PSD2 erklärt: Starke Kundenauthentifizierung und Kontozugriff

---

PSD2 erklärt: Was steckt hinter der starken Kundenauthentifizierung?

Mehr als 500 Milliarden Euro werden jährlich über europäische Online-Zahlungssysteme abgewickelt — und Betrug kostet die Branche dabei mehrere Milliarden Euro pro Jahr. Die Antwort des europäischen Gesetzgebers: die Zahlungsdiensterichtlinie PSD2 mit ihrer zentralen Sicherheitsanforderung, der PSD2 starken Kundenauthentifizierung. Seit September 2019 gilt für Banken und Zahlungsdienstleister in der EU die Pflicht, Kundentransaktionen durch mindestens zwei unabhängige Faktoren abzusichern. Was das konkret bedeutet, welche Ausnahmen es gibt und wie Kontoinformationsdienste funktionieren — dieser Artikel erklärt die wesentlichen Mechanismen sachlich und vollständig.

Was ist PSD2 und warum wurde sie eingeführt?

Die Payment Services Directive 2 (Richtlinie (EU) 2015/2366) ist eine EU-Richtlinie, die den europäischen Zahlungsmarkt reguliert. Sie löste 2018 die erste Zahlungsdiensterichtlinie (PSD1) ab und verfolgt zwei Hauptziele: mehr Wettbewerb im Zahlungsmarkt durch Open Banking sowie einen deutlich höheren Schutz vor Betrug und unbefugtem Kontozugriff.

In Deutschland wurde PSD2 durch das Zahlungsdiensteaufsichtsgesetz (ZAG) in nationales Recht umgesetzt. Die BaFin überwacht die Einhaltung der Anforderungen durch Banken und Zahlungsdienstleister. Die technischen Durchführungsstandards lieferte die Europäische Bankenaufsichtsbehörde (EBA) in Form der Delegierten Verordnung (EU) 2018/389 — dem sogenannten RTS on SCA.

Die Richtlinie adressiert drei zentrale Probleme des digitalen Zahlungsverkehrs:

• Steigende Betrugsraten bei Online-Zahlungen
• Fehlender regulatorischer Rahmen für Drittanbieter-Apps
• Unklare Haftungsregeln zwischen Banken, Händlern und Zahlungsdienstleistern

Die drei Faktoren der starken Kundenauthentifizierung

PSD2 starke Kundenauthentifizierung (Strong Customer Authentication, SCA) verlangt die Kombination von mindestens zwei voneinander unabhängigen Faktoren aus drei definierten Kategorien. Entscheidend ist dabei: Die zwei gewählten Faktoren müssen aus verschiedenen Kategorien stammen.

Ein Passwort kombiniert mit einer SMS-TAN erfüllt die Anforderung (Wissen + Besitz). Zwei verschiedene Passwörter hingegen nicht — denn beide Faktoren entstammen derselben Kategorie „Wissen".

Zusätzlich verlangt die Verordnung dynamische Verknüpfung bei Zahlungen: Der Authentifizierungscode muss spezifisch an Betrag und Empfänger geknüpft sein. Ändert ein Angreifer im Hintergrund den Zahlbetrag, wird der Code ungültig — ein direkter Schutz gegen sogenannte „Man-in-the-Middle"-Angriffe.

Wann ist SCA Pflicht — und wann nicht?

Die SCA-Pflicht greift nicht bei jeder Transaktion. Die Delegierte Verordnung 2018/389 definiert einen Katalog von Ausnahmen, bei denen Zahlungsdienstleister auf den zweiten Faktor verzichten können — aber nicht müssen.

Ausnahmen gelten unter anderem für:

1. Niedrigbetragszahlungen: Kontaktlose Kartenzahlungen bis 50 Euro (kumuliertes Limit: 150 Euro oder fünf aufeinanderfolgende Transaktionen).
2. Fernzahlungen unter 30 Euro: Online-Transaktionen bis zu einem Wert von 30 Euro — maximal fünf aufeinanderfolgende Transaktionen oder bis zu einem kumulierten Betrag von 100 Euro.
3. Vertrauenswürdige Empfänger (Whitelist): Bankkunden können bestimmte Empfänger als vertrauenswürdig markieren; spätere Zahlungen an diese Empfänger erfordern dann keine erneute SCA.
4. Wiederkehrende Zahlungen gleicher Höhe: Etwa Abonnements oder Daueraufträge — SCA ist nur bei der ersten Transaktion der Serie erforderlich.
5. Transaktionsrisikoanalyse (TRA): Zahlungsdienstleister mit nachgewiesenen Betrugsquoten unterhalb bestimmter Schwellenwerte dürfen eine risikobasierte Ausnahme anwenden — je niedriger die Betrugsquote, desto höher der Transaktionsbetrag, für den die Ausnahme gilt (maximal 500 Euro bei sehr geringer Betrugsquote).
6. Sichere Firmenzahlungen: Bei juristischen Personen, die dedizierte, sichere Zahlungsprozesse nutzen.
7. Unbeaufsichtigte Zahlungsterminals: etwa Parkautomaten und Mautsysteme.

Wichtig: Die Ausnahmen berechtigen den Zahlungsdienstleister zur Vereinfachung — sie entbinden ihn aber nicht von der Haftung, sollte es zu Betrug kommen.

Open Banking: Kontoinformationsdienste und Zahlungsauslösedienste

Neben der Sicherheitsarchitektur bringt PSD2 einen fundamentalen Wandel im Bankzugang: Banken sind verpflichtet, lizenzierten Drittanbietern über standardisierte Schnittstellen (APIs) Zugang zu Kontodaten zu ermöglichen — vorausgesetzt, der Kontoinhaber hat ausdrücklich zugestimmt.

Das Gesetz definiert zwei neue Dienstleistertypen:

AISP — Account Information Service Provider (Kontoinformationsdienst)

Ein AISP darf Kontodaten lesen, aggregieren und aufbereiten. Typische Anwendungen: Haushaltsbuch-Apps, die Konten bei verschiedenen Banken in einer Übersicht zusammenführen, oder Tools zur automatisierten Buchhaltung für Freiberufler. Der AISP darf keine Zahlungen auslösen und kein Geld bewegen.

PISP — Payment Initiation Service Provider (Zahlungsauslösedienst)

Ein PISP darf im Auftrag des Nutzers Zahlungen direkt vom Bankkonto initiieren — ohne dass eine Karte nötig ist. Händler können so Zahlungen direkt per Banküberweisung abwickeln, was ihnen Kartennetzgebühren erspart.

Beide Dienstleistertypen benötigen eine nationale Lizenz und unterliegen der Aufsicht der jeweiligen Finanzaufsichtsbehörde. Wer also eine App nutzt, die auf Kontodaten zugreift, sollte prüfen, ob der Anbieter über eine gültige AISP-Lizenz verfügt. Hinweise auf möglichen Anlagebetrug erkennen Sie mit einer strukturierten Checkliste — ähnliche Prüfprinzipien gelten auch für FinTech-Anbieter, die Kontozugriff verlangen.

Grenzen und Risiken von PSD2 in der Praxis

PSD2 hat die digitale Sicherheit im Zahlungsverkehr erheblich verbessert — enthält aber auch strukturelle Schwachstellen, die Nutzer kennen sollten.

Technische Umsetzungsqualität variiert stark. Nicht alle Banken haben ihre APIs in gleicher Qualität implementiert. Die EBA hat wiederholt festgestellt, dass manche Institute Drittanbietern den Zugang durch mangelhafte Schnittstellen de facto erschweren — ein als „screen scraping barrier" bekanntes Problem. Phishing bleibt wirksam trotz SCA. SCA schützt vor unbefugtem Zugriff durch Dritte — nicht aber vor einem Nutzer, der selbst seinen TAN-Code auf einer gefälschten Bankwebseite eingibt. Social-Engineering-Angriffe, bei denen Opfer aktiv zur Freigabe manipuliert werden, liegen außerhalb des Schutzbereichs von SCA. Kontoinformationsdienste und Datenschutz. Die Weitergabe von Bankzugangsdaten an AISP-Anbieter ist legal, wenn diese lizenziert sind. Nutzer sollten dennoch prüfen: Welche Daten werden wie lange gespeichert? Welche DSGVO-Rechte bestehen? Seriöse Anbieter stellen diese Informationen transparent bereit. Haftungsabgrenzung ist komplex. Im Schadensfall — etwa nach einem erfolgreichen Angriff — ist die Haftungsverteilung zwischen Bank, Zahlungsauslösedienst und Händler nicht immer eindeutig. PSD2 regelt grundsätzlich, dass der kontoführende Zahlungsdienstleister haftet, sofern der Nutzer nicht grob fahrlässig gehandelt hat. Die tatsächliche Durchsetzung erfordert häufig eine Beschwerde bei der BaFin oder ein Schlichtungsverfahren.

Wer Bankprodukte verschiedener Anbieter vergleicht — etwa im Rahmen eines Festgeld-Vergleichs 2026 — sollte auch die SCA-Implementierung des jeweiligen Instituts als Qualitätsmerkmal einbeziehen.

Praktische Checkliste: PSD2-konforme Nutzung prüfen

Nutzen Sie diese Liste, um Ihren eigenen Banking-Alltag auf PSD2-Konformität zu prüfen:

1. Zwei-Faktor-Pflicht aktiv? Verlangt Ihre Bank beim Online-Banking-Login immer mindestens zwei Faktoren (z. B. Passwort + App-Bestätigung)?
2. Dynamische Verknüpfung vorhanden? Zeigt Ihre Banking-App bei jeder Zahlung explizit Betrag und Empfänger an, bevor Sie bestätigen?
3. Drittanbieter lizenziert? Bevor Sie einer App Zugang zu Ihren Kontodaten gewähren: Ist der Anbieter im öffentlichen AISP/PISP-Register der nationalen Aufsichtsbehörde gelistet?
4. Keine Weitergabe von Zugangsdaten. Seriöse Drittanbieter fragen niemals nach Ihrem vollständigen Bankpasswort — sie nutzen OAuth2-basierte Weiterleitungen auf die sichere Bankseite.
5. Unbekannte Zahlungsfreigaben sofort melden. Erhalten Sie eine SCA-Anfrage für eine Transaktion, die Sie nicht initiiert haben, lehnen Sie diese ab und kontaktieren Sie sofort Ihre Bank.
6. Regelmäßige Überprüfung verbundener Apps. Prüfen Sie in Ihrem Online-Banking-Portal, welche Drittanbieter derzeit Zugriff auf Ihre Kontodaten haben, und widerrufen Sie nicht mehr benötigte Verbindungen.
7. Beschwerdewege kennen. Bei Problemen: BaFin für deutsche Institute; für Banken in anderen EU-Ländern die jeweilige nationale Aufsicht.

Wer Bankeinlagen bei Instituten außerhalb Deutschlands hält — etwa im Rahmen von Einlagenarbitrage — sollte außerdem prüfen, ob das jeweilige Land die EU-Richtlinie vollständig umgesetzt hat und welche Aufsicht zuständig ist. Die Einlagensicherung ist dabei ein gesondertes Thema, ebenso wie die Frage nach Bankratings, die Hinweise auf die Stabilität eines Instituts geben können.

PSD3: Was kommt nach PSD2?

Die Europäische Kommission hat 2023 ihren Vorschlag für die PSD3 sowie die begleitende Payment Services Regulation (PSR) veröffentlicht. Letztere soll als direkt anwendbare Verordnung die fragmentierte nationale Umsetzung von PSD2 überwinden.

Geplante Schwerpunkte umfassen:

• Verstärkte Haftung der Banken bei sogenanntem „Authorized Push Payment Fraud" (Betrug durch Manipulation des Kontoinhabers zur Freigabe)
• Bessere offene Banking-APIs mit höheren Qualitätsstandards
• Ausdehnung auf weitere Zahlungsinstrumente, einschließlich digitaler Wallets
• Klarere Regelungen zur Datenweitergabe zwischen Banken und Drittanbietern

Bis zur finalen Verabschiedung und Umsetzung von PSD3 — frühestens 2026/2027 zu erwarten — bleibt PSD2 vollständig in Kraft. Bankkunden sollten etwaige Änderungen in ihrer Bankkorrespondenz aufmerksam verfolgen.

Fazit

Die PSD2 starke Kundenauthentifizierung ist heute der technische Mindeststandard für sichere Online-Zahlungen in der EU. Wer die drei Faktorkategorien kennt, Ausnahmen versteht und Drittanbieter systematisch auf Lizenzen prüft, nutzt das regulatorische Schutzgerüst effektiv. Die Richtlinie schützt jedoch nicht vor social-engineered Betrug — Wachsamkeit bleibt unersetzlich. Die bevorstehende PSD3 wird das Schutzlevel weiter erhöhen, ohne die Grundprinzipien zu verändern.

---

Material trägt ausschließlich Bildungscharakter und ist keine Anlageempfehlung. Rentiers ist kein lizenzierter Anlageberater. Finanzielle Entscheidungen treffen Sie selbst und auf eigene Verantwortung.

---

Häufige Fragen zur PSD2 starken Kundenauthentifizierung

Was ist die PSD2 starke Kundenauthentifizierung und wann ist sie Pflicht?

Die PSD2 starke Kundenauthentifizierung (SCA) ist eine gesetzliche Anforderung der EU-Zahlungsdiensterichtlinie PSD2. Sie schreibt vor, dass Online-Zahlungen und Kontozugriffe durch mindestens zwei unabhängige Faktoren aus den Kategorien Wissen, Besitz und Inhärenz abgesichert sein müssen. Pflicht besteht bei Fernzahlungen, Online-Banking-Anmeldungen und bei Zugriff durch Drittanbieter-Apps.

Was bedeuten die drei Authentifizierungsfaktoren konkret?

Wissen umfasst PIN, Passwort oder Sicherheitsfrage. Besitz meint physische oder digitale Objekte wie Smartphone, TAN-Generator oder Chipkarte. Inhärenz bezeichnet biometrische Merkmale wie Fingerabdruck, Gesichtserkennung oder Stimme. Zwei dieser drei Kategorien müssen kombiniert werden — nicht zwei Faktoren derselben Kategorie.

Welche Ausnahmen gibt es von der SCA-Pflicht?

Die EU-Delegierte Verordnung 2018/389 definiert Ausnahmen: Zahlungen unter 30 Euro, vertrauenswürdige Empfänger (Whitelist), wiederkehrende Zahlungen gleicher Höhe sowie Transaktionen mit geringem Betrugsrisiko nach Risikoanalyse des Zahlungsdienstleisters. Auch kontaktlose Kartenzahlungen unter bestimmten Schwellenwerten sind ausgenommen.

Was ist ein Kontoinformationsdienst (AISP) nach PSD2?

Ein Kontoinformationsdienst (Account Information Service Provider, AISP) ist ein lizenzierter Drittanbieter, der mit Zustimmung des Kontoinhabers auf Kontodaten zugreifen und diese aggregieren darf. Typische Anwendungen sind Haushaltsbuch-Apps und Finanzmanagement-Tools. Banken sind verpflichtet, solchen lizenzierten Anbietern eine API-Schnittstelle bereitzustellen.

Wie unterscheidet sich PSD2 von der geplanten PSD3?

PSD3 befindet sich seit 2023 im europäischen Gesetzgebungsverfahren und soll PSD2 ablösen. Geplante Neuerungen umfassen stärkere Betrugsbekämpfung, verbesserte Open-Banking-APIs, Erweiterung auf weitere Zahlungsformen und schärfere Regeln zum Kundenschutz bei Zahlungsbetrug. PSD2 bleibt bis zur Umsetzung vollständig in Kraft.

Was sollte ich tun, wenn meine Bank keine SCA-konforme Authentifizierung anbietet?

Wenden Sie sich schriftlich an Ihre Bank und fordern Sie eine SCA-konforme Lösung. Erhalten Sie keine zufriedenstellende Antwort, können Sie eine Beschwerde bei der BaFin einreichen. Zusätzlich können Sie die Europäische Bankenaufsichtsbehörde (EBA) informieren.