Was ist Open Banking? PSD2, Zustimmung und Daten | Cash Book
Kurze Antwort
Open Banking bezeichnet eine Reihe von Regeln und technischen Standards, die es Ihnen ermöglichen, Ihrer Bank anzuweisen, Kontodaten über einen regulierten Drittanbieter freizugeben oder Zahlungen auszulösen. In der Europäischen Union basiert dies auf der zweiten Zahlungsdiensterichtlinie, PSD2. Im Vereinigten Königreich geht es auf eine Anordnung der Competition and Markets Authority zurück, die die neun größten Banken zur Bereitstellung einer gemeinsamen API verpflichtete. Es gibt zwei regulierte Rollen: Kontoinformationen, die Salden und Transaktionen lesen, und Zahlungsauslösung, die Geld bewegt. Beide erfordern eine behördliche Genehmigung und Ihre ausdrückliche, zeitlich begrenzte Zustimmung. Diese kann jederzeit widerrufen werden.
Viele Menschen denken bei Open Banking daran, dass die Bank ihre Daten wahllos weitergibt. Dass es eine Vereinbarung gibt, Apps auf einer Liste stehen und Transaktionen irgendwo im Umlauf sind. Das Gegenteil ist der Fall. Alles basiert auf Ihrer ausdrücklichen Zustimmung für einen bestimmten Anbieter, einen definierten Umfang und einen begrenzten Zeitraum – und Sie können diese jederzeit widerrufen. Die Banken haben dies auch nicht freiwillig getan. Regulierungsbehörden haben sie gezwungen, diese Schnittstelle zu bauen, und sie öffnet sich nur, wenn Sie es erlauben.
Zwei Rollen und eine Regulierungsbehörde
In der Europäischen Union ist die Rechtsgrundlage die zweite Zahlungsdiensterichtlinie, Richtlinie (EU) 2015/2366, bekannt als PSD2. Sie schuf zwei regulierte Rollen, deren Unterschied im Lesen und Schreiben liegt. Ein Kontoinformationsdienst liest Salden, Transaktionshistorien und Kontodetails. Ein Zahlungsauslösedienst schreibt: Er weist eine Überweisung von Ihrem Konto an, ohne dass eine Karte dazwischengeschaltet ist. Budget-Apps benötigen den ersten Dienst, Checkout-Buttons den zweiten. Beide benötigen eine Zulassung durch eine nationale Aufsichtsbehörde und Ihre explizite Zustimmung für jede Verbindung. Die PSD2 soll durch ein Nachfolgepaket ersetzt werden: eine Richtlinie zur Lizenzierung sowie eine direkt anwendbare Verordnung, die die Regeln für Open Banking und Betrug enthält. Die Europäische Kommission veröffentlicht den aktuellen Stand.
Das Vereinigte Königreich ging einen anderen Weg. Die Competition and Markets Authority untersuchte den Privatkundengeschäft-Bankensektor, stellte fest, dass Kunden selten wechselten und Herausforderer kaum konkurrieren konnten. Ihre Anordnung verpflichtete die neun größten Anbieter von Girokonten, die CMA9, einen gemeinsamen API-Standard zu entwickeln und eine zentrale Stelle zur Regelung und Überwachung zu finanzieren. Diese Stelle war die Open Banking Implementation Entity. Sie firmiert heute als Open Banking Limited, und die Financial Conduct Authority autorisiert die Firmen, die diesen Standard nutzen.
Das ist wichtig zu wissen, da viele es falsch verstehen: Die Verbindung besteht zu einem Drittanbieter, der unter eigener Zulassung agiert. Ihre Bank stellt lediglich den Zugang bereit. Sie unterstützt die App nicht.
Die Weiterleitung und der Anbieter, den Sie nicht gewählt haben
Der Ablauf ist bei beiden Systemen ähnlich. Sie wählen einen Anbieter in einer App, werden zu Ihrer Bank weitergeleitet, authentifizieren sich wie gewohnt, bestätigen den Zugriffsumfang und werden zurückgeleitet. Die App erhält niemals Ihr Banking-Passwort. Dieser Teil ist gut durchdacht.
Die Zustimmung ist zeitlich begrenzt. Die technischen Standards der PSD2 erforderten ursprünglich alle 90 Tage eine erneute Authentifizierung für den fortgesetzten Datenzugriff. Eine spätere Änderung hat dieses Fenster verlängert – deshalb hören Bankverbindungen in Budget-Apps periodisch auf, Daten zu liefern, und fordern Sie zur erneuten Anmeldung auf. Das liegt nicht an der App.
Dann gibt es das Detail, das kaum jemand genau liest. Nur sehr wenige Consumer-Apps besitzen die Lizenz selbst; sie kaufen den Zugriff bei einem autorisierten Aggregator wie Plaid, TrueLayer oder Tink. Dieser hält die Berechtigungen und betreibt die Verbindungen zu tausenden Instituten. Ein Bank-Sync bedeutet also meist, dass Ihre Transaktionshistorie durch ein viertes Unternehmen fließt, das Sie nie gewählt haben – genannt auf dem Zustimmungsbildschirm, aber nirgendwo auf der Marketingseite. Der Widerruf ist aus demselben Grund eine Aufgabe für zwei Orte. Entziehen Sie die Zustimmung in der App und öffnen Sie dann die App Ihrer Bank, die eine Liste verbundener Drittanbieter führt. Das Löschen der App vom Telefon weist die Bank nicht zuverlässig an, die Tür zu schließen.
Ein Feed zeigt, was abging, nicht wofür
Open Banking beantwortet eine Frage gut: Was hat das Konto verlassen? Es beantwortet nicht die Frage, worum es bei einem Budget eigentlich geht: Wofür war das Geld? Keine API-Qualität kann das lösen, denn ein Feed liefert nur einen Händler-String, einen Betrag und ein Datum. Zu entscheiden, dass ein kryptischer Kartenbeleg ein Arbeitsessen und kein Einkauf war, bleibt Ihre Aufgabe. Warten Sie vier Tage, und Sie werden sich nicht mehr erinnern. Deshalb enden synchronisierte Tracker am Monatsende so zuverlässig mit einem großen, nutzlosen Topf für „nicht kategorisiert“.
Zeit ist die zweite Grenze. Kartentransaktionen kommen vorgemerkt an und werden später abgerechnet, manchmal mit einem anderen Betrag. Ein verbundener Kontostand ist also nicht dasselbe wie verfügbares Geld, und die zeitliche Planung des Cashflows ist ein anderes Problem als die Zahl auf dem Bildschirm. Bargeldabhebungen erscheinen als eine Zeile, die fünf Einkäufe verbirgt. Auch die Abdeckung hat Lücken: gut für Girokonten in der EU und UK, dünner bei Ersparnissen, Kreditkarten und kleineren Instituten.
Ein Feed ist also ein ordentliches Werkzeug für den Abgleich, aber ein schlechtes für das Bewusstsein. Er berichtet im Nachhinein. Der Moment, der das Verhalten ändert, ist der Moment an der Kasse – ein Punkt, den der Leitfaden zur Ausgabenverfolgung ausführlich darlegt.
Die andere Seite der Medaille
Cash Book verbindet sich niemals mit einer Bank. Das ist eine bewusste Entscheidung, die einen echten Preis hat: Nichts kommt von alleine an, niemals. Der Gewinn im Austausch ist, dass es keinen Zustimmungsbildschirm gibt, keinen Aggregator in der Mitte, keine 90-Tage-Neuauthentifizierung und keine Kopie Ihrer Transaktionshistorie auf fremden Servern. Die Daten leben auf dem iPhone und, falls aktiviert, in Ihrem eigenen iCloud-Account, was unter iCloud-Synchronisierung und Datenschutz erläutert wird.
Die Geschwindigkeit der Eingabe ersetzt den Feed. Spracheingabe verwandelt einen gesprochenen Satz in eine oder mehrere Transaktionen; der Leitfaden zum Scannen von Belegen erklärt das Fotografieren einer Rechnung statt des Tippens; und Apple Pay-Autologging nutzt die Shortcuts-Automatisierung von Apple, damit sich ein Kartentippen selbst protokolliert, wie im Apple Pay-Leitfaden beschrieben. Apple bietet keine API für Kartentransaktionen. Der Shortcuts-Trigger ist der einzige Weg, den jede App hat.
Eine synchronisierte App bietet Vollständigkeit und verlangt die Kategorisierung später. Eine App, die auf manuelle Eingabe setzt, verlangt Aufmerksamkeit und die Protokollierung im Moment des Kaufs. Nichts davon ist kostenlos, und wer das Gegenteil behauptet, lässt etwas weg.
Wenn es darum geht, Kontodaten von jemand anderem zu prüfen, bevor Sie Geld senden, ist das ein völlig anderes Problem. Der IBAN-Validator führt die strukturelle Prüfung durch, während der IBAN-Eintrag erklärt, was er nicht sagen kann. Für die Zulassung eines spezifischen Anbieters schauen Sie im öffentlichen Register der nationalen Aufsichtsbehörde nach.
Cash Book im App Store laden7 Tage kostenlos. Einmalig 19.99 für lebenslangen Zugriff.
Häufige Fragen
Ist Open Banking sicher?
Das Design vermeidet das größte Risiko: Sie authentifizieren sich direkt bei Ihrer Bank, sodass die App niemals Ihr Banking-Passwort sieht. Der Zugriff ist begrenzt, protokolliert und über die App Ihrer Bank widerrufbar. Die verbleibenden Risiken sind allgemeiner Art, etwa welches Unternehmen eine Kopie Ihrer Transaktionen speichert und wie lange. Lesen Sie daher den Zustimmungsbildschirm sorgfältig und prüfen Sie die behördliche Zulassung des Anbieters.
Was ist der Unterschied zwischen AIS und PIS?
Ein Kontoinformationsdienst (AIS) liest Salden, Transaktionen und Kontodetails. Ein Zahlungsauslösedienst (PIS) weist eine Überweisung von Ihrem Konto an, ohne eine Karte zu verwenden. Budget-Apps nutzen meist den ersten Dienst. Checkout-Buttons, die direkt vom Bankkonto bezahlen, nutzen den zweiten. Dies sind unter PSD2 getrennte Berechtigungen; ein Unternehmen kann eine davon besitzen, ohne die andere.
Warum muss ich mich bei meiner Bankverbindung ständig neu anmelden?
Die Zustimmung für den Kontoinformationszugriff ist regulatorisch zeitlich begrenzt, nicht durch die App. Die technischen Standards der PSD2 erforderten ursprünglich alle 90 Tage eine starke Kundenauthentifizierung für den fortgesetzten Zugriff; eine spätere Änderung hat dieses Zeitfenster verlängert. Wenn die Zustimmung abläuft, stoppt die Datenübertragung, bis Sie sich erneut bei Ihrer Bank authentifizieren.
Nutzt Cash Book Open Banking?
Nein. Cash Book verbindet sich niemals mit einer Bank. Es gibt also keine Zustimmung zu erteilen und nichts, das neu authentifiziert werden muss. Transaktionen werden per Spracheingabe, Belegfoto, Apple Pay-Autologging über die Shortcuts-App von Apple oder manuell eingegeben. Sie verbleiben auf dem iPhone oder in Ihrem eigenen iCloud-Account. Das ist ein bewusster Kompromiss: Nichts wird automatisch von der Bank geladen.
Wer besitzt die Lizenz, wenn eine App Bank-Sync anbietet?
Meist nicht die App selbst. Die meisten Consumer-Apps kaufen den Zugriff bei einem autorisierten Aggregator wie Plaid, TrueLayer oder Tink, der die Berechtigungen hält und die Verbindungen zu tausenden Banken pflegt. Ihre Daten fließen also durch ein Unternehmen, das Sie nicht direkt gewählt haben. Der Anbieter wird im Zustimmungsbildschirm und in der Datenschutzerklärung der App genannt.
Ist Open Banking dasselbe wie Open Finance?
Nein. Open Banking deckt Zahlungskonten ab. Open Finance ist die breitere Idee, dasselbe Zugangsmodell auf Ersparnisse, Renten, Investitionen, Hypotheken und Versicherungen auszuweiten. Mehrere Länder prüfen dies derzeit, und die EU hat einen Rahmen für den Finanzdaten-Zugriff separat von den Zahlungsdiensteregeln verabschiedet. Der heute tatsächlich teilbare Umfang beschränkt sich jedoch meist auf Zahlungskonten.
Kann ich einer App den Zugriff auf mein Konto entziehen?
Ja, an zwei Stellen. Widerrufen Sie die Zustimmung innerhalb der App und prüfen Sie zusätzlich die App Ihrer Bank. Diese führt eine Liste verbundener Drittanbieter und bietet eine Widerrufsfunktion. Es lohnt sich, beides zu tun, da eine App, die nicht mehr funktioniert, die Bank nicht immer zuverlässig über das Schließen der Verbindung informiert.
Quellen
Cash Book im App Store laden7 Tage kostenlos. Einmalig 19.99 für lebenslangen Zugriff.