PSD2 Zertifikat
Ein PSD2-Zertifikat identifiziert einen Zahlungsdienstleister bei der Kommunikation mit der Kontoschnittstelle einer Bank. Es enthält Angaben zur Identität des Anbieters und den Zahlungsdiensten, für die er zugelassen ist. Qualifizierte Zertifikate nach dem eIDAS-Rahmen helfen der Bank zu prüfen, wer Zugriff anfordert, bevor sie die Anfrage verarbeitet.
Anbieter im Open Banking in Deutschland weisen sich mit qualifizierten Zertifikaten für Website-Authentifizierung oder elektronische Siegel aus. Diese heißen QWAC und QSealC und erfüllen unterschiedliche Aufgaben bei der Absicherung der Kommunikation. Das Zertifikat identifiziert den Anbieter, während Kundenzustimmung und Zugriffskontrollen der Bank eigenständige Voraussetzungen bleiben.
Wozu PSD2-Zertifikate dienen
Ruft ein Kontoinformations- oder Zahlungsauslösedienst die Schnittstelle einer Bank auf, muss die Bank wissen, dass er zugelassen ist und für welche Dienste. Artikel 34 der technischen Regulierungsstandards zu starker Kundenauthentifizierung und sicherer Kommunikation, der Delegierten Verordnung (EU) 2018/389, regelt das: Zahlungsdienstleister weisen sich mit qualifizierten Zertifikaten für elektronische Siegel oder für die Website-Authentifizierung nach der eIDAS-Verordnung aus.
Das Zertifikat enthält die Zulassungsnummer, den Namen der zuständigen Aufsicht, in Deutschland die BaFin, und die PSD2-Rollen des Anbieters: Kontoführung, Zahlungsauslösung, Kontoinformation oder Ausgabe kartengebundener Zahlungsinstrumente. Eine Bank liest also aus einem Zertifikat, ob der Aufrufer eine Zahlung starten oder nur Daten lesen darf. Die Anbieter selbst beschreibt die Seite PSD2-Drittanbieter.
QWAC und QSealC
Ein QWAC, ein qualifiziertes Zertifikat für die Website-Authentifizierung, ist ein TLS-Zertifikat. Der Anbieter legt es beim Aufbau der Verbindung vor, und beide Seiten authentifizieren sich, bevor Daten fließen. Ein QSealC, ein qualifiziertes Zertifikat für elektronische Siegel, versiegelt die Anfrage selbst, sodass die Bank Herkunft und Unversehrtheit jeder Nachricht prüfen kann, auch nach Speicherung oder Weitergabe.
Die Stellungnahme der EBA zu eIDAS-Zertifikaten (auf Englisch) überlässt die Wahl der Bank, die die Schnittstelle stellt, und empfiehlt beide parallel. Ruft ein Agent oder technischer Dienstleister die API für einen Anbieter auf, muss das Zertifikat den zugelassenen Anbieter dahinter ausweisen.
ETSI TS 119 495 und die Aussteller
Nur ein qualifizierter Vertrauensdiensteanbieter auf einer EU-Vertrauensliste darf PSD2-Zertifikate ausstellen, geprüft nach ETSI TS 119 495, dem Standard für die PSD2-Felder. Beim Aussteller TBS Certificates erfordert die Ausstellung einen vom gesetzlichen Vertreter unterzeichneten Antrag, die Zulassungsnummer der Aufsicht und beim QWAC den Nachweis der Domain.
Ein QSealC erzeugt nur dann qualifizierte Siegel, wenn sein Schlüssel in einer qualifizierten Signaturerstellungseinheit liegt. Die PSD2 verlangt keine qualifizierten Siegel, ein fortgeschrittenes Siegel aus demselben Zertifikat genügt. Was eIDAS 2 für Website-Zertifikate ändert, steht unter eIDAS 2 im Finanzwesen.
Kommende Events zu Payments und Open Banking
Finance Loop und PSD2-Zertifikate
Finance Loop verbindet Fachleute, die in Deutschland, Österreich und der Schweiz Open-Banking-Schnittstellen bauen und absichern: API-Teams der Banken, Kontoinformations- und Zahlungsauslösedienste und deren Sicherheitsfachleute. Finance Loop verbindet die Finanz-, IT- und KI-Communities, mit Events in Frankfurt, München, Berlin und Hamburg.
Finance Loop ist Partner der Digital Euro Association, deren Digital Euro Conference in Frankfurt digitale Geldinfrastruktur neben Open Banking behandelt.
Was ist ein PSD2-Zertifikat?
Ein PSD2-Zertifikat ist ein qualifiziertes eIDAS-Zertifikat mit zusätzlichen PSD2-Feldern: Zulassungsnummer, Aufsicht und zugelassene Rollen des Anbieters. Damit weist sich der Anbieter gegenüber der Open-Banking-Schnittstelle einer Bank aus.
Was unterscheidet QWAC und QSealC?
Ein QWAC sichert und authentifiziert die Verbindung, wie ein TLS-Zertifikat. Ein QSealC versiegelt die Daten jeder Anfrage, sodass Herkunft und Unversehrtheit später prüfbar sind; die EBA empfiehlt den Einsatz beider Zertifikate.
Wer stellt PSD2-Zertifikate aus?
Qualifizierte Vertrauensdiensteanbieter auf den EU-Vertrauenslisten, geprüft nach ETSI TS 119 495, stellen PSD2-Zertifikate aus. Der Anbieter braucht vorher seine Zulassung durch die nationale Aufsicht.
PSD2-Zertifikate und Finance Loop
Finance Loop behandelt PSD2-Zertifikate im Track Zahlungsverkehr & digitales Geld, zusammen mit starker Kundenauthentifizierung, eIDAS 2 und der Rolle der Drittanbieter. API-Teams der Banken und die Anbieter, die ihre Schnittstellen aufrufen, treffen sich bei Finance-Loop-Events.
Finance Loop ist ein Experten-Netzwerk, das die institutionelle Nutzung neuer Technologien im Finanzwesen fördert, wie KI, digitale Zahlungen sowie Cloud- und Blockchain-Lösungen. Finance Loop hilft seinen Mitgliedern, Fähigkeiten und persönliche Netzwerke in diesen Bereichen aufzubauen: Investment & digitale Vermögenswerte, Zahlungsverkehr & digitales Geld, Digitale Infrastruktur & Souveränität und Risiko & Compliance.