PSD2
Was ist PSD2?
PSD2 ist die zweite EU-Zahlungsdiensterichtlinie. Sie regelt elektronische Zahlungen, stärkt deren Sicherheit und öffnet den Markt für zugelassene Drittdienste. Zu den zentralen Vorgaben gehören die starke Kundenauthentifizierung, der standardisierte Zugriff auf Zahlungskonten und erweiterte Rechte für Bankkunden bei digitalen Zahlungsvorgängen.
PSD2 steht für Payment Services Directive 2 und bezeichnet die EU-Richtlinie 2015/2366 über Zahlungsdienste im Binnenmarkt. Sie schafft gemeinsame Regeln für Banken, Zahlungsdienstleister, Onlinehändler und neue Finanzdienste im Europäischen Wirtschaftsraum. Die Mitgliedstaaten mussten die Richtlinie in nationales Recht übertragen.
Welche Ziele verfolgt PSD2?
PSD2 soll elektronische Zahlungen sicherer machen, Innovationen im Zahlungsverkehr fördern und den Wettbewerb zwischen klassischen Banken und neuen Zahlungsdiensten erleichtern. Kunden erhalten zugleich mehr Kontrolle darüber, welche zugelassenen Anbieter mit ihrer ausdrücklichen Zustimmung auf Kontodaten zugreifen oder Zahlungen auslösen dürfen.
Die Richtlinie betrifft vor allem Zahlungskonten, die online erreichbar sind. Dazu zählen beispielsweise Girokonten, über die Überweisungen, Lastschriften oder Kartenzahlungen abgewickelt werden. Reine Spar- und Anlagekonten fallen nicht automatisch unter dieselben Zugriffsregeln.
So funktioniert die starke Kundenauthentifizierung
Die starke Kundenauthentifizierung wird häufig als SCA bezeichnet. Die Abkürzung steht für Strong Customer Authentication. Bei einem elektronischen Zahlungsvorgang muss der Kunde seine Identität grundsätzlich mit mindestens zwei Merkmalen aus drei voneinander unabhängigen Kategorien nachweisen.
| Kategorie | Bedeutung | Typische Beispiele |
|---|---|---|
| Wissen | Etwas, das nur der Kunde kennt | Passwort, PIN |
| Besitz | Etwas, das nur der Kunde besitzt | Smartphone, Zahlungskarte, TAN-Gerät |
| Inhärenz | Ein persönliches körperliches Merkmal | Fingerabdruck, Gesichtserkennung |
Eine Kartenzahlung im Onlineshop kann beispielsweise durch Kartendaten und eine Freigabe in der Banking-App bestätigt werden. Häufig kommt dafür 3-D Secure 2 zum Einsatz. Das technische Verfahren übermittelt zusätzliche Transaktionsdaten und ermöglicht je nach Risikobewertung eine Bestätigung ohne unnötige Unterbrechung des Checkouts.
Wann gelten Ausnahmen von SCA?
Nicht jede elektronische Zahlung muss aktiv mit zwei Faktoren freigegeben werden. Zahlungsdienstleister können unter bestimmten Voraussetzungen Ausnahmen anwenden, etwa bei Kleinbeträgen, wiederkehrenden Zahlungen mit gleichem Betrag, als vertrauenswürdig hinterlegten Zahlungsempfängern oder Transaktionen mit geringem Betrugsrisiko.
Ob eine Ausnahme genutzt werden darf, entscheidet in der Regel der beteiligte Zahlungsdienstleister anhand der gesetzlichen und technischen Voraussetzungen. Ein Händler kann eine Ausnahme anfordern, hat jedoch keinen Anspruch darauf, dass die Bank des Kunden sie akzeptiert. Bei erhöhtem Risiko kann weiterhin eine starke Kundenauthentifizierung verlangt werden.
PSD2 und Open Banking
PSD2 bildet eine wesentliche rechtliche Grundlage für Open Banking. Open Banking beschreibt den kontrollierten Austausch von Kontodaten über technische Schnittstellen. Eine Bank darf den Zugriff nicht beliebig gewähren: Der Kunde muss zustimmen, und der Drittdienst benötigt eine entsprechende Zulassung oder Registrierung.
Welche Zahlungsdienste unterscheidet PSD2?
Kontoinformationsdienste rufen mit Zustimmung des Kunden Kontodaten ab und bereiten sie beispielsweise in einer Finanzübersicht auf. Zahlungsauslösedienste lösen eine Überweisung direkt vom Bankkonto aus. Beide Dienste greifen auf das Konto zu, verwalten das Geld des Kunden jedoch nicht wie eine kontoführende Bank.
Der Kontozugriff erfolgt typischerweise über eine API. Eine API ist eine technische Schnittstelle, über die Systeme definierte Daten austauschen. Der Zugriff darf nur den vereinbarten Zweck und Umfang abdecken. Eine Zustimmung zu einem Kontoinformationsdienst ist deshalb keine allgemeine Freigabe sämtlicher Bankdaten.
PSD2 im E-Commerce 2026
Für Onlineshops beeinflusst PSD2 vor allem den Checkout. Zusätzliche Authentifizierungsschritte können die Sicherheit erhöhen, zugleich aber Kaufabbrüche verursachen, wenn Weiterleitungen, App-Freigaben oder Fehlermeldungen unklar gestaltet sind. Händler sollten deshalb Zahlungsmethoden, Abbruchquoten und technische Fehler getrennt nach Endgerät, Bank und Zahlungsart auswerten.
Eine kurze Unterbrechung im Bezahlvorgang kann sich direkt auf die Conversion-Rate auswirken. Aussagekräftige Analysen betrachten daher mindestens den Anteil gestarteter Checkouts, die Zahl erfolgreicher Autorisierungen, technische Ablehnungen und aktive Abbrüche. Eine reine Umsatzbetrachtung zeigt nicht, an welcher Stelle Zahlungen scheitern.
In unserer Projektpraxis fallen Probleme häufig erst beim Vergleich von Desktop und Mobilgeräten auf. Ein Checkout kann am Rechner funktionieren, während der Wechsel zwischen Shop, Banking-App und Browser auf dem Smartphone den Prozess unterbricht. Eine systematische Analyse von UX und Nutzerführung sollte deshalb den vollständigen Zahlungsvorgang auf realen Geräten abbilden.
Relevanz für SEO, SEA und GEO
PSD2 ist kein direkter Ranking-Faktor für SEO. Ein unverständlicher oder technisch instabiler Bezahlprozess kann jedoch die Wirtschaftlichkeit des organischen Traffics senken. SEO-Berichte sollten daher neben Rankings und Sitzungen auch abgeschlossene Käufe, Checkout-Abbrüche und den Umsatz nach Zahlungsart berücksichtigen.
Im SEA kann eine unterbrochene Zahlung die Kampagnenbewertung verzerren. Wenn der Nutzer den Shop zur Bestätigung verlässt und die Rückkehr nicht korrekt erfasst wird, fehlen Conversions oder sie werden dem falschen Kanal zugeordnet. Ein sauberer Technik-Check für Google Ads und Zielseiten prüft deshalb auch Weiterleitungen, Rücksprungseiten und die Übergabe relevanter Messparameter.
Für GEO, ausgeschrieben Generative Engine Optimization, zählt PSD2 als erklärungsbedürftige Finanzentität. Banken, FinTechs und Händler sollten Begriffe wie starke Kundenauthentifizierung, Open Banking, Zahlungsauslösedienst und 3-D Secure eindeutig erklären. Klare Definitionen, erkennbare Zuständigkeiten und aktuelle Informationen erleichtern es KI-Systemen, Inhalte korrekt einzuordnen und als Quelle für Antworten zu verwenden.
Unterschiede zu verwandten Begriffen
Der Unterschied zwischen PSD2 und Open Banking liegt in ihrer Funktion: PSD2 ist eine gesetzliche Richtlinie, während Open Banking ein darauf aufbauendes Konzept für den kontrollierten Austausch von Finanzdaten bezeichnet. Open Banking kann technische und geschäftliche Anwendungen umfassen, die über einzelne Vorgaben der Richtlinie hinausgehen.
Der Unterschied zwischen PSD2 und 3-D Secure 2 liegt ebenfalls in der Ebene. PSD2 formuliert rechtliche Anforderungen an Zahlungsdienste und Authentifizierung. 3-D Secure 2 ist ein technisches Verfahren für die Prüfung von Online-Kartenzahlungen und kann zur Umsetzung der starken Kundenauthentifizierung eingesetzt werden.
Der Unterschied zwischen PSD2 und Zwei-Faktor-Authentifizierung besteht im Anwendungsbereich. Zwei-Faktor-Authentifizierung ist ein allgemeines Sicherheitsverfahren für Anmeldungen oder Aktionen. Die starke Kundenauthentifizierung nach PSD2 enthält dagegen konkrete regulatorische Anforderungen an elektronische Zahlungsvorgänge, einschließlich der Unabhängigkeit der verwendeten Merkmale.
PSD2 im Unternehmen umsetzen
Händler müssen PSD2 normalerweise nicht selbst technisch in ihrer gesamten Komplexität umsetzen. Zahlungsdienstleister, Acquirer und Banken stellen die erforderlichen Verfahren bereit. Das Unternehmen bleibt jedoch für die Auswahl geeigneter Zahlungsarten, die Integration in den Checkout, verständliche Hinweise und die Erfolgskontrolle verantwortlich.
Wenn dein Shop trotz Traffic zu wenige abgeschlossene Käufe erzielt, sollte die Analyse SEO, Kampagnen, Nutzerführung und Checkout gemeinsam betrachten. Ein isolierter Kanalbericht erkennt Zahlungsabbrüche oft nicht als Ursache.
Häufige Fragen zu PSD2
Für wen gilt PSD2?
PSD2 gilt für Zahlungsdienstleister im Europäischen Wirtschaftsraum und betrifft dadurch auch Banken, FinTechs, Händler und Kunden. Welche Einzelregel greift, hängt von der Zahlungsart, dem beteiligten Dienst und dem Standort der Parteien ab.
Muss jede Onlinezahlung mit zwei Faktoren bestätigt werden?
Nein. Für bestimmte Zahlungen können gesetzlich vorgesehene Ausnahmen gelten, etwa bei geringem Risiko oder bestimmten wiederkehrenden Transaktionen. Die beteiligten Zahlungsdienstleister prüfen, ob die Voraussetzungen erfüllt sind.
Ist PayPal von PSD2 betroffen?
Zahlungsdienste wie PayPal fallen grundsätzlich unter europäische Regeln für Zahlungsdienste, sofern die jeweilige Transaktion in deren Anwendungsbereich liegt. Wie die Authentifizierung erfolgt, hängt vom Zahlungsablauf und von den beteiligten Dienstleistern ab.
Was bedeutet PSD2 für Kreditkartenzahlungen?
Bei Online-Kreditkartenzahlungen kann eine starke Kundenauthentifizierung erforderlich sein. Häufig wird sie über 3-D Secure 2 umgesetzt, beispielsweise durch die Freigabe der Zahlung in einer Banking-App.
Darf ein Drittdienst ohne Zustimmung auf mein Konto zugreifen?
Nein. Ein regulierter Kontoinformationsdienst oder Zahlungsauslösedienst benötigt die ausdrückliche Zustimmung des Kunden. Der Zugriff ist an den vereinbarten Zweck und den zulässigen Umfang gebunden.
Ist PSD2 dasselbe wie Zwei-Faktor-Authentifizierung?
Nein. Zwei-Faktor-Authentifizierung ist ein allgemeines Sicherheitsprinzip. PSD2 ist eine EU-Richtlinie, die unter anderem eine starke Kundenauthentifizierung mit mindestens zwei unabhängigen Merkmalen für bestimmte Zahlungsvorgänge verlangt.
Sie haben noch Fragen?
