Das Ersetzen eines sensiblen Werts, etwa einer Kartennummer, durch ein Token, das ausserhalb des ausgebenden Systems keine verwertbare Bedeutung hat.
Wird eine Karte in ein Mobile Wallet aufgenommen, speichert das Gerät ein Token statt der tatsächlichen PAN. Abgefangen lässt sich dieses Token andernorts nicht verwenden.
Tokenisierung verkleinert den Datenbereich, den ein Händler schützen muss, da die echte Kartennummer seine Systeme nie erreicht.
Eine isolierte Testumgebung, die die API einer Bank oder eines Anbieters mit fiktiven Daten nachbildet, damit Entwickler eine Integration bauen und prüfen können, ohne echte Konten zu berühren.
Nach PSD2 müssen Banken Dritten vor dem Produktivgang eine Testmöglichkeit bereitstellen. Eine Sandbox dient auch dazu, eine Integration zu validieren, nachdem eine Bank ihre Schnittstelle geändert hat.
Der Begriff bezeichnet auch regulatorische Sandboxes, in denen eine Aufsicht Firmen unter erleichterten Bedingungen innovative Dienste testen lässt. Die beiden Bedeutungen hängen nicht zusammen.
Finanztechnologie: der Einsatz von Software und digitaler Infrastruktur zur Erbringung von Finanzdienstleistungen, häufig durch Unternehmen ausserhalb des traditionellen Bankwesens.
Der Begriff umfasst Zahlungen, Kredit, Anlage, Versicherung, Buchhaltungsautomatisierung und die Open-Banking-Infrastruktur, die sie verbindet.
Er beschreibt einen Ansatz, keine Branche: Etablierte Banken betreiben ebenfalls Fintech-Produkte, und die Grenze zwischen einem Fintech und einer gut aufgestellten Bank ist weitgehend unbrauchbar geworden.
Finanzdienstleistungen, die innerhalb eines nicht finanziellen Produkts angeboten werden, genau dann, wenn sie gebraucht werden, statt über eine separate Bank oder einen eigenen Anbieter.
Beispiele: Ratenzahlung an der Kasse eines Online-Shops, eine Versicherung während einer Buchung, oder ein Buchhaltungstool, mit dem eine Lieferantenrechnung bezahlt wird, ohne die Software zu verlassen.
Embedded Finance ist das, was mit BaaS-Infrastruktur in der Regel gebaut wird.
Banking as a Service: lizenzierte Banken stellen ihre regulierte Infrastruktur Nichtbanken zur Verfügung, damit ein anderes Unternehmen Konten, Karten oder Zahlungen unter eigener Marke anbieten kann.
Die Bank hält die Lizenz und trägt die regulatorischen Pflichten, während der Partner die Kundenbeziehung und die Oberfläche besitzt. Ein Händler mit eigener Karte stützt sich in der Regel auf ein BaaS-Modell statt auf eine eigene Banklizenz.
Das Recht von Personen, ihre Personendaten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und sie zu einem anderen Anbieter übertragen zu lassen.
In der EU ergibt sich dieses Recht aus der DSGVO. In der Schweiz hat das revidierte Datenschutzgesetz, in Kraft seit September 2023, ein gleichwertiges Recht eingeführt.
Auf das Bankgeschäft übertragen steht die Datenübertragbarkeit hinter der Möglichkeit, bei einem Anbieterwechsel die eigene Transaktionshistorie mitzunehmen, statt sie zurückzulassen.
Die Abläufe, mit denen eine Kundin einem Dritten den Zugriff auf ihre Finanzdaten oder die Zahlungsauslösung erteilt, einsieht und entzieht.
Die Einwilligung muss ausdrücklich sein, auf einen definierten Umfang und eine Dauer begrenzt und jederzeit widerrufbar. Nach PSD2 ist eine Zugriffseinwilligung befristet und muss erneuert werden, weshalb Aggregationsverbindungen periodisch abbrechen und eine erneute Authentifizierung verlangen.
Gutes Consent Management heisst: Die Kundin sieht auf einen Blick, wer worauf zugreift, und kann es in einem Schritt beenden.
Das Sammeln und Zusammenführen von Finanzdaten aus mehreren Banken oder Quellen, meist über APIs, zu einer einzigen Ansicht.
Für ein Unternehmen mit Konten bei drei Banken ergibt die Aggregation eine konsolidierte Liquiditätslage statt drei getrennter Zugänge. Es ist der Dienst, den eine AISP-Lizenz erlaubt, und die Grundlage für Treasury- und Buchhaltungswerkzeuge.
Ein Anbieter, der sich mit vielen Banken verbindet und sie über eine einzige Schnittstelle bereitstellt, sodass ein Softwarehaus einmal integriert statt Bank für Bank.
Der Aggregator fängt die Unterschiede zwischen Instituten ab: abweichende API-Standards, Authentifizierungsabläufe, Datenformate und Abdeckung. Ohne ihn bedeutet die Unterstützung von zwanzig Banken zwanzig Integrationen zum Bauen und Pflegen.
Der Preis dafür ist eine Abhängigkeit und Kosten pro Verbindung, im Gegenzug zum eingesparten Entwicklungsaufwand.
Eine von einer Bank bereitgestellte Schnittstelle, über die autorisierte externe Software Kontodaten direkt abfragen oder Zahlungen einreichen kann, ohne Dateitransfer oder Webportal.
In der Schweiz werden die meisten Bank-APIs über bLink erreicht, die SIX-Plattform, die die Anbindung standardisiert: Ein Softwareanbieter integriert einmal statt mit jeder Bank einzeln.
Für die Buchhaltung sorgt eine Bank-API dafür, dass Transaktionen automatisch erscheinen, während EBICS oder camt.053 voraussetzen, dass eine Datei geholt und importiert wird.
Programmierschnittstelle: eine definierte Art, wie eine Software Daten oder Aktionen von einer anderen anfordert, ohne menschliches Zutun.
Eine API legt fest, was angefragt werden kann, in welchem Format und was zurückkommt. Dieser Vertrag erlaubt es Systemen verschiedener Hersteller, zuverlässig zusammenzuarbeiten.
Im Finanzbereich haben APIs Dateidownloads und Doppelerfassung abgelöst: Statt einen Auszug zu exportieren und andernorts zu importieren, fragt ein System das andere direkt ab.
Die 2016 von der britischen Wettbewerbsbehörde eingesetzte Stelle zur Erarbeitung von Open-Banking-Standards für die neun grössten britischen Banken.
Sie schuf den Open Banking Standard, eine der ersten detaillierten API-Spezifikationen dieser Art, deren Einfluss weit über das Vereinigte Königreich hinausreichte.
2022 wurde die OBIE von Open Banking Limited abgelöst, die diese Arbeit fortführt. Das Kürzel findet sich noch in älterer Dokumentation.
Technische Regulierungsstandards: die detaillierten, verbindlichen Regeln, die festlegen, wie ein EU-Rechtsakt in der Praxis anzuwenden ist.
Im Open Banking regeln die RTS zur starken Kundenauthentifizierung und sicheren Kommunikation, wie SCA funktioniert, welche Ausnahmen bestehen und was die Schnittstelle einer Bank für Dritte leisten muss. Sie werden von der Europäischen Bankenaufsichtsbehörde erarbeitet und von der Kommission erlassen.
Die Unterscheidung ist wesentlich: Die Richtlinie nennt das Prinzip, die RTS bestimmen, was ein Anbieter tatsächlich bauen muss.
Starke Kundenauthentifizierung: die Anforderung von PSD2, elektronische Zahlungen und Kontozugriffe mit mindestens zwei unabhängigen Faktoren zu bestätigen.
Die drei Kategorien sind:
Die beiden Faktoren müssen aus verschiedenen Kategorien stammen, weshalb ein Passwort plus Sicherheitsfrage nicht genügt. Für bestimmte Kleinbetrags- oder wiederkehrende Zahlungen gelten Ausnahmen.
Zahlungsauslösedienst: der von PSD2 definierte regulierte Dienst, bei dem ein Dritter im Auftrag der Kundin eine Zahlung direkt ab deren Bankkonto auslöst.
Beispiel: eine Online-Rechnung direkt ab dem Bankkonto über eine Drittanwendung begleichen, ohne Kartendaten einzugeben.
Anbieter: PISP wie Tink, Token oder TrueLayer.
Der Reiz liegt in Kosten und Tempo: Die Zahlung läuft über Bankschienen, ohne Interchange-Gebühr, und der Händler sieht das Geld früher.
Zahlungsauslösedienstleister: ein Dritter, der befugt ist, mit Einwilligung der Kundin eine Zahlung direkt von deren Bankkonto auszulösen.
Die Kundin bestätigt die Zahlung in ihrer eigenen Banking-App, und das Geld fliesst per Überweisung statt über ein Kartennetzwerk. Da kein Kartenschema dazwischensteht, sind die Gebühren in der Regel tiefer.
PISP benötigen eine volle Zulassung als Zahlungsinstitut, ein strengeres Regime als die blosse Registrierung der AISP, weil sie Geld bewegen und nicht nur Daten lesen.
Kontoinformationsdienstleister: ein Dritter, der befugt ist, mit Einwilligung der Kundin deren Kontodaten zu lesen, jedoch kein Geld zu bewegen.
Auf dieser Lizenz beruhen Kontoaggregations-Apps, Budgetwerkzeuge und der automatische Import von Transaktionen in Buchhaltungssoftware. Nach PSD2 registriert sich ein AISP, ohne eine volle Zulassung als Zahlungsinstitut zu halten: ein leichteres Regime als bei PISP.
Drittanbieter: ein Unternehmen, das nach PSD2 berechtigt ist, im Auftrag einer Kundin auf Bankkonten zuzugreifen, ohne die kontoführende Bank zu sein.
TPP fallen in zwei Lizenzkategorien, die ein Anbieter einzeln oder kumulativ halten kann:
TPP werden beaufsichtigt und müssen von einer nationalen Behörde zugelassen sein, bevor sie sich mit Banken verbinden dürfen.
Die zweite EU-Zahlungsdiensterichtlinie, seit 2018 in Kraft, die die rechtliche Grundlage für Open Banking in Europa geschaffen hat.
Sie verpflichtet Banken, lizenzierten Dritten mit Einwilligung der Kundin Zugang zu Zahlungskonten zu gewähren, hat die Lizenzkategorien AISP und PISP eingeführt und die starke Kundenauthentifizierung für elektronische Zahlungen vorgeschrieben.
PSD2 gilt nicht für die Schweiz, die nicht EU-Mitglied ist. Schweizer Banken öffnen ihre Schnittstellen auf vertraglicher Basis statt aufgrund einer gesetzlichen Pflicht.
Wie es weitergeht: PSD2 wird durch ein Paket aus zwei Texten ersetzt, die Richtlinie PSD3 und die unmittelbar anwendbare Zahlungsdiensteverordnung (PSR). Im November 2025 wurde eine politische Einigung erzielt, im Mai 2026 billigte der Parlamentsausschuss die Texte, doch die förmliche Annahme und Veröffentlichung standen noch aus: PSD2 bleibt damit der geltende Rahmen. Die Anwendung wird rund 21 Monate nach Veröffentlichung erwartet.
Die Ausweitung der Open-Banking-Prinzipien über Zahlungskonten hinaus auf Sparen, Vorsorge, Versicherungen, Hypotheken und Anlagen, sodass Kundinnen den Zugang zu ihrem gesamten Finanzbild freigeben können.
In der EU verfolgt dies der vorgeschlagene Rahmen für den Zugang zu Finanzdaten (FiDA), der noch verhandelt wird. Open Banking umfasst das Kontokorrent, Open Finance würde alles Übrige abdecken.
Die Praxis, dass Banken den Zugang zu Kontodaten und zur Zahlungsauslösung für lizenzierte Dritte öffnen, mit ausdrücklicher Einwilligung der Kundin, über sichere APIs.
In der EU schreibt PSD2 dies vor: Banken müssen autorisierten Anbietern Zugang zu Zahlungskonten gewähren. Die Schweiz ist einen anderen Weg gegangen. Eine entsprechende gesetzliche Pflicht besteht nicht, der Zugang entwickelt sich marktgetrieben, namentlich über bLink, die SIX-Plattform, über die Schweizer Banken standardisierte Schnittstellen bereitstellen.
Für Treuhänder bedeutet das konkret: Bankdaten fliessen automatisch in die Buchhaltungssoftware, statt heruntergeladen und von Hand importiert zu werden.
