Apple Pay gilt als eines der sichersten Zahlungssysteme überhaupt – sicherer als die klassische Kreditkarte, oft sogar sicherer als kontaktloses Bezahlen mit ihr. Der Grund: Deine echte Kartennummer verlässt das iPhone nie. Stattdessen reicht das Secure Element nur eine gerätespezifische Pseudo-Nummer und einen Einmal-Code an das Zahlungsterminal weiter. Trotzdem gibt es Stellen, an denen Nutzer selbst nachhelfen können, damit der Schutz auch im Alltag greift.
Apple Pay gehört zu den am weitesten verbreiteten mobilen Zahlungssystemen weltweit und gleichzeitig zu den technisch am besten abgesicherten. Anders als bei einer klassischen Kreditkarte, bei der Magnetstreifen oder Skimming an manipulierten Terminals reichen, um die Kartendaten zu kopieren, ist Apple Pay so konzipiert, dass weder Händler noch potenzielle Angreifer die tatsächliche Kartennummer zu Gesicht bekommen. Damit der Schutz im Ernstfall – etwa bei einem verlorenen oder gestohlenen iPhone – auch hält, müssen einige Voraussetzungen erfüllt sein. Ein aktivierter Schutz für gestohlene Geräte gehört dazu, ebenso wie ein paar bewusste Entscheidungen beim Hinzufügen und Nutzen von Karten.
So funktioniert Apple Pay technisch
Wer verstehen will, warum Apple Pay sicherer ist als eine kontaktlose Kreditkarte, muss einen kurzen Blick auf das technische Fundament werfen. Drei Komponenten arbeiten zusammen: das Secure Element, die Tokenisierung über die Device Account Number und die biometrische Authentifizierung.
Secure Element und Device Account Number
Wenn du eine Karte in der Wallet-App hinzufügst, wird die Kartennummer an deine Bank oder den Kartenaussteller übermittelt. Die Bank erzeugt daraufhin eine gerätespezifische Device Account Number (DAN) – eine 16-stellige Pseudo-Kartennummer – und verschlüsselt sie so, dass selbst Apple sie nicht entschlüsseln kann. Diese DAN wird dann im Secure Element gespeichert, einem zertifizierten Chip, der vom Hauptprozessor des iPhones isoliert ist und ausschließlich für sicherheitskritische Operationen zuständig ist. Deine echte Kartennummer wird weder auf dem iPhone noch auf Apple-Servern gespeichert.
Dynamischer Sicherheitscode pro Transaktion
Bei jeder Zahlung erzeugt das Secure Element neben der DAN einen einmaligen, transaktionsspezifischen Sicherheitscode. Dieser sogenannte dynamische Sicherheitscode wird mit einem Transaktionszähler und einem geheimen Schlüssel berechnet, der ausschließlich dem Zahlungsnetzwerk und dem Kartenaussteller bekannt ist. Selbst wenn ein Angreifer die NFC-Übertragung am Terminal abhören könnte, wäre der abgefangene Code für jede weitere Transaktion wertlos – eine zweite Verwendung ist technisch ausgeschlossen.
NFC mit kurzer Reichweite
Die Übertragung selbst läuft über Near Field Communication, die nur wenige Zentimeter überbrückt. Das schließt klassische Skimming-Angriffe aus, bei denen Kartendaten aus mehreren Metern Entfernung kopiert werden. Online-Zahlungen in Apps oder im Browser laufen über einen anderen Weg: Hier verschlüsselt das Secure Element die Zahlungsdaten gegen das Händlerzertifikat der jeweiligen Website, sodass selbst Apple keinen Zugriff auf die Transaktionsdetails hat.
Authentifizierung: der Punkt, an dem du selbst zählst
Die kryptografische Architektur nützt wenig, wenn jeder beliebige am Terminal mit deinem iPhone zahlen könnte. Genau hier setzt die Authentifizierung an, ohne die keine Transaktion durchläuft.
Face ID, Touch ID oder Code
Bei jeder Zahlung verlangt das iPhone eine Bestätigung – per Face ID, Touch ID oder Gerätecode. Bei Face ID drückst du zweimal die Seitentaste und blickst kurz aufs Display; bei Touch ID legst du den Finger auf den Sensor. Erst nach erfolgreicher Authentifizierung gibt die Secure Enclave dem Secure Element grünes Licht für die Zahlung. Nach drei Fehlversuchen mit Touch ID oder zwei mit Face ID schaltet das iPhone auf Code-Eingabe um; nach fünf Fehlversuchen ist ein Code zwingend erforderlich.
Was das im Diebstahl-Szenario bedeutet
Wer dein iPhone in die Hand bekommt, kann nicht einfach kontaktlos damit zahlen. Ohne biometrische Bestätigung oder Code passiert nichts. Anders als bei einer gestohlenen kontaktlosen Kreditkarte oder Girocard, bei der in Deutschland Beträge bis 50 Euro üblicherweise ohne PIN durchgewinkt werden, schützt die Authentifizierung jede Apple-Pay-Zahlung – egal ob ein Euro oder tausend Euro.
Express-Modus: bequem, aber bewusst nutzen
Eine Ausnahme von der Authentifizierungspflicht gibt es: den Express-Modus, der ausschließlich für bestimmte ÖPNV-Karten, Studierendenausweise, Hausschlüssel und andere kompatible Karten gedacht ist. Hier reicht es, das iPhone an das Terminal zu halten – keine Face ID, keine Touch ID, kein Code, sogar bei gesperrtem Display. Das ist im Berufsverkehr praktisch, hat aber eine Konsequenz: Wer dein iPhone in die Hand bekommt, kann theoretisch im Nahverkehr damit fahren oder eine andere Express-Karte nutzen, ohne sich zu authentifizieren.
In Deutschland ist die Apple-Pay-Express-Integration mit dem ÖPNV bislang stark begrenzt. Klassische Express-Transit-Beispiele sind New York (MTA OMNY), London (Transport for London), Tokio (Suica/PASMO) oder Paris (NaviGo). In Deutschland gibt es nur vereinzelte Pilotprojekte; ein flächendeckendes Express-ÖPNV-System fehlt aufgrund der Vielzahl regionaler Verkehrsverbünde. Die Express-Modus-Einstellung erreichst du über die Einstellungen-App unter „Wallet & Apple Pay“ → „Express-ÖPNV-Karte“. Für reguläre Kredit- und Debitkarten an klassischen Kassenterminals lässt sich der Express-Modus nicht aktivieren – diese Zahlungen verlangen immer eine Authentifizierung.
Wenn das iPhone verloren oder gestohlen wird
Sollte dein iPhone abhandenkommen, hast du mehrere Wege, die hinterlegten Karten zu sperren. Das Gute: Die Sperrung funktioniert auch, wenn das Gerät offline ist – also keine WLAN- oder Mobilfunkverbindung mehr hat.
Verloren-Modus über „Wo ist?“
Der schnellste Weg läuft über die „Wo ist?“-App auf einem anderen Apple-Gerät oder über iCloud.com/find im Browser. Dort wählst du dein iPhone aus, tippst auf „Als verloren markieren“ und folgst den Anweisungen. Damit wird das Gerät gesperrt, eine optionale Kontakt-Nachricht auf dem Sperrbildschirm angezeigt – und alle Apple-Pay-Karten werden automatisch deaktiviert. Wenn du den Modus „Verloren“ später wieder aufhebst und dich erneut bei deinem Apple Account anmeldest, werden die Karten reaktiviert.
Karten über den Apple Account entfernen
Alternativ kannst du dich auf account.apple.com mit deinem Apple Account anmelden, im Bereich „Geräte“ das verlorene Gerät auswählen und unter „Wallet & Apple Pay“ auf „Objekte entfernen“ klicken. Die Karten werden in Apple Pay vom Kartenaussteller im Zahlungsnetzwerk gesperrt, selbst wenn das Gerät offline und nicht mit einem Mobilfunk- oder WLAN-Netzwerk verbunden ist.
Physische Karte separat sperren
Wichtig zu wissen: Wenn du nur die Apple-Pay-Karten sperrst, läuft deine physische Plastikkarte weiter. Die DAN ist gerätespezifisch, deine eigentliche Kartennummer dagegen nicht. Wer also befürchtet, dass auch die physische Karte abhandengekommen ist, sollte sie unabhängig vom iPhone bei der Bank sperren lassen. Für deutsche Karten ist die zentrale Sperrhotline 116 116 (kostenfrei aus Deutschland, kostenpflichtig aus dem Ausland).
Sicherheitsbausteine, die Apple Pay flankieren
Apple Pay ist nur so sicher wie das iPhone, auf dem es läuft. Mehrere ergänzende Einstellungen verstärken den Schutz spürbar – und sind in wenigen Minuten aktiviert.
Schutz für gestohlene Geräte
Mit Stolen Device Protection erschwert iOS sensible Aktionen in unbekannten Umgebungen erheblich – etwa Passwortänderungen oder das Deaktivieren des Verloren-Modus. Diese Funktion ist seit iOS 17.3 verfügbar und sollte auf jedem iPhone aktiv sein, das auch nur gelegentlich außerhalb des eigenen Zuhauses verwendet wird.
Zwei-Faktor-Authentifizierung für den Apple Account
Damit Apple-Pay-Karten zwischen mehreren Geräten (etwa iPhone und Apple Watch) im selben Apple Account synchronisiert werden können, muss die Zwei-Faktor-Authentifizierung beim Apple Account aktiviert sein. Unabhängig davon schützt 2FA bei einem gestohlenen iPhone davor, dass Angreifer mit dem Gerätecode allein wesentliche Änderungen am Apple Account vornehmen können.
Starke Apple-Account-Passwörter
Da der Apple Account die zentrale Schaltstelle für Wallet, „Wo ist?“ und Apple Pay ist, lohnt ein Blick in die Passwörter-App, ob das Account-Passwort nicht in einem Datenleck aufgetaucht ist. Ein kompromittiertes Apple-Account-Passwort kann im Worst Case alle anderen Schutzmechanismen unterlaufen.
Vorsicht vor Apple-Pay-Phishing
Eine Betrugsmasche, die immer wieder auftaucht: E-Mails oder SMS, die angeblich von Apple Pay oder der Bank stammen und behaupten, eine Zahlung sei fehlgeschlagen oder ein Account müsse verifiziert werden. Die enthaltenen Links führen auf gefälschte Anmeldeseiten, auf denen Apple-Account-Daten abgegriffen werden sollen. Apple selbst fordert nie per E-Mail oder SMS dazu auf, Apple-Pay-Daten einzugeben. Wer einen genaueren Blick auf die Erkennungsmerkmale werfen will, findet die wichtigsten Warnsignale in unserem Überblick zum Erkennen von Phishing-Versuchen.
Was Apple bei Transaktionen wirklich sieht – und was nicht
Ein häufiges Missverständnis: Viele Nutzer gehen davon aus, dass Apple jede Transaktion mitliest. Das stimmt so nicht. Bei Zahlungen im stationären Handel bekommt Apple gar nichts mit – die Kommunikation läuft direkt zwischen Secure Element, Terminal und dem Zahlungsnetzwerk der Bank. Bei In-App- oder Web-Zahlungen erhält Apple anonymisierte Metadaten wie Zeit und ungefähren Ort der Transaktion, aber weder die Kartennummer noch den konkreten Händler-Kontext. Diese Daten dienen laut Apples Datenschutzhinweisen ausschließlich der Verbesserung von Apple Pay und werden nicht zur Profilbildung an Werbenetzwerke weitergegeben.
Apple Pay sicher zu nutzen ist keine Wissenschaft
Die Technik dahinter ist komplex, der praktische Schutz dagegen erstaunlich einfach: Face ID oder Touch ID konsequent nutzen, einen starken Gerätecode setzen, Schutz für gestohlene Geräte aktivieren und beim ersten Anzeichen eines verlorenen iPhones „Wo ist?“ öffnen. Mit diesen vier Bausteinen ist Apple Pay nicht nur eines der bequemsten, sondern auch eines der sichersten Zahlungssysteme, die aktuell verfügbar sind – deutlich sicherer als jede Plastikkarte in der Brieftasche.
Die besten Produkte für dich: Unsere Amazon Storefront bietet eine breite Auswahl an Zubehörteilen, auch für HomeKit. (Bild: Shutterstock / DenPhotos)
- Datenleck-Check am iPhone: So findest du kompromittierte Passwörter
- iPhone gehackt erkennen: Echte Warnzeichen, häufige Fehlalarme und die richtigen Schritte
- Erweiterter Datenschutz für iCloud: Apples stärkste Verschlüsselungsstufe richtig nutzen
- NameDrop auf iPhone und Apple Watch richtig nutzen
- Zwei-Faktor-Authentifizierung beim Apple Account: Anleitung, Optionen und Sicherheitsstufen
- Passkeys auf Apple-Geräten nutzen: So funktioniert die passwortlose Anmeldung
- Schutz für gestohlene Geräte am iPhone aktivieren und richtig nutzen
- Pegasus und kommerzielle Spyware auf dem iPhone: Was Nutzer wirklich wissen müssen
- Sichere E-Mail-Nutzung auf dem iPhone
- KI macht dein iPhone sicherer – was das wirklich für dich bedeutet
- Apple Sicherheitsupdates: So schützt Apple deine Geräte
- Ransomware erklärt: Kann mein iPhone betroffen sein?
- Identitätsdiebstahl: Was tun, wenn deine Daten gestohlen wurden?
- Social Engineering erkennen: So schützt du dich vor Manipulation
- KI-Betrug erkennen: Deepfakes, Fake-Stimmen und wie du dich schützt
- Quishing erkennen: So schützt du dich vor QR-Code-Betrug
- Öffentliches WLAN sicher nutzen: So schützt du dein iPhone
- iOS 26.4: Hotspot-Datenverbrauch pro Gerät anzeigen
- Smishing erkennen: So schützt du dich vor SMS-Betrug
- Sicheres Passwort erstellen & verwalten: Der Apple-Leitfaden
- WhatsApp gehackt: So schützt du dein Konto
- Phishing erkennen: So schützt du dich vor Betrug
- Apple ID erstellen, ändern und löschen: Der komplette Überblick
- iPhone Rufumleitung aktivieren: Alle Methoden unter iOS 26
Häufige Fragen: Apple Pay sicher nutzen
Ja. Apple Pay übermittelt nie deine echte Kartennummer, sondern eine gerätespezifische Device Account Number plus einen Einmal-Code pro Transaktion. Außerdem ist jede Zahlung an Face ID, Touch ID oder Code gebunden – anders als bei einer kontaktlosen Kreditkarte oder Girocard, mit der in Deutschland Beträge bis 50 Euro ohne PIN durchgewinkt werden.
Ohne Face ID, Touch ID oder Code geht keine Zahlung durch. Nach wenigen Fehlversuchen verlangt das iPhone zwingend den Code, spätestens nach fünf Fehlversuchen ist er Pflicht. Wer zusätzlich den Schutz für gestohlene Geräte aktiviert hat, ist auch dann geschützt, wenn jemand den Code zufällig kennt – kritische Aktionen verlangen dann Face ID oder Touch ID.
Am schnellsten über die „Wo ist?“-App auf einem anderen Apple-Gerät oder über iCloud.com/find. Dort das iPhone auswählen und „Als verloren markieren“ – Apple Pay wird sofort deaktiviert, auch wenn das Gerät offline ist. Alternativ kannst du dich auf account.apple.com anmelden, das Gerät unter „Geräte“ auswählen und im Bereich „Wallet & Apple Pay“ auf „Objekte entfernen“ klicken.
Nein, nicht zwangsläufig – wenn nur das iPhone abhandengekommen ist, reicht die Sperrung der Apple-Pay-Karten. Deine physische Karte funktioniert weiter, weil sie eine andere Nummer hat als die Device Account Number im Secure Element. Anders sieht es aus, wenn auch die Geldbörse fehlt: dann separat über die Bank oder den Sperr-Notruf 116 116 sperren.
Der Express-Modus erlaubt Zahlungen ohne Face ID, Touch ID oder Code – aber nur für bestimmte ÖPNV-Karten, Studierendenausweise und ähnliche kompatible Karten, nicht für reguläre Kredit- oder Debitkarten. In Deutschland ist die Express-ÖPNV-Integration bislang stark begrenzt; flächendeckend wird sie etwa in New York, London oder Tokio genutzt. Über den Verloren-Modus lassen sich auch Express-Karten sperren.
Bei Zahlungen im Geschäft nicht – die laufen direkt zwischen iPhone, Terminal und Bank. Bei In-App- oder Web-Zahlungen erhält Apple anonymisierte Metadaten wie Zeit und ungefähren Ort, aber weder Kartennummer noch Händler-Details werden für Werbezwecke verwendet. Die echte Kartennummer ist Apple zu keinem Zeitpunkt zugänglich, da sie im Secure Element kryptografisch isoliert ist.
gnorieren und nicht auf den Link klicken. Apple fordert nie per E-Mail oder SMS dazu auf, Apple-Pay- oder Apple-Account-Daten einzugeben. Verdächtige E-Mails kannst du an reportphishing [at] apple.com weiterleiten. Echte Apple-Pay-Aktivitäten siehst du immer direkt in der Wallet-App.
