sicherheitsdaten zu Transaktionen.

Die Kontoinformationen identifizieren das Zahlungskonto. Anhand des dynamisch generierten kryptografischen Werts kann der Aussteller feststellen, ob die Transaktion von einem gültigen Zahlungszugangsdaten stammt und ob die Transaktionsdaten gültig sind.

Ein abgefangener kontaktloser Datenaustausch liefert daher keinem anderen Gerät ein wiederverwendbares Kryptogramm, das einfach erneut für eine neue kontaktlose EMV-Transaktion vorgelegt werden kann. Der Sicherheitswert ist an die jeweilige Transaktion gebunden.

Das bedeutet nicht, dass Zahlungsdaten als nicht sensibel behandelt werden sollten. Es bedeutet vielmehr, dass die Sicherheit bei kontaktlosen EMV-Zahlungen nicht allein darauf beruht, die Kartennummer geheim zu halten.

So funktionieren NFC-Zahlungen auf Smartphones und Smartwatches

Ein Smartphone kann zwar mit einem kontaktlosen Zahlungsterminal desselben Typs kommunizieren, es legt jedoch nicht unbedingt dieselben Zahlungsdaten vor wie die physische Karte, die Sie in Ihrer Brieftasche aufbewahren.

Mobile Wallets nutzen in der Regel die Tokenisierung von Zahlungen.

Wird beispielsweise eine kompatible Karte zu Google Pay hinzugefügt, kann ein Gerätetoken – auch als DPAN oder virtuelle Kontonummer bezeichnet – für das Gerät bereitgestellt werden. Google gibt an, dass dieses Gerätetoken bei einer NFC-Zahlung anstelle der tatsächlichen Hauptkontonummer der Karte an das Terminal gesendet wird.

Apple Pay verfolgt einen ähnlichen gerätespezifischen Ansatz. Apple gibt an, dass eine Gerätekontonummer im Secure Element des Geräts gespeichert ist und zusammen mit transaktionsspezifischen dynamischen Sicherheitsdaten verwendet wird. Die eigentliche Zahlungskartennummer wird vom Gerät während einer Apple Pay-Transaktion nicht übermittelt.

Der allgemeine Zahlungsablauf ist nach wie vor bekannt:

Smartphone → NFC-Zahlungsterminal → Zahlungsnetzwerk → Kartenaussteller

Was sich ändert, sind die vom Gerät vorgelegten Anmeldedaten.

Smartphones und Uhren können zudem eine Karteninhaber-Verifizierung auf Geräteebene ermöglichen. Je nach Gerät und Wallet kann sich der Nutzer vor der Verwendung der Zahlungsdaten per Face ID, Fingerabdruck, Passcode oder einer anderen zugelassenen Methode authentifizieren.

Die NFC-Schnittstelle ist daher nur ein Teil des mobilen Bezahlvorgangs. Dahinter stehen sichere Hardware, die Bereitstellung von Tokens, die Benutzerauthentifizierung und die Abwicklung durch das Zahlungsnetzwerk.

Ist bei kontaktlosem Bezahlen immer eine PIN erforderlich?

Nein. Ob eine PIN oder eine andere Methode zur Identitätsprüfung des Karteninhabers erforderlich ist, hängt von Faktoren wie dem Transaktionsbetrag, den Vorschriften des Emittenten, der Konfiguration des Terminals, den Vorschriften des Zahlungsnetzwerks und den lokalen Vorschriften ab. Bei einer kontaktlosen Kartentransaktion muss der Kunde unter Umständen eine PIN eingeben. Auf einem Smartphone oder einer Smartwatch kann eine erfolgreiche biometrische Identifizierung oder Passcode-Überprüfung als „Consumer Device Cardholder Verification Method“ (CDCVM) dienen.

NFC-Zahlungskarten im Vergleich zu herkömmlichen NFC-Tags

Eine kontaktlose Bankkarte und eine herkömmliche NFC-Tag Beide kommunizieren zwar bei 13,56 MHz, doch ihre Leistungsmerkmale unterscheiden sich erheblich.

Standard-NFC-Chips wie NTAG213, NTAG215 und NTAG216 sind NFC-Forum-Typ-2-Tags. Sie bieten Anwenderspeicher für Anwendungen wie intelligente Werbung, Produktinteraktion, Authentifizierung und andere NFC-Anwendungen. Sie unterstützen NDEF-Datenstrukturen, die von kompatiblen Mobiltelefonen gelesen werden können.

Ein NTAG213 könnte beispielsweise eine URL wie die folgende enthalten:

https://example.com/pay/order123

Wenn ein Kunde auf das Tag tippt, öffnet das Smartphone diese Seite, und der Kunde kann den Kaufvorgang online abschließen.

Der NFC-Tag hat dazu beigetragen, den Zahlungsvorgang einzuleiten, aber der Tag selbst hat keine EMV-Bankkartentransaktion durchgeführt. Er hat lediglich die Daten bereitgestellt, die das Smartphone zum Zahlungsdienst weitergeleitet haben.

Das gleiche Prinzip lässt sich in Restaurants, an unbemannten Kiosken, bei Produktverpackungen, bei Veranstaltungssystemen oder anderen Anwendungen nutzen, bei denen durch Antippen eine Verbindung zwischen einem physischen Objekt und einer Online-Zahlungsseite hergestellt werden soll.

Einige Organisationen nutzen kontaktlose Karten oder Geräte auch in geschlossenen Systemen, in denen der Ausweis ein Konto innerhalb der eigenen Plattform dieser Organisation identifiziert. Fahrkarten, Campus-Systeme, Guthabensysteme und ähnliche Anwendungen können leistungsfähigere, sichere kontaktlose Chips nutzen. Diese Systeme sollten jedoch nicht mit der Ausgabe einer normalen Bankkarte verwechselt werden, die über Visa, Mastercard oder ein anderes offenes Zahlungsnetzwerk funktioniert.

Wie werden NFC-Zahlungen gesichert?

Die Sicherheit beim kontaktlosen Bezahlen beruht auf den Zahlungsdaten und dem kryptografischen Datenaustausch und nicht lediglich auf der kurzen Lesereichweite von NFC.

Transaktionsspezifische Kryptogramme

Bei EMV-Chip-Transaktionen werden Sicherheitsdaten für einzelne Transaktionen generiert. EMVCo beschreibt das Kryptogramm als einen einmaligen Wert, der dem Emittenten und dem Terminal dabei hilft, die Transaktion zu authentifizieren.

Wenn jemand eine gültige Transaktion aufzeichnet, kann dieser kryptografische Wert nicht einfach als gültiges Kryptogramm für eine andere Transaktion wiederverwendet werden.

Geschützte kryptografische Schlüssel

Die Schlüssel, die zur Erstellung gültiger Zahlungskryptogramme verwendet werden, sind in den Zahlungszugangsdaten geschützt und werden nicht bei jedem Auslesen der Karte offen übertragen.

Der Emittent oder das Zahlungsnetzwerk kann die entsprechenden Informationen nutzen, um das Kryptogramm während der Transaktionsabwicklung zu überprüfen.

Tokenisierung auf Mobilgeräten

Mobile Wallets sorgen für eine zusätzliche Sicherheitsebene, indem sie die Hauptkontonummer der physischen Karte durch ein gerätespezifisches Zahlungstoken ersetzen.

Sowohl Apple Pay als auch Google Pay verwenden gerätespezifische Zahlungsdaten für unterstützte kontaktlose Zahlungen. Bei Verlust der gerätespezifischen Zahlungsdaten muss daher die ursprüngliche Kartennummer, mit der das Konto aufgeladen wurde, nicht offengelegt werden.

Diese Kombination aus sicheren Zugangsdaten, dynamischen Transaktionsdaten und der Überprüfung durch den Aussteller ist der Grund, warum NFC-Zahlungen nicht so verstanden werden sollten, dass ein Lesegerät lediglich eine Bankkarte einliest und der angezeigten Zahl blind vertraut.

Wo wird NFC-Bezahlen eingesetzt?

Der gleiche grundlegende kontaktlose Zahlungsvorgang kann überall dort genutzt werden, wo ein kompatibles Zahlungsterminal und eine entsprechende Zahlungsinfrastruktur vorhanden sind.

Einzelhandelsgeschäfte und Restaurants sind die bekanntesten Beispiele. Kontaktlose Terminals sind auch in Verkaufsautomaten, Parksystemen, Selbstbedienungskiosken und anderen unbeaufsichtigten Zahlungsstellen weit verbreitet.

Der öffentliche Nahverkehr ist ein weiterer wichtiger Anwendungsbereich. Bei einigen Systemen können gewöhnliche kontaktlose Bankkarten oder mobile Geldbörsen direkt am Drehkreuz verwendet werden. Diese werden oft als „Open-Loop-Systeme“ bezeichnet, da dabei bereits vorhandene, von Banken ausgestellte Zahlungsdaten verwendet werden.

Andere Systeme in den Bereichen Verkehr, Campus, Gastgewerbe und Veranstaltungsorte geben eigene Karten oder Ausweise aus. Dazu gehören Regelkreis Systeme, bei denen der Betreiber die Zugangsdaten und das dahinterstehende Konto verwaltet.

Beide nutzen zwar die kontaktlose Technologie, doch das dahinterstehende Finanzsystem bestimmt, was die Karte oder das Gerät tatsächlich leisten kann.

Abschluss

NFC stellt die drahtlose Verbindung her, über die eine Karte, ein Smartphone oder eine Smartwatch mit einem Zahlungsterminal kommunizieren kann. Der Zahlungsprozessor oder die mobile Geldbörse liefert die sicheren Zugangsdaten, das Terminal leitet die Transaktion an das Finanznetzwerk weiter, und der Emittent entscheidet, ob er sie autorisiert.

Diese Rollenverteilung spielt auch bei der Auswahl der NFC-Technologie für ein Projekt eine wichtige Rolle. Ein programmierbarer NFC-Tag kann einen Kunden zu einer Zahlungsseite oder einem anderen digitalen Dienst weiterleiten, während für eine direkte Bankkartenzahlung die sicheren Zugangsdaten und die Infrastruktur eines speziellen Zahlungssystems erforderlich sind.