Wie Apple Pay & Co. wirklich funktionieren: Tokenisierung einfach erklärt

„Digitale Wallet” klingt nach einem einheitlichen Konzept. In der Praxis verbirgt sich dahinter mindestens vier grundverschiedene Funktionsprinzipien — und wer sie verwechselt, wundert sich, warum Apple Pay am Terminal klappt, PayPal aber nicht.

Vier Arten von Wallets — und warum der Begriff verwirrt

Der Begriff „Wallet” sagt etwas darüber aus, wo Zahlungsmittel gespeichert sind. Nichts über die Technik dahinter. Eine physische Geldbörse kann Münzen, Scheine, Karten und Ausweise enthalten — eine digitale Wallet kann Karten, Guthaben oder Bankkonto-Zugänge enthalten. Entscheidend ist, was bei einer Zahlung tatsächlich passiert:

• Karten-Wallet: Die Wallet greift auf eine bestehende Karte zu (Apple Pay, Google Pay)
• Guthaben-Wallet: Die Wallet verwaltet eigenes Geld (PayPal, Revolut-Balance)
• A2A-Wallet: Die Zahlung geht direkt von Konto zu Konto, ohne Karte (Wero, TWINT)
• Closed-Loop-Wallet: Guthaben gilt nur beim Aussteller (Starbucks App, Tankstellen-Karte)

Für Händler und Verbraucher, die digitale Bezahlmethoden einschätzen wollen, ist diese Unterscheidung wichtiger als der Marketing-Begriff darüber.

Karten-Wallets: Apple Pay und Google Pay

Apple Pay und Google Pay sind im Kern kein eigenes Zahlungssystem. Sie sind ein gesicherter Zugangsmechanismus zu Karten, die du bereits hast.

Was passiert, wenn du eine Karte in Apple Pay einbindest? Deine echte Kartennummer (PAN — Primary Account Number) verlässt niemals das Gerät. Die ausgebende Bank stellt stattdessen einen Token aus — eine gerätespezifische Stellvertreter-Nummer, die Device Account Number (DAN). Dieser Token ist einmalig für dein iPhone, dein iPad oder deine Apple Watch. Dasselbe Prinzip gilt bei Google Pay.

Bei jeder Zahlung erzeugt das Gerät zusätzlich einen einmaligen Kryptowert (Transaction Cryptogram), der mit dem Token kombiniert wird. Das Terminal leitet beides an den Acquirer weiter, der die Echtheit bei der ausgebenden Bank prüft. Selbst wenn jemand diesen Datenstrom abfängt: Der Wert ist für diese eine Transaktion generiert, danach wertlos.

Was das für Händler bedeutet: Apple Pay und Google Pay kosten dieselbe Gebühr wie die jeweils hinterlegte Karte. Apple und Google verdienen über einen kleinen Anteil der Bank-Interchange — nicht über einen Händleraufschlag. Ein Kunde, der mit Apple Pay und seiner Sparkassen-Girocard zahlt, erzeugt für den Händler Girocard-Kosten. Zahlt er mit einer Visa Debit via Google Pay, erzeugt er Visa-Debit-Kosten.

NFC: Wie die Daten ans Terminal kommen

NFC steht für Near Field Communication — eine Funktechnologie mit einer Reichweite von maximal 4 Zentimetern. Diese physische Nähe ist kein Zufall: Sie verhindert, dass Terminals Smartphones aus der Ferne auslesen.

Das verwendete Protokoll ist EMV (benannt nach Eurocard, Mastercard, Visa) — dasselbe, das auch in Chip-Karten steckt. Chip-Karte und Smartphone-NFC kommunizieren mit dem Terminal auf dieselbe Weise: Ein Kryptogramm wird ausgetauscht, die Authentizität geprüft. Der Unterschied zum Chip: Beim Smartphone kommt bei höheren Beträgen oder auf Anforderung des Terminals die biometrische Bestätigung hinzu — Face ID oder Fingerabdruck. Das ist keine reine App-Funktion, sondern in das Sicherheitsprotokoll integriert.

Kontaktlos-Karten nutzen denselben NFC-Standard ohne die biometrische Schicht — deshalb gilt bei physischen Karten das 50-€-Limit für Transaktionen ohne PIN. Beim Smartphone entfällt dieses Limit, weil die Geräteauthentifizierung die PIN-Funktion ersetzt.

Secure Element vs. HCE: Wo der Token wohnt

Nicht alle Geräte speichern den Token gleich sicher.

Secure Element (SE): Ein dedizierter Sicherheitschip, physisch auf der Platine des Geräts. Apple nutzt ausschließlich SE — der Token liegt im Secure Element, nie im normalen App-Speicher. Angriffe über das Betriebssystem, bösartige Apps oder Cloud-Kompromittierungen haben keinen Zugang. Der Chip ist sogar ohne Internetverbindung nutzbar.

Host Card Emulation (HCE): Der Token liegt in einer sicheren Cloud-Umgebung des Wallet-Anbieters und wird bei Bedarf auf das Gerät geladen. Viele Android-Geräte, besonders günstigere Modelle ohne SE, nutzen HCE. Google Pay kann je nach Gerät beide Methoden verwenden. HCE ist funktional sicher, aber die Zahlung erfordert eine Internetverbindung für den Token-Abruf.

In der Praxis spielt dieser Unterschied für die meisten Nutzer keine Rolle. Für sicherheitskritische Anwendungen — etwa Unternehmenskarten oder sehr hohe Beträge — ist SE die robustere Architektur.

Guthaben-Wallets: PayPal

PayPal funktioniert anders als Apple Pay: Es ist kein Zugangsweg zu einer bestehenden Karte, sondern ein eigenes Konten- und Zahlungssystem.

Wenn jemand mit PayPal zahlt, liegt das Geld entweder auf dem PayPal-Konto selbst oder wird bei Zahlung von der hinterlegten Karte oder dem Bankkonto eingezogen. Die Transaktion läuft über das PayPal-Netzwerk, nicht über Visa oder Mastercard (es sei denn, der Nutzer zahlt mit einer hinterlegten Karte — dann ist Visa/MC im Hintergrund doch dabei).

Für Händler: Ein eigener PayPal-Vertrag ist nötig. Die Gebühren unterscheiden sich von Kartengebühren (typisch ab 1,49 % + Fixbetrag). Am stationären Terminal ist PayPal-Akzeptanz deutlich seltener als Apple Pay oder Google Pay — die Infrastruktur ist primär auf Online-Checkouts ausgerichtet. Der Vorteil für Käufer: Käuferschutz, keine Karte nötig.

A2A-Wallets: Wero und die Bankverbindung als Zahlungsmittel

A2A steht für Account-to-Account — die Zahlung geht direkt vom Bankkonto des Käufers auf das Bankkonto des Händlers, ohne Karte, ohne Kartennetzwerk, ohne Interchange.

Wero ist das bekannteste europäische A2A-Wallet, betrieben von der European Payments Initiative (EPI). Technische Basis ist SEPA Instant — Überweisungen, die in unter 10 Sekunden abgewickelt werden, rund um die Uhr. In Deutschland wird Wero von Sparkasse, Volksbank, ING und Deutsche Bank unterstützt; in Frankreich und Belgien ist es bereits etablierter.

TWINT ist das Schweizer Pendant: QR-Code-basiert, A2A, flächendeckend in der Schweiz akzeptiert. Kein Interchange, dafür TWINT-eigene Händlergebühren.

Für Händler bedeuten A2A-Wallets: kein Interchange, aber einen separaten Integrationsvertrag mit dem Wallet-Betreiber. Die stationäre Integration (QR-Code am Terminal oder Display) ist noch im Aufbau, die Online-Integration reifer.

Wallet-Typen im Vergleich

Wallet	Typ	Basis	Händlergebühr	Akzeptanz stationär
Apple Pay	Karten-Wallet	Bestehende Karte + NFC/SE	= Kartengebühr	Überall mit NFC
Google Pay	Karten-Wallet	Bestehende Karte + NFC/HCE	= Kartengebühr	Überall mit NFC
PayPal	Guthaben-Wallet	PayPal-Konto	PayPal-Satz (ab 1,49 %)	Eingeschränkt
Wero	A2A-Wallet	SEPA Instant / Bankkonto	Wero-Satz (Pilotphase)	Aufbauphase
TWINT	A2A-Wallet	CH-Bankkonto / QR	TWINT-Satz	CH flächendeckend

Was das für Händler bedeutet

Die wichtigste praktische Konsequenz: Karten-Wallets brauchen kein Extra-Setup. Wer ein NFC-Terminal hat, akzeptiert Apple Pay und Google Pay automatisch. Die Kosten entsprechen der hinterlegten Karte.

Guthaben-Wallets (PayPal) und A2A-Wallets (Wero) erfordern einen eigenen Vertrag und eine aktive Integration. Sie sind kein Selbstläufer wie Apple Pay — dafür können sie in bestimmten Kundensegmenten Conversion-Vorteile bringen (PayPal: höheres Vertrauen im Online-Checkout; Wero: kein Kartenlimit, kein Chargeback-Risiko).

Wer seinen Checkout oder sein Terminal ausbauen will, sollte mit der Frage beginnen: Welches Wallet nutzen meine Kunden — und was bringt mir der Integrationsaufwand gegenüber dem, was schon automatisch funktioniert?

---

→ Apple Pay vs. Google Pay: Sicherheit, Limits und Unterschiede im Alltag
→ Apple Pay & Google Pay akzeptieren: Was Händler brauchen
→ Tap to Pay: Das Smartphone als Kartenterminal
→ Wero: Europas neue Echtzeit-Zahlungslösung für Händler
→ SEPA Instant: Die wichtigste Payment-Neuerung