Sicherer Bankenabgleich: Wie er technisch funktioniert

Der Bankenabgleich ermöglicht es einer Buchhaltungssoftware, einer Verwaltungsanwendung oder einem Finanztool, Bankkontotransaktionen automatisch zu importieren. Hinter dieser scheinbar einfachen Funktion verbirgt sich eine technische Architektur, die durch europäische Normen geregelt ist und auf mehreren Sicherheitsebenen basiert. Das Verständnis ihrer Funktionsweise hilft bei der Auswahl zuverlässiger Lösungen und beim besseren Schutz der Finanzdaten.

Was ist Bankenabgleich?

Der Bankenabgleich bezeichnet den Prozess, bei dem ein Drittanbieterdienst regelmäßig Daten von einem oder mehreren Konten abruft: Saldo, Transaktionshistorie, Bezeichnungen, Wertstellungen. Diese Informationen werden dann in einer Anwendung zur Verfügung gestellt, beispielsweise in einer Buchhaltungssoftware, die die Buchungen automatisch abgleicht.

Diese Automatisierung ersetzt die manuelle Eingabe oder den Import von Dateien (Kontoauszüge im CSV-, OFX- oder QIF-Format), die vom Kundenbereich der Bank heruntergeladen wurden. Sie reduziert das Risiko von Übertragungsfehlern und spart Zeit, wirft aber gleichzeitig die zentrale Frage der Sicherheit auf: Wie werden sensible Bankdaten zwischen der Bank und einem Drittanbieterdienst übertragen?

Die zwei wichtigsten technischen Methoden

Web Scraping (historische Methode)

Lange Zeit basierte die Aggregation auf dem Screen Scraping. Der Nutzer übermittelte seine Online-Banking-Zugangsdaten an den Aggregator, der sich an seiner Stelle auf der Bankseite anmeldete, um die auf dem Bildschirm angezeigten Daten zu extrahieren.

Dieser Ansatz hat Grenzen: Er setzt die Weitergabe vollständiger Zugangsdaten voraus, ist anfällig für Änderungen der Bankschnittstelle und unterscheidet nicht immer zwischen menschlichem und automatisiertem Zugriff. Mit der regulatorischen Entwicklung wird diese Methode zunehmend durch dedizierte Schnittstellen ersetzt.

Banken-APIs (moderne Methode)

Heute basiert der Abgleich größtenteils auf APIs (Programmierschnittstellen), die von den Banken zur Verfügung gestellt werden. Eine API ist ein standardisierter Kanal, über den ein autorisierter Dienst die Bank abfragt, um präzise Daten zu erhalten, ohne eine menschliche Navigation imitieren zu müssen.

Dieses Modell, bekannt als Access to Account (XS2A), ermöglicht es der Bank, genau zu kontrollieren, welche Daten mit welchem Akteur und für welche Dauer geteilt werden. Es bildet die technische Grundlage des modernen Bankenabgleichs in Europa.

Der regulatorische Rahmen: die PSD2

In Europa wird der Bankenabgleich durch die zweite Zahlungsdiensterichtlinie (PSD2) geregelt, die seit 2018 anwendbar ist und deren technische Anforderungen schrittweise umgesetzt wurden. Diese Richtlinie verpflichtet Banken, sichere Schnittstellen für zugelassene Drittanbieter zu öffnen.

Zwei Status sind besonders relevant:

• AISP (Account Information Service Provider) : Kontoinformationsdienstleister, der Daten aggregiert und bereitstellt. Dies ist der Status, der direkt mit dem Abgleich und der Abfrage von Transaktionen verbunden ist.


• PISP (Payment Initiation Service Provider) : Zahlungsauslösedienstleister, der auf Anforderung des Nutzers eine Überweisung auslösen kann.

Um tätig zu werden, müssen diese Dienstleister von einer zuständigen Behörde – in Frankreich der ACPR (Autorité de contrôle prudentiel et de résolution) – zugelassen und registriert sein. Diese Zulassung stellt eine erste Garantie für Seriosität dar, entbindet aber nicht von der Notwendigkeit, jede Lösung zu bewerten.

Die technischen Sicherheitsebenen

Die starke Kundenauthentifizierung (SCA)

Die PSD2 schreibt die starke Kundenauthentifizierung (Strong Customer Authentication, SCA) vor. Konkret erfordert der Zugang zu Konten die Kombination von mindestens zwei unabhängigen Faktoren aus drei Kategorien:

• ein Element, das der Nutzer kennt (Passwort, Code);


• ein Element, das er besitzt (Telefon, Gerät, das einen Code generiert);


• ein Element, das er ist (Fingerabdruck, Gesichtserkennung).

Deshalb erfordert die Einrichtung eines Abgleichs oft eine Bestätigung über die mobile Banking-App oder einen per SMS erhaltenen Code. Dieser Schritt verknüpft die Autorisierung mit dem tatsächlichen Nutzer.

Das OAuth 2.0 Protokoll und die Zugangsdelegation

Banken-APIs basieren häufig auf dem OAuth 2.0-Protokoll. Sein Prinzip: einem Drittanbieterdienst den Zugriff auf Daten zu ermöglichen, ohne jemals das Passwort des Nutzers zu kennen.

Der typische Ablauf ist wie folgt: Der Nutzer wird zur Schnittstelle seiner Bank weitergeleitet, authentifiziert sich dort direkt, und dann stellt die Bank dem Drittanbieterdienst ein Zugangstoken (Token) aus. Dieses Token autorisiert nur die zugestimmten Aktionen, für eine begrenzte Dauer, und kann widerrufen werden. Die Bankzugangsdaten werden somit nicht über die Drittanbieteranwendung übertragen.

Die Verschlüsselung des Datenaustauschs

Alle Kommunikationen zwischen der Anwendung, dem Dienstleister und der Bank sind durch die TLS-Verschlüsselung (Transport Layer Security) geschützt, dieselbe Art von Technologie, die die Webnavigation über HTTPS sichert. Die Daten sind somit unlesbar, sollten sie während der Übertragung abgefangen werden.

Über die Übertragung hinaus verschlüsseln seriöse Dienstleister auch die gespeicherten Daten (Verschlüsselung im Ruhezustand) und wenden Maßnahmen zur Segmentierung interner Zugriffe an. Die im Rahmen der PSD2 verwendeten Zertifikate, sogenannte eIDAS (QWAC und QSEAL), ermöglichen es zudem, die Akteure, die sich mit der API verbinden, eindeutig zu identifizieren.

Der Nur-Lese-Zugriff

Für die c