Technische Regulierungsstandards: die detaillierten, verbindlichen Regeln, die festlegen, wie ein EU-Rechtsakt in der Praxis anzuwenden ist.
Im Open Banking regeln die RTS zur starken Kundenauthentifizierung und sicheren Kommunikation, wie SCA funktioniert, welche Ausnahmen bestehen und was die Schnittstelle einer Bank für Dritte leisten muss. Sie werden von der Europäischen Bankenaufsichtsbehörde erarbeitet und von der Kommission erlassen.
Die Unterscheidung ist wesentlich: Die Richtlinie nennt das Prinzip, die RTS bestimmen, was ein Anbieter tatsächlich bauen muss.
Starke Kundenauthentifizierung: die Anforderung von PSD2, elektronische Zahlungen und Kontozugriffe mit mindestens zwei unabhängigen Faktoren zu bestätigen.
Die drei Kategorien sind:
Die beiden Faktoren müssen aus verschiedenen Kategorien stammen, weshalb ein Passwort plus Sicherheitsfrage nicht genügt. Für bestimmte Kleinbetrags- oder wiederkehrende Zahlungen gelten Ausnahmen.
Zahlungsauslösedienst: der von PSD2 definierte regulierte Dienst, bei dem ein Dritter im Auftrag der Kundin eine Zahlung direkt ab deren Bankkonto auslöst.
Beispiel: eine Online-Rechnung direkt ab dem Bankkonto über eine Drittanwendung begleichen, ohne Kartendaten einzugeben.
Anbieter: PISP wie Tink, Token oder TrueLayer.
Der Reiz liegt in Kosten und Tempo: Die Zahlung läuft über Bankschienen, ohne Interchange-Gebühr, und der Händler sieht das Geld früher.
Zahlungsauslösedienstleister: ein Dritter, der befugt ist, mit Einwilligung der Kundin eine Zahlung direkt von deren Bankkonto auszulösen.
Die Kundin bestätigt die Zahlung in ihrer eigenen Banking-App, und das Geld fliesst per Überweisung statt über ein Kartennetzwerk. Da kein Kartenschema dazwischensteht, sind die Gebühren in der Regel tiefer.
PISP benötigen eine volle Zulassung als Zahlungsinstitut, ein strengeres Regime als die blosse Registrierung der AISP, weil sie Geld bewegen und nicht nur Daten lesen.
Kontoinformationsdienstleister: ein Dritter, der befugt ist, mit Einwilligung der Kundin deren Kontodaten zu lesen, jedoch kein Geld zu bewegen.
Auf dieser Lizenz beruhen Kontoaggregations-Apps, Budgetwerkzeuge und der automatische Import von Transaktionen in Buchhaltungssoftware. Nach PSD2 registriert sich ein AISP, ohne eine volle Zulassung als Zahlungsinstitut zu halten: ein leichteres Regime als bei PISP.
Drittanbieter: ein Unternehmen, das nach PSD2 berechtigt ist, im Auftrag einer Kundin auf Bankkonten zuzugreifen, ohne die kontoführende Bank zu sein.
TPP fallen in zwei Lizenzkategorien, die ein Anbieter einzeln oder kumulativ halten kann:
TPP werden beaufsichtigt und müssen von einer nationalen Behörde zugelassen sein, bevor sie sich mit Banken verbinden dürfen.
Die zweite EU-Zahlungsdiensterichtlinie, seit 2018 in Kraft, die die rechtliche Grundlage für Open Banking in Europa geschaffen hat.
Sie verpflichtet Banken, lizenzierten Dritten mit Einwilligung der Kundin Zugang zu Zahlungskonten zu gewähren, hat die Lizenzkategorien AISP und PISP eingeführt und die starke Kundenauthentifizierung für elektronische Zahlungen vorgeschrieben.
PSD2 gilt nicht für die Schweiz, die nicht EU-Mitglied ist. Schweizer Banken öffnen ihre Schnittstellen auf vertraglicher Basis statt aufgrund einer gesetzlichen Pflicht.
Wie es weitergeht: PSD2 wird durch ein Paket aus zwei Texten ersetzt, die Richtlinie PSD3 und die unmittelbar anwendbare Zahlungsdiensteverordnung (PSR). Im November 2025 wurde eine politische Einigung erzielt, im Mai 2026 billigte der Parlamentsausschuss die Texte, doch die förmliche Annahme und Veröffentlichung standen noch aus: PSD2 bleibt damit der geltende Rahmen. Die Anwendung wird rund 21 Monate nach Veröffentlichung erwartet.
Der Single Euro Payments Area: eine Initiative der EU, die Überweisungen in Euro vereinheitlicht, damit grenzüberschreitende Zahlungen wie Inlandzahlungen funktionieren.
Er definiert drei Hauptverfahren:
SEPA umfasst über 30 Länder, darunter die Schweiz, die für Euro-Zahlungen teilnimmt, während der Schweizer Franken ausserhalb des Verfahrens bleibt.
