Was ist Tap to Phone?

Auch bekannt als: Tap on Phone, Tap to Pay on Android, Visa Tap to Phone, Mastercard Tap on Phone

• Visa vermarktet die Kartenannahme auf Standard-Smartphones unter dem Programmnamen Tap to Phone, Mastercard unter Tap on Phone
• Stripe verlangt für Tap to Pay on Android mindestens Android 13, ein Sicherheitsupdate aus den letzten zwölf Monaten, Google Mobile Services und einen Hardware-Keystore mit ECDH-Unterstützung
• Gerootete Geräte, entsperrte Bootloader, aktivierte Entwickleroptionen und Android-Emulatoren sind für Tap to Pay on Android ausgeschlossen
• Die PIN-Erfassung wird abgebrochen, wenn Bildschirmaufzeichnung, Overlay-Fenster oder Bedienungshilfen aktiv sind

Herkunft des Begriffs

Tap to Phone ist kein neutraler Fachterminus, sondern ein Markenprogramm. Visa führte die Bezeichnung ein, um Zahlungsdienstleistern und Banken einen zertifizierten Rahmen für die Kartenannahme auf Standard-Smartphones zu geben; Mastercard betreibt ein vergleichbares Programm unter dem Namen Tap on Phone. Beide Programme definieren, welche Sicherheitsnachweise eine Lösung erbringen muss, damit die Kartensysteme Transaktionen aus dieser Umgebung akzeptieren. Weil die Programme älter sind als der zusammenfassende PCI-Standard MPoC, existieren die Begriffe parallel: Tap to Phone beschreibt die Marktseite, MPoC die technische Prüfgrundlage. Im deutschsprachigen Raum hat sich zusätzlich der Oberbegriff SoftPOS durchgesetzt.

Technische Anforderungen an Android-Geräte

Die Gerätehürden auf Android sind höher als auf iOS, weil das Ökosystem heterogener ist. Stripe verlangt für Tap to Pay on Android ein Gerät mit funktionierender NFC-Antenne und ARM-Prozessor, mindestens Android 13, ein Sicherheitsupdate aus den vergangenen zwölf Monaten, Google Mobile Services samt Play Store, einen Hardware-Keystore mit ECDH-Unterstützung sowie ein unverändertes Herstellersystem. Gerootete Geräte, entsperrte Bootloader, aktivierte Entwickleroptionen und Emulatoren sind ausgeschlossen. Ebenfalls ausgeschlossen sind Geräte, die selbst als PCI-PTS-zertifizierte Zahlungsterminals gelten. Andere Anbieter setzen abweichende Mindestversionen an, weshalb die Gerätematrix des konkreten Anbieters die einzig verlässliche Auskunft ist.

PIN-Eingabe und Sicherheitsumgebung

Oberhalb der Kontaktlos-Grenze verlangt die Karte eine Kundenverifikation, in Europa üblicherweise die PIN. Bei Tap to Phone erscheint das Zifferfeld auf dem Touchscreen des Händlergeräts. Damit das nicht abgegriffen werden kann, prüft die Lösung die Umgebung: Bildschirmaufzeichnung, eingeblendete Overlay-Fenster, laufende Bedienungshilfen und aktivierte Entwickleroptionen führen zum Abbruch der PIN-Erfassung. Screenshots werden blockiert. Zusätzlich erscheint das Tastenfeld an einer zufällig bestimmten Bildschirmposition, damit sich der Eingabeort nicht aus Fingerbewegungen rekonstruieren lässt. Bricht die Erfassung ab, meldet die Software einen Umgebungsfehler und der Händler muss die Störquelle abschalten, bevor er erneut kassieren kann.

Welche Geräteklassen infrage kommen

Tap to Phone beschränkt sich nicht auf Smartphones. Zugelassen sind laut Stripe auch Tablets, Handhelds, Kioske und Android-basierte Kassenterminals — etwa Geräte von Sunmi, iMin, Zebra, Honeywell oder ein Samsung Galaxy Tab Active5. Damit lässt sich dieselbe Technik für den Marktstand wie für die stationäre Kasse nutzen. Praktisch relevant ist die Unterscheidung zwischen GMS-zertifizierten und nicht zertifizierten Varianten desselben Modells: Nur GMS-zertifizierte Geräte bestehen die Attestierung, andernfalls scheitert die Verbindung mit einem Attestierungsfehler. Wer Hardware im Voraus beschafft, sollte diese Zertifizierung vom Händler schriftlich bestätigen lassen.

Abgrenzung — womit Tap to Phone verwechselt wird

Tap to Phone und Tap to Pay on iPhone werden häufig gleichgesetzt. Tap to Phone ist ein Programmname der Kartensysteme und wird umgangssprachlich für die Android-Welt verwendet; Tap to Pay on iPhone ist Apples geschützter Name für dieselbe Funktionsklasse auf iOS. Der neutrale Oberbegriff für beides ist SoftPOS, die gemeinsame technische Prüfgrundlage ist der PCI-Standard MPoC.

Verwandte Begriffe

Häufige Fragen

Welche Android-Version brauche ich für Tap to Phone?

Das hängt vom Anbieter ab. Stripe verlangt für Tap to Pay on Android mindestens Android 13 samt einem Sicherheitsupdate aus den vergangenen zwölf Monaten. Andere Anbieter setzen abweichende Mindestversionen an. Unabhängig davon gilt immer: NFC muss vorhanden und aktiv sein, das Gerät darf nicht gerootet sein und muss das unveränderte Herstellersystem ausführen.

Warum bricht die PIN-Eingabe auf meinem Android-Gerät ab?

Die Lösung prüft während der PIN-Erfassung die Geräteumgebung. Aktive Bildschirmaufzeichnung, eingeblendete Overlay-Fenster anderer Apps, laufende Bedienungshilfen, eingeschaltete Entwickleroptionen oder ein Screenshot-Versuch führen zum sofortigen Abbruch mit einem Umgebungsfehler. Schalten Sie die betreffende Funktion ab und starten Sie den Kassiervorgang erneut.

Funktioniert Tap to Phone auch auf Tablets und Kassengeräten?

Ja. Zugelassen sind neben Smartphones auch Tablets, Handhelds, Kioske und Android-basierte Kassenterminals, sofern sie die Sicherheitsanforderungen erfüllen und Google-Mobile-Services-zertifiziert sind. Bei manchen Modellen existieren zertifizierte und nicht zertifizierte Varianten nebeneinander; die nicht zertifizierte Variante scheitert an der Attestierung und lässt sich nicht verbinden.

Quellen

• Stripe Docs — Tap to Pay (Android), unterstützte Geräte und PIN-Erfassung
• PCI SSC — Mobile Payments on COTS (MPoC)

Teil des SoftPOS24 Payment-Glossars mit 71 Fachbegriffen zu SoftPOS, Kartenzahlung und Zahlungsverkehr. Fehler entdeckt? Korrektur melden — wir prüfen jede Meldung.