PSD2-Zertifikate: QWAC und QSealC

Ruft ein Kontoinformations- oder Zahlungsauslösedienst die Schnittstelle einer Bank auf, muss die Bank wissen, dass er zugelassen ist und für welche Dienste. Artikel 34 der technischen Regulierungsstandards zu starker Kundenauthentifizierung und sicherer Kommunikation, der Delegierten Verordnung (EU) 2018/389, regelt das: Zahlungsdienstleister weisen sich mit qualifizierten Zertifikaten für elektronische Siegel oder für die Website-Authentifizierung nach der eIDAS-Verordnung aus.

Das Zertifikat enthält die Zulassungsnummer, den Namen der zuständigen Aufsicht, in Deutschland die BaFin, und die PSD2-Rollen des Anbieters: Kontoführung, Zahlungsauslösung, Kontoinformation oder Ausgabe kartengebundener Zahlungsinstrumente. Eine Bank liest also aus einem Zertifikat, ob der Aufrufer eine Zahlung starten oder nur Daten lesen darf. Die Anbieter selbst beschreibt die Seite PSD2-Drittanbieter.

Ein QWAC, ein qualifiziertes Zertifikat für die Website-Authentifizierung, ist ein TLS-Zertifikat. Der Anbieter legt es beim Aufbau der Verbindung vor, und beide Seiten authentifizieren sich, bevor Daten fließen. Ein QSealC, ein qualifiziertes Zertifikat für elektronische Siegel, versiegelt die Anfrage selbst, sodass die Bank Herkunft und Unversehrtheit jeder Nachricht prüfen kann, auch nach Speicherung oder Weitergabe.

Die Stellungnahme der EBA zu eIDAS-Zertifikaten (auf Englisch) überlässt die Wahl der Bank, die die Schnittstelle stellt, und empfiehlt beide parallel. Ruft ein Agent oder technischer Dienstleister die API für einen Anbieter auf, muss das Zertifikat den zugelassenen Anbieter dahinter ausweisen.

Nur ein qualifizierter Vertrauensdiensteanbieter auf einer EU-Vertrauensliste darf PSD2-Zertifikate ausstellen, geprüft nach ETSI TS 119 495, dem Standard für die PSD2-Felder. Für die Ausstellung braucht es einen vom gesetzlichen Vertreter unterzeichneten Antrag, die Zulassungsnummer der Aufsicht und beim QWAC den Nachweis der Domain, wie der Aussteller TBS Certificates (auf Englisch) seinen Ablauf beschreibt.

Ein QSealC erzeugt nur dann qualifizierte Siegel, wenn sein Schlüssel in einer qualifizierten Signaturerstellungseinheit liegt. Die PSD2 verlangt keine qualifizierten Siegel, ein fortgeschrittenes Siegel aus demselben Zertifikat genügt. Was eIDAS 2 für Website-Zertifikate ändert, steht unter eIDAS 2 im Finanzwesen.

Finance Loop ist der Treffpunkt für alle, die in Deutschland, Österreich und der Schweiz Open-Banking-Schnittstellen bauen und absichern: API-Teams der Banken, Kontoinformations- und Zahlungsauslösedienste und deren Sicherheitsfachleute. Es verbindet die Finanz-, IT- und KI-Communitys, mit Events in Frankfurt, München, Berlin und Hamburg.

Finance Loop ist strategischer Partner der Digital Euro Association, deren Digital Euro Conference in Frankfurt digitale Geldinfrastruktur neben Open Banking behandelt.

Ein PSD2-Zertifikat ist ein qualifiziertes eIDAS-Zertifikat mit zusätzlichen PSD2-Feldern: Zulassungsnummer, Aufsicht und zugelassene Rollen des Anbieters. Damit weist sich der Anbieter gegenüber der Open-Banking-Schnittstelle einer Bank aus.

Ein QWAC sichert und authentifiziert die Verbindung, wie ein TLS-Zertifikat. Ein QSealC versiegelt die Daten jeder Anfrage, sodass Herkunft und Unversehrtheit später prüfbar sind. Die EBA empfiehlt beide.

Qualifizierte Vertrauensdiensteanbieter auf den EU-Vertrauenslisten, geprüft nach ETSI TS 119 495. Der Anbieter braucht vorher seine Zulassung durch die nationale Aufsicht.