Open-Banking-API erklärt: So funktioniert es – mit Beispielen

Eine Open-Banking-API ist ein sicherer digitaler Zugang, über den ein zugelassener Drittanbieter die Bankdaten eines Kunden einsehen oder eine Zahlung von dessen Konto auslösen kann – allerdings nur, wenn der Kunde dem zustimmt. Das ist das Grundprinzip in einem Satz. Die Bank verwahrt das Geld und die Daten. Der Kunde entscheidet, wer Zugriff erhält. Die API ist der kontrollierte Kanal zwischen beiden.

Bei ConnectPay arbeiten wir täglich mit diesem Modell. Als EMI-lizenzierter Anbieter mit Sitz in Vilnius hören wir immer wieder dieselben Fragen von Gründern, Entwicklern und Produktleitern. Was genau wird weitergegeben? Wer ist verantwortlich, wenn etwas schiefgeht? Und was kann man eigentlich entwickeln, sobald man Zugriff hat?

Dieser Leitfaden beantwortet diese Fragen in verständlicher Sprache. Wir erklären, was eine Open-Banking-API ist, wie der Einwilligungs- und Authentifizierungsprozess funktioniert und auf welche Anbieter Sie voraussichtlich treffen werden. Außerdem befassen wir uns mit den geschäftlichen Vorteilen, den Unterschieden zwischen Zahlungsverkehr und Datenzugriff, der Rechtslage bezüglich des Zugangs zu Open-Banking-APIs in der EU, Großbritannien und den USA sowie der zukünftigen Entwicklung des Marktes. Wenn Sie sich für die vollständige Sicherheitsarchitektur interessieren, finden Sie dazu Informationen in einem separaten, eher technisch ausgerichteten Artikel. Dieser hier bildet die Grundlage.

Was ist eine Open-Banking-API?

Beginnen wir mit den Grundlagen: Was ist eine API im Open Banking? Eine API (Application Programming Interface) ist eine Reihe von Regeln, die es zwei Softwareprogrammen ermöglicht, miteinander zu kommunizieren. Im Open Banking ist die eine Seite die Bank, bei der das Konto geführt wird. Die andere Seite ist ein Drittanbieter (Third-Party Provider, TPP), beispielsweise eine Budgetierungs-App, ein Buchhaltungstool, ein Kreditgeber oder ein Zahlungsdienstleister. Die Open-Banking-API legt fest, welche Daten der TPP anfordern kann und wie die Bank darauf reagiert.

Es gibt jedoch keine einheitliche globale Open-Banking-API. Jede Bank entwickelt ihre eigene API, und verschiedene Banken setzen ihre APIs unter Verwendung unterschiedlicher Protokolle, Datenformate und Authentifizierungsschritte um. In Großbritannien halten sich die meisten Großbanken an den Open-Banking-Standard. In der EU legt die PSD2 zwar die Regeln fest, schreibt jedoch kein einheitliches technisches Format vor, sodass es den Standard der Berlin Group, den französischen STET-Standard und zahlreiche bankspezifische Varianten gibt. Ein Entwickler, der 50 Banken erreichen möchte, könnte mit 50 leicht unterschiedlichen Integrationen konfrontiert sein.

Genau dafür gibt es standardisierte Plattformen und Aggregatoren. Sie sind einerseits mit Banken vernetzt und stellen Ihnen andererseits eine einheitliche API zur Verfügung. Ein guter Anbieter kümmert sich zudem um die Aspekte, die nichts mit Programmierung zu tun haben: Authentifizierungsabläufe, die behördliche Lizenz, Einwilligungsnachweise und das Berichtswesen. Der TPP muss also kein Compliance-Team aufbauen, bevor er seine erste Funktion auf den Markt bringt.

Außerdem ist es hilfreich, „Open Banking“ von einem verwandten Modell abzugrenzen. „Open Banking“ ermöglicht Ihnen den Zugriff auf Konten bei anderen Banken. Mit „Banking-as-a-Service“ können Sie Konten und Zahlungsdienste unter Ihrer eigenen Marke anbieten, wobei Sie die Infrastruktur eines lizenzierten Partners nutzen. Wir erläutern diesen Unterschied in unserem Vergleich von Open Banking vs. Banking-as-a-Service.

Wie funktionieren Open-Banking-APIs?

Am einfachsten lässt sich die Funktionsweise einer Open-Banking-API verstehen, wenn man eine Verbindung von Anfang bis Ende verfolgt.

Angenommen, ein kleiner Online-Shop beginnt, eine Buchhaltungs-App zu nutzen, die Transaktionen vom Geschäftskonto automatisch abruft. Der Inhaber klickt in der App auf “Bank verbinden”. Die App, die als Drittanbieter fungiert, sendet über die Open-Banking-API eine Anfrage, in der genau angegeben wird, welche Daten benötigt werden – zum Beispiel Kontostände und Transaktionen der letzten 90 Tage. Der Inhaber wird dann auf die Anmeldeseite oder in die mobile App seiner eigenen Bank weitergeleitet. Er gibt sein Bankpasswort niemals direkt in die Buchhaltungs-App ein.

Hier kommt OAuth 2.0 ins Spiel. OAuth 2.0 ist ein Autorisierungsstandard, mit dem die Bank überprüfen kann, wer der Nutzer ist und womit er einverstanden war, und anschließend der App ein Zugriffstoken ausstellt. Stellen Sie sich das Token wie eine Hotel-Schlüsselkarte vor. Es öffnet nur die Türen, die der Nutzer genehmigt hat, und das auch nur für eine begrenzte Zeit. Mit diesem Token ruft die App die Open-Banking-API auf, um Kontostände und Transaktionsverläufe abzurufen. Zu keinem Zeitpunkt wird ein Passwort weitergegeben.

Die Einwilligung steht im Mittelpunkt des gesamten Modells. Der Nutzer entscheidet selbst, welche Daten er mit wem teilt. Er kann diesen Zugriff zudem jederzeit über seine Bank widerrufen; sobald dies geschieht, verliert das Token seine Gültigkeit. In der EU muss der Kontozugriff zudem regelmäßig erneut bestätigt werden, sodass eine einmal erteilte Berechtigung standardmäßig nicht dauerhaft gültig ist.

Hinter all dem stehen strenge Sicherheitsstandards, deren Einhaltung die Aufsichtsbehörden von Banken und Anbietern verlangen. Darauf gehen wir in unserem speziellen Artikel zum Thema Sicherheit ein. Bei den meisten Produktentscheidungen sind die wesentlichen Punkte einfacher: Der Nutzer authentifiziert sich bei seiner Bank, die App erhält einen begrenzten Zugriff, und der Nutzer behält die Kontrolle.

Wenn Sie gerade überlegen, wie sich eine solche Integration in Ihre eigene Systemlandschaft einfügen lässt, bietet unsere Übersicht über ConnectPay-APIs zeigt, wie wir Konto- und Zahlungs-Endpunkte strukturieren.

Sind Sie bereit, Ihre Zahlungsinfrastruktur zu modernisieren?

Machen Sie Schluss mit unübersichtlichen Zahlungsabläufen. Nutzen Sie dedizierte IBANs, SEPA Instant und nahtlose API-Integrationen – alles über eine einzige, einheitliche Plattform.

Vertrieb kontaktieren Entdecken Sie unsere Produkte

Beispiele für Open-Banking-APIs

Wahrscheinlich haben Sie schon einmal eine Open-Banking-API genutzt, ohne es zu merken. Wenn eine Kredit-App Sie auffordert, Ihr Einkommen durch die Anbindung Ihres Bankkontos zu bestätigen, oder wenn eine Finanz-App die Kontostände von drei Banken auf einem Bildschirm anzeigt, arbeitet im Hintergrund meist ein Aggregator. Hier sind drei Beispiele für Open-Banking-APIs, die Sie kennen sollten.

„Plaid“ ist der Name, auf den die meisten US-Entwickler als Erstes stoßen.

Es ist mit mehr als 12.000 Finanzinstituten verbunden, und sein Netzwerk hat über 500 Millionen Privatkundenkonten in den USA, Kanada, Großbritannien und Europa miteinander verknüpft. Apps wie Venmo und Robinhood nutzen es, damit Kunden mit wenigen Fingertipps ein Bankkonto verknüpfen können. Für ein auf den US-Markt ausgerichtetes Produkt ist Plaid allein schon aufgrund dieser Reichweite oft der Ausgangspunkt.

Tink spielt in Europa eine ähnliche Rolle.

Visa hat das Unternehmen im Jahr 2022 übernommen; es ermöglicht Unternehmen über eine einzige Integration den Zugang zu Tausenden von europäischen Banken. Teams nutzen es zur Kontoüberprüfung, zur Zahlungsauslösung und zur Erfassung von Transaktionsdaten in den EU-Märkten, in denen die API-Formate der Banken von Land zu Land variieren.

ConnectPay nimmt eine andere Position ein. Wir sind in erster Linie kein Datenaggregator. Wir bieten Unternehmen API-basierten Zugriff auf Konten, IBANs und Zahlungen in Europa, damit sie Finanzfunktionen auf Basis von Open Banking und SEPA-Systemen entwickeln können – mit einem lizenzierten Anbieter im Rücken. Ein typisches Beispiel ist ein Marktplatz, der Zahlungen von Käufern einziehen, diese verwahren und an Verkäufer auszahlen muss.

Die richtige Wahl hängt von Ihrem Standort ab und davon, ob Sie Daten, Zahlungsvorgänge oder Konten benötigen. Unser Leitfaden zu Open-Banking-Lösungen vergleicht die wichtigsten Optionen genauer.

Vorteile von Open-Banking-APIs

Die Vorteile des API-Zugangs im Rahmen von Open Banking zeigen sich in drei Bereichen: Kosten, Geschwindigkeit und Produktqualität. Hier erfahren Sie, wie sich diese Vorteile für reale Unternehmen auswirken.

• Schnellere, kostengünstigere und sicherere Transaktionen. Eine über eine Open-Banking-API ausgelöste Zahlung erfolgt direkt zwischen Bankkonten. Es ist kein Kartennetzwerk als Vermittler beteiligt, das einen Prozentsatz einbehält, und mit SEPA Instant kann das Geld innerhalb von Sekunden auf dem Konto eingehen. Auch die Sicherheit wird dadurch erhöht, da sich der Kunde bei seiner eigenen Bank authentifiziert, anstatt Kartennummern in ein Zahlungsformular einzugeben.

• Mehr maßgeschneiderte Finanzprodukte. Durch den autorisierten Zugriff auf echte Transaktionsdaten kann ein Kreditgeber den tatsächlichen Cashflow einsehen, anstatt sich ausschließlich auf eine Bonitätsbewertung zu verlassen. Das ist besonders für Freiberufler und junge Unternehmen mit noch geringer Kreditgeschichte von Bedeutung. Eine Spar-App kann ein monatliches Sparziel vorschlagen, das auf den tatsächlichen Ausgaben des Nutzers basiert und nicht auf einer allgemeinen Regel.

• Ein besseres Kundenerlebnis. Integrierte Dienste machen manuelle Schritte überflüssig. Anstatt PDF-Kontoauszüge der letzten drei Monate herunterzuladen, um einen Geschäftskredit zu beantragen, verknüpft ein Gründer einfach sein Konto, und der Kreditgeber kann die Daten direkt einlesen.

• Risikobewertung in Echtzeit. Vor dem Versand von Waren oder der Freigabe einer Auszahlung kann ein Unternehmen überprüfen, ob ein Konto existiert, der richtigen Person gehört und über ausreichende Guthaben verfügt. Dadurch lassen sich fehlgeschlagene Zahlungen und bestimmte Arten von Betrug vermeiden.

• Betriebliche Effizienz. Das ist der Vorteil, den Finanzteams als Erstes bemerken. Transaktionen werden direkt in die Buchhaltungssoftware übernommen, Zahlungseingänge werden automatisch den Rechnungen zugeordnet, und niemand muss den Freitagnachmittag damit verbringen, Bankauszüge in einer Tabellenkalkulation abzugleichen.

Diese Vorteile summieren sich, wenn Daten und Zahlungen über dieselbe Infrastruktur abgewickelt werden. Wie das funktioniert, können Sie anhand unserer Zahlungen Angebot.

Zahlungen über Open-Banking-APIs

In den meisten Diskussionen zum Thema Open Banking stehen Daten im Mittelpunkt. Zahlungen über Open-Banking-APIs stellen jedoch einen eigenständigen Anwendungsfall dar und sind für viele Unternehmen sogar der wertvollere.

Hier liegt der Unterschied. Beim Datenzugriff liest eine App Informationen aus einem Konto aus. Bei der Zahlungsauslösung nutzt ein lizenzierter Anbieter die Open-Banking-API, um eine Überweisung vom Konto des Kunden einzurichten. Der Kunde genehmigt dies in seiner Banking-App, und das Geld wird von Konto zu Konto (A2A) überwiesen. Kartennetzwerke wie Visa oder Mastercard sind dabei überhaupt nicht beteiligt. In der EU wird der Anbieter, der dies durchführt, als Zahlungsauslösedienstleister (PISP) bezeichnet.

Stellen Sie sich ein Versorgungsunternehmen vor, das monatliche Rechnungen einzieht. Bei Kartenzahlungen fallen für jede Zahlung Bearbeitungsgebühren an, und das Unternehmen muss Kunden hinterherlaufen, deren Karten abgelaufen sind. Bei A2A-Zahlungen genehmigt der Kunde eine Überweisung von seinem Bankkonto, und das Unternehmen erhält den vollen Betrag – oft innerhalb von Sekunden über SEPA Instant. Auch Rückbuchungen über Kreditkarten gibt es nicht. Das hat Vor- und Nachteile: Händler erhalten Sicherheit, während der Käuferschutz davon abhängt, wie der Anbieter und die Bank Streitfälle regeln.

Wir gehen davon aus, dass A2A-Zahlungen als Alternative zu Kartenzahlungssystemen weiter zunehmen werden, insbesondere an der Kasse und bei Rechnungszahlungen, wo die Beträge vorhersehbar sind und jeder Prozentpunkt an Gebühren zählt. Wenn Sie grenzüberschreitend verkaufen, spielt auch der Währungsumtausch eine Rolle. Unser Beitrag zum Thema Zahlungsgateways für mehrere Währungen deckt diese Seite ab.

Ist der Zugriff auf Open-Banking-APIs legal?

Ja. Die Nutzung einer Open-Banking-API ist in der EU und im Vereinigten Königreich legal und auch in den USA nicht illegal. Die Einzelheiten unterscheiden sich jedoch je nach Region erheblich.

In der EU, Open Banking basiert auf der überarbeiteten Zahlungsdiensterichtlinie (PSD2), die seit Januar 2018 gilt. Die PSD2 verpflichtet Banken dazu, zugelassenen Dritten Zugang zu Zahlungskonten zu gewähren, sofern der Kunde dem zustimmt. Diese Dritten benötigen eine Zulassung als Kontoinformationsdienstleister (AISP), als Zahlungsauslösedienstleister (PISP) oder beides und müssen strenge Regeln zur starken Kundenauthentifizierung einhalten.

Großbritannien wurde ebenfalls im Januar 2018 ins Leben gerufen, und zwar im Rahmen eines von der Wettbewerbs- und Marktaufsichtsbehörde (CMA) für die neun größten Banken vorgeschriebenen Regelwerks.

Die USA ist noch nicht so klar geregelt. Open-Banking-Aktivitäten sind legal, und Millionen von Menschen nutzen sie täglich. Doch die im Jahr 2024 verabschiedete Regelung gemäß Abschnitt 1033 der CFPB, die Verbrauchern ein formelles Recht auf die Weitergabe ihrer Finanzdaten einräumen sollte, wurde von einem Bundesgericht vorläufig außer Kraft gesetzt und wird derzeit aktiv überprüft. Derzeit basiert das Open Banking in den USA eher auf Branchenpraxis und Vereinbarungen mit Aggregatoren wie Plaid als auf einer verbindlichen bundesrechtlichen Vorschrift.

Für jedes Unternehmen gilt: Compliance ist ein wesentlicher Bestandteil des Produkts und kein nachträglicher Einfall. Unser integrierte Compliance Dieser Ansatz deckt diese Ebene ab, und unser spezieller Beitrag zur Sicherheit von Open-Banking-APIs geht noch tiefer auf die regulatorischen Einzelheiten ein.

Die Zukunft der Open-Banking-APIs

Die Open-Banking-API entwickelt sich von einer speziellen Integration hin zu einer Standard-Finanzinfrastruktur. Vier Trends zeigen, in welche Richtung die Entwicklung geht.

1. Geltungsbereich. Open Banking umfasst Zahlungskonten. Open Finance wendet dasselbe zustimmungsbasierte Modell auf Sparvermögen, Kapitalanlagen, Altersvorsorge und Versicherungen an. Branchenprognosen gehen davon aus, dass dieser erweiterte Anwendungsbereich bis 2035 zur Norm werden wird, was bedeutet, dass eine einzige Verbindung letztendlich die gesamte finanzielle Situation eines Kunden abbilden könnte – nicht nur sein Girokonto.
2. Marktgröße. Branchenschätzungen gehen davon aus, dass der weltweite Open-Banking-Markt bis 2035 ein Volumen von rund $240 Milliarden erreichen wird, wobei die Prognosen der verschiedenen Forschungsinstitute stark voneinander abweichen; daher sollten einzelne Zahlen lediglich als Richtwerte betrachtet werden.
3. Partnerschaften. Umfragen unter Banken zeigen, dass eine große Mehrheit plant, im Bereich Open Banking Partnerschaften mit Fintech-Unternehmen einzugehen, anstatt jeden Dienst selbst zu entwickeln. Für Fintech-Unternehmen bedeutet dies, dass immer mehr Banken sie als Vertriebspartner und nicht als Konkurrenten betrachten.
4. Automatisierte A2A-Zahlungen. Die gleichen Systeme, die einmalige Banküberweisungen abwickeln, können auch wiederkehrende Zahlungen unterstützen, wie beispielsweise Abonnements, automatische Sparüberweisungen und regelmäßige Rechnungszahlungen, bei denen mit der dauerhaften Einwilligung des Kunden Beträge vom Bankkonto abgebucht werden. Dies knüpft direkt an den oben genannten Anwendungsfall für Zahlungen an. Informationen zur operativen Abwicklung regelmäßiger Zahlungen finden Sie in unserem Leitfaden zu Software für wiederkehrende Zahlungen.

Den API-Zugang im Rahmen von Open Banking in echte Finanzprodukte umsetzen

Eine Open-Banking-API allein bringt nicht viel. Sie ist die Verbindungsschicht, nicht das Endprodukt. Der Mehrwert entsteht durch das, was man auf der Grundlage dieses Zugangs entwickelt.

In der Praxis könnte das beispielsweise die Kundenregistrierung sein, bei der das Konto eines neuen Kunden innerhalb von Sekunden statt Tagen verifiziert wird. Es könnte sich um einen Bezahlvorgang handeln, bei dem Bankzahlungen ohne Kartengebühren akzeptiert werden, um eine Kreditentscheidung auf Basis des tatsächlichen Cashflows oder um einen Finanzworkflow, der sich über Nacht selbst abstimmt. All dies beginnt mit derselben autorisierten Verbindung und mündet in etwas, das weitaus nützlicher ist.

Um dieses Ziel zu erreichen, sind zwei Dinge erforderlich. Sie benötigen einen zuverlässigen API-Zugang und die dahinterstehende Compliance-Ebene: Lizenzierung, KYC- und AML-Prüfungen, die Sicherung von Kundengeldern sowie eine starke Kundenauthentifizierung. Viele Teams unterschätzen den zweiten Teil, bis ein Bankpartner oder eine Aufsichtsbehörde danach fragt.

Für Unternehmen, die in Europa auf Open-Banking-Plattformen aufbauen, kommen wir ins Spiel. ConnectPay ist ein in Litauen lizenzierter E-Geld-Anbieter (EMI), der Ihnen Konten, IBANs und Zahlungsabwicklungen über eine einzige API bereitstellt – und das bei integrierter Compliance. Wenn Sie ein Produkt auf Open-Banking-Basis planen, Sprechen Sie mit uns darüber, was du bauen möchtest.