PSD2-Richtlinie einfach erklärt Deine Rechte beim Online-Banking

PSD2 auf einen Blick: Was die EU-Zahlungsrichtlinie für dein Konto bedeutet

Die PSD2-Richtlinie ist das rechtliche Fundament des modernen Online-Bankings in Europa. Sie schützt dich vor Betrug, regelt, wer Zugriff auf deine Kontodaten bekommt, und sorgt dafür, dass du beim Bezahlen im Netz sicherer unterwegs bist – egal ob mit Girokonto, Kreditkarte oder einer Banking-App.

Rechner: Zinskosten

Was ist die PSD2-Richtlinie? – Die Kurzversion

PSD2 steht für „Payment Services Directive 2", auf Deutsch: die zweite EU-Zahlungsdiensterichtlinie. Sie wurde 2015 vom Europäischen Parlament verabschiedet und musste bis Januar 2018 in nationales Recht umgesetzt werden. In Deutschland geschah das vor allem durch das Zahlungsdiensteaufsichtsgesetz (ZAG) und Änderungen im Bürgerlichen Gesetzbuch. Das klingt trocken – hat aber unmittelbare Auswirkungen auf deinen Alltag, sobald du online einkaufst, eine Überweisung tätigst oder einer Budgetierungs-App Zugriff auf dein Konto gibst.

Die Vorgängerin PSD1 hatte den europäischen Zahlungsmarkt zwar harmonisiert, aber die rasante Entwicklung von FinTechs, mobilen Bezahlmethoden und Online-Shopping hatte sie schlicht überrollt. PSD2 sollte diese Lücken schließen: mehr Sicherheit für Verbraucher:innen, mehr Wettbewerb durch sogenanntes Open Banking und klarere Haftungsregeln. Betroffen ist im Grunde jede Person, die ein Bankkonto in der EU führt – also auch du mit deinem Girokonto oder deiner Kreditkarte.

Aktuell arbeitet die EU-Kommission bereits an der nächsten Evolutionsstufe: PSD3, kombiniert mit einer direkt geltenden Verordnung namens PSR (Payment Services Regulation). Diese sollen bestehende Lücken schließen, insbesondere beim Schutz vor Echtzeit-Überweisungsbetrug und beim Ausbau von Open Finance. Bis zur vollständigen nationalen Umsetzung werden voraussichtlich noch einige Jahre vergehen – der genaue Zeitplan ist aktuell noch offen. Bis dahin bleibt PSD2 das maßgebliche Regelwerk für deinen Zahlungsalltag.

Starke Kundenauthentifizierung (SCA): Warum du beim Bezahlen zwei Schritte brauchst

Das Herzstück von PSD2 ist die sogenannte Starke Kundenauthentifizierung – auf Englisch „Strong Customer Authentication" (SCA). Sie schreibt vor, dass du deine Identität bei Zahlungsvorgängen mit mindestens zwei von drei unabhängigen Faktoren bestätigst. Diese drei Faktoren sind: Wissen (zum Beispiel deine PIN oder ein Passwort), Besitz (dein Smartphone oder ein TAN-Generator) und Inhärenz (biometrische Merkmale wie Fingerabdruck oder Gesichtserkennung). Der entscheidende Punkt: Die zwei gewählten Faktoren müssen aus verschiedenen Kategorien stammen – eine PIN plus eine zweite PIN zählt nicht.

Im Alltag begegnet dir SCA ständig, oft ohne dass du den Begriff kennst. Wenn du in einem Online-Shop mit deiner Kreditkarte bezahlst und anschließend eine Push-Benachrichtigung in der Banking-App erhältst, die du bestätigen musst – das ist SCA in Aktion. Oder wenn du eine Überweisung tätigen willst und zusätzlich zur PIN noch einen SMS-Code eingibst. Diese doppelte Absicherung ist kein unnötiger Bürokratieakt, sondern schützt dich davor, dass jemand anderes mit deinen Kartendaten einkaufen geht, selbst wenn er deine Kartennummer und das Ablaufdatum kennt.

Es gibt allerdings definierte Ausnahmen, bei denen eine einfache Authentifizierung ausreicht. Kleine Beträge unterhalb bestimmter Schwellenwerte, Zahlungen an Händler auf deiner persönlichen Vertrauensliste oder bestimmte wiederkehrende Transaktionen können von der SCA-Pflicht ausgenommen sein. Wichtig zu wissen: Die Entscheidung, ob eine Transaktion als risikoarm eingestuft wird und damit eine Ausnahme greift, liegt bei der Bank und dem Zahlungsdienstleister – nicht bei dir. Du solltest also nie davon ausgehen, dass eine Zahlung automatisch ausgenommen ist, und SCA-Abfragen stets ernst nehmen.

Auch wer sein Konto besonders aufmerksam verwaltet, profitiert von SCA: Sie schützt dich vor unbemerkten Kleinabbuchungen, die sich über Monate summieren könnten. Wer regelmäßig die Push-Benachrichtigungen seiner Bank liest, bemerkt unautorisierte Vorgänge sofort – und kann schnell reagieren.

Open Banking: Was bedeutet es, dass Apps dein Konto „lesen" dürfen?

Eines der revolutionärsten Elemente von PSD2 ist die Verpflichtung der Banken, lizenzierten Drittanbietern per standardisierter Schnittstelle (API) Zugang zu Kontodaten zu gewähren. Der Schlüsselsatz dabei lautet: nur mit deiner ausdrücklichen Zustimmung. PSD2 hat dafür zwei neue Kategorien von Zahlungsdienstleistern geschaffen: Kontoinformationsdienste (englisch: Account Information Service Provider, kurz AISP) und Zahlungsauslösedienste (Payment Initiation Service Provider, PISP). AISP dürfen deine Kontodaten lesen und aggregieren, PISP dürfen in deinem Namen Zahlungen auslösen – zum Beispiel eine Sofortüberweisung direkt aus einer Shopping-App heraus, ohne dass deine Kreditkartendaten den Umweg über den Händler nehmen.

Für Verbraucher ist das besonders relevant im Kontext von Budgetierungs-Apps. Dienste wie diese können mit deiner Erlaubnis Transaktionsdaten von mehreren Konten gleichzeitig abrufen und in einer übersichtlichen Darstellung zusammenführen – zum Beispiel dein Girokonto, dein Tagesgeldkonto und eine Prepaid-Kreditkarte. Das hilft enorm, wenn du dein Gehalt, Einnahmen aus freiberuflicher Tätigkeit und monatliche Ausgaben für Miete, Lebensmittel und Abo-Dienste im Blick behalten willst. Technisch gesehen war dieses Zusammenführen von Kontodaten schon früher möglich, aber oft über unsichere Methoden wie das sogenannte „Screen Scraping" – dabei hat die App direkt deine Banking-Zugangsdaten erhalten und sich quasi als du eingeloggt. PSD2 hat dieses Verfahren faktisch beendet, weil Banken nun sichere APIs bereitstellen müssen.

Alle Drittanbieter, die im Open-Banking-Rahmen tätig werden wollen, müssen bei einer nationalen Aufsichtsbehörde registriert oder lizenziert sein. In Deutschland ist das die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin). Das BaFin-Register ist öffentlich zugänglich und sollte dein erster Anlaufpunkt sein, bevor du einer unbekannten App Zugriff auf dein Konto gewährst. Wenn eine App nicht im Register auftaucht, ist äußerste Vorsicht geboten – sie operiert dann außerhalb des regulatorischen Rahmens, und dein Schutz durch PSD2 greift unter Umständen nicht vollständig.

Deine Rechte als Kontoinhaber:in unter PSD2

PSD2 ist nicht nur ein technisches Regelwerk – sie stärkt auch konkret deine Rechtssposition als Verbraucher:in. Eines der wichtigsten Elemente ist die Haftungsverteilung bei unautorisierter Zahlung. Wenn jemand ohne deine Zustimmung eine Zahlung über dein Konto auslöst, muss die Bank diesen Betrag grundsätzlich unverzüglich zurückbuchen. Die Beweislast, dass du die Zahlung autorisiert hast oder grob fahrlässig gehandelt hast, liegt dabei bei der Bank – nicht bei dir. Das ist ein bedeutsamer Unterschied zu früheren Regelungen und schützt dich gerade in stressigen Situationen, wenn du vielleicht nicht sofort alle Details eines verdächtigen Vorgangs nachweisen kannst.

Das Gesetz sieht einen begrenzten Selbstbehalt vor, wenn dir leichte Fahrlässigkeit nachgewiesen werden kann. Die genaue Betragsgrenze ist im ZAG geregelt – informiere dich bei deiner Bank über die aktuell geltenden Konditionen, da diese je nach Fallkonstellation variieren können. Bei grober Fahrlässigkeit – etwa wenn du deine PIN an Dritte weitergegeben hast – kann die volle Haftung auf dich übergehen. Deshalb ist es so wichtig, deine Zugangsdaten niemals zu teilen, auch nicht mit vermeintlich seriösen Apps oder auf Anfrage von angeblichen Bankmitarbeiter:innen.

Ebenfalls durch PSD2 geregelt ist das Surcharge-Verbot: Händler dürfen für gängige Kartenzahlungen mit Visa oder Mastercard keine zusätzlichen Aufschläge mehr verlangen. Das war früher in manchen Bereichen – etwa beim Kauf von Flugtickets oder Konzertkarten – gängige Praxis und hat Verbraucher:innen oft unverhältnismäßig stark belastet. Darüber hinaus haben Banken eine umfangreiche Informationspflicht: Vor und nach jeder Zahlung müssen sie dir klare Angaben zu Gebühren, Wechselkursen und Konditionen machen. Das ist besonders relevant, wenn du auf Reisen mit deiner deutschen Karte bezahlst oder Geld in Fremdwährung abhebst.

PSD2 und Kreditkarten: Was ändert sich konkret beim Bezahlen?

Die technische Umsetzung von SCA für Kreditkartenzahlungen im Internet erfolgt über den Standard 3D Secure 2.0 – bekannt unter den Markennamen „Verified by Visa" und „Mastercard Identity Check". Dieses Protokoll ermöglicht es, im Hintergrund viele Datenpunkte einer Transaktion zu analysieren (Gerät, Standort, Kaufhistorie, Betragshöhe) und darauf basierend zu entscheiden, ob eine aktive Authentifizierung durch dich notwendig ist oder ob die Transaktion als risikoarm eingestuft werden kann. Fällt die Risikoanalyse positiv aus, läuft die Zahlung ohne zusätzlichen Schritt durch. Fällt sie negativ aus oder liegt der Betrag über bestimmten Grenzwerten, wirst du zur aktiven Bestätigung aufgefordert – typischerweise per Push-Notification oder biometrischem Scan.

Für Verbraucher mit Prepaid-Kreditkarte oder rein virtueller Karte gelten dieselben SCA-Regeln wie für klassische Kreditkarten. Der Kartentyp macht keinen Unterschied – entscheidend ist, dass eine Zahlungstransaktion im Sinne von PSD2 stattfindet. Das ist auch dann relevant, wenn du eine virtuelle Karte in deinem Smartphone-Wallet (Apple Pay, Google Pay) hinterlegst: Kontaktlose Zahlungen im Laden unterhalb bestimmter Betragsgrenzen können ohne SCA ablaufen, aber bei höheren Beträgen oder nach einer bestimmten Anzahl aufeinanderfolgender kontaktloser Zahlungen wird die Bank eine explizite Bestätigung verlangen.

Wiederkehrende Zahlungen – zum Beispiel monatliche Abonnements für Streamingdienste oder Cloud-Speicher – sind ein Sonderfall. Hier schreibt PSD2 vor, dass die allererste Abbuchung einer solchen Reihe über SCA abgesichert sein muss, sogenannte Folgetransaktionen sind dann von SCA ausgenommen, solange sie im vereinbarten Rahmen bleiben. Das erklärt, warum du beim erstmaligen Abschluss eines Abos manchmal zur Bestätigung aufgefordert wirst, danach aber nichts mehr aktiv tun musst. Wichtig: Wenn sich Betrag oder Empfänger ändern, kann erneut SCA erforderlich werden.

PSD2 vs. PSD3: Was kommt als Nächstes für dein Online-Banking?

Die EU-Kommission hat bereits einen Legislativvorschlag für PSD3 sowie eine begleitende Zahlungsdienste-Verordnung (PSR) präsentiert. Das Ziel: Die Stärken von PSD2 beibehalten, aber bekannte Schwachstellen schließen. Dazu gehören vor allem ein verbesserter Schutz vor Betrug bei Echtzeit-Überweisungen (Instant Payments), klarere Haftungsregeln bei Phishing-Angriffen und eine Ausweitung des Open-Banking-Gedankens auf weitere Finanzbereiche wie Sparkonten, Wertpapierdepots oder Versicherungen – Stichwort „Open Finance". Der genaue Zeitplan für Verabschiedung und nationale Umsetzung stand zum Zeitpunkt dieser Veröffentlichung noch nicht fest; Beobachter:innen erwarten einen Abschluss irgendwann in der zweiten Hälfte der 2020er Jahre.

Für Verbraucher:innen ist PSD3 aus mehreren Gründen interessant. Erstens sollen die Haftungsregeln bei Social-Engineering-Betrug – also wenn du etwa durch einen gefälschten Anruf eines vermeintlichen Bankmitarbeiters zur Überweisung verleitet wirst – klarer und verbraucherfreundlicher gestaltet werden. Zweitens ist eine bessere Vergleichbarkeit von Kontogebühren und Leistungen geplant, was dir die Wahl des richtigen Girokontos erleichtern könnte. Drittens sollen offenere und standardisiertere APIs dafür sorgen, dass Budgetierungs- und Finanzplanungs-Apps noch besser und zuverlässiger mit deinen Bankdaten zusammenarbeiten können.

Bis PSD3 in Kraft tritt, gilt: PSD2 ist dein aktueller Schutzschirm. Kenne deine Rechte darunter, nutze die Möglichkeiten von Open Banking mit Bedacht und halte dich über neue Entwicklungen auf dem Laufenden. Das Regelwerk mag komplex klingen, aber der Kern ist simpel: mehr Sicherheit, mehr Kontrolle, mehr Transparenz – alles Dinge, die für eine solide persönliche Finanzplanung besonders wertvoll sind.

PSD2 im Alltag: Praktische Do's & Don'ts

Wissen ist gut, Handeln ist besser. PSD2 entfaltet seinen Schutz nur dann vollständig, wenn du als Nutzer:in informiert agierst. Der erste und wichtigste Punkt: Nutze ausschließlich lizenzierte Drittanbieter, wenn du einer App Zugang zu deinen Kontodaten gewährst. Das BaFin-Register ist online frei zugänglich – ein kurzer Check vor der Installation einer neuen Finanz-App kostet wenige Minuten und kann dich vor erheblichem Schaden bewahren. Wenn eine App nicht auffindbar ist oder aus einem Nicht-EU-Land operiert, ohne dort reguliert zu sein, ist Skepsis angebracht.

Aktiviere unbedingt die Push-Benachrichtigungen deiner Banking-App. Diese Echtzeit-Informationen sind im Kontext von PSD2 dein persönliches Frühwarnsystem: Jede Abbuchung erscheint sofort auf deinem Sperrbildschirm. Erkennst du eine Zahlung nicht, kannst du sofort die Bank kontaktieren und die Erstattung einleiten – je schneller du reagierst, desto besser stehen die Chancen auf unkomplizierte Rückbuchung. Die Beweislast liegt zwar grundsätzlich bei der Bank, aber Verzögerungen können die Situation komplizieren.

Auf der anderen Seite gibt es klare Verhaltensweisen, die du unbedingt vermeiden solltest. Teile niemals deine Banking-PIN, dein Passwort oder einen TAN mit Dritten – nicht per Telefon, nicht per E-Mail, nicht in einer App. Dank PSD2-konformer APIs braucht keine seriöse Finanz-App diese Daten. Wenn eine App oder eine Person danach fragt, ist das ein sicheres Zeichen für Betrug. Versuche auch nicht, SCA-Abfragen zu umgehen oder zu ignorieren. Falls du im Betrugsfall grobe Fahrlässigkeit – etwa das bewusste Umgehen von Sicherheitsmechanismen – nicht ausschließen kannst, riskierst du, selbst für den Schaden aufkommen zu müssen. Die Schutzrechte aus PSD2 sind keine Einbahnstraße: Sie setzen voraus, dass du als Kontoinhaber:in sorgfältig mit deinen Zugangsdaten umgehst.

Ein letzter praktischer Hinweis: Überprüfe regelmäßig in den Einstellungen deiner Bank oder deines Online-Banking-Portals, welchen Drittanbietern du Kontenzugang erteilt hast. PSD2 schreibt vor, dass Banken dir diese Übersicht bereitstellen und dir die Möglichkeit geben, Berechtigungen jederzeit zu widerrufen. Wenn du eine App nicht mehr nutzt, entziehe ihr auch den Datenzugriff. So behältst du die volle Kontrolle über deine Finanzdaten.

Finanzen im Griff behalten – mit PSD2 als Rückenwind

PSD2 gibt dir mehr Kontrolle über deine Finanzdaten als je zuvor. Nutze diese Kontrolle aktiv: Überprüfe regelmäßig, welchen Drittanbietern du Kontenzugang erteilt hast, halte deine Authentifizierungs-App aktuell und reagiere sofort auf verdächtige Abbuchungen. Das Regelwerk schützt dich – aber nur, wenn du es kennst und entsprechend handelst.

Ein strukturierter Überblick über Einnahmen und Ausgaben ist dabei die Grundlage solider Finanzen. Ob Gehalt, Rentenzahlung oder Kindergeld – wer weiß, was monatlich rein- und rausgeht, trifft bessere Entscheidungen. Nutze die Möglichkeiten von Open Banking mit lizenzierten Apps, um diesen Überblick zu gewinnen, ohne auf Sicherheit verzichten zu müssen.

Häufige Fragen