Zahlungsregulierung: PSD2, die EMI-Lizenz und die Regeln für Open Banking

# Zahlungsregulierung: PSD2, die EMI-Lizenz und die Regeln für Open Banking

2019 erhielt ein britischer Fintech-Kartenherausgeber eine Anordnung der Aufsicht, nachdem sein Checkout-Flow Kunden bei Transaktionen oberhalb der gesetzlichen Schwelle erlaubt hatte, die Zwei-Faktor-Authentifizierung zu überspringen. Der Befund der Aufsicht war unmissverständlich: Das Unternehmen hatte eine für risikoarme Zahlungen vorgesehene Ausnahme falsch angewendet, und Tausende Transaktionen waren ohne die gesetzlich vorgeschriebene Kundenverifizierung verarbeitet worden. Das ist der Alltag der Zahlungsregulierung in Europa. Die Regeln sind konkret, die Ausnahmen eng, und wer die Mechanik falsch umsetzt, begeht einen Compliance-Verstoß, keine Formalie.

Diese Lektion behandelt die drei Säulen, die jede Fachkraft im europäischen Zahlungsverkehr kennen muss: PSD2, die EMI-Lizenz und Open-Banking-APIs.

PSD2: das Kerngesetz

PSD2 (die zweite Zahlungsdiensterichtlinie) ist das grundlegende Zahlungsrecht der EU, in Kraft seit Januar 2018. Sie ersetzte die ursprüngliche PSD (2007) und sollte zwei Dinge erreichen: elektronische Zahlungen sicherer machen und Bankkontodaten für lizenzierte Dritte öffnen.

PSD2 ist eine Richtlinie, keine Verordnung. Jeder EU-Mitgliedstaat setzt sie also in nationales Recht um (im Vereinigten KKThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önigreich wurden daraus vor dem Brexit die Payment Services Regulations 2017, die das UK nach dem Brexit mit eigenen Änderungen beibehalten hat). Die nationale Aufsicht setzt sie durch: die FCA (Financial Conduct Authority) im Vereinigten KKThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önigreich, die BaFin in Deutschland, die ACPR in Frankreich und so weiter. Auf EU-Ebene schreibt die EBA (European Banking Authority) die detaillierten technischen Standards, die PSD2 operativ machen.

PSD2 hat zwei Konzepte eingeführt, die die moderne Fintech-Compliance prägen: Strong Customer Authentication und Open-Banking-Zugang.

Strong Customer Authentication (SCA) in der Praxis

SCA verlangt Zwei-Faktor-Authentifizierung für die meisten elektronischen Zahlungen: Der Kunde muss sich mit mindestens zwei von drei unabhängigen Kategorien verifizieren: etwas, das ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → weiß (eine PIN oder ein Passwort), etwas, das ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → hat (ein Telefon oder eine Karte), und etwas, das ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → ist (ein Fingerabdruck oder Gesichtsscan).

Bei einem kartenherausgebenden Fintech zeigt sich SCA konkret in:

• 3D-Secure-2.0-Abfragen beim Online-Checkout (der Schritt „mit Ihrer Banking-App bestätigen“)
• Biometrischer Bestätigung in einer Mobile-App vor einer kontaktlosen Zahlung oberhalb einer Schwelle
• App-basierter Freigabe eines neuen Zahlungsempfängers, bevor eine Überweisung ausgeführt wird

Der Regulierungstext, der genau festlegt, wie das funktioniert, sind die Regulatory Technical Standards on SCA der EBA (Volltext über die EBA), die EU-weit stufenweise zwischen 2019 und 2021 vollständig in Kraft traten; das Vereinigte KKThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önigreich schloss seine eigene stufenweise Einführung im März 2022 ab.

Die Ausnahmen und warum sie gefährlich sind

SCA kennt gesetzliche Ausnahmen, und genau hier geraten Fintechs am häufigsten in Schwierigkeiten. Verbreitet sind:

• Zahlungen mit geringem Betrag: Kontaktlose Zahlungen unter rund 50 € (oder dem lokalen Äquivalent) dürfen SCA überspringen, aber nur bis zu fünf aufeinanderfolgenden Transaktionen oder einem kumulierten Betrag (rund 150 €), danach ist SCA wieder Pflicht.
• Transaction Risk Analysis (TRA): Zahlungsdienstleister mit sehr niedrigen Betrugsquoten kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen Ausnahmen für Transaktionen bis 500 € beantragen, gestützt auf Echtzeit-Risikoscoring.
• Wiederkehrende Transaktionen: Abonnementzahlungen erfordern SCA nur bei der ersten Zahlung.
• Händlerinitiierte und risikoarme Firmentransaktionen.

Der Haken: Ausnahmen sind optional und an Bedingungen geknüpft, nicht automatisch. Ein Kartenherausgeber oder Acquirer muss Betrugsquoten-Schwellen korrekt anwenden, sein Risikomodell dokumentieren und der Bank des Kunden trotzdem erlauben, die Ausnahme zu übersteuern und SCA zu verlangen (der Issuer hat das letzte Wort). Fintechs, die das falsch konfigurieren, eine Ausnahme zu weit auslegen, kumulierte Schwellen falsch berechnen oder bei unsicherem Risikoscore nicht auf volle SCA zurückfallen, erzeugen genau die Authentifizierungslücke, die in den vergangenen Jahren Verfahren in UK und der EU ausgelöst hat, samt Bußgeldern und angeordneten Nachbesserungsprogrammen, wenn Unternehmen Transaktionen verarbeitet haben, die einen zweiten Faktor erfordert hätten.

Die EMI-Lizenz: das Eintrittsticket

Bevor ein Fintech Karten ausgeben oder Kundengelder halten kann, braucht es in der Regel eine EMI-Lizenz (Electronic Money Institution, E-Geld-Institut), zugelassen nach der EU-E-Geld-Richtlinie (EMD2), und für reine Zahlungsfirmen ohne E-Geld-Ausgabe eine Payment-Institution-Lizenz (PI) nach PSD2 selbst.

Wichtige praktische Unterschiede:

• Ein EMI darf E-Geld ausgeben (Prepaid-Guthaben, Karten) und Kundengelder auf safeguarded accounts halten, rechtlich getrennt von den eigenen Betriebsmitteln der Firma. Deshalb sollte die Pleite eines Karten-Fintechs (theoretisch) nicht die Kundenguthaben vernichten.
• Ein PI kann Zahlungen ausführen und Überweisungen initiieren, aber keine E-Geld-Guthaben ausgeben.
• Beide erfordern Mindestkapital (EMIs brauchen nach EMD2 in der Regel mindestens 350.000 € Anfangskapital, das ist allerdings eine Untergrenze, keine typische Betriebsgröße), Fit-and-proper-Prüfungen der Geschäftsleitung und laufende Eigenkapitalunterlegung gekoppelt an das Transaktionsvolumen.

Viele Fintechs, die Sie genutzt haben, sind EMIs, keine Banken: Revolut arbeitete zunächst unter einer EMI-Lizenz, bevor es in verschiedenen Jurisdiktionen volle Banklizenzen erhielt, und Wise operiert in mehreren Märkten als EMI/PI. Der Unterschied ist relevant. Eine EMI-Lizenz ist deutlich einfacher und schneller zu bekommen als eine volle Banklizenz, aber sie bringt keine Einlagensicherung mit sich (wie das EU-Einlagensicherungssystem), wie es eine Banklizenz tut. Safeguarding ist ein Ersatzschutz, nicht dasselbe.

Passporting spielt hier eine Rolle: Ein in einem EU/EWR-Mitgliedstaat lizenziertes EMI kann seine Lizenz grundsätzlich in den gesamten EWR passporten, ohne sich in jedem Land neu zulassen zu müssen. Deshalb wählen so viele Fintechs Litauen, Irland oder Luxemburg als Sitz- und Lizenzland. Das Vereinigte KKThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önigreich hat dieses Passporting-Recht mit dem Brexit verloren, UK-lizenzierte EMIs brauchen also eine separate EU-Einheit, um EU-Kunden zu bedienen, und umgekehrt.

Open Banking: das APIAPIApplication Programming Interface: a standardised interface that lets applications communicate and exchange data without knowing each other's internal workings.Vollständige Definition ansehen →-Mandat

Die zweite große Säule von PSD2 zwingt Banken, Kontodaten und Zahlungsauslösung über APIs für lizenzierte Dritte zu öffnen, sofern der Kunde zustimmt. Zwei neue regulierte Rollen sind entstanden:

• AISP (Account Information Service Provider): darf Kontodaten lesen (Salden, Transaktionshistorie), um Budget-Apps, Credit-Scoring-Tools oder Kontenaggregation zu betreiben.
• PISP (Payment Initiation Service Provider): darf eine Zahlung direkt vom Bankkonto des Kunden auslösen und Karten komplett umgehen.

Banken müssen diese APIs nach Standards bereitstellen, die im Vereinigten KKThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önigreich von der Open Banking Implementation Entity koordiniert werden und EU-weit über Rahmenwerke wie NextGenPSD2 der Berlin Group laufen. Deshalb kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen Apps wie Plaid, TrueLayer oder Yolt Ihre Bankdaten abrufen oder eine Zahlung auslösen: Sie sind lizenzierte AISPs/PISPs, die sich in verpflichtende Bank-APIs einklinken, und scrapen nicht Ihr Online-Banking mit Ihrem Passwort (die alte, unsichere Methode, die PSD2 beseitigen sollte).

Für eine tiefere technische Erklärung, wie das end to end tatsächlich funktioniert:

🎬 [VIDEO: "PSD2 and Open Banking Explained" - youtube.com/results?search_query=psd2+open+banking+explained - suchen Sie nach aktuellen Erklärvideos zum SCA-Flow und zur AISP/PISP-APIAPIApplication Programming Interface: a standardised interface that lets applications communicate and exchange data without knowing each other's internal workings.Vollständige Definition ansehen →-Mechanik, hilfreich, um den Consent- und Redirect-Flow zu visualisieren]

Wie Durchsetzung tatsächlich aussieht

Aufsichtsbehörden verhängen Bußgelder nicht nur wegen Betrug. Die meisten PSD2-Verfahren drehen sich um Prozessfehler: unzureichende SCA-Fallback-Logik, mangelhafte Vorfallmeldung (PSD2 verlangt, dass schwerwiegende Betriebs- und Sicherheitsvorfälle innerhalb enger Fristen an die nationale Aufsicht gemeldet werden) oder das Versäumnis, Dritten konforme APIs bereitzustellen (Banken sind von Aufsichtsbehörden geprüft worden, weil sie bewusst sperrige „Dummy“-APIs gebaut haben, um ihren eigenen Marktanteil zu schützen, entgegen dem Geist des Open Banking).

Die Compliance-Funktion eines kartenherausgebenden Fintechs muss typischerweise:

1. Eine dokumentierte, prüfbare SCA-Ausnahmelogik vorhalten, mit der Möglichkeit, der Aufsicht Betrugsquoten auf Anfrage nachzuweisen.

2. Sicherstellen, dass Safeguarding-Konten täglich gegen Kundenguthaben abgestimmt werden (ein Dauerthema der FCA in der EMI-Aufsicht).

3. Schwerwiegende Vorfälle (ein APIAPIApplication Programming Interface: a standardised interface that lets applications communicate and exchange data without knowing each other's internal workings.Vollständige Definition ansehen →-Ausfall, der PISPs blockiert, eine Datenpanne) innerhalb der regulatorischen Frist melden, oft 24 bis 72 Stunden je nach Schwere und Jurisdiktion.

4. Sich ändernde Standards beobachten: Die EU finalisiert derzeit PSD3 und eine parallele Payment Services Regulation (PSR), die die Haftungsregeln bei Betrug und den Open-Banking-Zugang weiter verschärfen dürften, mit einer Umsetzung voraussichtlich in der zweiten Hälfte der 2020er.

Die wichtigsten Erkenntnisse

• PSD2 regelt sowohl Zahlungssicherheit (über SCA) als auch Open Banking (über AISP/PISP-Zugang), durchgesetzt national von Aufsichtsbehörden wie FCA und BaFin, mit technischen Standards von der EBA.
• SCA-Ausnahmen (geringer Betrag, TRA, wiederkehrende Zahlungen) sind an Bedingungen geknüpft und von der Issuer-Bank widerrufbar, nicht automatisch; ihre Fehlanwendung ist eine Hauptursache für aufsichtsrechtliche Verfahren.
• Die EMI-Lizenz (im Vergleich zur vollen Banklizenz) erlaubt Fintechs, Karten auszugeben und Gelder über Safeguarding zu halten, mit geringeren Kapitalanforderungen, aber ohne Einlagensicherung.
• Open Banking macht den Zugang zum Bankkonto über verpflichtende APIs zu einer regulierten Infrastruktur und schafft die Kategorien AISP/PISP, die Aggregations- und Pay-by-Bank-Produkte antreiben.
• Behalten Sie PSD3/PSR im Blick, die nächste Regulierungswelle, die Betrugshaftung und APIAPIApplication Programming Interface: a standardised interface that lets applications communicate and exchange data without knowing each other's internal workings.Vollständige Definition ansehen →-Zugangsregeln EU-weit verschärft.