Ursprünglich veröffentlicht: https://www.kuketz-blog.de/nfc-datenschutzfreundlich-bezahlen-mit-dem-android-phone/
1. Plastikkarte vs. Smartphone Von unterwegs auf das eigene Bankkonto zugreifen, eine dringende Rechnung überweisen oder einfach nur den Kontostand im Blick behalten. Mit Banking-Apps auf dem Smartphone ist das schon seit Jahren möglich – auch sicher und datenschutzfreundlich, wie der Beitrag »Android & iOS: Sicheres Mobile-Banking am Smartphone« zeigt. Und auch das kontakt- und bargeldlose Bezahlen mit dem Smartphone statt mit Plastikkarten gehört für manche längst zum Alltag. Das Problem: Das Einkaufsverhalten ist eine Goldgrube für Dienste, die ihr Geld mit personalisierter Werbung verdienen. Je genauer die Daten sind, desto wertvoller sind sie. Google sichert sich über Google Wallet/Pay…
Wie sollte Play Services auf Smartphone mit GOS dafür eingestellt werden? Bei meinem Deutsche Bank App wenn ich Mobiles Zahlen aktivieren möchte, dann dreht sich Ladekreis unendlich und passiert nichts. Ohne Play Services kommt technisches Fehler.
Bekomme bei der Pay App beim Versuch eine Karte zu digitalisieren nur den lapidaren Hinweis, das sei nicht möglich und ich solle ggfs. meine Bank kontaktieren.
Ich vermute, mit gerooteten Geräten geht nix, oder? Falls das der Fall ist, wäre das vielleicht noch einen Hinweis im Artikel wert.
Mich würden noch Infos zu den Apps Samsung Pay, FitBit Pay und Garmin Pay interessieren. Sind die datenschutztechnisch ok? Bei meiner Bank werden die als Alternative zu Google Pay angeboten, allerdings kann man nicht mit der bankeigenen App zahlen.
edit: eine kurze Recherche hat ergeben, dass die alle drei nur auf ihren „eigenen“ Geräten funktionieren, also Samsung-, Fitbit- und Garmin-Uhren/Smartphones. Schade. Es wird also keines davon auf einem Pixel mit GrapheneOS funktionieren oder auf einem Fairphone mit CalyxOS.
Soweit ich die Banken verstehe, verlangen sie immer daß SafetyNet pass ist. Damit sind mWn GrapheneOS oder LineageOS raus.
Aber Mike schreibt doch in seinem Artikel, dass es mit GOS funktioniert, wenn man die sandboxed Play Services installiert. Sollte es tatsächlich auch am gerooteten Gerät liegen: Gab es mit Magisk nicht die Möglichkeit Root zu verstecken?
Gibt es so etwas wie eine universale App in der man verschiedene Karten anmelden kann auch wenn diese nicht von der Bank sind?
Für Kreditkarten wäre dies wohl kein Problem.
Aber für Girokarte.
Meine Bank arbeitet leider mit der Google Wallet.
Guten Abend!
Das Problem ist eigentlich, daß es keine echten Alternativen zu Google Pay und Apple Pay gibt. Samsung Pay funktioniert nur mit deutschen Banken und mit Samsung Geräten, Huawei ist sowieso raus. Sich auf die Apps der paar Banken zu verlassen und dort extra ein Konto zu eröffnen, halte ich auch nicht für zielführend, vor allem, wenn man dies nur zu einem unpassenden Konditionen bekommt.
Es fehlt eine App, in der man jede Karte hinterlegen kann und die die Kartendaten einfach nur auf NFC weiterleitet, als ob man die Karte direkt ans Terminal hält.
Ich habe z.B. ein Revolut Konto, Revolut selbst ist leider nicht willens, eine eigene NFC-Bezahlfunktion einzubauen, so bleibe ich an Google gebunden, obwohl ich eigentlich gern ein völlig googlefreies Android-Gerät hätte.
Vor allem, warum gibt es in solchen Bereichen keine eigene, europäische Lösung? Absicht?
Ansonsten halte ich es für heikel, wenn man mit dem Smartphone erstmal bis Summe X einfach so bezahlen kann, ich lasse deshalb Tasker NFC bei ausgeschaltetem Bildschirm abschalten und erst nach Entsperrung wieder einschalten, das erhöht die Sicherheit enorm. Ich habe mein Gerät auch grundsätzlich mit PIN gesichert, nicht mit Fingerabdruck, auch wenn letzteres bequemer scheint.
Die im Beitrag erwähnte „Digitales Bezahlen“ App ist im Übrigen das Grauen, man scheitert hier schon an der Eingabe einer Bankleitzahl, die Bewertungen im Playstore sprechen Bände und wie es die programmierende Atruvia AG mit dem Datenschutz hält, weiß man auch nicht.
Raiffeisenbank im Hochtaunus / meinebank.de ist die Antwort. Kostenloses Konto, kostenlose Girokarte. Einziger Nachteil war bei mir, dass Chip-TAN nicht mehr für Neukunden aktiviert wird (sofern sie das nicht wieder geändert haben). Da musste ich erst ein altes Handy mit Google-Apps nehmen, das Konto damit aktivieren und von App-TAN auf Chip-TAN wechseln. Weil es hier aber eh um das Bezahlen mittels Smartphone geht, ist es wohl für die meisten Leser kein Problem.
Ich habe heute einmal die Pay-App von denen über Aurora heruntergeladen. Ohne GApps konnte ich keine digitale Girocard bestellen. Also über GrapheneOS’ App-Store die Play-Dienste installiert und diesen einige Berechtigungen erteilt. Die Bestellung war dann nach Neueinrichtung der Pay-App möglich. Freigabe erfolgte via Chip-TAN. Die Kartenbestellung sei nun in Bearbeitung. Mal gucken, ob sie freigeschaltet wird und funktioniert - auch dann, wenn ich die Play-Dienste wieder deinstalliert habe. Ansonsten fliegt die App wieder von meinem Handy und ich bleibe bei der physischen Girocard.
Aber bei der Kredit-/Debitkarte der genannten Bank hat man sicher Auslandeinsatzgebühren, oder? Das ist nämlich meistens der Haken. Hat man bei Revolut alles nicht.
Also über GrapheneOS’ App-Store die Play-Dienste installiert und diesen einige Berechtigungen erteilt.
Aber genau das will man doch vermeiden. Ich will mit Google eigentlich garnichts am Hut haben, auch nicht stark eingeschränkt. Google Pay ist das Letzte, weshalb ich auf Google angewiesen bin, in Ermangelung an Alternativen, alle anderen Google Dienste sind seit Ewigkeiten bereits ausgetauscht.
Jup, kostet. Siehe https://www.meinebank.de/service/rechtliche-hinweise/preisaushang.html. Ich bin nur von Deutschland bzw. der Girocard ausgegangen, weil ich weder Mastercard, noch Visa oder Amex Datenschutz* zutraue.
Hast du denn sämtlicher Datenweitergabe schon widersprochen?
https://www.kuketz-blog.de/mastercard-verkauft-transaktionsdaten-an-google/
Laut Kuketz’ Artikel gibt’s nicht viel Auswahl für Apps aus anderen Stores. Somit bist du immer auf Google angewiesen. Google kann Aurora jederzeit den Garaus machen. Installierst du’s dann über irgendwelche unseriösen Drittquellen? Ich hätte die Apps auch lieber vom Anbieter direkt, dem Hersteller oder als Open-Source über F-Droid oder Git.
Von oben:
Such’s dir aus: Es ist teuer, kompliziert und jeder möchte etwas vom Kuchen.
*Mit Datenschutz meine ich Privatsphäre, nicht das Recht.
Aus den gleichen Gründen warum man keine international brauchbaren europäischen alternativen zu Kreditkarten, Paypal, etc. hinbekommen hat.
Oder um es mit Hanlon’s Razor zu sagen „Geh nicht von Böswilligkeit aus, wenn Dummheit genügt“
@Gesichtspalme, die deutschen Girocards, die ja mittlerweile nicht mehr herausgegeben werden (glaube ich), stammen auch nur von Visa (V-Pay) und Mastercard (Maestro), da dürfte es mit dem Datenschutz ähnlich weit her sein, also keine Unterschiede zwischen Kredit-/Debitkarte und Girocard. Aber vielen Dank für den Hinweis zur Widerspruchsmöglichkeit bei Mastercard, hatte das hier unlängst schonmal überflogen, werde ich mal in Angriff nehmen, auch wenn ich heimnetzweit und geräteindividuell weitestgehend vor Werbung und Verfolgung gefeit bin, Dank den Adguard/DNSforge DNS-Servern und zusätzlich entsprechenden Browsern.
Installierst du’s dann über irgendwelche unseriösen Drittquellen?
Muss man nicht unbedingt, Signal und Threema z.B. habe ich direkt von deren Seiten als .apk installiert, beide sind selbstaktualisierend, das Gleiche bei einigen weiteren Apps und vieles beziehe ich auch aus F-Droid. Es gibt für so ziemlich alles eine Alternative, mal sogar besser, manchmal aber auch schlechter. Die Revolut App z.B. läuft einwandfrei auf meinem Ersatzhandy mit LineageOS, ohne Googledienste, nur eben kontaktlos zahlen ist da leider nicht drin.
V-Pay bzw. Maestro sind nur Co-Badges. Diese sind nun ersetzt worden durch Mastercard Debit bzw Visa Debit. Es gibt bei wenigen Banken auch reine Girocards ohne Co-Branding, siehe comdirect.
Auch die digitale Girocard der oben genannten Volksbank ist eine reine Girocard, bei der du am Terminal entweder über das Girocard-Netzwerk oder über ELV zahlst. Die physische gab’s mal mit Maestro, mal mit V-Pay.
Soweit ich weiß, ist die Girocard ein Produkt der deutschen Kreditwirtschaft und hat nichts mit Mastercard oder Visa zu tun. An manchen Bezahlterminals kannst du dir sogar aussuchen, ob du mit Girocard oder Maestro (/V-Pay/Master/Visa) zahlen möchtest, wenn deine Karte mehrere Systeme unterstützt.
Und die gibt’s außerhalb von Google / Huawei? Dass sie ohne funktioniert, ist ja schön. Wenn’s die aber nicht außerhalb der beiden Stores gibt, bist du trotzdem auf die beiden angewiesen.
Möglicherweise prüft die App, ob ein von Google zertifiziertes OS läuft und das ist GOS halt nicht. Dann nützen auch die installierten play services nichts, wenn das OS Google zertifiziert sein muss.
Dass es keine „echte“ Alternative zu Google/Apple-Pay gibt, liegt schlicht und ergreifend an der Funktionsweise der Bezahlsysteme:
Es gibt in Deutschland drei verbreitete bargeldlose Bezahlnetzwerke:
- MasterCard
- Visa
- Girocard
Da MasterCard und Visa weltweit verbreitet sind, haben sich Apple & Google für ihre Pay-Lösungen da mit drangehangen:
Man hinterlegt bei Apple/Google eine Abrechnungsmöglichkeit (z.B. Kredit-/Debitkarte) und wenn man jetzt mit dem Handy bezahlt, wird über das Netzwerk von Visa oder MasterCard mit einer virtuellen Karte bezahlt, welche die APP generiert und anschließend den Betrag von deiner Karte abrechnet.
Du digitalisierst deine Karte mit Google/Apple Pay folglich nicht, sondern verwendest sie nur als Abrechnung für eine virtuelle Karte, die Google/Apple Pay im Hintergrund verwenden.
Die Systeme sind damit eher mit PayPal vergleichbar, als mit der im Blog vorgestellten Methode.
Logischerweise können sich nur Branchengrößen Visa/MasterCard zur Kooperation bringen, da haben andere keine Chance.
Girocard dagegen ist ein rein Deutsches System der hiesigen Banken und im Vergleich mit Visa/MasterCard eine Nische, dominiert hierzulande aber.
Und zwar, weil es erheblich günstiger für die Händler ist:
0,25% Umsatzgebühr ggü. ~1% bei Visa/MasterCard.
Die hier vorgestellte Lösung funktioniert so:
Mit der App der Bank wird eine digitale Girocard auf das Gerät geladen, was eine „echte“ Girocard ist, die eben nur auf dem Handy läuft, anstatt auf dem Chip in der Plastikkarte. Wenn man jetzt mit dem Handy am Terminal bezahlt, läuft derselbe Zahlungsprozess ab wie bei einer Plastikgirocard.
Daher ist der Prozess auch der einzige datenschutzfreundliche: es gibt keinen Mittelsmann und nicht wie bei Google/Apple halt Google/Apple und die Zahlung läuft über amerikanische Zahlungsnetze (Visa/MC).
Im Umkehrschluss geht das aber nur mit expliziter Unterstützung der Bank, deshalb geht die App „Digitales Bezahlen“ natürlich nur für Banken, welche über die DZ-Bank abwickeln (Genossenschaftsbanken hauptsächlich) und Sparkassen haben ihr eigenes System.
Deshalb klappt das hier im Umkehrschluss aber natürlich nur in Deutschland: mit einer digitalen Girocard kann ich nirgendwo im Ausland zahlen, da eine digitale Girocard kein Co-Badge hat (V-Pay/Maestro bzw. Visa/MC Debit).
Daher ist für die einzige datenschutzfreundliche Lösung eine Bank erforderlich, welche 1) Girocards ausgibt und 2) digitale Girocards unterstützt. Meistens kann man die Kreditkarten der Banken in derselben App auch digitalisieren.
Das sind aber nicht die Banken, welche keine Auslandsgebühren verlangen, beides gibt es aktuell meines Wissens nach nicht.
Generell ist im Inland die Nutzung einer Girocard ohnehin vorzuziehen, da 1) kein amerikanisches Zahlungsnetz und 2) niedrigere Zahlungsgebühren => niedrigere Mischkalkulation beim Händler. Nutzen alle auf einmal Visa/MC, würden die Preise um knapp 1% steigen.
Und fürs Ausland besorgt man sich eine gebührenfreie Kreditkarte unabhängig von seiner Hausbank (z.B. Hanseaticbank, advanzia, etc.), die kann man dann halt nicht digitalisieren, aber alles zusammen geht halt nicht.
Hi,
es wäre super, wenn du dann mal hier berichten könntest, ob es geklappt hat, danke!
Welche Berechtigung musstest du den Play-Diensten denn erteilen, damit du die gigitale Girocard bestellen konntest?
Danke dir und viele Grüße!
Ich bin da auch (RB Hochtaunus/meinebank) und habs auf Graphene gemacht: den PlayServices keine Berechtigung erteilt, bis auf Internetzugriff.
Auch habe ich via Netguard bei der „Digitales Bezahlen“ App alle firebase-Verbindungen blockiert, was alle in Netguard auftauchenden Verbindungen sind (also die App in Netguard komplett blockiert).
Lief alles ohne Probleme, anschließend die Play-Service wieder deinstalliert.
Bin aber gespannt, denn ich habe das vor ca. nem Jahr bereits so gemacht gehabt, da wurde dann nach einigen Wochen die Karte in der App ausgegraut und war nicht mehr nutzbar. Ich musste anschließend die App komplett neu einrichten und nach einigen Wochen dasselbe wieder. Das zerschießt natürlich den Komfortvorteil komplett.
War damals aber die „VR-Pay“ App und nicht „Digitales Bezahlen“, auch wenn die identisch sein sollten. Mal sehen, wie lange es jetzt klappen wird…
Ich habe alle vorübergehend alle Google Apps über GrapheneOS’ Appstore installiert und ihnen die Berechtigungen Network, Nearby Devices, Notifications und Sensors gegeben. Bei der Bezahlapp habe ich die Berechtigungen Sensors, Network, Notifications und Phone aktiviert sowie den Exploit protection compatibility mode aktiviert. Dadurch konnte ich die Girocard bestellen.
Seit diesem Zeitpunkt hänge ich bei
Kartenbestellung in Bearbeitung
Ihre digitale Karte steht bereits, sobald sie vom System freigeschaltet wurde.
Im Web steht
Karte erfasst.
Ihre Bestellung wird geprüft.
Da hat sich seit >24h nichts getan. Vielleicht kann @Dennis77 berichten, wie lange es bei ihm dauert / gedauert hat. Ich werde auf jeden Fall Bescheid geben, sobald die Karte freigeschaltet ist und ich die erste Zahlung durchgeführt habe.
Also ich hab IodéOS (basiert auf LineageOS) mit microG. Das Handy ist mit magisk gerootet. Magisk Hide gibt’s zumindest unter diesem Begriff nicht mehr. Es gibt eine Verweigerungsliste. Dort sind BAnking-Apps usw. eingetragen.
Ich bin nicht bei einem Google-Konto eingeloggt, allerdings ist „Google Geräte-Registrierung“ in microG aktiviert. SafetyNet ist aktiv und bringt ein pos. Ergebnis.
Die Banking-App der VR, die VrSecureGo-plus und die Pay-App laufen einwandfrei. Die App der HanseaticBank läuft auch, nur die Tan-App der Hanseatic läuft seit ein paar Tagen mit dem Hinweis auf Root nicht mehr.