Sicherheit bei Bankverbindungen: Was bedeutet PSD2 für Ihre Daten?

"Muss ich meine Bankdaten mit einem Drittanbieter teilen?" Das ist die Frage, die wir am häufigsten hören. Verständlich. Transaktionsdaten und Kontostand sind sensibel, oft Betriebsgeheimnis. Und die Vorstellung, dass ein externes Unternehmen mitliest, fühlt sich unangenehm an, selbst wenn man weiß, dass es sicher ist.

Deshalb dieser Artikel. Keine vagen Versprechen, sondern ein klarer Überblick darüber, wie PSD2 Ihre Daten schützt, was ein Anbieter von Bankconnectoren darf und was nicht, und worauf Sie selbst achten sollten.

PSD2: Sicherheit als Fundament

PSD2 ist nicht nur ein technischer Standard für Bankdaten. Es ist ein Sicherheitsframework. Der europäische Gesetzgeber hat Sicherheit zum Ausgangspunkt gemacht, nicht zur Nebensache.

Die drei Säulen:

Strong Customer Authentication (SCA). Jede Autorisierung erfordert mindestens zwei Authentifizierungsfaktoren. Etwas, das Sie wissen (PIN), etwas, das Sie besitzen (Telefon) und etwas, das Sie sind (Fingerabdruck). Dieselbe Sicherheit, die Ihre Bank für das Onlinebanking verwendet.

Ausdrückliche Zustimmung. Kein Drittanbieter erhält Zugriff, ohne dass Sie über Ihre eigene Bankumgebung aktiv zustimmen. Sie sehen genau, welche Konten Sie teilen und zu welchem Zweck.

Read-only-Zugriff. Ein AISP (Account Information Service Provider) darf ausschließlich Transaktionen einsehen. Keine Zahlungen ausführen, kein Geld verschieben, keine Konten eröffnen. Reines Lesen.

Was darf ein Anbieter und was nicht?

Hier wird es konkret. Ein zertifizierter Anbieter von Bankconnectoren wie iWebDevelopment agiert innerhalb strenger Grenzen.

Erlaubt:

• Transaktionsdaten abrufen (Datum, Betrag, Gegenkonto, Beschreibung)
• Kontoinformationen abfragen (Kontonummer, Kontostand)
• Daten an Ihre Buchhaltung weiterleiten

Nicht erlaubt:

• Zahlungen ausführen oder auslösen
• Zugangsdaten speichern oder abfragen
• Daten ohne Zustimmung mit Dritten teilen
• Mehr Daten abrufen als für den Dienst nötig
• Zugriff nach Widerruf der Zustimmung behalten

Ein Anbieter, der außerhalb dieser Grenzen agiert, verliert seine Genehmigung. Die Autoriteit Financiele Markten (AFM) und De Nederlandsche Bank (DNB) führen hier eine aktive Aufsicht.

Verification of Payee: zusätzlicher Schutz seit Oktober 2025

Seit 2025 wird Verification of Payee (VoP) in der EU im Rahmen der Instant Payment Regulation verpflichtend. Dabei handelt es sich um eine Name-IBAN-Prüfung: Bevor eine Zahlung ausgeführt wird, prüft die Bank, ob der Name des Empfängers mit der IBAN übereinstimmt.

Was bedeutet das für Bankconnectoren? Direkt nicht viel. VoP betrifft Zahlungen, nicht das Lesen von Transaktionen. Aber indirekt stärkt es das Vertrauen in das gesamte Ökosystem. Betrug mit falschen IBAN-Nummern wird schwieriger. Und jede Sicherheitsschicht, die den Bankverkehr zuverlässiger macht, macht auch das Teilen von Transaktionsdaten sicherer.

Datenminimierung: nur was nötig ist

PSD2 folgt dem Prinzip der Datenminimierung. Ein Anbieter darf nur die Daten abfragen, die für den Dienst unbedingt notwendig sind. Für einen Bankconnector zu Ihrer Buchhaltung sind das Transaktionsdaten. Nicht mehr.

Keine Sparkontostände. Kein Anlageportfolio. Keine Hypothekendaten. Keine Unternehmens- oder Personendaten über das hinaus, was für die Identifikation von Transaktionen notwendig ist.

Bei iWebDevelopment wenden wir dieses Prinzip konsequent an. Wir fragen nur Transaktionsdaten ab und leiten diese an Ihr Buchhaltungspaket weiter. Wir speichern keine Finanzdaten auf unseren Servern. Nach der Weitergabe werden die Daten nicht aufbewahrt.

ISO 27001: mehr als ein Logo

ISO 27001 ist der internationale Standard für Informationssicherheit. Das Zertifikat deckt nicht nur technische Maßnahmen ab, sondern auch Prozesse, Organisation und Risikomanagement.

Wir sind ISO 27001-zertifiziert. Das bedeutet:

• Jährliche externe Audits durch eine unabhängige Zertifizierungsstelle
• Dokumentierte Informationssicherheitsrichtlinie
• Risikoinventarisierung und -behandlung
• Incident-Response-Verfahren
• Zugriffskontrolle und Autorisierungsverwaltung
• Verschlüsselung von Daten während der Übertragung und im Ruhezustand

Darüber hinaus lassen wir unsere Infrastruktur unabhängig per Pentest prüfen. Nicht weil es sein muss, sondern weil wir wissen wollen, wo mögliche Schwachstellen liegen, bevor jemand anderes sie findet.

PSD3: die Latte wird höher gelegt

Die Europäische Union arbeitet an PSD3, dem Nachfolger von PSD2. Im November 2025 wurde eine politische Einigung erzielt. Es wird erwartet, dass die PSD3-Regelung im dritten Quartal dieses Jahres festgelegt wird und damit 2028 in Kraft tritt.

Die wichtigsten Sicherheitsverbesserungen:

Datenparität. Banken müssen über ihre APIs dieselbe Qualität und Verfügbarkeit bieten wie über ihre eigenen Kanäle. Keine abgespeckten oder verzögerten APIs mehr. Das verbessert die Zuverlässigkeit von Bankconnectoren direkt.

Strengere Durchsetzung. Nationale Aufsichtsbehörden erhalten mehr Befugnisse. Banken, die ihre APIs vernachlässigen oder den Zugriff erschweren, können wirksamer belangt werden.

FIDA — Financial Data Access. Das Open-Banking-Prinzip wird auf andere Finanzprodukte ausgeweitet: Versicherungen, Renten, Anlagen. Mit denselben Sicherheitsstandards wie PSD2.

Anti-Betrugs-Maßnahmen. Neue Verpflichtungen rund um Spoofing-Prävention und Social Engineering. Banken und Anbieter erhalten eine gemeinsame Verantwortung, Betrug zu verhindern.

Wir finden, dass PSD3 eine positive Entwicklung für jeden ist, der mit Bankconnectoren arbeitet. Jede Verschärfung der Standards macht das Ökosystem zuverlässiger.

Praktische Sicherheitscheckliste für die Wahl eines Anbieters

Nicht alle Anbieter sind gleich. Nutzen Sie diese Checkliste bei Ihrer Wahl:

Genehmigung und Registrierung. Ist der Anbieter (oder dessen Aggregator) als AISP bei einer europäischen Aufsichtsbehörde registriert? Prüfen Sie das Register der AFM oder der zuständigen nationalen Behörde.

Zertifizierung. ISO 27001 ist der Mindeststandard. Fragen Sie auch nach SOC 2 Type II oder vergleichbaren Audits.

Pentesting. Lässt der Anbieter unabhängige Pentests durchführen? Fragen Sie nach der Häufigkeit und ob Ergebnisse verfügbar sind.

Datenspeicherung. Wo werden Ihre Daten gespeichert? Werden Transaktionen auf den Servern des Anbieters aufbewahrt oder nur an Ihre Buchhaltung weitergeleitet? Weniger Speicherung bedeutet weniger Risiko.

Verschlüsselung. TLS 1.2 oder höher für Daten während der Übertragung. AES-256 oder vergleichbar für Daten im Ruhezustand. Das ist nicht verhandelbar.

Consent-Verwaltung. Können Sie über Ihre Bank sehen, welche Parteien Zugriff haben? Können Sie die Zustimmung direkt widerrufen? Ein guter Anbieter macht das transparent.

Incident-Response. Hat der Anbieter ein dokumentiertes Verfahren für Sicherheitsvorfälle? Wie schnell werden Sie bei einem Datenleck informiert?

Unterauftragsverarbeiter. Nutzt der Anbieter Aggregatoren oder andere Drittanbieter? Falls ja, fallen diese unter dieselben Sicherheitsstandards?

Was Sie selbst tun können

Sicherheit ist eine geteilte Verantwortung. Neben der Wahl eines zuverlässigen Anbieters können Sie selbst Folgendes tun:

Überprüfen Sie regelmäßig Ihre Autorisierungen. Melden Sie sich bei Ihrer Bank an und schauen Sie, welche Parteien Zugriff auf Ihr Konto haben. Erkennen Sie eine Partei nicht? Widerrufen Sie die Zustimmung.

Erneuern Sie die Zustimmung bewusst. PSD2 verlangt, dass Sie alle 90 Tage erneut zustimmen. Sehen Sie das nicht als Last, sondern als Sicherheitsmoment. Es zwingt Sie, darüber nachzudenken, welche Connectoren Sie aktiv nutzen.

Nutzen Sie eine starke Authentifizierung. Sorgen Sie dafür, dass Ihre Banking-App aktuell ist und dass Ihre SCA-Methoden (Fingerabdruck, Face ID, SMS-Code) aktiv sind.

Melden Sie Auffälligkeiten. Sehen Sie Transaktionen, die Sie in Ihrem Bankconnector nicht erkennen? Melden Sie es Ihrem Anbieter und Ihrer Bank. Schnelles Handeln begrenzt möglichen Schaden.

Das Fazit

Bankconnectoren über PSD2 sind sicherer als jeder Vorgänger. Keine geteilten Passwörter, kein Screen Scraping, kein unkontrollierter Datenzugriff. Stattdessen: EU-regulierter, verschlüsselter, ausdrücklich autorisierter Read-only-Zugriff.

Das ändert nichts daran, dass Sie bei der Wahl Ihres Anbieters kritisch sein sollten. Zertifizierung, Datenspeicherung, Transparenz. Es macht einen Unterschied. Wir investieren kontinuierlich in Sicherheit, weil wir wissen, dass Vertrauen die Grundlage von allem ist, was wir tun.

Ab 7,50 Euro pro Monat. ISO 27001-zertifiziert. Keine Finanzdaten auf unseren Servern. Innerhalb eines Tages einsatzbereit.

Möchten Sie es selbst ausprobieren? Entdecken Sie unseren Bankconnector →