Sicherheit von Open-Banking-APIs: Risiken und bewährte Verfahren

Die Sicherheit von Open-Banking-APIs schützt die Finanzdaten, die zwischen Banken und den von den Kunden autorisierten Drittanbietern ausgetauscht werden. Sie umfasst Verschlüsselung, Authentifizierung, Einwilligung und Überwachung, die als aufeinander aufbauende Ebenen zusammenwirken. Ohne diese Maßnahmen würde jede neue Verbindung zu einem neuen Einfallstor für Angreifer werden.

Open-Banking-APIs erschließen echten Mehrwert. Kunden können direkt von ihrem Bankkonto aus bezahlen, ihre Daten mit Finanzplanungs-Apps teilen und schnellere Kreditentscheidungen erhalten. Wir nutzen sie bei ConnectPay täglich, zum Beispiel wenn Händler Banküberweisungen akzeptieren anstelle von Karten. Doch jede API vergrößert auch die Angriffsfläche für einige der sensibelsten Daten, über die eine Person verfügt.

Dieser Leitfaden behandelt die wichtigsten Risiken, die entsprechenden Sicherheitsmaßnahmen sowie die Unterschiede in den gesetzlichen Vorschriften in der EU, in Australien und in den USA. Außerdem erläutern wir, worauf Sie bei der Auswahl einer Open-Banking-Plattform achten sollten, damit Sie die API-Sicherheit anhand von Fakten und nicht anhand von Marketingversprechen beurteilen können.

Warum die Sicherheit von Open-Banking-APIs wichtig ist

Open Banking verlagert Finanzdaten von einer einzelnen Bank in ein Netzwerk aus Apps, Verarbeitungsdiensten und Datenplattformen. Das ist der Sinn der Sache. Und genau darin liegt auch das Risiko.

Jede API-Verbindung bietet Angreifern eine weitere Angriffsfläche. Sie können Daten während der Übertragung ins Visier nehmen, während diese zwischen einer Bank und einem Drittanbieter übertragen werden. Ebenso können sie auf ruhende Daten abzielen, die in den Systemen des Drittanbieters gespeichert sind. Ein schwaches Glied an irgendeiner Stelle der Kette gefährdet den gesamten Datenfluss.

Ein häufiger Fehler, den wir beobachten, ist, OAuth als die einzige Lösung zu betrachten. OAuth regelt die Autorisierung: Es ermöglicht einem Kunden, einer App Zugriff zu gewähren, ohne sein Bankpasswort preiszugeben. Das ist unerlässlich. Doch OAuth schützt nicht vor Injektionsangriffen, fehlerhaften Zugriffskontrollen oder durchgesickerten Tokens. Die API-Sicherheit im Open Banking muss in jede Ebene integriert werden – vom Netzwerk über den Anwendungscode bis hin zu den Protokollen.

Die Regulierung sorgt für zusätzliche Komplexität. Die EU und Australien verfügen über festgelegte und durchgesetzte Rahmenbedingungen. Die USA hingegen nicht, und ihre Vorschriften unterliegen ständigen Änderungen. Wir gehen im Folgenden ausführlich darauf ein, da Ihre Compliance-Verpflichtungen stark davon abhängen, wo Sie tätig sind. Vorerst lautet der entscheidende Punkt ganz einfach: Die Sicherheit der Open-Banking-APIs liegt in Ihrer Verantwortung, unabhängig davon, was Ihre Aufsichtsbehörde vorschreibt.

Häufige Sicherheitsrisiken bei Open-Banking-APIs

Die Entwicklung sicherer Open-Banking-APIs beginnt damit, zu wissen, wogegen man sich schützen muss. Dies sind die Risiken, die wir am häufigsten beobachten:

• Shadow-APIs. Teams, die unter Termindruck stehen, stellen Test-Endpunkte oder alte Versionen bereit, die niemand im Blick behält. Diese APIs umgehen Sicherheitskontrollen, und Angreifer entdecken sie.
• Injektionsangriffe. Wenn eine API Eingaben nicht ordnungsgemäß bereinigt, können Angreifer bösartige Befehle in eine Anfrage einschleusen und so auf die dahinterliegende Datenbank zugreifen.
• Denial-of-Service-Angriffe. Automatisierte Anfragen überfluten eine API so lange, bis diese langsamer wird oder ganz ausfällt, wodurch echte Kunden daran gehindert werden, zu bezahlen oder sich anzumelden.
• Credential Stuffing. Angreifer nutzen Benutzernamen und Passwörter, die von anderen Websites durchgesickert sind, und probieren diese massenhaft an Ihrer Anmelde-API aus.
• Schwache Identitätsansprüche. Wenn die API Identitätsangaben als vertrauenswürdig einstuft, ohne sie ordnungsgemäß zu überprüfen, kann ein Angreifer auf Konten zugreifen, die ihm nicht gehören.
• Phishing und Social Engineering. Betrüger verleiten Kunden dazu, einer gefälschten App Zugriff zu gewähren, oder bringen Mitarbeiter dazu, Berechtigungen zu erteilen.
• Unbefugter Zugriff durch Dritte. Ein Dritter erhält einen weitergehenden Zugriff auf Bankkonten, als der Kunde zugestimmt hat, oder behält diesen Zugriff auch nach Ablauf der Einwilligung bei.

Eine unzureichende Protokollierung verschlimmert all diese Probleme noch. Wenn nicht erfasst wird, wer welche API aufgerufen hat und welche Daten das System verlassen haben, lässt sich ein Datenabfluss nicht erkennen und auch im Nachhinein nicht zurückverfolgen. Einen umfassenderen Überblick darüber, wie Anbieter mit diesen Problemen umgehen, finden Sie in unserer Übersicht über Open-Banking-Lösungen.

Sind Sie bereit, Ihre Zahlungsinfrastruktur zu modernisieren?

Machen Sie Schluss mit unübersichtlichen Zahlungsabläufen. Nutzen Sie dedizierte IBANs, SEPA Instant und nahtlose API-Integrationen – alles über eine einzige, einheitliche Plattform.

Vertrieb kontaktieren Entdecken Sie unsere Produkte

Bewährte Verfahren für die Sicherheit von Open-Banking-APIs

Eine hohe Sicherheit bei Banking-APIs beruht auf mehreren Ebenen und nicht auf einer einzigen Kontrollmaßnahme. Diese Best Practices für die Sicherheit von Open-Banking-APIs decken die wichtigsten davon ab.

• Verschlüsseln Sie alle Daten während der Übertragung und im Ruhezustand. Verwenden Sie TLS 1.3 für Daten während der Übertragung. Verwenden Sie AES-Verschlüsselung, in der Regel AES-256, für gespeicherte Daten.
• Verwenden Sie OAuth mit FAPI 2.0. Die „Financial-grade API (FAPI) 2.0“-Profile der OpenID Foundation sorgen für eine Absicherung von OAuth für hochsichere Anwendungen im Finanzbereich. Sie schließen Sicherheitslücken, die bei einfachen OAuth-Konfigurationen bestehen bleiben.
• Beschränken Sie Ihre Zugriffstoken auf bestimmte Absender. Ein Standard-Token funktioniert für jeden, der es besitzt. Ein absendergebundenes Token, das über mTLS oder DPoP gebunden ist, funktioniert nur für den Client, für den es ausgestellt wurde. Gestohlene Token werden unbrauchbar, und Replay-Angriffe schlagen fehl.
• Ratenbegrenzung anwenden. Legen Sie fest, wie viele Anfragen pro Client und IP-Adresse zulässig sind. Dadurch wird „Credential Stuffing“ verhindert und der Schaden durch DoS-Angriffe begrenzt.
• Verwalten Sie Einwilligungen und den Umfang detailliert. Eine Finanzplanungs-App, die Transaktionsdaten aus 90 Tagen benötigt, sollte keine Zahlungsberechtigungen erhalten. Gewähren Sie nur die Daten und Aktionen, denen der Kunde zugestimmt hat.
• Leiten Sie den Datenverkehr über ein API-Gateway. Gateways sorgen an einer zentralen Stelle für Authentifizierung, Ratenbegrenzungen und Richtlinien, sodass kein Endpunkt durchrutscht.
• Überwachen Sie das Verhalten kontinuierlich. Setzen Sie API-Aktivitäten mit Betrugssignalen in Zusammenhang. Ein Drittanbieter, der nachts plötzlich Daten zu Tausenden von Konten abruft, verdient besondere Aufmerksamkeit. Unser eigenes Betrugsbekämpfung funktioniert nach dem gleichen Prinzip.
• Prüfen Sie Dritte, bevor Sie ihnen Zugriff gewähren. Überprüfen Sie deren Sicherheitslage, Zertifizierungen und bisherigen Werdegang, bevor sie eine Verbindung herstellen.
• Führen Sie regelmäßig Prüfungen durch. Führen Sie Penetrationstests und Sicherheitsüberprüfungen nach einem festen Zeitplan durch.

Schließlich sollten Sie Mechanismen einrichten, um Zugriffsrechte zu widerrufen und auf Vorfälle zu reagieren. Das sind keine optionalen Extras. Wenn ein Token in die falschen Hände gerät oder es bei einem Partner zu einem Sicherheitsvorfall kommt, müssen Sie den Zugriff innerhalb von Minuten und nicht erst nach Tagen sperren.

Vorschriften und Standards zum Open Banking

Die Vorschriften zum Open Banking unterscheiden sich je nach Region erheblich.

EU: PSD2

Die Zahlungsdiensterichtlinie (PSD2) schreibt eine starke Kundenauthentifizierung (SCA) für Open-Banking-APIs vor. Kunden müssen Zahlungen und den Zugriff mittels Multi-Faktor-Authentifizierung bestätigen. Der entsprechende Rahmen ist festgelegt und wird durchgesetzt.

EU: DSGVO

Die DSGVO ist keine Open-Banking-Verordnung. Sie ergänzt die PSD2 als allgemeine Datenschutzebene. Sie gibt Verbrauchern die Kontrolle über ihre persönlichen Finanzdaten, einschließlich der Frage, wie lange ein Anbieter diese speichert und wer Zugriff darauf hat.

Australien: Recht auf Zugang zu Verbraucherdaten

Das australische „Consumer Data Right“ (CDR) regelt dort den Datenaustausch im Rahmen des Open Banking. Wie die PSD2 ist es bereits verabschiedet und wird durchgesetzt.

USA: § 1033

In den USA ist die Lage weitaus weniger klar. Das CFPB hat seine “Open-Banking”-Verordnung gemäß Abschnitt 1033 im Oktober 2024 endgültig verabschiedet. Ein Bundesgericht hat dem CFPB seitdem untersagt, diese durchzusetzen, während die Behörde die Verordnung überarbeitet. Der erste Stichtag für die Umsetzung am 1. April 2026 verging ohne Auswirkungen. Im August 2026 legte die CFPB einen überarbeiteten Vorschlag zur Prüfung durch die Bundesbehörden vor. Kurz gesagt: Die Regelung existiert auf dem Papier, ist aber derzeit nicht durchsetzbar – im Gegensatz zu den Rahmenwerken in der EU und in Australien.

FAPI

In allen Regionen etabliert sich FAPI zunehmend als gemeinsamer technischer Standard für hochsichere Finanz-APIs. Das australische CDR basiert bereits darauf, und auch viele Anbieter in der EU und im Vereinigten Königreich nutzen es.

Vorteile sicherer Open-Banking-APIs

Sicherheit ist wichtig, weil die Vorteile greifbar sind. Wenn Open-Banking-APIs sicher sind, profitieren sowohl Unternehmen als auch Kunden davon.

• Ein Überblick über Ihr Geld. Kunden können Konten verschiedener Banken in einem Dashboard einsehen. Das erleichtert die Budgetierung und Planung erheblich.
• Mehr Wettbewerb. Neue Anbieter können auf der Grundlage von Bankdaten Produkte entwickeln, von Sofortzahlungen bis hin zu Lastschrift Alternativen. Die Kunden haben mehr Auswahl.
• Finanzielle Inklusion. Personen mit dünnen Kreditakten können stattdessen ihre tatsächliche Transaktionshistorie vorlegen. Ein Kreditgeber kann so regelmäßige Mietzahlungen erkennen und einen Kredit genehmigen, der allein aufgrund der Bonitätsbewertung abgelehnt worden wäre.
• Risikobewertung in Echtzeit. Kreditgeber und Plattformen können Risiken anhand von Echtzeit-Finanzdaten bewerten und müssen sich nicht auf einen Monat alte Kontoauszüge verlassen.

Auch für Händler machen sich die Vorteile an der Kasse bemerkbar. Bankzahlungen können bedeuten, dass hohe Konversionsrate bei geringen Kosten.

Der Markt spiegelt dies wider. Branchenschätzungen zufolge wird der weltweite Open-Banking-Markt bis 2025–2026 ein Volumen von $30–45 Milliarden erreichen, wobei für das nächste Jahrzehnt ein starkes Wachstum prognostiziert wird. Die Zahlen der Analysten variieren zwar, deuten jedoch alle in dieselbe Richtung.

Plattformen, die für ihre hohe Sicherheit bei Open-Banking-APIs bekannt sind

Dies ist zwar keine Rangliste, doch einige Namen tauchen immer wieder auf, wenn Teams nach den besten Open-Banking-API-Plattformen in puncto Sicherheit suchen.

• Karomuster verbindet Apps in großem Umfang mit Bankkonten, vor allem in den USA, und hat massiv in API-basierte Bankverbindungen investiert.
• TrueLayer wird für Open-Banking-Zahlungen und -Daten in ganz Großbritannien und Europa genutzt.
• Tink, ein Unternehmen im Besitz von Visa, stellt Kontodaten bereit und wickelt Zahlungen in zahlreichen europäischen Märkten ab.
• Token.io konzentriert sich auf die Infrastruktur für Konto-zu-Konto-Zahlungen für Banken und Zahlungsdienstleister.

Glauben Sie den Sicherheitsversprechen eines Anbieters nicht blind, auch diesen hier nicht. Achten Sie auf konkrete Anhaltspunkte. Die Einführung von FAPI 2.0 und ein detailliertes Einwilligungsmanagement sagen mehr über die Sicherheitsreife aus als jede Marketingseite. Eine umfassendere Liste von API-Anbietern finden Sie in unserem Leitfaden zu den Die besten Fintech-API-Unternehmen.

So wählen Sie eine sichere Open-Banking-API-Plattform aus

Wenn Sie Plattformen vergleichen, prüfen Sie diese anhand der Sicherheitsstandards für Open-Banking-APIs und nicht anhand ihrer Verkaufspräsentationen. Stellen Sie diese fünf Fragen.

1. Hat die Plattform FAPI-Profile übernommen? Fragen Sie nach, um welche Version es sich handelt und für welche Abläufe sie gilt. FAPI 2.0 ist der aktuelle Maßstab.
2. Wie detailliert ist die Verwaltung von Einwilligungen und Geltungsbereichen? Können Kunden Lesezugriff gewähren? Können sie diesen auf bestimmte Konten oder einen bestimmten Zeitraum beschränken?
3. Was passiert bei einem Vorfall? Fragen Sie, wie schnell die Plattform Zugriffsrechte widerrufen kann, wen sie benachrichtigt und wie sie Sicherheitsvorfälle meldet.
4. Gilt das auch in Ihrer Region? Überprüfen Sie die Compliance-Situation für jeden Markt, den Sie bedienen. Eine gute Abdeckung im Vereinigten Königreich garantiert noch keine gute Abdeckung in der EU.
5. Was wird protokolliert und überwacht? Sie benötigen detaillierte API-Protokolle und Benachrichtigungen bei ungewöhnlichen Aktivitäten sowie Zugriff darauf, wenn Sie den Vorfall untersuchen.

Denken Sie daran, dass die Einhaltung von Vorschriften eine Mindestanforderung ist, keine Obergrenze. Eine Plattform kann die PCI-DSS-Anforderungen erfüllen und dennoch ein schwaches API-Design aufweisen. Echte Sicherheitsreife geht über die bloße Abhak-Konformität hinaus. So gehen wir vor integrierte Compliance Für unsere Kunden gilt: Die Vorschriften legen das Minimum fest, bewährte Praktiken gehen darüber hinaus.

Die Sicherheit im Open Banking muss eine Grundvoraussetzung sein, nicht nur eine nachträgliche Überlegung

Die Sicherheit von Open-Banking-APIs beruht nicht auf einer einzigen Kontrollmaßnahme. Sie beruht vielmehr auf einem Zusammenspiel mehrerer Verteidigungsebenen: Verschlüsselung, starke Authentifizierung, detaillierte Einwilligung und kontinuierliche Überwachung. Entfernt man eine dieser Ebenen, müssen die anderen mehr Verantwortung tragen, als ihnen eigentlich zukommt.

Betrachten Sie die Regulierung als Ausgangspunkt, nicht als Ihre gesamte Strategie. Die PSD2 und die CDR legen klare Mindeststandards fest. In den USA ist die „Section 1033“-Regelung nach wie vor ins Stocken geraten, sodass sich Unternehmen dort nicht auf die Regulierung verlassen können, um bewährte Praktiken zu definieren. Die erfolgreichsten Teams orientieren sich bereits jetzt an strengen Standards wie FAPI, unabhängig davon, was ihre Aufsichtsbehörde verlangt.

Unsere Empfehlungen sind praxisorientiert. Berücksichtigen Sie Sicherheitsaspekte bereits beim ersten API-Aufruf. Testen Sie Ihre Partner, bevor Sie eine Verbindung zu ihnen herstellen. Und planen Sie, wie Sie den Zugriff sperren können, noch bevor dies überhaupt notwendig wird.

Um zu erfahren, wie wir gemeinsam Zahlungen, Konten und die Einhaltung von Vorschriften handhaben, besuchen Sie ConnectPay.