Open-Banking-Netzwerke in den nordischen und baltischen Ländern

Hintergrund: PSD2 öffnete die Schnittstellen der Banken

Die zweite Zahlungsdiensterichtlinie der Europäischen Union (PSD2, Richtlinie (EU) 2015/2366) hat dauerhaft verändert, wie auf Zahlungskontodaten und Zahlungsfunktionen zugegriffen werden kann. Die Richtlinie gilt seit Januar 2018, und ihre wesentliche technische Ergänzung, die Delegierte Verordnung (EU) 2018/389 über starke Kundenauthentifizierung und sichere Kommunikation, ist seit September 2019 anwendbar.

Vor der PSD2 mussten Drittanbieter, die auf Kontodaten oder Überweisungen basierende Dienste anbieten wollten, häufig auf das sogenannte Screen Scraping zurückgreifen: Der Kunde überließ dem Dienst seine Online-Banking-Zugangsdaten, und dieser meldete sich in seinem Namen bei der Bank an und las die Daten von der Seite aus. Das Verfahren war fehleranfällig und sicherheitstechnisch problematisch, da der Drittanbieter die vollständigen Zugangsdaten erhielt.

Die PSD2 ersetzte dieses Modell durch einen regulierten Zugang. Banken, die die Richtlinie als kontoführende Zahlungsdienstleister (Account Servicing Payment Service Provider, ASPSP) bezeichnet, müssen zugelassenen Drittanbietern eine sichere Schnittstelle bereitstellen. Der Drittanbieter sieht die Zugangsdaten des Kunden nicht mehr; stattdessen authentifiziert sich der Kunde direkt bei seiner eigenen Bank und erteilt seine Zustimmung.

Rollen und Lizenzen im Ökosystem

Im Open Banking gibt es drei zentrale Rollen. Ihre Unterscheidung ist wichtig, da mit jeder Rolle unterschiedliche Pflichten und Zulassungsanforderungen verbunden sind.

Rolle	Abkürzung	Was die Rolle leistet
Kontoführender Zahlungsdienstleister (Bank)	ASPSP	Führt das Zahlungskonto und stellt zugelassenen Drittanbietern eine Schnittstelle bereit.
Zahlungsauslösedienstleister	PISP	Löst auf Wunsch des Kunden eine Zahlung von dessen Bankkonto aus. Verwaltet die Gelder nicht selbst.
Kontoinformationsdienstleister	AISP	Ruft mit Zustimmung des Kunden Informationen von einem oder mehreren Zahlungskonten ab.

Zahlungsauslösedienste erfordern eine Zulassung als Zahlungsinstitut, und Kontoinformationsdienstleister müssen sich bei der Aufsichtsbehörde ihres Herkunftsstaates registrieren lassen. In Finnland ist die Aufsichtsbehörde die Finnische Finanzaufsichtsbehörde (Finanssivalvonta). Eine Zulassung oder Registrierung gilt über das sogenannte Passporting-Verfahren im gesamten Europäischen Wirtschaftsraum. Dadurch kann beispielsweise ein schwedisches Zahlungsinstitut seine Dienste nach Mitteilung an die Aufsichtsbehörden auch in Finnland anbieten.

Hinweis

Viele Lösungen, die Händler als „Bankzahlung“ bezeichnen, vereinen mehrere Rollen. Derselbe Anbieter kann sowohl als Zahlungsauslösedienst als auch als Kontoinformationsdienst auftreten und zusätzlich Auszahlungen über eigene Bankverbindungen anbieten.

Schnittstellenstandards und ihre Vielfalt

Die PSD2 verpflichtete die Banken zwar zur Bereitstellung einer Schnittstelle, schrieb aber keinen einheitlichen technischen Standard vor. Infolgedessen entstanden in Europa mehrere parallele Rahmenwerke. In Kontinentaleuropa und weithin auch in den nordischen Ländern wird das NextGenPSD2-Rahmenwerk der Berlin Group oder davon abgeleitete Implementierungen eingesetzt. Das Vereinigte Königreich entwickelte dagegen einen eigenen Open Banking Standard.

Trotz eines gemeinsamen Rahmenwerks unterscheiden sich die Implementierungen häufig im Detail. Unterschiede bestehen unter anderem bei:

SCA-Modell: Redirect-, entkoppelte (Decoupled) oder eingebettete (Embedded) Authentifizierung.
Verwaltung der Zustimmungen: Gültigkeitsdauer der Zustimmung, Verlängerungspraktiken und Kontoauswahl.
Zahlungsprodukte: ob die Schnittstelle Echtzeitzahlungen, terminierte Zahlungen, wiederkehrende Zahlungen oder Sammelzahlungen unterstützt.
Fehlercodes und Status: wie der Zahlungsstatus zurückgegeben wird und wie detailliert die Fehlermeldungen sind.

Zur Identifizierung der Dienstleister werden qualifizierte Zertifikate nach der eIDAS-Verordnung verwendet: qualifizierte Zertifikate für die Website-Authentifizierung (QWAC) für den Verbindungsaufbau und qualifizierte elektronische Siegel (QSealC) für die Signatur von Nachrichten. Das Zertifikat enthält Angaben zur Zulassung und zu den Rollen, sodass die Bank diese automatisch prüfen kann.

Bank-IDs: eine Besonderheit der Region

Kennzeichnend für die nordischen und baltischen Länder ist, dass die starke elektronische Identifizierung weit verbreitet und mit Bankdienstleistungen verknüpft ist. Dies ist ein erheblicher Vorteil für das Open Banking: Wenn Nutzer gewohnt sind, sich mit demselben Mittel sowohl bei ihrer Bank als auch bei öffentlichen Diensten auszuweisen, ist die Freigabe einer Zahlung bei der Bank für sie ein vertrauter Vorgang.

In Finnland ist die starke elektronische Identifizierung im Gesetz über starke elektronische Identifizierung und elektronische Vertrauensdienste (laki vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista, 617/2009) geregelt. Die Identifizierungsmittel der Banken sind Teil des Vertrauensnetzwerks der Identifizierungsdienste, das von der Finnischen Behörde für Verkehr und Kommunikation Traficom beaufsichtigt wird. In Schweden und Norwegen übernimmt BankID eine entsprechende Rolle, in Dänemark MitID und in den baltischen Staaten unter anderem Smart-ID und Mobile-ID.

Technisch bedeutet dies, dass der Freigabeablauf einer Zahlung oft sehr kurz ist: Der Nutzer wählt seine Bank, authentifiziert sich per Mobil-App und bestätigt die Zahlung. Das Ergebnis der Authentifizierung kann auch anderen Zwecken dienen, etwa der Identitätsprüfung. Dies hat zu Lösungen geführt, die Identifizierung und Zahlung in derselben Nutzerführung kombinieren. In solchen Fällen gewinnen die Grundsätze des Datenschutzes und der Datenminimierung zusätzlich an Bedeutung.

Regionaler Überblick

Finnland

Finnland gehört zum Euroraum, sodass SEPA-Echtzeitüberweisungen und die Fristen der EU-Verordnung über Sofortzahlungen für den Euroraum für finnische Banken gelten. Die verbreitete Nutzung von Bank-IDs und die lange Tradition der Überweisung haben eine gute Grundlage für Konto-zu-Konto-Zahlungen im Onlinehandel geschaffen.

Schweden

In Schweden sind Echtzeitzahlungen seit Langem Alltag, und der mobile Bezahldienst Swish hat sich breit etabliert. Viele Open-Banking-Anbieter der Region haben schwedische Wurzeln, was sich auch in ihrer Expansion in die übrigen nordischen Länder und nach Finnland zeigt.

Norwegen und Dänemark

Norwegen ist kein EU-Mitglied, hat die PSD2 als EWR-Staat jedoch angewandt. Dänemark gehört nicht zum Euroraum, sodass dort die Fristen der Verordnung über Sofortzahlungen für Mitgliedstaaten außerhalb des Euroraums später gelten. Der in Dänemark und Finnland genutzte mobile Bezahldienst MobilePay fusionierte mit dem norwegischen Vipps zu Vipps MobilePay.

Die baltischen Staaten

Estland, Lettland und Litauen gehören zum Euroraum. In der Region sind sowohl lokale Banken als auch Tochtergesellschaften nordischer Bankengruppen tätig, und die mobile Identifizierung ist weit verbreitet. Nordische Anbieter expandieren häufig ins Baltikum, da das technische Umfeld ähnlich ist.

Aggregatoren und Netzwerkeffekte

Für einen einzelnen Händler ist es nicht praktikabel, sich separat an die Schnittstellen Dutzender Banken anzubinden. Deshalb sind am Markt Aggregatoren entstanden: Anbieter, die Verbindungen zu einer großen Zahl von Banken unterhalten und dem Händler eine einzige, einheitliche Schnittstelle bieten.

Der Wert eines Aggregators entsteht durch Netzwerkeffekte. Je mehr Banken, deren Kunden über dieselbe Integration bezahlen können, desto attraktiver ist die Lösung für den Händler. Zugleich übernimmt der Aggregator den Umgang mit den Unterschieden zwischen den Bankschnittstellen, die Pflege der Zertifikate und die Überwachung von Störungen.

In den letzten Jahren hat sich der Markt konsolidiert. So gab das britische Unternehmen TrueLayer im März 2026 bekannt, die Übernahme des schwedischen Unternehmens Zimpler nach Genehmigung durch die schwedische Finanzaufsicht abgeschlossen zu haben. Unternehmenstransaktionen wirken sich auf die Bankabdeckung und die Weiterentwicklung der Schnittstellen aus. Bei der Planung einer Integration lohnt es sich daher, auch die Eigentümerstrukturen der Anbieter im Blick zu behalten.

Technische Herausforderungen in der Praxis

Obwohl die Regulierung die Grundlagen vereinheitlicht hat, treten in der praktischen Integration immer wieder dieselben Herausforderungen auf:

Verfügbarkeit und Leistung der Schnittstellen. Antwortzeiten und Verfügbarkeit der Bankschnittstellen variieren. Die künftige Zahlungsdiensteverordnung (PSR) soll genauere Leistungsanforderungen an die Schnittstellen festlegen als bisher.
Unsicherer Status. Schließt der Nutzer den Browser während der Freigabe bei der Bank, muss der endgültige Status der Zahlung über Statusabfragen oder Benachrichtigungen der Bank ermittelt werden.
Lebenszyklus der Zustimmungen. Zustimmungen zu Kontoinformationen laufen ab, und ihre Erneuerung muss nutzerfreundlich gestaltet werden.
Mobile Abläufe. Der Wechsel vom Onlineshop in die Banking-App und zurück (App-to-App) erfordert eine sorgfältige Umsetzung, damit der Nutzer an die richtige Stelle zurückkehrt.
Interpretation von Fehlern. Bankspezifische Fehlercodes müssen in eine einheitliche, für Nutzer verständliche Kommunikation überführt werden.

Wohin die Entwicklung geht

Die nächste Phase des Open Banking zeichnet sich bereits ab. Im November 2025 erzielten das Europäische Parlament und der Rat eine vorläufige Einigung über die PSD3-Richtlinie und die Zahlungsdiensteverordnung (PSR); die endgültigen Kompromisstexte wurden im April 2026 veröffentlicht. Die Reform verlagert den Großteil der praktischen Regeln in eine unmittelbar geltende Verordnung und verringert so die Unterschiede zwischen den Mitgliedstaaten. Die genauen Anwendungszeitpunkte hängen von der endgültigen Annahme und Veröffentlichung ab.

Gleichzeitig macht die EU-Verordnung über Sofortzahlungen Echtzeitüberweisungen im Euroraum zum Basisangebot. In Verbindung mit Open-Banking-Schnittstellen schafft dies die Voraussetzungen für Konto-zu-Konto-Zahlungen, die für Nutzer ebenso mühelos sind wie Kartenzahlungen, aber auf einer anderen Infrastruktur beruhen. Die nordischen und baltischen Länder, in denen die starke elektronische Identifizierung bereits zum Alltag gehört, sind für diese Entwicklung gut aufgestellt.

Der Erfolg des Open Banking entscheidet sich nicht an einer einzelnen Schnittstelle, sondern daran, wie zuverlässig die gesamte Kette von der Bank bis zum Händler funktioniert.

Quellen und weiterführende Literatur

Haftungsausschluss

Dieser Leitfaden wurde sorgfältig auf Grundlage öffentlicher Quellen erstellt, doch Regulierung und Funktionen von Diensten ändern sich. Prüfen Sie aktuelle Informationen stets in offiziellen Quellen und in der Dokumentation der Anbieter. Korrekturhinweise: support@brevixoo.com.