Die Zweite Europäische Zahlungsrichtlinie PSD2

Open Banking, ein schnellerer Zahlungsverkehr und ein besserer Verbraucherschutz – dies sind nur einige Bereiche, an denen die zweite Zahlungsdienstrichtlinie der Europäischen Union ansetzt. Zwei Jahre nach in Kraft treten der PSD2 beschäftigen sich Banken und Unternehmen weiterhin mit ihrer Umsetzung. Vor allem bei der Anbindung an die offenen Schnittstellen der Banken, den sogenannten APIs, gilt es, Qualität und Sicherheit zu garantieren. Welche Vorteile ermöglicht uns die PSD2 heute und wie weit ist man mit der Umsetzung?

Was bedeutet PSD2 für die einzelnen Akteure?

Martin Dietz, Managing Partner bei Convista, geht davon aus, „dass die PSD2 die Möglichkeiten für einen Real-Time-Zugang zu Banksalden und -transaktionen bietet, die so vorher nicht machbar waren. Der Zahlungsverkehr und die Analyse der Cashflows werden transparenter und die Echtzeitinformation wird eine neue Rolle im Treasury bekommen. Es wird zu einer tiefgreifenden Veränderung in den Prozessen kommen, die auch auf die Bankenbranche ausstrahlen werden. Das Real-Time Treasury rückt näher.“

Auf Seiten der Banken galt es vordergründig, die Schnittstellen für Drittdienstleister freizugeben. Da die PSD2, was die technische Ausarbeitung angeht, keine genauen Vorgaben macht, folgen die meisten Finanzinstitute hierbei den Berlin Group NextGen Standards. Einige FinTechs wie ndigit oder finAPI bieten ebenso Services an, um Finanzinstituten bei der Erstellung der XS2A APIs zu unterstützen. Durch die Öffnung der Schnittstellen sehen viele Banken allerdings die Nähe zu ihren Kunden gefährdet, sowie eine stetig steigende Konkurrenz mit FinTechs. Für Banken und Finanzinstitute gilt es nun, Geschäftsmodelle schnellstmöglich umzustellen und sich auf die neuen Herausforderungen einzulassen.

Die Profiteure der PSD2 sind klar Drittdienstleister, genauer Zahlungsauslöse- und Kontoinformationsdienste. Für sie besteht die größte Herausforderung in der erfolgreichen Anbindung an die XS2A APIs der Banken. Zuerst benötigen sie eine Lizenz der BaFin, deren Erteilung an bestimmte rechtliche Angaben geknüpft ist und ein hohes Maß an Ressourcen von Seiten der Drittdienstleister fordert. Um anschließend Zugriff zu den Schnittstellen zu erhalten, müssen außerdem bestimmte Zertifikate bei qualifizierten Vertrauensdienstanbietern ausgestellt werden, die sogenannten QWACs. Dies soll die Cybersecurity erhöhen und verhindern, dass nicht authentifizierte Dritte Zugang zu den Kontoinformationen der Verbraucher erlangen. Um diesen aufwendigen und zeitintensiven Prozess zu umgehen, bieten IT Spezialisten wie fintechsystems oder BANKSapi ihre erworbene PSD2 Lizenz als Service für Drittdienstleister an.

Für Unternehmen bedeutet die PSD2 eine Vereinfachung des Zahlungsverkehrs. Wo vorher noch Banken als Zwischeninstanz beim Zahlungsvorgang eingesetzt waren, kann dies heute umgangen werden, indem Drittdienstleister Zahlungen auf dem Kundenkonto direkt auslösen. Außerdem können über einen einzigen zentralen Kontoinformationsdienst alle Kontoinformationen von verschiedenen Banken des eigenen Unternehmens angezeigt und verwaltet werden. In Kombination mit der starken Kundenauthentifizierung ist solch ein Verfahren nicht nur übersichtlicher als zuvor, sondern auch sicherer und in der Anbindung leichter umzusetzen.

Die Zweite Europäische Zahlungsrichtlinie PSD2 und ihre Umsetzung

Weiterhin Schwierigkeiten bei der Umsetzung von PSD2

Zwei Jahre nach Einführung der PSD2 sind allerdings längst nicht alle technischen Voraussetzungen gegeben, um die Ziele der Zahlungsdienstrichtlinie zu erreichen. Aktuell sei die Qualität der APIs zwar gut, jedoch werden sie bei Weitem noch nicht in dem Ausmaß genutzt wie gewünscht. Laut einer Umfrage von finanz-szene.de sind es die Schnittstellen der Sparkassen, von denen am häufigsten Gebrauch gemacht wird. Gefolgt von der Commerzbank, Fiducia und der Deutschen Bank verzeichnen sie zwischen 500.000 und 600.000 Zugriffe täglich. Allerdings schätzt man, dass bis dato damit nur ein Viertel der Zugriffe von alten auf neue PSD2-konforme Schnittstellen umgestellt wurde. Denn bis dahin bleiben die alten HBCI-Schnittstellen als Notfallmechanismus bestehen. Während einige Banken wie Sparkassen, Volks- und Raiffeisenbanken oder die Deutsche Bank bereits im Frühjahr 2020 die Marktbewährungsphase von drei Monaten zum Test der neuen Schnittstellen eingingen, ist dies bei vielen Banken erst in den Sommermonaten geschehen.

Die aktuellen Schnittstellen weisen außerdem maßgebliche Lücken auf. So geben sie noch keinen Aufschluss über Disporahmen und es entstehen Probleme beim Multiple User Consent, wenn zwei Drittdienste über den gleichen API-Spezialist auf ein Kundenkonto zugreifen wollen.