Was ist eine Open-Banking-API?
Eine Open-Banking-API ist eine definierte Softwareschnittstelle, über die ein zugelassener Drittanbieter mit Zustimmung des Kunden Kontoinformationen abfragen oder eine Zahlung auslösen kann. Die API stellt bestimmte Funktionen bereit, ohne dem Anbieter direkten Zugriff auf interne Banksysteme zu geben. Authentifizierung, Berechtigungen, Datenformate, Fehler und Dienstgüten sind Bestandteile dieser Schnittstelle.
Open-Banking-API in Kürze
| Begriff | Open-Banking-API |
|---|---|
| Bedeutung | Eine Open-Banking-API ist eine definierte Softwareschnittstelle, über die ein zugelassener Drittanbieter mit Zustimmung des Kunden Kontoinformationen abfragen oder eine Zahlung auslösen kann. Die API stellt bestimmte Funktionen bereit, ohne dem Anbieter direkten Zugriff auf interne Banksysteme zu geben. Authentifizierung, Berechtigungen, Datenformate, Fehler und Dienstgüten sind Bestandteile dieser Schnittstelle. |
| Bankanwendung | Kontoinformationsdienste bündeln Konten für Budgetplanung, Liquiditätsmanagement oder Kreditprüfung, und Zahlungsauslösedienste senden eine Überweisung direkt vom Konto; Banken nutzen APIs auch für Partnerprodukte und eingebettete Finanzdienste. Standards verringern individuelle Integrationen, doch in Europa bestehen weiterhin Unterschiede bei Implementierungen, Zertifikaten und Fehlerbehandlung; Aggregatoren verbergen manche Unterschiede und schaffen eine weitere Abhängigkeit von einem Anbieter. |
| Hauptrisiko | Die Hauptrisiken sind gestohlene Zustimmungen, schwache Weiterleitungen, übermäßige Zugriffsrechte, nicht verfügbare Schnittstellen und uneinheitliche Daten. Eine sichere Gestaltung belässt Bankzugangsdaten bei der Bank, bindet Tokens an den zugelassenen Anbieter und protokolliert jeden Zugriff. Betrugskontrollen müssen einen gültigen API-Aufruf von einer gültigen Kundenabsicht unterscheiden. Die Betriebsüberwachung vergleicht außerdem Verfügbarkeit und Antwortzeiten der API mit den Kundenkanälen. |
| Regelwerk | Die PSD2 schuf regulierte Kontoinformations- und Zahlungsauslösedienste innerhalb der Europäischen Union. Die technischen Regulierungsstandards regeln die starke Kundenauthentifizierung und sichere Kommunikation. Die Berlin Group veröffentlicht eine verbreitete europäische API-Spezifikation, während der UK Open Banking Standard eigene Profile definiert. Die DSGVO regelt die Verarbeitung personenbezogener Daten, und Zustimmung ist nicht deren einzig mögliche Rechtsgrundlage. |
| Ausführliche Seite | Ausführlicher Leitfaden |
Wie arbeitet eine Open-Banking-API?
Eine Open-Banking-API ist eine definierte Softwareschnittstelle, über die ein zugelassener Drittanbieter mit Zustimmung des Kunden Kontoinformationen abfragen oder eine Zahlung auslösen kann. Die API stellt bestimmte Funktionen bereit, ohne dem Anbieter direkten Zugriff auf interne Banksysteme zu geben. Authentifizierung, Berechtigungen, Datenformate, Fehler und Dienstgüten sind Bestandteile dieser Schnittstelle.
Der Kunde beginnt in einer Drittanbieter-App und wird zur Authentifizierung an die Bank weitergeleitet. Die Bank erfasst die Zustimmung und gibt ein kurzlebiges Token mit begrenzten Zugriffsrechten zurück; der Anbieter ruft anschließend Konto- oder Zahlungsendpunkte auf. Die Vorteile einer Open-Banking-API hängen von starker Kundenauthentifizierung und Sicherheitsprofilen für Finanzdienste ab. Die Bank kann den Zugriff widerrufen, wenn die Zustimmung abläuft oder sich die Berechtigung ändert.
Warum ist eine Open-Banking-API für Banken wichtig?
Kontoinformationsdienste bündeln Konten für Budgetplanung, Liquiditätsmanagement oder Kreditprüfung, und Zahlungsauslösedienste senden eine Überweisung direkt vom Konto; Banken nutzen APIs auch für Partnerprodukte und eingebettete Finanzdienste. Standards verringern individuelle Integrationen, doch in Europa bestehen weiterhin Unterschiede bei Implementierungen, Zertifikaten und Fehlerbehandlung; Aggregatoren verbergen manche Unterschiede und schaffen eine weitere Abhängigkeit von einem Anbieter.
Welche Risiken und Gestaltungsfragen bringt eine Open-Banking-API mit sich?
Die Hauptrisiken sind gestohlene Zustimmungen, schwache Weiterleitungen, übermäßige Zugriffsrechte, nicht verfügbare Schnittstellen und uneinheitliche Daten. Eine sichere Gestaltung belässt Bankzugangsdaten bei der Bank, bindet Tokens an den zugelassenen Anbieter und protokolliert jeden Zugriff. Betrugskontrollen müssen einen gültigen API-Aufruf von einer gültigen Kundenabsicht unterscheiden. Die Betriebsüberwachung vergleicht außerdem Verfügbarkeit und Antwortzeiten der API mit den Kundenkanälen.
Welche Regeln und Standards gelten für eine Open-Banking-API?
Die PSD2 schuf regulierte Kontoinformations- und Zahlungsauslösedienste innerhalb der Europäischen Union. Die technischen Regulierungsstandards regeln die starke Kundenauthentifizierung und sichere Kommunikation. Die Berlin Group veröffentlicht eine verbreitete europäische API-Spezifikation, während der UK Open Banking Standard eigene Profile definiert. Die DSGVO regelt die Verarbeitung personenbezogener Daten, und Zustimmung ist nicht deren einzig mögliche Rechtsgrundlage.
Open-Banking-APIs in Deutschland, Österreich und der Schweiz
Die BaFin lässt deutsche Zahlungsdienste zu, die FMA österreichische Anbieter, und die FINMA wendet Schweizer Regeln außerhalb der PSD2 an. Deutsche Banken implementieren häufig Berlin-Group-Schnittstellen, und Frankfurter Zahlungsanbieter, Banken und die Bundesbank verbinden Open Banking mit Echtzeitzahlungen und ISO 20022. Eine API überträgt Aufträge und Daten; die Abwicklung erfolgt weiterhin über den jeweiligen Zahlungsweg und Konten bei Zentral- oder Geschäftsbanken.
Über Finance Loop: Open-Banking-API
Finance Loop bringt Fachleute aus Banktechnologie, Zahlungsverkehr, Kapitalmärkten und Aufsicht zusammen, die an Open-Banking-APIs arbeiten. In Frankfurt treffen technische Entscheidungen auf die Systeme der EZB, Bundesbank, Deutschen Börse und der dort ansässigen Banken.
Die ausführliche Seite über Open-Banking-APIs und die Veranstaltungen von Finance Loop verbinden die Definition mit Projekten und Fachleuten aus dem Finanzsektor.