Über PSD3 wird in Fachkreisen des Open Banking ununterbrochen diskutiert – oft ohne dass die Beteiligten präzise benennen können, welche konkreten Neuerungen gegenüber PSD2 tatsächlich greifen.
Was PSD2 ursprünglich etabliert hat
PSD2, seit 2018 in Kraft, schuf das Fundament des modernen Open Banking. Die Richtlinie verpflichtete Kreditinstitute, Kontodaten und Zahlungsauslösungen für lizenzierte Drittanbieter über sichere Schnittstellen (APIs) zu öffnen. Auf dieser Grundlage basieren heute A2A-Zahlungen und die Mehrheit moderner Open-Banking-Lösungen.
Vor PSD2 waren Kontoinformationen und Zahlungswege für bankexterne Anbieter vollständig verschlossen. PSD2 erzwang diese Öffnung unter strikten Sicherheits- und Einwilligungsvorgaben. Das daraus entstandene Ökosystem aus Fintech-Apps, Zahlungsauslösediensten und Kontoinformationsdiensten ist das direkte Resultat dieses regulatorischen Meilensteins.
Was PSD3 tatsächlich darstellt
PSD3 stellt zusammen mit der begleitenden Payment Services Regulation (PSR) keinen grundlegenden Neuentwurf des Open-Banking-Prinzips dar. Vielmehr handelt es sich um eine zielgerichtete Weiterentwicklung zur Schließung von Regelungslücken, die nach der flächendeckenden Einführung von PSD2 in 27 EU-Mitgliedstaaten mit teils abweichenden Auslegungen und Aufsichtspraktiken zutage traten.
Welche Vorgaben unter PSD3 konkret verschärft werden
Einheitlichere Authentifizierung. Die Anforderungen an die starke Kundenauthentifizierung (SCA) bestanden bereits unter PSD2, ihre praktische Umsetzung variierte jedoch je nach Bank und Markt erheblich. PSD3 setzt auf einheitlichere Standards in der gesamten EU, um Brüche zu vermeiden, bei denen derselbe Open-Banking-Ablauf je nach kontoführendem Institut völlig unterschiedlich reagiert.
Klarheit bei der Haftung für Betrugsfälle. PSD2 hinterließ spürbare Rechtsunsicherheiten bezüglich der Haftungsverteilung bei bestimmten Betrugsmustern – insbesondere bei manipulierten Autorisierungen (Authorized Push Payment Scams), bei denen Nutzer durch Täuschung veranlasst werden, Zahlungen selbst freizugeben. PSD3 zielt darauf ab, die Zuweisung der Verantwortung in diesen Konstellationen verlässlicher und gerechter zu regeln.
Durchsetzung von Mindeststandards für die API-Qualität. Dies ist für Technologieanbieter die wohl bedeutendste Neuerung. Unter PSD2 beschränkten sich manche Institute auf das absolute Minimum, um formal „konform“ zu sein, ohne Anreiz für eine reibungslose Integrationsqualität: Schnittstellen waren zwar regulatorisch zulässig, in der Praxis jedoch fehleranfällig und schwer anbindbar. PSD3 führt verbindliche Durchsetzungsmechanismen ein, um diese Qualitätslücke wirksam zu schließen.
Was PSD3 unberührt lässt
Das tragende Prinzip des Open Banking bleibt unverändert: Autorisierte Drittanbieter dürfen mit ausdrücklicher Zustimmung des Kontoinhabers über regulierte Schnittstellen auf Kontodaten zugreifen und Zahlungen anstoßen. Es handelt sich um eine Evolution innerhalb eines bewährten Rahmens, nicht um einen Architekturwechsel, der grundlegende Neuentwicklungen erfordert.
Für Unternehmen, die bereits Lösungen auf Open-Banking-Infrastruktur betreiben, wird PSD3 die Schnittstellen im Zeitverlauf verlässlicher und stabiler machen, anstatt einen Umbau bestehender Produkte zu verlangen.
Was dies in der Praxis für Open-Banking-Entwickler bedeutet
Wenn Ihr Geschäftsmodell auf Open-Banking-APIs aufsetzt, sind die Konsequenzen von PSD3 überwiegend positiv: konsistentere Authentifizierungsabläufe für Ihre Endkunden, reduzierte Haftungsrisiken und eindeutigere Spielregeln bei Reklamationen sowie strengere Kontrollen gegenüber Instituten mit mangelhaften Schnittstellen.
Der Zeitplan bis zur vollständigen Wirksamkeit der Richtlinien und der aufsichtsrechtlichen Sanktionen wird je nach Mitgliedstaat variieren, da EU-Richtlinien erst in nationales Recht überführt werden müssen. Dies gilt es für grenzüberschreitend tätige Plattformen vorausschauend zu begleiten.
Häufig gestellte Fragen
Muss ich meine bestehende technische Integration anpassen, wenn ich bereits PSD2-konforme APIs nutze? In den allermeisten Fällen sind keine tiefgreifenden Änderungen erforderlich. PSD3 präzisiert Vorgaben für Authentifizierung, Haftung und API-Verfügbarkeit, ohne das grundlegende technische Integrationsmodell für Drittanbieter zu verändern.
Betrifft PSD3 Kontoinformationsdienste in gleicher Weise wie Zahlungsauslösedienste? Beide regulierten Sparten fallen unter die Bestimmungen der PSD3. Die detaillierten Anforderungen unterscheiden sich jedoch je nachdem, ob ein Dienstleister aktiv Zahlungen auslöst oder ausschließlich Kontodaten analysiert.
Wann tritt PSD3 endgültig in Kraft? Die genauen Fristen hängen von der jeweiligen Vorschrift und dem Umsetzungsstand in den einzelnen nationalen Parlamenten ab. Eine gezielte Beobachtung der für Ihren Markt relevanten Stichtage ist ratsam.
Die Open-Banking-Infrastruktur von Be1B ist von Grund auf so konzipiert, dass sie regulatorische Weiterentwicklungen wie diese nahtlos integriert. Auf unserer Plattform aufbauende Unternehmen müssen regulatorische Aktualisierungen daher nicht mühsam eigenständig nachverfolgen.
Wenn Sie moderne Produkte auf Open-Banking-Schienen entwickeln, erkunden Sie die Open-Banking-Infrastruktur von Be1B, um zu sehen, wie dies in der Praxis funktioniert.