Jedes Mal, wenn Sie eine Onlinezahlung mit einer TAN oder einem Fingerabdruck bestätigen, sehen Sie PSD2 bei der Arbeit. Die zweite Zahlungsdiensterichtlinie wirkt dabei in zwei Richtungen zugleich. Sie verschärfte die Sicherheitsanforderungen und öffnete den Kontozugang für Drittanbieter. Daraus ist Open Banking entstanden.
Für Banken, Zahlungsinstitute und FinTechs ist PSD2 damit weit mehr als eine Sicherheitsvorschrift. Sie entscheidet, wer Zahlungsdienste überhaupt erbringen darf, welche Erlaubnis dafür nötig ist und wer auf Kontodaten zugreifen kann. Für Händler bestimmt sie, wie der Checkout aussehen muss.
Bei LEI24 begleiten wir genau die Rechtsträger, die in diesem regulierten Umfeld arbeiten, bei der Beantragung und Verwaltung ihrer LEI-Nummer.
Was ist PSD2?
PSD2 steht für die Payment Services Directive 2, die Richtlinie (EU) 2015/2366 über Zahlungsdienste im Binnenmarkt. Sie löste die erste Zahlungsdiensterichtlinie aus dem Jahr 2007 ab.
Ihr Zweck lässt sich in drei Zielen zusammenfassen:
- mehr Wettbewerb im Zahlungsverkehr
- mehr Sicherheit bei elektronischen Zahlungen
- stärkerer Schutz der Verbraucher
Die PSD1 stammte aus einer Zeit vor Smartphones, Zahlungs-Apps und FinTechs. Sie kannte weder Zahlungsauslösedienste noch Kontoinformationsdienste, obwohl solche Anbieter längst am Markt tätig waren, nur eben unreguliert.
Als Richtlinie gilt PSD2 nicht unmittelbar. Jeder Mitgliedstaat musste sie in nationales Recht umsetzen. Genau daraus entstanden die Unterschiede zwischen den EU-Märkten, die die kommende PSD3 wieder einebnen soll.
Was PSD2 konkret verändert hat
Vier Punkte tragen den größten Teil des Gewichts.
- Starke Kundenauthentifizierung (SCA): zwei unabhängige Faktoren bei elektronischen Zahlungen und Kontozugriff
- Zugang zum Konto (XS2A): kontoführende Institute müssen zugelassenen Drittanbietern Zugang gewähren, sofern der Kunde zustimmt
- Neue regulierte Dienste: Zahlungsauslösedienste und Kontoinformationsdienste wurden zu eigenständigen, aufsichtspflichtigen Zahlungsdiensten
- Haftung und Transparenz: Selbstbehalt der Kunden bei nicht autorisierten Zahlungen auf 50 Euro gesenkt, Überraschungsentgelte bei Kartenzahlungen untersagt, Erstattungsfristen verschärft
Der letzte Punkt wird oft übersehen. Nach § 675u BGB muss ein kontoführender Zahlungsdienstleister den Betrag einer nicht autorisierten Zahlung unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags. Erst prüfen, dann erstatten ist damit nicht mehr zulässig.
Seit wann PSD2 gilt
Die Mitgliedstaaten mussten PSD2 bis zum 13. Januar 2018 in nationales Recht überführen, und dieses Datum markiert den praktischen Startpunkt.
Die Sicherheitsanforderungen folgten später. Die technischen Regulierungsstandards (Delegierte Verordnung (EU) 2018/389) regeln die Details der starken Kundenauthentifizierung und gelten seit dem 14. September 2019.
In Deutschland verschob die BaFin die Durchsetzung für Kreditkartenzahlungen im Internet allerdings mehrfach, um Störungen im Handel zu vermeiden. Sie endete erst mit einem Stufenmodell:
| Datum | Was ab dann geprüft wurde |
| 15. Januar 2021 | Kartenzahlungen im Internet ab 250 Euro |
| 15. Februar 2021 | Kartenzahlungen im Internet ab 150 Euro |
| 15. März 2021 | alle Kartenzahlungen im Internet |
Seit diesem letzten Stichtag ist die starke Kundenauthentifizierung im deutschen Onlinehandel vollständig scharf geschaltet.
PSD2 in Deutschland: das Zahlungsdiensteaufsichtsgesetz (ZAG)
In Deutschland wurde PSD2 zweigeteilt umgesetzt. Das aufsichtsrechtliche Fundament ist das Zahlungsdiensteaufsichtsgesetz (ZAG) in seiner seither geltenden neuen Fassung. Das Zivilrecht, also das Verhältnis zwischen Zahlungsdienstleister und Kunde, steht in den §§ 675c ff. BGB.
Diese Trennung ist praktisch relevant:
- Das ZAG beantwortet, ob Sie eine Erlaubnis brauchen und welche Anforderungen Ihr Institut laufend erfüllen muss.
- Das BGB beantwortet, wer haftet, wenn eine Zahlung schiefgeht.
Zuständige Aufsichtsbehörde ist die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin). Sie erteilt die Erlaubnisse und Registrierungen für Zahlungsdienste, führt das ZAG-Institutsregister und übt die laufende Aufsicht aus.
Auf europäischer Ebene entwickelt die EBA die technischen Standards und Leitlinien, die die BaFin anwendet. Sie ergänzt die nationalen Register zudem um ein EU-weites Verzeichnis aller zugelassenen Institute.
Das ZAG enthält außerdem einen abschließenden Katalog der Zahlungsdienste sowie die Bereichsausnahmen des § 2 ZAG, etwa für begrenzte Netze oder Handelsvertreter. Wer sich auf eine Ausnahme stützt, ist damit nicht automatisch aus dem Schneider: Oberhalb bestimmter Schwellen bestehen Anzeigepflichten gegenüber der BaFin.
Wie PSD2 Open Banking ermöglicht hat
Open Banking ist kein Rechtsbegriff, sondern das Geschäftsmodell, das PSD2 erst legal gemacht hat.
Der Kern steht in den §§ 48 bis 51 ZAG: Ein kontoführender Zahlungsdienstleister muss zugelassenen Drittanbietern Zugang zu online geführten Zahlungskonten gewähren, wenn der Kunde ausdrücklich einwilligt. Diese Zustimmung gehört dem Kunden, nicht der Bank. Ein Vertragsverhältnis zwischen Bank und Drittanbieter ist dafür nicht erforderlich.
Vor PSD2 funktionierte das bereits, aber über Screen Scraping: Der Anbieter loggte sich mit den Zugangsdaten des Kunden ein und las den Bildschirm aus. Rechtlich war das eine Grauzone, sicherheitstechnisch ein Problem.
PSD2 hat diesen Zugang standardisiert:
- Banken stellen dedizierte Schnittstellen bereit, in Deutschland meist nach dem NextGenPSD2-Standard der Berlin Group.
- Drittanbieter weisen sich mit eIDAS-Zertifikaten aus, die ihre Erlaubnisnummer und ihre Rolle enthalten.
- Die Bank kann so prüfen, wer anfragt und wozu er berechtigt ist.
- Der Zugang selbst ist entgeltfrei.
Auf dieser Grundlage sind Multibanking-Apps, automatisierte Buchhaltung, Bonitätsprüfungen anhand von Kontodaten und Konto-zu-Konto-Zahlungen im Checkout entstanden.
Für wen gilt PSD2? Die Akteure im Überblick
PSD2 knüpft an Rollen an, nicht an Firmenschilder. Ein und dasselbe Unternehmen kann mehrere Rollen ausfüllen, und mit jeder Rolle kommen eigene Pflichten.
| Rolle | Beschreibung | Erlaubnispflicht |
| ASPSP (kontoführend) | Führt Zahlungskonten, etwa Banken und Sparkassen | Erlaubnis (meist als Kreditinstitut) |
| AISP (Kontoinformationen) | Liest und bündelt Kontodaten, bewegt kein Geld | Registrierung |
| PISP (Zahlungsauslösung) | Löst Zahlungen vom Kundenkonto aus, hält keine Gelder | Erlaubnis |
| Händler | Nimmt Zahlungen an, erbringt selbst keinen Zahlungsdienst | keine |
Die Unterschiede sind keine Formalie. Sie richten sich danach, wie tief ein Anbieter in den Zahlungsvorgang eingreift, und genau daran hängen seine Pflichten.
Kontoführende Zahlungsdienstleister (ASPSP)
Das sind Banken und Sparkassen sowie andere Institute, die Zahlungskonten führen. Eine gesonderte ZAG-Erlaubnis brauchen sie meist nicht, weil sie bereits als Kreditinstitut zugelassen sind.
Ihre Pflichten sind dafür die anspruchsvollsten: Kontozugang für Drittanbieter bereitstellen, die starke Kundenauthentifizierung umsetzen und die Schnittstellen verfügbar und leistungsfähig halten.
Kontoinformationsdienste (AISP)
Ein Kontoinformationsdienst aggregiert Kontodaten aus einem oder mehreren Instituten und bereitet sie für den Kunden auf. Er bewegt kein Geld, sondern liest nur.
Genau deshalb behandelt ihn das ZAG milder: Wer ausschließlich Kontoinformationsdienste erbringt, braucht keine Erlaubnis, sondern eine Registrierung nach § 34 ZAG.
Zahlungsauslösedienste (PISP)
Ein Zahlungsauslösedienst löst im Auftrag des Kunden eine Zahlung von dessen Konto aus, ohne selbst Gelder zu halten. Da er aktiv in den Zahlungsvorgang eingreift, ist er voll erlaubnispflichtig nach § 10 ZAG. Für Händler ist er attraktiv, weil er das Kartensystem umgeht und die Zahlung direkt vom Konto anstößt.
Händler und Unternehmen mit Online-Zahlungen
Händler sind in aller Regel keine Zahlungsdienstleister und brauchen keine Erlaubnis. Für Sie bedeutet das trotzdem drei konkrete Pflichten:
- Der Checkout muss SCA-fähig sein.
- Für gängige Zahlungsmittel dürfen Sie keine Aufschläge mehr erheben (Surcharging-Verbot).
- Zahlungsdaten dürfen Sie nicht so speichern oder verarbeiten, dass die Tätigkeit selbst erlaubnispflichtig wird.
Vorsicht ist bei Plattform- und Marktplatzmodellen geboten. Wer Gelder für Dritte vereinnahmt und weiterleitet, rutscht schnell in die Erlaubnispflicht, auch ohne sich als Finanzdienstleister zu verstehen. Diese Prüfung gehört an den Anfang eines Plattformprojekts, nicht in die Woche vor dem Launch.
Starke Kundenauthentifizierung (SCA)
Die starke Kundenauthentifizierung ist der sichtbarste Teil von PSD2. Sie greift beim Onlinezugriff auf Zahlungskonten, bei elektronisch ausgelösten Zahlungen und immer dann, wenn ein Vorgang ein Betrugsrisiko birgt.
Die Zwei-von-drei-Faktoren-Regel
SCA verlangt mindestens zwei Elemente aus zwei verschiedenen Kategorien:
- Wissen: etwas, das nur der Kunde weiß (Passwort, PIN)
- Besitz: etwas, das nur der Kunde besitzt (Smartphone mit registrierter App, Karte, TAN-Generator)
- Inhärenz: etwas, das der Kunde ist (Fingerabdruck, Gesichtserkennung)
Entscheidend ist die Unabhängigkeit: Die Kompromittierung eines Faktors darf die Zuverlässigkeit des anderen nicht beeinträchtigen. Zwei Passwörter sind daher keine SCA, ebenso wenig PIN und Kartennummer.
Bei Zahlungen kommt die dynamische Verknüpfung hinzu. Der Authentifizierungscode ist fest an Betrag und Empfänger gebunden und wird ungültig, sobald sich einer der beiden ändert. Deshalb zeigt Ihre Banking-App bei der Freigabe Betrag und Empfänger an, statt nur eine nackte TAN zu liefern.
3-D Secure: SCA im Zahlungsalltag
Bei Kartenzahlungen im Internet ist 3-D Secure das Verfahren, über das SCA praktisch abgewickelt wird. Die aktuelle Generation 3-D Secure 2 leitet den Kunden zur Freigabe an seinen Kartenherausgeber weiter und übermittelt gleichzeitig Kontextdaten wie Gerät, Händler und Kaufhistorie.
Diese Daten sind der eigentliche Fortschritt: Sie ermöglichen eine risikobasierte Entscheidung. Unauffällige Zahlungen laufen ohne aktive Bestätigung durch, auffällige werden zur Freigabe gestellt. Für Händler ist das ein Konversionsthema, denn jede unnötige Abfrage im Checkout kostet Abschlüsse.
Wann SCA nicht greift: die Ausnahmen
Die technischen Regulierungsstandards lassen mehrere Ausnahmen zu. Wichtig ist: Sie sind ein Recht des Zahlungsdienstleisters, keine Pflicht. Die Bank des Kunden entscheidet, ob sie eine Ausnahme anwendet, und trägt dann das Betrugsrisiko.
| Ausnahme | Grenze / Bedingung |
| Kleinbeträge (Fernzahlung) | bis 30 Euro, kumuliert 100 Euro oder fünf Zahlungen |
| Kontaktlos am Terminal | bis 50 Euro, kumuliert 150 Euro oder fünf Zahlungen |
| Transaktionsrisikoanalyse (TRA) | je nach Betrugsquote bis 100, 250 oder 500 Euro |
| Vertrauenswürdige Empfänger | vom Kunden freigegebene Liste (Whitelisting) |
| Wiederkehrende Zahlungen | gleicher Betrag und Empfänger, SCA nur beim ersten Mal |
| Unbeaufsichtigte Terminals | Verkehrs- und Parkentgelte |
| Firmenkundenzahlungen | über dedizierte Prozesse und Protokolle abgewickelt |
Manche Vorgänge fallen von vornherein aus dem Anwendungsbereich. Die Lastschrift verlangt keine SCA, weil der Händler die Zahlung auslöst. Gleiches gilt für telefonische und schriftliche Bestellungen (MOTO) sowie für händlerinitiierte Zahlungen wie klassische Abonnements.
Bei Zahlungen, bei denen nur ein Zahlungsdienstleister im EWR sitzt (One-Leg-Out), gilt lediglich eine Bemühenspflicht. Für den reinen Kontozugriff gilt eine eigene Regel: SCA beim ersten Zugriff, danach für Kontostand und Umsätze der letzten 90 Tage erst wieder nach 180 Tagen.
So bereiten Sie sich auf die PSD2-Compliance vor
Was Sie konkret tun müssen, steht nicht in der Richtlinie selbst, sondern im Zahlungsdiensteaufsichtsgesetz und den dazugehörigen Verordnungen.
Erlaubnispflicht und Registrierung bei der BaFin
Der erste Schritt ist immer dieselbe Frage: Erbringen Sie einen Zahlungsdienst im Sinne des § 1 ZAG? Wenn ja und keine Bereichsausnahme greift, entscheidet Ihre Rolle über das Verfahren und über das erforderliche Anfangskapital nach § 12 ZAG.
| Tätigkeit | Verfahren | Anfangskapital |
| Nur Kontoinformationsdienst | Registrierung (§ 34 ZAG) | keines, aber Berufshaftpflicht |
| Nur Zahlungsauslösedienst | Erlaubnis (§ 10 ZAG) | 50.000 Euro |
| Nur Finanztransfergeschäft | Erlaubnis (§ 10 ZAG) | 20.000 Euro |
| Zahlungsdienste nach § 1 Abs. 1 S. 2 Nr. 1 bis 5 | Erlaubnis (§ 10 ZAG) | 125.000 Euro |
| E-Geld-Geschäft | Erlaubnis (§ 11 ZAG) | 350.000 Euro |
Zum Antrag gehört weit mehr als der Kapitalnachweis:
- Geschäftsplan
- Beschreibung der Unternehmenssteuerung und der internen Kontrollen
- Sicherungsanforderungen für Kundengelder
- Verfahren für Sicherheitsvorfälle
- Angaben zu Geschäftsleitern und Inhabern bedeutender Beteiligungen
- Konzept zur Geldwäscheprävention
- Nachweis einer Absicherung im Haftungsfall bei Zahlungsauslöse- und Kontoinformationsdiensten (§§ 16 und 36 ZAG)
Rechnen Sie mit Vorlaufzeit. Die BaFin wendet die EBA-Leitlinien zur Zulassung an, und ein unvollständiger Antrag setzt die Bearbeitungsfrist nicht in Gang. Wer die IT-Anforderungen erst nach dem Antrag angeht, verliert Monate.
Seit dem 17. Januar 2025 gilt für Zahlungs- und E-Geld-Institute zusätzlich DORA, mit eigenen Anforderungen an digitale operationale Resilienz, IKT-Risikomanagement und Auslagerungen.
Wie die LEI Zahlungsdienstleister unter PSD2 unterstützt
PSD2 selbst begründet keine eigenständige LEI-Pflicht. Der Legal Entity Identifier taucht in der Praxis eines regulierten Zahlungsdienstleisters trotzdem an mehreren Stellen auf.
Am deutlichsten ist das bei DORA. Zahlungs- und E-Geld-Institute sind Finanzunternehmen im Sinne der Verordnung. Der LEI ist dort der Identifikationscode für Finanzunternehmen, etwa im Informationsregister zu IKT-Dienstleistungen. Die BaFin schaltet Melder für das DORA-Fachverfahren nur frei, wenn ein LEI vorliegt.
Hinzu kommt alles, was neben dem Zahlungsgeschäft läuft und in das regulatorische Reporting einfließt:
- Fällt ein Institut unter MiFIR oder EMIR, ist der LEI in den Meldungen zwingend.
- Als Standard zur eindeutigen Identifikation von Rechtsträgern ersetzt er Namensabgleiche.
- Im Onboarding von Gegenparteien beendet er das Rätselraten bei Konzernstrukturen.
Für Partner und Aufsicht ist der LEI außerdem ein Vertrauenssignal. Eine schnelle LEI-Suche zeigt, mit welchem Rechtsträger man es zu tun hat und wie er im Konzern eingebettet ist. Ob Ihr Unternehmen betroffen ist, klärt der Überblick dazu, wer eine LEI-Nummer braucht.
Wichtig ist, dass die LEI aktuell gehalten wird. Ist sie nicht rechtzeitig erneuert, wird ihr Status im LEI-System auf „LAPSED“ gesetzt, was je nach Melde- oder Onboarding-Kontext zu Problemen oder Rückfragen führen kann. Die LEI-Verlängerung gehört deshalb auf denselben Compliance-Kalender wie alles andere. Wenn Sie noch keine haben, lohnt sich ein Blick darauf, wie Sie eine LEI-Nummer bekommen.
Was ist PSD3, und was ändert sich?
PSD2 bekommt einen Nachfolger, und zwar als Paket aus zwei Rechtsakten:
- Die PSD3 bleibt eine Richtlinie und regelt Zulassung und Beaufsichtigung der Institute. Sie muss national umgesetzt werden, in Deutschland also erneut über das ZAG.
- Die PSR (Payment Services Regulation) ist eine unmittelbar geltende Verordnung und enthält die operativen Regeln: Nutzerrechte, Transparenz, SCA, Betrugsprävention und Haftung.
| Thema | PSD2 (heute) | PSD3 und PSR (künftig) |
| Rechtsform | Richtlinie, national umgesetzt im ZAG | Richtlinie plus direkt geltende Verordnung |
| Betrugsschutz | SCA als Kern | zusätzlich Erstattung bei Spoofing, Abgleich von Empfängername und IBAN |
| Open Banking | Schnittstellen mit nationalem Spielraum | einheitliche Anforderungen samt Leistungskennzahlen |
| E-Geld | eigene Richtlinie (EMD2) | in PSD3 integriert, Zulassungen sind zu erneuern |
| Krypto | nicht erfasst | E-Geld-Token erfasst, verzahnt mit MiCA |
| Kundengelder | nationale Unterschiede | vereinheitlicht und verschärft, inklusive Konzentrationsrisiken |
Zum Zeitplan: Parlament und Rat erzielten am 27. November 2025 eine politische Einigung, die finalen Kompromisstexte lagen im April 2026 vor. Stand Juli 2026 stehen die förmliche Verabschiedung und die Veröffentlichung im Amtsblatt noch aus. Erst danach laufen die Fristen an, und nach den vorliegenden Entwürfen wird mit einer Anwendung ab etwa 2028 gerechnet.
Praktisch heißt das: Der operative Druck kommt nicht in diesem Jahr, aber Architekturentscheidungen von heute laufen später unter PSD3-Bedingungen. Wer 2026 Zahlungsflüsse oder Banking-APIs neu baut, sollte das mit Blick auf das kommende Regime tun.
PSD2 und die Zukunft des Open Banking
Die Richtung ist erkennbar. Der Namensabgleich vor der Überweisung ist über die Verordnung zu SEPA-Echtzeitüberweisungen bereits vor PSD3 in den Euro-Zahlungsverkehr eingezogen, und PSD3 schreibt ihn dauerhaft fest. Aus einer Empfehlung wird damit Infrastruktur.
Der größere Schritt liegt jenseits des Zahlungsverkehrs. Mit dem geplanten Rahmen für den Zugang zu Finanzdaten (FiDA) soll sich das Prinzip des Kontozugangs auf weitere Finanzdaten ausdehnen, von Krediten über Versicherungen bis zu Anlageprodukten. Aus Open Banking würde damit Open Finance.
Das Dossier lag zwischenzeitlich auf Eis, im Rat wird seit 2026 wieder verhandelt, und ein finaler Text ist noch nicht absehbar. Eine Konstante bleibt aber unabhängig davon: Je offener die Datenflüsse zwischen Instituten, Drittanbietern und Aufsicht werden, desto wichtiger wird die eindeutige Identifikation der beteiligten Rechtsträger.
Häufig gestellte Fragen (FAQ)
Warum muss ich Online-Zahlungen seit PSD2 zusätzlich bestätigen?
Weil PSD2 die starke Kundenauthentifizierung vorschreibt: zwei unabhängige Faktoren aus den Kategorien Wissen, Besitz und Inhärenz, etwa Passwort plus TAN. Bei Zahlungen ist der Code zusätzlich fest an Betrag und Empfänger gebunden.
Wer beaufsichtigt PSD2 in Deutschland?
Die BaFin, auf Grundlage des Zahlungsdiensteaufsichtsgesetzes (ZAG). Sie erteilt Erlaubnisse und Registrierungen, führt das ZAG-Institutsregister und übt die laufende Aufsicht aus. Die technischen Standards entwickelt die EBA auf EU-Ebene.
Gilt PSD2 auch für mein Unternehmen, wenn wir nur Kartenzahlungen annehmen?
Ja, wenn auch indirekt. Eine Erlaubnis brauchen Sie nicht, aber Ihr Checkout muss SCA-fähig sein, und Aufschläge auf gängige Zahlungsmittel sind untersagt. Anders liegt der Fall bei Plattformen, die Gelder für Dritte vereinnahmen: Dort ist eine Prüfung der Erlaubnispflicht angezeigt.
Ist Open Banking sicher?
Deutlich sicherer als das Screen Scraping, das es abgelöst hat. Drittanbieter benötigen eine Erlaubnis oder Registrierung der BaFin und weisen sich mit eIDAS-Zertifikaten aus. Ihre Zugangsdaten geben Sie nicht an den Anbieter, sondern bestätigen den Zugriff bei Ihrer Bank.
Brauchen Zahlungsdienstleister eine LEI unter PSD2?
PSD2 selbst schreibt keine LEI vor. Ein LEI kann für Zahlungsdienstleister aber aus anderen Regelwerken relevant oder erforderlich werden, etwa im DORA-Meldeumfeld oder bei MiFIR- bzw. EMIR-Meldungen, sofern das Unternehmen beziehungsweise die konkrete Tätigkeit in den jeweiligen Anwendungsbereich fällt.
