Apples DeviceCheck erkennt das Telefon hinter einem Rückerstattungsmissbrauch, auch nach der Anmeldung mit einem neuen Konto

Eine Kontosperre hält niemanden auf, der Rückerstattungen missbraucht und sich auf demselben Telefon einfach neu anmeldet. Genau für diese Lücke gibt es Apples DeviceCheck und Google Plays Geräte-Wiedererkennung (device recall). Beide erlauben Ihrem Server, einem physischen Gerät ein paar Bits mit selbst festgelegter Bedeutung zuzuordnen. Gespeichert werden sie auf den Servern des Stores. Die Markierung ist also noch da, wenn die Person mit einer neuen E-Mail-Adresse zurückkommt. Keines der beiden Werkzeuge liefert Ihnen eine Geräte-ID, und keines kann eine Rückerstattung verhindern. Sie sagen Ihnen aber bei der Anmeldung oder an der Paywall, dass Sie mit diesem Gerät schon einmal Schaden hatten.

Hier lesen Sie, was jeder Store tatsächlich speichert, welche Zeitfalle darüber entscheidet, ob Sie die Markierung überhaupt setzen können, und was ein Wiederholungstäter kostet, bevor Sie ihn erkennen.

Warum ein neues Konto jede Abwehr auf Kontoebene aushebelt

Die meisten Schutzmaßnahmen gegen Rückerstattungen hängen an einem Konto. Apples appAccountToken verknüpft eine Transaktion mit einem Nutzer in Ihrer Datenbank. Google Plays verschleierte Konto-ID leistet dasselbe auf Android. Beide sollten Sie bei jedem Kauf setzen, und beide beschreiben das Konto einer Person, nicht die Hardware in ihrer Hand. Konto löschen, mit neuer E-Mail-Adresse anmelden, und Ihre Historie zu dieser Person beginnt bei null.

Die Stores schließen diese Lücke nicht für Sie. Eine App Store-Rückerstattungsbenachrichtigung nennt Ihnen die erstattete Transaktion. Ein stornierter Google Play-Kauf nennt Ihnen das Kauf-Token, die Bestell-ID und einen voidedReason. Keine dieser Meldungen enthält eine Gerätekennung. Ein Entwickler einer Dating-App beschrieb die Folgen in einem Thread der Apple Developer Forums: Betrugsprofile kauften immer wieder eine Premium-Mitgliedschaft, die später erstattet wurde, und das Sperren ihrer Geräte mit einer eigenen Methode half nicht.

Setzt ein neues Konto die Testphase des Stores zurück?

Nicht beim selben Apple Account. Laut Apples Dokumentation erhalten Einführungsangebote, einschließlich kostenloser Testphasen, nur Kunden, die noch keines für dieses Produkt oder ein anderes Produkt derselben Abonnementgruppe erhalten haben. Ein neuer Login in Ihrer App bringt also keine zweite Apple-Testphase. Ein neuer Apple Account dagegen schon, ebenso alles, was Sie selbst vergeben: Anmeldeguthaben, eine vom Server finanzierte Testphase, einen Empfehlungsbonus. Genau diese Geschenke schützt eine Gerätemarkierung.

Was Apples DeviceCheck tatsächlich speichert

DeviceCheck besteht aus zwei Teilen. In der App erzeugt die Klasse DCDevice ein kurzlebiges Token, das das Gerät identifiziert. Ihr Server sendet dieses Token an Apple, zusammen mit einem JSON Web Token, das mit einem Schlüssel aus Ihrem Entwicklerkonto signiert ist. Dann können Sie zwei Bits für dieses Gerät abfragen oder ändern. Die Antwort auf eine Abfrage enthält bit0, bit1 und last_update_time, angegeben als Jahr und Monat. Apple nennt selbst zwei Beispiele: ein Gerät, das bereits ein Werbeangebot genutzt hat, und ein Gerät, das Sie als betrügerisch eingestuft haben.

Apple speichert die Bits, die Bedeutung legen Sie fest. Laut Dokumentation sind Sie dafür verantwortlich, nachzuhalten, was die Bits bedeuten, und zu entscheiden, wann Sie sie zurücksetzen. Als Beispiel nennt Apple ein verkauftes Gerät. Zwei Bits ergeben vier Zustände. Ein einfaches Schema ist ein Bit für erstattet nach intensiver Nutzung und eines für Gratis-Guthaben bereits erhalten.

• Das Token ist nur einmal verwendbar. Laut Apple bleibt es lange genug gültig, um eine Anfrage zu wiederholen, für jeden Aufruf sollten Sie aber ein neues erzeugen.
• Entwicklungs-Builds sprechen mit api.development.devicecheck.apple.com. In der Produktion müssen Sie api.devicecheck.apple.com verwenden, sonst landen Ihre Markierungen am falschen Ort.
• Apple beschreibt DeviceCheck als einen Faktor in einer Gesamtbewertung des Risikos, nicht als Urteil. Behandeln Sie ein gesetztes Bit als Anlass, genauer hinzusehen.

Was Googles Geräte-Wiedererkennung auf Android ergänzt

Googles Variante ist Teil der Play Integrity API und befindet sich noch in der Beta, zugänglich über ein Interessenformular. Nach der Freigabe und der Aktivierung in der Play Console enthält jedes Integritätsurteil drei eigene Bits für das Gerät. Sie schreiben diese per Serveraufruf an den Endpunkt deviceRecall:write, mit einem Integritätstoken, das Sie bereits geprüft haben. Laut Google bleiben die Daten nach einer Neuinstallation der App und nach einem Zurücksetzen des Geräts erhalten, weil sie auf Googles Servern liegen.

Googles Dokumentation benennt den Einsatzzweck ungewöhnlich klar. Genannt werden Geräte mit Belegen für schweren Missbrauch, Geräte, die bereits einen wertvollen Artikel wie eine kostenlose Testphase eingelöst haben, und Geräte, mit denen immer wieder neue Konten zu missbräuchlichen Zwecken angelegt werden. Ebenso klar ist die Grenze: Die Geräte-Wiedererkennung darf nur zum Schutz der App-Sicherheit und gegen Missbrauch, Betrug und unbefugten Zugriff eingesetzt werden. Sie darf niemals zum Fingerprinting oder Tracking einzelner Nutzer dienen und niemals sensible Merkmale wie Alter, Geschlecht oder Standort speichern.

Das Zeitproblem: Rückerstattungen kommen, wenn das Token weg ist

Beide Werkzeuge brauchen etwas vom Gerät selbst, bevor Sie es markieren können. Apple braucht ein frisches DCDevice-Token. Google braucht ein Integritätstoken dieses Geräts, das höchstens 14 Tage alt ist. Die Rückerstattung erreicht Ihren Server dagegen über eine Store-Benachrichtigung, die nichts über das Gerät weiß. Die Frage ist also nicht, ob Sie ein Gerät markieren. Die Frage ist, ob Sie es noch erreichen können, wenn die Rückerstattung eintrifft.

Googles 48-Stunden-Rückerstattungen passen in das 14-Tage-Fenster

Selbstbedienungs-Rückerstattungen bei Google Play sind nur innerhalb von 48 Stunden nach dem Kauf möglich. Das liegt deutlich innerhalb der 14 Tage, in denen ein Integritätstoken für Schreibvorgänge nutzbar bleibt. Führen Sie beim Kauf eine Integritätsprüfung durch, speichern Sie das geprüfte Token neben der Bestell-ID, und wenn für diese Bestellung ein stornierter Kauf eintrifft, können Sie das Bit sofort schreiben. Schwieriger sind Chargebacks, denn eine Bankreklamation kann lange nach Tag 14 eintreffen.

Bei Apple-Rückerstattungen muss das Gerät zurückkommen

Eine Apple-Rückerstattung kann Wochen nach dem Kauf eintreffen, und ein gespeichertes DeviceCheck-Token ist nicht zur Wiederverwendung gedacht. Praktisch heißt das: zuerst das Konto markieren, dann das Gerät. Wenn die Rückerstattungsbenachrichtigung eintrifft, markieren Sie das Konto in Ihrer Datenbank. Öffnet dieses Konto die App das nächste Mal, fordern Sie ein DeviceCheck-Token an und setzen das Bit. Wer Inhalte nach einer Rückerstattung behält, kommt in der Regel zurück, denn um die Nutzung ging es ja.

• Beim Kauf ordnen Sie die Transaktion über appAccountToken oder die verschleierte Konto-ID Ihrem eigenen Konto zu.
• Bei einer Rückerstattung oder Stornierung markieren Sie dieses Konto auf Ihrem Server.
• In der nächsten Sitzung des markierten Kontos holen Sie ein Geräte-Token ein und setzen Ihr Bit.
• Bei jeder Anmeldung fragen Sie die Bits ab, bevor Sie etwas gewähren, das Sie Geld kostet.

Was ein wiederholter Rückerstattungsmissbrauch Sie kostet

Der erstattete Preis ist der sichtbare Teil. Der Rest ist alles, was der Kauf bereits in Gang gesetzt hat. Wenn Ihre App Geld ausgibt, um das Verkaufte zu liefern, bleibt dieses Geld bei jedem Zyklus aus Kauf, Nutzung und Rückerstattung ausgegeben: GPU-Zeit für generierte Bilder, kostenpflichtige Aufrufe eines Modells oder einer Daten-API, Speicher für Exporte, die der Kunde behält, und Auszahlungen an Creator, die auf Basis des Verkaufs berechnet wurden. Ein neues Konto öffnet die Schleife erneut, und Ihre Buchhaltung verbucht es als brandneuen Kunden.

Kostenlose Zugaben gehen auf dieselbe Weise verloren, ganz ohne Rückerstattung. Ein Gerät, das auf zehn Konten Anmeldeguthaben abgreift, verbraucht das Zehnfache der Rechenleistung, die Sie für eine Testphase eingeplant haben. Bei Google Play kosten Chargebacks für Bestellungen nach dem 3. August 2026 zudem den Kaufpreis abzüglich der Google-Servicegebühr, zuzüglich der Bankgebühren. Wer jedes Mal von einem neuen Konto aus reklamiert, kostet Sie also jedes Mal erneut die volle Reklamation.

Was Sie mit einem markierten Gerät tun

Eine Markierung beantwortet eine einzige Frage: Soll dieses Gerät noch einmal etwas umsonst bekommen? Reagieren Sie verhältnismäßig, denn ein gesetztes Bit ist ein Indiz, kein Beweis. Telefone werden weiterverkauft, Familien teilen iPads, und Google empfiehlt ausdrücklich, alte Daten aus diesem Grund zu ignorieren oder zurückzusetzen.

• Verzichten Sie auf einem markierten Gerät auf Anmeldeguthaben, die vom Server finanzierte Testphase oder den Empfehlungsbonus und bieten Sie stattdessen den kostenpflichtigen Tarif an.
• Signieren Sie kein Werbeangebot für ein markiertes Gerät. Im App Store erzeugt Ihr Server die Signatur, die ein Werbeangebot freischaltet. Die Entscheidung liegt also bei Ihnen.
• Verlangen Sie auf einem markierten Gerät eine abgeschlossene Zahlung, bevor Sie teure Verbrauchsartikel ausliefern.
• Nutzen Sie den Zeitstempel. Eine Markierung vom letzten Monat wiegt schwerer als eine von vor zwei Jahren.
• Geben Sie Menschen einen Weg zum Support. Wer ein gebrauchtes Telefon gekauft hat und zu Unrecht markiert ist, sollte eine Antwort bekommen, und Sie können die Bits zurücksetzen.

Können Sie das Gerät einfach sperren?

Ihre eigenen Gratis-Extras können Sie verweigern, und genau dort zahlen sich Gerätemarkierungen aus. Eine harte Sperre ist riskanter. Wer das Telefon heute in der Hand hält, ist vielleicht nicht die Person, die es missbraucht hat, und Googles eigene Bedingungen beschränken die Geräte-Wiedererkennung auf die Missbrauchsprävention, nicht auf das Tracking von Personen. Sperren Sie, was Sie Geld kostet, und lassen Sie den kostenpflichtigen Weg offen.

Was ist mit dem Keychain (Schlüsselbund) oder einer Gerätekennung?

Entwickler fragen oft, ob eine Markierung im Keychain oder eine Hardware-ID denselben Zweck erfüllen würde. Eine Markierung, die Ihre App auf dem Telefon speichert, ist nach dem Zurücksetzen des Geräts verschwunden, und Apple stellt Apps dafür keine stabile Hardwarekennung zur Verfügung. DeviceCheck und die Geräte-Wiedererkennung sind die vom Store vorgesehenen Lösungen, gerade weil die Bits auf den Servern von Apple und Google liegen und nicht auf dem Telefon.

Wo weiterhin der Store entscheidet

Gerätemarkierungen ändern, was Ihre App als Nächstes verschenkt. Die aktuelle Rückerstattung berühren sie nicht. Nur zwei Rückerstattungsabläufe erlauben es Ihnen, vor der Entscheidung des Stores Belege einzureichen. Apple sendet einen CONSUMPTION_REQUEST und bittet innerhalb von 12 Stunden um Nutzungsdaten. Google Play eröffnet eine Chargeback-Prüfung, die Sie innerhalb von 24 Stunden über orders.reviewrefund beantworten. Alles andere, von Google Plays 48-Stunden-Rückerstattungen über Support-Rückerstattungen bis zu automatischen Rückerstattungen nicht bestätigter Käufe, wird ohne Sie entschieden. Chargebacks sind endgültig, sobald die Bank entschieden hat.

RefundHalt beantwortet jeden CONSUMPTION_REQUEST und jede Google Play-Chargeback-Prüfung innerhalb der Frist mit Ihren echten Nutzungsdaten und ordnet jede Rückerstattung dem Konto zu, das sie ausgelöst hat. So weiß Ihr Server, welches Gerät er beim nächsten Kontakt markieren soll.