Biometrisches Bezahlen

Eine biometrische Zahlungskarte sieht aus wie eine gewöhnliche Chipkarte, trägt aber neben dem Chip einen kleinen Fingerabdrucksensor. Der Karteninhaber legt beim Auflegen oder Einstecken der Karte einen Finger auf den Sensor, und die Karte vergleicht ihn mit der gespeicherten Vorlage, bevor sie die Zahlung freigibt. Thales, das solche Karten für Banken herstellt, gibt an, dass der Fingerabdruck im Chip der Karte gespeichert bleibt, sodass weder Händler noch Bank ihn sehen. Registriert wird der Fingerabdruck zu Hause oder in einer Bankfiliale, und laut Thales ist die Karte von den großen EMV-Kartensystemen wie Mastercard und Visa zertifiziert.

BNP Paribas hat die Thales-Karte nach einem Test für alle Kunden geöffnet, wie Jean-Marie Dragon, Head of Payments and Cards der Bank, bei der Vorstellung der Karte im Juli 2021 sagte. In der Schweiz brachte Cornèrcard im November 2019 mit Visa und Gemalto eine Biometric Gold Visa Kreditkarte heraus, bei der der Karteninhaber den Fingerabdruck auf dem Sensor der Karte registriert und die PIN nur bei der ersten Zahlung eingibt.

Der Fingerabdruck auf der Karte verändert auch die Grenzen beim kontaktlosen Bezahlen. Nach der Delegierten Verordnung (EU) 2018/389 darf eine Bank am Terminal nur bis 50 Euro je Zahlung auf die starke Kundenauthentifizierung verzichten, und nur bis sich 150 Euro oder fünf Zahlungen in Folge angesammelt haben; danach muss sich der Karteninhaber erneut authentifizieren, meist mit der PIN. Eine biometrische Karte prüft den Karteninhaber bei jedem Auflegen, und Thales folgert daraus, dass seine Karte kein Zahlungslimit braucht.

Mastercard startete das Biometric Checkout Program am 17. Mai 2022 als Regelwerk für das Bezahlen im Laden per Gesichtsscan oder Handbewegung. Banken, Händler und Technologieanbieter im Programm halten sich an Mindeststandards für Sicherheit, biometrische Leistung und Datenschutz, und Kunden registrieren sich freiwillig in der App eines Händlers oder Identitätsanbieters. Der erste Pilot lief in fünf Supermärkten von St Marche in São Paulo, mit Payface als Technologiepartner.

Europa folgte im Juni 2024, als Mastercard, die polnische Handelskette Empik und das Fintech PayEye den ersten Biometric-Checkout-Pilot in Europa in fünf Empik-Filialen starteten. Kunden zahlen dort mit einem Blick in ein eyePOS-Terminal, das Iris- und Gesichtserkennung kombiniert. Im Juli 2024 vereinbarte PayEye zudem eine Kooperation mit Worldline, und die gemeinsame Mitteilung (auf Polnisch) beschreibt den Ablauf: Der Kunde registriert sich in der App PayEye Global mit einem Selfie, verknüpft eine Zahlungskarte und bestätigt später jede Zahlung mit einem Blick ins Terminal. Das Terminal eyePOS 3 nimmt an derselben Kasse auch NFC-Zahlungen, QR-Codes und gewöhnliche Karten an.

Für das Bezahlen per Handfläche kündigte Handwave, ein Fintech aus Riga, am 2. September 2026 eine erweiterte Vereinbarung mit Visa an, nach der eine Zahlungskarte per Tokenisierung mit der Handfläche des Nutzers verknüpft wird. Handwave prüft Geometrie der Handfläche, Venenmuster und Lebenderkennung, nennt das Baltikum als ersten Startmarkt und erwartet, dass Pilotprojekte mit Banken und Händlern noch 2026 in den Regelbetrieb gehen.

Eine Wallet auf dem Smartphone arbeitet bereits biometrisch, denn sie verlangt Fingerabdruck oder Gesicht des Nutzers, bevor sie eine hinterlegte Karte freigibt. Die Europäische Bankenaufsichtsbehörde erkennt solche Wallet-Verfahren als konform mit der starken Kundenauthentifizierung an, wenn sie das an die App gebundene Telefon mit einem Wissens- oder Inhärenzelement kombinieren.

Für Online-Käufe bietet Visa den Visa Payment Passkey an, der auf den FIDO-Standards beruht und eine Zahlung mit Fingerabdruck oder Gesichtserkennung des Geräts statt mit Passwort oder Einmalcode bestätigt. In der Ukraine ist der Dienst seit April 2025 verfügbar; damals startete Visa ihn mit der Plattform für Nebenkostenzahlungen GERC als Teil von Click to Pay, und im April 2026 kam der Zahlungsdienst RozetkaPay dazu. Hinter dem FIDO-Standard steht ein Schlüsselpaar, dessen privater Schlüssel auf dem Gerät bleibt und durch die biometrische Prüfung freigegeben wird, wie bei Passkeys im Banking.

Die PSD2 verlangt für elektronische Zahlungen eine starke Kundenauthentifizierung und nennt Inhärenz, also etwas, das der Nutzer ist, als eine von drei Kategorien neben Wissen und Besitz. Die technischen Regulierungsstandards zur Authentifizierung verlangen zusätzlich, dass Geräte und Software, die ein Inhärenzelement lesen, nur mit sehr geringer Wahrscheinlichkeit einen Unbefugten als Zahler akzeptieren.

Die Europäische Bankenaufsichtsbehörde EBA hat in ihrer Stellungnahme EBA-Op-2019-06 vom 21. Juni 2019 aufgelistet, welche biometrischen Verfahren als Inhärenz gelten können: Fingerabdruckscan, Venenerkennung, Hand- und Gesichtsgeometrie, Netzhaut- und Irisscan sowie Stimmerkennung. Die EBA ergänzt, dass die Qualität der Umsetzung darüber entscheidet, ob ein Verfahren in der Praxis die Anforderungen erfüllt. Eine biometrische Prüfung deckt nur ein Element ab, und das zweite muss aus einer anderen Kategorie stammen, etwa das an die Banking-App gebundene Telefon. Ausnahmen, 3-D Secure und Haftung gehören zu den übergreifenden Regeln der starken Kundenauthentifizierung, während Tipp- und Wischmuster gegen Betrug unter Verhaltensbiometrie fallen.

Die Datenschutz-Grundverordnung definiert biometrische Daten als personenbezogene Daten aus einer technischen Verarbeitung körperlicher, physiologischer oder verhaltenstypischer Merkmale, die die eindeutige Identifizierung einer Person ermöglichen oder bestätigen, etwa Gesichtsbilder oder daktyloskopische Daten. Artikel 9 verbietet die Verarbeitung biometrischer Daten zur eindeutigen Identifizierung einer Person, solange keine Ausnahme greift, und für einen Zahlungsdienst passt meist die ausdrückliche Einwilligung des Kunden für einen festgelegten Zweck. Die Registrierung im Mastercard-Programm und in der App von PayEye ist freiwillig, und eine Vorlage, die wie bei Thales nur im Chip der Karte liegt, erreicht weder Bank noch Händler.

Die KI-Verordnung der EU unterscheidet zwei Arten des Abgleichs, die Zahlungssysteme nutzen. Biometrische Verifizierung ist die Eins-zu-eins-Prüfung, ob eine Person die ist, die sie zu sein vorgibt, und Anhang III der Verordnung (EU) 2024/1689 nimmt sie ausdrücklich von der Hochrisiko-Kategorie der biometrischen Fernidentifizierung aus. Biometrische Fernidentifizierung gleicht eine Person ohne ihr aktives Zutun und meist aus der Ferne mit einer Referenzdatenbank ab, deshalb müssen Anbieter von Gesichts- und Handflächenterminals prüfen, unter welche Definition ihr Abgleich fällt. Die Verordnung verbietet außerdem Systeme zur biometrischen Kategorisierung, die aus biometrischen Daten auf Rasse, politische Einstellung, religiöse Überzeugung oder sexuelle Orientierung schließen.

Beim biometrischen Bezahlen bestätigt der Zahler eine Karten-, Wallet- oder Kontozahlung mit Fingerabdruck, Gesicht, Iris oder Handfläche statt mit PIN oder Passwort. Die biometrische Prüfung authentifiziert nur den Zahler, und das Geld fließt weiter über das Kartensystem oder das Bankkonto hinter der Zahlung.

Die Karte trägt einen Fingerabdrucksensor und einen sicheren Chip, der die Vorlage des Karteninhabers speichert. Am Terminal legt der Karteninhaber beim Auflegen oder Einstecken einen Finger auf den Sensor, und die Karte gibt die Zahlung nur frei, wenn der Fingerabdruck passt. Cornèrcard verlangt die PIN einmal bei der ersten Zahlung, und bei der Thales-Karte wird der Fingerabdruck zu Hause oder in einer Bankfiliale registriert.

Eine kopierte Kartennummer oder eine gestohlene PIN reicht nicht aus, wenn die Zahlung zusätzlich Fingerabdruck oder Gesicht des Zahlers verlangt. Für ein Inhärenzelement fordern die EU-Regeln eine sehr geringe Wahrscheinlichkeit, dass ein anderer als Zahler akzeptiert wird, und eine Vorlage, die auf Karte oder Telefon bleibt, liegt auf keinem zentralen Server. Ein Fingerabdruck lässt sich nach einem Leck nicht wie ein Passwort austauschen, und die DSGVO zählt biometrische Daten zur Identifizierung zu den besonderen Kategorien personenbezogener Daten.

Der Kunde registriert sich einmal, verknüpft eine Zahlungskarte mit seiner Handfläche und hält später an der Kasse die Hand über ein Lesegerät. Handwave liest Geometrie und Venenmuster der Handfläche mit einer Lebenderkennung und verknüpft die Karte mit Visa über einen Token, sodass das Lesegerät mit einem Ersatzwert statt mit der Kartennummer arbeitet.

In der Regel ja, denn Artikel 9 der DSGVO verbietet die Verarbeitung biometrischer Daten zur Identifizierung einer Person, solange keine Ausnahme greift, und für einen Zahlungsdienst passt die ausdrückliche Einwilligung für einen festgelegten Zweck. Im Mastercard-Programm ist die Registrierung freiwillig, und das Terminal eyePOS 3 von PayEye nimmt weiterhin gewöhnliche Karten von Kunden an, die nie Gesicht oder Iris hinterlegen.