Open Banking für Firmenkunden: Anwendungsfälle und Grenzen von PSD2

Warum die PSD2-Schnittstelle für Endnutzer gebaut wurde, wo Firmenzahlungsverkehr an Grenzen stößt

Open Banking klingt nach einer offenen Tür zu allen Bankfunktionen. Für den Firmenzahlungsverkehr zählt aber weniger, ob eine Schnittstelle offen ist. Es zählt, für welchen Anwendungsfall sie gebaut wurde. An dieser Frage entscheiden sich Prozesssicherheit, Kosten und die Verfügbarkeit kritischer Zahlungswege.

Was Open Banking und PSD2 regeln

Open Banking ist die Öffnung von Kontodaten und Zahlungsfunktionen über Programmierschnittstellen (APIs) für lizenzierte Drittanbieter. Die zweite EU-Zahlungsdiensterichtlinie PSD2 macht diese Öffnung zur Pflicht: Banken müssen lizenzierten Drittanbietern Zugriff auf Zahlungskonten geben, sofern der Kontoinhaber zustimmt.

Die Richtlinie kennt zwei Rollen. Kontoinformationsdienste (AISP) dürfen Salden und Umsätze lesen. Zahlungsauslösedienste (PISP) dürfen einzelne Zahlungen anstoßen. Der technische Zugangsweg heißt XS2A, kurz für Access to Account (Quelle: Bundesbank, PSD2 / XS2A).

Das Zielbild dahinter zeigt sich an den typischen Anwendungen. Die Haushalts-App bündelt Konten mehrerer Banken. Der Onlineshop bietet Bezahlung per Bankkonto. Der Kreditvergleich liest Umsätze zur Bonitätsprüfung. In all diesen Fällen sitzt eine Person vor dem Bildschirm, verknüpft ihr eigenes Konto und gibt jede Aktion selbst frei. Auf dieser Konstruktion baut alles Weitere auf.

Wo Open Banking für Unternehmen heute funktioniert

Für einen Anwendungsfall funktioniert Open Banking im Unternehmen zuverlässig: das Lesen von Salden und Umsätzen über einen lizenzierten Kontoinformationsdienst (AISP). Wer die Konten seines Unternehmens nur einsehen will, auch Geschäftskonten, bekommt damit ein stabiles Setup ohne eigenen Lizenzbedarf.

Seit dem 25. Juli 2023 ist die Ausnahme von der starken Kundenauthentifizierung (SCA) bei diesem lesenden Zugriff für Banken verpflichtend. Der Kontoinhaber erneuert die persönliche Freigabe per Banking-App oder TAN dann nur noch alle 180 Tage. Dazwischen läuft der Abruf unbeaufsichtigt (Rechtsgrundlage: Delegierte Verordnung (EU) 2022/2360).

Für Kontoübersicht und Buchhaltungsanbindung ist das ein bewährter Weg. Er kommt ohne eigene Lizenz aus und ist meist deutlich günstiger als ein eigener Bankzugang über EBICS, SWIFT oder H2H.

Vier Grenzlinien: wann PSD2 nicht mehr die richtige Antwort ist

An vier Stellen hört PSD2 auf, die passende Antwort für den Firmenzahlungsverkehr zu sein.

Sobald Zahlungen ausgelöst werden sollen

Die Zahlungsauslösung nach PSD2 funktioniert im Grunde wie ein Online-Checkout: Der Nutzer stößt eine einzelne Zahlung an, wird direkt zu seiner Bank weitergeleitet und gibt die Zahlung dort frei.

Sammelzahlungen sind nicht Teil des verpflichtenden Standards. Sie können zwar technisch umgesetzt werden, sind jedoch optional und werden von Banken nicht einheitlich unterstützt oder können vom pain.001-Standard abweichen.

Noch wichtiger ist das Freigabeverfahren: Über PSD2 wird eine Zahlung in der Regel von genau einer Person freigegeben. Ein echtes Mehr-Augen-Prinzip ist damit nicht umsetzbar.

Diese Funktionen müssten vorab in einem eigenen System umgesetzt werden. Für Unternehmen, die regelmäßig viele oder größere Zahlungen abwickeln, ist PSD2 deshalb nur eingeschränkt geeignet. In solchen Fällen wird ein anderer Zahlungsweg empfohlen.

Sobald der Datenabruf dauerhaft und unbeaufsichtigt laufen soll

Bei der Zahlungsauslösung fällt die starke Kundenauthentifizierung nicht ins Gewicht, weil ohnehin jemand vor dem Bildschirm sitzt und freigibt. Beim lesenden Zugriff liegt der Fall anders, wenn er unbeaufsichtigt laufen soll, etwa beim nächtlichen Abruf der Umsätze. Hier greift die 180-Tage-Ausnahme, und in ihr steckt ein Risiko: Die Erneuerung muss eine zeichnungsberechtigte Person persönlich vornehmen.

Bei einer Handvoll Konten ist das ein Kalendereintrag. Bei fünfzig Konten und wechselnden Zuständigkeiten wird daraus ein operationelles Risiko. Ist die zuständige Person im Urlaub oder verlässt sie das Unternehmen, reißt der Datenfluss für diese Bank ab. Ein Kanal wie EBICS kennt dieses Problem nicht, weil sich das System mit einmal eingerichteten Schlüsseln dauerhaft authentifiziert.

Sobald die Kontenlandschaft komplex wird

Die PSD2-Pflicht gilt für Zahlungskonten, und viele Banken decken lesend auch Geschäftsgirokonten sauber ab. Schwierig wird es bei Strukturen, die es nur im Firmenkundengeschäft gibt: mehrere Zeichnungsberechtigte, Konzernvollmachten, Konten bei Banken außerhalb der EU. Wo die regulatorische Pflicht endet, schwanken Abdeckung und Qualität von Bank zu Bank.

Für gewöhnliche Geschäftskonten bei Banken in der DACH-Region funktioniert der lesende Zugriff heute verlässlich. Mit Lücken rechnen muss man dort, wo die Pflicht endet: bei Konten außerhalb der EU, bei Sonderkontoarten und bei verschachtelten Vollmachtsstrukturen.

Sobald garantierte Verfügbarkeit und Support gebraucht werden

Die Pflichtschnittstelle ist eine regulatorische Auflage der Bank, kein Produkt für Ihr Unternehmen. Es gibt keinen vertraglichen Anspruch auf Verfügbarkeit, Support oder Haftung. Manche Banken vermerken ausdrücklich, dass kein Anspruch auf bestimmte Antwortzeiten besteht.

Vertragliche Zusagen sind das Kennzeichen der kommerziellen Premium-APIs, die viele Banken neben der Pflichtschnittstelle anbieten. Sie bieten dauerhafte technische Authentifizierung, Sammelzahlungen und definierte Service-Level, bilateral vereinbart und kostenpflichtig. Diesen Premium-APIs widmen wir einen eigenen Beitrag (geplanter Folgebeitrag, Verlinkung folgt).

Was PSD3 und die PSR ändern

Die Nachfolgeregulierung ist weit fortgeschritten, aber noch nicht in Kraft. Die formale Verabschiedung und die Veröffentlichung im EU-Amtsblatt stehen noch aus und werden im Lauf des Jahres 2026 erwartet.

Das Paket teilt sich in zwei Rechtsakte. Die PSD3 als Richtlinie regelt Lizenzierung und Aufsicht und muss national umgesetzt werden. Die direkt anwendbare Payment Services Regulation (PSR) vereinheitlicht die operativen Standards in allen Mitgliedstaaten (Quelle: Europäische Kommission, Financial data access and payments package).

Für Open Banking sind Verbesserungen vorgesehen: strengere Anforderungen an die Schnittstellenqualität bis hin zur Parität mit dem bankeigenen Online-Banking, Dashboards zur Verwaltung erteilter Einwilligungen und der Wegfall der verpflichtenden Fallback-Schnittstelle.

Ein Punkt wird oft missverstanden. Die Prüfung von Empfängername und IBAN nach dem Prinzip der Verification of Payee führt PSD3/PSR nicht neu ein. Für SEPA-Instant-Zahlungen ist diese Prüfung bereits seit dem 9. Oktober 2025 über die Instant Payments Regulation verpflichtend. PSD3/PSR weitet die Pflicht auf weitere Zahlungsarten aus und verschiebt die Betrugshaftung. Für die Praxis heißt das: Der Abgleich der Empfängerdaten wird zum Standard, unabhängig vom gewählten Kanal (siehe dazu Stammdaten-Validierung).

Am Grundmodell ändert das Paket nichts. Der Zugriff bleibt an die persönliche Zustimmung des Kontoinhabers gebunden und ist auf den Endnutzer zugeschnitten, der sein Konto mit einem Dienst verknüpft. Die Konstruktionsentscheidungen, an denen sich der automatisierte Firmenzahlungsverkehr heute stößt, werden verfeinert, nicht zurückgenommen.

Kanalwahl nach Anwendungsfall

Welcher Zahlungsweg passt, hängt vom konkreten Einsatz ab und nicht von der Größe des Unternehmens.

Wer nur Kontoauszüge und Kontostände abrufen möchte, kann PSD2 über einen Aggregator nutzen. Das ist oft eine günstige Lösung, besonders für kleinere Unternehmen oder einzelne Konten, für die sich eine eigene EBICS-Anbindung nicht lohnt. Sobald höhere Anforderungen dazukommen, reicht PSD2 oft nicht mehr aus. Dann kommen EBICS, spezielle Premium-APIs oder bei international tätigen Konzernen das SWIFT-Netz infrage.

Die Kanäle schließen sich nicht aus, sie ergänzen sich. Welcher Kanal trägt, kann sich mit dem Unternehmen ändern. Das spricht dafür, die eigene Bankensoftware so zu wählen, dass sie nicht auf einen einzelnen Kanal festlegt und sich unabhängig vom eingesetzten ERP anbinden lässt.

Für den reinen Blick auf Konten ist Open Banking oft der günstigste Weg. Für den laufenden Zahlungsverkehr mit Sammeldateien, Freigaben und vielen Konten ist es das nicht, weil die Schnittstelle für den einzelnen Endnutzer gebaut wurde. Prüfen Sie deshalb bei jeder Bankschnittstelle, für welchen Anwendungsfall sie gedacht ist, bevor Sie sich festlegen.

Ein Prozess für alle Banken und Zahlungskanäle

Weil die richtige Antwort vom Anwendungsfall abhängt und sich mit dem Unternehmen verändern kann, ist es riskant, sich früh auf einen einzelnen Kanal festzulegen. Eine Zahlungsverkehrsplattform sollte die relevanten Bankkanäle unter einheitlichen Freigabeprozessen bündeln, statt für jeden Kanal ein eigenes Werkzeug zu verlangen.

Der Banking Connector verbindet EBICS, den PSD2-Kontoabruf, Premium-APIs und SWIFT in einem Prozess. Er lässt sich ERP-agnostisch anbinden, unabhängig davon, ob Sie SAP, Microsoft Dynamics, Sage, Oracle, DATEV, Odoo oder ein anderes ERP-System einsetzen. Weitere Details zu Konnektivität und Zahlungsmanagement.

Sie planen die Wahl oder Ablösung Ihres Zahlungsverkehrskanals? In einem unverbindlichen Gespräch ordnen wir Ihre Anwendungsfälle den passenden Kanälen zu.