Wer die WinHero App auf dem iPhone über Safari einrichtet, zahlt mit Apple Pay über die Payment Request API. Der Browser übergibt dabei nur ein verschlüsseltes Token an den Betreiber, nicht die Kartennummer. Genau hier liegt ein Datenschutzunterschied, der in den meisten App-Vergleichen untergeht: Android-Nutzer, die eine Installationsdatei direkt vom Anbieter herunterladen, bewegen sich in einem anderen Datenmodell. Dieser Artikel seziert, welche Stelle welche Zahlungsdaten sieht und warum das für die Wahl des Zugangswegs relevant ist.
Was die Payment Request API im Safari-Browser tatsächlich überträgt
Die Payment Request API ist eine W3C-Spezifikation, die Safari auf iPhone und iPad implementiert. Ruft die WinHero Web-App eine Zahlung an, öffnet der Browser ein natives Zahlungsblatt. Die Karten- oder Wallet-Daten bleiben in diesem Blatt, außerhalb des DOM und außerhalb des JavaScript-Kontexts der Seite. Zurück an WinHero geht ein Payment-Token, das der Zahlungsdienstleister ausgestellt hat. Die Web-App sieht keine vollständige Kartennummer, keinen CVC und in der Regel keinen Klarnamen des Karteninhabers.
Für Apple Pay bedeutet das konkret: Das Gerät erzeugt einen gerätespezifischen Device Account Number statt der echten Kartennummer. Die Händler-Transaktion läuft über ein kryptografisches Token, das nur einmal verwendbar ist. WinHero erhält zur Abwicklung eine Referenz plus die für die Buchhaltung nötigen Metadaten wie Betrag, Währung und Zeitstempel. Der Betreiber GEFATA CORPORATION S.R.L. mit Sitz in Costa Rica bekommt damit genug Informationen, um Einzahlungen dem Nutzerkonto zuzuordnen, aber nicht genug, um eine Kartennummer zu speichern oder weiterzugeben.
Das ist kein Marketingversprechen, sondern eine Eigenschaft der Browser-Sandbox. Wer die Web-App über den Startbildschirm installiert, ändert daran nichts: Die installierte Web-App läuft weiterhin über den Safari-Browser und damit über dieselbe Payment-Request-Schnittstelle. Der Zahlungsdialog bleibt ein Systemdialog, kein In-App-Overlay des Anbieters.
Warum APK-Clients mehr Zahlungsdaten sehen als die Web-App
Die WinHero App ist nicht in App Store und Google Play verfügbar. Android-Nutzer laden eine Installationsdatei direkt vom Anbieter herunter, weil der offizielle Store den Zugang nicht anbietet. Eine solche APK ist eine eigenständige Anwendung mit eigenem Code, eigenen Berechtigungen und häufig eingebundenen Fremd-SDKs. Genau dort entsteht der Unterschied: Ein SDK für Zahlungsabwicklung, Analytics oder Betrugsprävention kann Daten erfassen, die im Browser-Sandbox-Modell gar nicht erst an die Seite gelangen.
Praktisch heißt das: Ein APK-Client kann Gerätefingerabdrücke, Installations-IDs, Netzwerkdaten und je nach Implementierung auch erweiterte Zahlungsinformationen an Dritte weiterreichen. Ob und in welchem Umfang das geschieht, hängt vom Build ab und lässt sich von außen nicht zuverlässig prüfen. Bei der Web-App ist der Kreis der Beteiligten dagegen klar umrissen: Safari, der Zahlungsdienst, der Betreiber. Dazwischen sitzt kein zusätzliches SDK, das eigene Interessen verfolgt.
Fremde APK-Seiten stellen zusätzlich eine Gefahr für die Gerätesicherheit dar. Wer die Installationsdatei nicht direkt vom Anbieter bezieht, riskiert manipulierte Builds mit eingeschleustem Code. Für Zahlungsvorgänge ist das der schlechteste denkbare Ausgangspunkt, weil genau die Stelle kompromittiert sein kann, die Kartendaten verarbeitet. Der offizielle Weg führt über winhero-online.de, wo Nutzer den mobilen Zugang einrichten und die Datei vom Betreiber selbst beziehen.
Checkliste für die Wahl des Zahlungswegs auf dem Smartphone
Wer abwägen will, welchen Zugang er nutzt, kann die folgenden Punkte der Reihe nach durchgehen. Sie ordnen die Datenflüsse nach Relevanz für den Alltag und nicht nach Marketingargumenten.
- iOS-Nutzer: Die Web-App über “Zum Startbildschirm” installieren, dann läuft die Zahlung über Apple Pay und die Payment Request API im Safari-Browser. An WinHero geht nur ein Token.
- Android-Nutzer: Die Installationsdatei ausschließlich direkt vom Anbieter beziehen, nicht von Fremdseiten. Jede fremde APK-Quelle ist ein Sicherheitsrisiko für das Gerät.
- Zahlungsart prüfen: Google Pay und Apple Pay sind Wallet-Verfahren mit Tokenisierung. Klassische Kartenzahlung im Browser läuft über den Zahlungsdienstleister, nicht über die Seite selbst.
- Berechtigungen lesen: Ein APK-Client fragt beim ersten Start Berechtigungen ab. Wer Zahlungsdaten schützen will, sollte skeptisch sein, wenn eine Casino App Zugriff auf Kontakte, SMS oder Speicher verlangt.
- Sitzungsverwaltung: Nach dem Zahlen im Browser die Sitzung aktiv beenden, besonders auf geteilten Geräten. Die Web-App hält die Sitzung im Safari-Kontext, nicht in einer separaten nativen Shell.
- Verantwortlicher prüfen: Betreiber des mobilen Portfolios ist GEFATA CORPORATION S.R.L. mit Sitz in Costa Rica. Wer wissen will, wohin Daten fließen, sollte diesen Namen kennen.
Die Liste macht einen Punkt deutlich: Der Zugangsweg entscheidet mit darüber, wie viele Stellen an einer Zahlung beteiligt sind. Die Web-App hält diese Zahl klein. Ein APK-Client kann sie erhöhen, ohne dass der Nutzer das an der Oberfläche sieht.
Ein Blick auf den Willkommensbonus lohnt sich in diesem Zusammenhang ebenfalls. Wer eine Einzahlung tätigt, um einen Bonus zu aktivieren, sollte wissen, ob die Zahlungsdaten über einen Systemdialog oder über einen In-App-Flow laufen. Bei der Web-App auf iOS ist es der Systemdialog von Apple Pay, beim Android-Client der Zahlungsflow der APK. Der Unterschied liegt nicht im Bonus, sondern in der Datenmenge, die dabei den Besitzer wechselt.
Für verantwortungsvolles Spielen gibt es unabhängige Angebote wie Check-dein-Spiel und die BZGA, die Fragen zu Einsatzlimits und Spielverhalten beantworten. Der Anbieter selbst kommuniziert über den Account WinHero_DE auf X (Twitter), wo Hinweise zu Zugangswegen und Änderungen am mobilen Portfolio auftauchen. Wer die Web-App nutzt, sollte dort gelegentlich nachsehen, ob sich an der Payment-Request-Implementierung oder an den akzeptierten Wallet-Verfahren etwas geändert hat.
Die praktische Empfehlung fällt entsprechend knapp aus: iOS-Nutzer installieren die Web-App über “Zum Startbildschirm” und zahlen mit Apple Pay über die Payment Request API, weil dabei nur ein Token an WinHero geht. Android-Nutzer beziehen die Installationsdatei direkt vom Anbieter, prüfen die Berechtigungen und verzichten auf jede fremde APK-Seite. Wer den Datenfluss klein halten will, wählt den Browser-Weg. Wer den APK-Client nutzt, sollte wissen, dass dort zusätzliche SDKs im Spiel sein können, die mehr sehen als Safari je weitergibt.
