Digitaler Zahlungsverkehr, verständlich erklärt – Standard für Standard.
Brevixoo bündelt Protokolle für Echtzeitzahlungen, Sicherheitsprinzipien für Zahlungs-Gateways und Open-Banking-Schnittstellenstandards. Unsere Analysen stützen sich auf Rechtsvorschriften, technische Spezifikationen und öffentliche Quellen.
- 01ZahlungsauslösungDer Händler erstellt eine Zahlungsanforderung über die APIAPI
- 02Bankauswahl und WeiterleitungDer Zahler wird zu seiner eigenen Bank weitergeleitetPISP
- 03Starke AuthentifizierungZwei voneinander unabhängige FaktorenSCA
- 04EmpfängerüberprüfungName und IBAN werden vor der Freigabe geprüftVoP
- 05EchtzeitüberweisungGelder erreichen den Empfänger in SekundenSCT Inst
- 06StatusbestätigungSignierte Benachrichtigung an das System des HändlersWebhook
Was eine moderne Zahlungsinfrastruktur erfordert
Eine Zahlung, die für den Nutzer wie ein einziger Fingertipp aussieht, ist im Hintergrund das Zusammenspiel mehrerer Systeme, Verträge und Rechtsvorschriften. Wir gliedern das Ganze in vier sich gegenseitig ergänzende Bereiche.
Protokolle für Echtzeitzahlungen
Bei einer Echtzeitzahlung gelangen die Gelder rund um die Uhr innerhalb weniger Sekunden vom Konto des Zahlers auf das Konto des Empfängers. Im Euroraum geschieht dies über das Verfahren SEPA Instant Credit Transfer (SCT Inst).
- EU-Verordnung über Sofortzahlungen (EU) 2024/886
- Abwicklungssysteme TIPS und RT1
- ISO-20022-Nachrichtenstruktur
- Empfängerüberprüfung (VoP)
Sicherheit von Zahlungs-Gateways
Ein Zahlungs-Gateway ist die Schnittstelle zwischen Händler und Finanzsystem. Seine Sicherheit beruht auf Verschlüsselung, Authentifizierung, Integritätsprüfung und kontinuierlicher Überwachung.
- TLS 1.2+/1.3 und gegenseitiges TLS (mTLS)
- Tokenisierung und PCI DSS v4.0
- Signierte Webhook-Benachrichtigungen
- Idempotenz und Wiederholungsversuche
Open-Banking-Schnittstellen
Die PSD2 verpflichtete Banken, die Schnittstellen zu Zahlungskonten für zugelassene Drittanbieter zu öffnen. Die Interoperabilität der Schnittstellen beruht auf gemeinsamen Standards und Zertifikaten.
- Berlin Group NextGenPSD2
- OAuth 2.0 und FAPI-Sicherheitsprofile
- eIDAS-Zertifikate (QWAC, QSealC)
- RTS (EU) 2018/389 – SCA und sichere Kommunikation
Datenschutz und Compliance bei Finanzdaten
Open Banking überträgt Finanzdaten an neue Akteure. Eine verantwortungsvolle Verarbeitung erfordert eine klare Rechtsgrundlage, Datenminimierung und technische Schutzmaßnahmen entlang der gesamten Wertschöpfungskette.
- DSGVO (EU) 2016/679
- Ausdrückliche Zustimmung nach PSD2
- DORA (EU) 2022/2554
- PSD3 und Zahlungsdiensteverordnung (PSR)
Sechs Kontrollen, die jede Integration enthalten sollte
Die folgenden Prinzipien sind etablierte gute Praxis der Branche – unabhängig davon, ob Kartenzahlungen, Überweisungen oder beides verarbeitet werden. Sie ersetzen nicht die Dokumentation des jeweiligen Anbieters.
Transportverschlüsselung
Der gesamte Datenverkehr läuft über TLS 1.2 oder höher, vorzugsweise TLS 1.3. Bei Server-zu-Server-Verbindungen stellt die gegenseitige TLS-Authentifizierung (mTLS) die Identität beider Seiten sicher.
Tokenisierung
Sensible Kennungen wie Kartennummern werden durch Tokens ersetzt, die außerhalb der Verarbeitungsumgebung keinen Wert haben. Dadurch verkleinert sich der Umfang der PCI-DSS-Prüfung.
Nachrichtenintegrität
Webhook-Benachrichtigungen zum Zahlungsstatus werden signiert (z. B. HMAC-SHA256) und mit einem Zeitstempel versehen. Der Empfänger prüft die Signatur und verwirft veraltete Nachrichten.
Idempotenz
Jede Zahlungsanforderung erhält einen eindeutigen Idempotenzschlüssel. Ein Wiederholungsversuch nach einem Netzwerkausfall führt so nicht zu einer Doppelbelastung.
Schlüsselverwaltung
Kryptografische Schlüssel und API-Zugangsdaten werden in einer separaten Schlüsselverwaltung oder einem HSM gespeichert, regelmäßig rotiert, und der Zugriff wird nach dem Prinzip der minimalen Rechte beschränkt.
Überwachung und Vorfälle
Risikobasierte Transaktionsüberwachung, zentrale Protokollerfassung und ein dokumentierter Vorfallprozess. Im Finanzsektor schafft die DORA-Verordnung hierfür einen verbindlichen Rahmen.
Eine gemeinsame Sprache für Schnittstellen
Open Banking funktioniert nur, wenn Hunderte von Banken und Anbietern dieselbe technische Sprache sprechen. Nachfolgend die zentralen Standards und Rechtsvorschriften, auf die sich das europäische Ökosystem stützt.
- Richtlinie (EU) 2015/2366 – PSD2
- Definiert Zahlungsauslösedienste (PIS) und Kontoinformationsdienste (AIS) sowie die Pflicht der Banken, ihnen Zugang zu Zahlungskonten zu gewähren.
- Delegierte Verordnung (EU) 2018/389
- Technische Regulierungsstandards für die starke Kundenauthentifizierung sowie für allgemeine und sichere offene Standards für die Kommunikation.
- Berlin Group NextGenPSD2
- Ein weit verbreitetes europäisches Schnittstellen-Framework, das den Aufbau von Konto-, Zahlungs- und Einwilligungsschnittstellen vereinheitlicht.
- OAuth 2.0 und FAPI
- Das Autorisierungsprotokoll sowie die von der OpenID Foundation für den Finanzsektor entwickelten Profile mit erhöhtem Sicherheitsniveau.
- eIDAS-Zertifikate
- Drittanbieter weisen sich gegenüber Banken mit qualifizierten Website-Zertifikaten (QWAC) und qualifizierten elektronischen Siegeln (QSealC) aus.
- ISO 20022
- Der internationale Nachrichtenstandard der Finanzbranche, den SEPA-Zahlungen und europäische Abwicklungssysteme verwenden.
Wichtige Termine der Sofortzahlungsverordnung und des Zahlungsverkehrspakets
Die EU-Verordnung über Sofortzahlungen (EU) 2024/886 macht Echtzeitüberweisungen von der Ausnahme zum Standard. Gleichzeitig werden die Nachfolger der PSD2 vorbereitet: die PSD3-Richtlinie und die Zahlungsdiensteverordnung (PSR).
Empfangspflicht und Preisgleichheit
Zahlungsdienstleister im Euroraum müssen Echtzeitzahlungen empfangen können, und eine Echtzeitzahlung darf nicht mehr kosten als eine normale Überweisung.
Sendepflicht und Empfängerüberprüfung
Zahlungsdienstleister im Euroraum müssen das Senden von Echtzeitzahlungen und die Überprüfung des Empfängernamens (Verification of Payee) anbieten.
PSD3 und PSR: vorläufige politische Einigung
Das Europäische Parlament und der Rat erzielten eine vorläufige Einigung über das Zahlungsverkehrspaket. Die endgültigen Kompromisstexte wurden im April 2026 veröffentlicht.
Mitgliedstaaten außerhalb des Euroraums: Empfang
Empfangspflicht und Preisgleichheit gelten nun auch in Mitgliedstaaten außerhalb des Euroraums.
Zahlungs- und E-Geld-Institute
Die Empfangspflicht für Zahlungsinstitute und E-Geld-Institute beginnt; im Euroraum auch die Sendepflicht.
Senden und VoP außerhalb des Euroraums
Sendepflicht und Empfängerüberprüfung in Mitgliedstaaten außerhalb des Euroraums.
Quellen: Verordnung (EU) 2024/886; Zusammenfassungen der Europäischen Zentralbank und juristischer Fachleute. Ausführliche Analyse: Echtzeitüberweisungen: SEPA Instant und die EU-Verordnung über Sofortzahlungen.
Tiefer in die Strukturen des Zahlungsverkehrs
Jeder Technologiebereich betrachtet ein Themenfeld aus Sicht von Architektur, Standards und Risikomanagement.
Digitale Zahlungsabwicklung
Der Lebenszyklus einer Zahlung von der Auslösung bis zur Abwicklung: Gateways, Zahlungsdienstleister, Konto-zu-Konto-Zahlungen und Abgleich.
Mehr erfahren →Sichere Authentifizierungsprotokolle
Starke Kundenauthentifizierung (SCA), Bank-IDs, OAuth 2.0 / FAPI und dynamische Verknüpfung im PSD2-Umfeld.
Mehr erfahren →Transaktionsinfrastruktur
SEPA-Verfahren, TIPS und RT1, ISO-20022-Nachrichten, Idempotenz, Verfügbarkeit und operationale Resilienz.
Mehr erfahren →Neueste analytische Leitfäden
Fundierte, quellenbasierte Leitfäden zu Open Banking, Echtzeitüberweisungen und dem Datenschutz bei Finanzdaten.
Der Nachrichtenstandard ISO 20022 und die Zukunft des Echtzeitzahlungsverkehrs in Europa
Die Migration zu ISO 20022, datenreiche Nachrichtenstrukturen und wie SEPA sowie globale Clearingsysteme standardisierte Datenflüsse nutzen.
Leitfaden lesen →Biometrische Authentifizierung und starke Kundenauthentifizierung (SCA) bei digitalen Transaktionen
Wie Biometrie, die Standards FIDO2/WebAuthn und dynamische Verknüpfung kombiniert werden, um die SCA-Anforderungen der PSD2 und der künftigen Zahlungsdiensteverordnung zu erfüllen.
Leitfaden lesen →DORA und die digitale operationale Resilienz im Finanzsektor: Was Zahlungsdienstleister wissen müssen
IKT-Risikomanagement, Meldung von Vorfällen, Resilienztests und Drittparteienrisiken. Ein praxisorientierter Überblick über die Pflichten der Verordnung (EU) 2022/2554 aus Sicht der Zahlungsinfrastruktur.
Leitfaden lesen →PSD3 und Open Banking: Wie das Zahlungsverkehrspaket die Schnittstellen für Unternehmen und Verbraucher verändert
PSD3 und die Zahlungsdiensteverordnung (PSR) gestalten Open-Banking-Schnittstellen, Einwilligungsverwaltung, starke Kundenauthentifizierung und Betrugsprävention neu. Eine Analyse der strukturellen Veränderungen und ihrer Auswirkungen auf das API-Ökosystem.
Leitfaden lesen →Eine Frage zur Zahlungstechnologie?
Wir freuen uns über Themenvorschläge, Korrekturen und Anfragen zur Forschungszusammenarbeit.