NextGenPSD2-Conference 2017 in Berlin

Hier ein paar Informationen zur gestrigen NextGenPSD2-Conference in Berlin.

Die Veranstaltung war top organisiert, sehr tolles Ambiente (Atrium der Kunsthalle der Deutschen Bank) - auch die Inhalte waren hoch interessant, wobei es technisch nicht so ganz in die Tiefe ging, wie in den anfänglichen Präsentationen suggeriert wurde. Auf dem Level von einzelnen beispielhaften Requests und einer kurzen Demo des Einreichens eines Auftrags in einer Umgebung der Deutschen Bank endete das Technikniveau erst einmal.

Grundsätzlich ging Alles um die von der BerlinGroup vorgestellte XS2A-Schnittstelle. Diese befindet sich aktuell in einer öffentlichen Beratung. Jeder kann sich die Dokumente herunterladen, anschauen und Kommentare dazu abgeben. Die Veranstaltung selbst war mit 250 Teilnehmern komplett ausgebucht.

Besonders interessant waren auch Informationen über die zeitlichen Abläufe. Die RTS (Regulatory Technical Standards), die technische Umsetzungsdetails enthalten, sind wohl fertig und aktuell in der Übersetzung. Wenn ich das richtig verstanden habe, dann wird das Dokument von dem EU-Parlament aber erst nach der Übersetzung frei gegeben. Vorgelegt werden soll es Ende November. Das Parlament hat dann drei Monate Zeit, das Dokument zu diskutieren und frei zu geben. Die englische Version der RTCs wird schon vorher veröffentlicht werden - um nicht zu viel Zeit verstreichen zu lassen.

Wird das Dokument dann durch das EU Parlament frei gegeben, beginnt die 18-monatige Umsetzungszeit. Faktisch sprechen wir dann also von September 2019, zu dem die Banken spätestens entsprechende XS2A-Schnittstellen anbieten müssen. Da bin ich schon einmal sehr gespannt. Sicher werden einige Banken schon vorher starten.

Ebenfalls erwähnenswert ist, dass viele Teilnehmer aus unterschiedlichen Ländern der EU zur Veranstaltung gekommen sind. Die BerlinGroup hat es offensichtlich geschafft, hier entsprechende Aufmerksamkeit zu erzeugen. Spannend wird natürlich sein, welche Banken dann tatsächlich eine XS2A-Schnittstelle nach Vorgaben der BerlinGroup umsetzen.

Eine durchaus sinnvolle Option ist die XS2A-Schnittstelle der BerlinGroup definitiv. Insbesondere, weil die BerlinGroup hier echte Transparenz schafft und die Schnittstellendokumentation (auch wenn sie noch nicht vollständig ist) veröffentlicht und der Öffentlichkeit auch auf Veranstaltungen wie dieser vorstellt. Vielen Dank dafür!

Warum WebScraping bleiben wird

Die PSD II untersagt ja WebScraping (auch ScreenScraping genannt) mehr oder weniger. Die Banken werden zumindest aufgefordert, technische Maßnahmen zu ergreifen, um das “Scrappen” ihrer Webseiten zu unterbinden.

Auch wenn es die von der PSD II geforderten Access-To-Accounts-Schnittstellen (XS2A) geben wird, so ist wohl eher nicht davon auszugehen, dass über diese Schnittstellen genau die Daten abgerufen werden können, die FinTechs, StartUps oder allgemein Dritte auch benötigen. So sind schon einmal grundsätzliche Daten von Depots oder Kreditkarten über die PSD II überhaupt nicht abgedeckt, denn die PSD II behandelt nur den Zahlungsverkehr. Es wird also auch zukünftig WebScraping erforderlich sein - wenn den Endkunden nach Einführung der PSD II nicht weniger Daten zur Verfügung stehen sollen als derzeit.

Jetzt können die Banken natürlich hergehen und nur die Bereiche ihres Onlinebankings abkapseln, wenn die entsprechenden Daten auch über eine XS2A-Schnittstelle erreichbar sind. Für diese Bereiche lässt sich dass WebScraping dann aktiv unterbinden, während die anderen Bereiche (Kreditkarten, Depots, Versicherungen, Bausparen, etc.) für WebScraping nach wie vor erreichbar sind. Technisch lässt sich das aber nur sehr schwierig umsetzen, insbesondere wenn die unterschiedlichen Kontoarten schon in der Finanzübersicht gemischt angezeigt werden.

Und eines der höheren Ziele der PSD II, die Sicherheit zu verbessern, schlägt ebenfalls fehl, da ja insbesondere die schützenswerten Zugangsdaten auch künftig an die Webseiten der Bank übermittelt werden.

Natürlich kann die XS2A-Schnittstelle um die relevanten Daten angereichert werden. Bisher dürften die Banken jedoch nicht hinreichend wissen, welche Informationen die WebScraper bisher abfragen und verwerten.

Man kann also schon sehr leicht erkennen, dass auch künftig WebScraping zwingend erforderlich sein wird. Die Banken sind auf jeden Fall auf der sicheren Seite, wenn ihnen die bisher aus ihrer Sicht eher anonym agierenden WebScraper künftig bekannt sind - nicht nur um herauszufinden, welche Daten der Kunden abgerufen werden.

Tokenizing - eine Lösung für mehr Sicherheit?

Die Regulierungsrichtlinie PSD II (Payment Service Directive II) der EU bringt viele Neuerungen mit sich - unter anderem fallen Servicedienste (TPP - Third Party Provider) nun auch unter die Regulierung. Ziel ist dabei sicher, dass eine höhere Sicherheit durch die regulatorischen Vorgaben erreicht werden sollen.
Nun ist es so, dass auch die PSD II davon ausgeht, dass bei den Dienstleistern die Zugangsdaten der Kunden gespeichert werden um den Zugriff zu den einzelnen Banken zu ermöglichen. Was ist aber, wenn das speichern der sicherheitsrelevanten Daten überhaupt nicht erforderlich wäre?
Für die Weitergabe von Berechtigungen gibt es nämlich heute schon probate Mittel. So kann man sich auf Webseiten zum Beispiel auch mit seinem Google- oder Facebook-Account anmelden. Der Webseitenbetreiber kann bei Google dann anfordern, dass der Klartextname des Kunden an ihn übermittelt wird. Der Nutzer wird bei der Registrierung auf diese Weitergabe recht prominent hingewiesen und bestätigt dies. Bei Nichtgefallen kann der Registrierungsprozess natürlich jederzeit abgebrochen werden.
Nun kann eine Google- oder Facebook-Anmeldung eine Autorisierung bei Banken nicht ersetzen, aber ein Blick auf die Vorgehensweise zwischen Google und Webseite erklärt recht schnell die Hintergründe. Denn auch hier werden Berechtigungen (im geschilderten Fall zur Übermittlung des Nutzernamens) übertragen.
Übertragen auf Banken funktioniert das recht ähnlich - bei der Registrierung eines Kunden bei einem Dienstleister gibt der Kunde seine Bankzugangsdaten nicht bei dem Dienstleister an, sondern wird auf ein Portal bei der Bank verwiesen. Nach erfolgreicher Eingabe und Prüfung erhält der Dienstleister von der Bank eine positive Rückmeldung. Dabei wird ein für den Kunden eindeutiger Zahlenwert zwischen Bank und Dienstleister ausgetauscht - ein sogenannter Token. Dieser kann bei allen nachfolgenden Anfragen des Dienstleisters verwendet werden.
Tokenizing - ein sinnvoller Schachzug? Es scheint tatsächlich so, zumal die Bundesregierung plant, sichere Logins per Online-Banking überall verfügbar zu machen - womit sich der Kunde an fremden Diensten und Portal mit seinen aus dem Online-Banking bekannten Zugangsdaten anmelden kann. Tokenizing wäre sicher eine sinnvolle Grundlage dafür.

POST /bank - Grand final der Postbank Hackathon-Reihe (Teil 2)

Am 18.3.2017 stieg das große Finale der Hackathon-Reihe der Postbank #deletelimits.

Dabei hatten die Gewinner der Hackathon-Reihe die Möglichkeit erneut zu Pitchen und dabei ihre Lösungen vorzustellen. Hier Teil zwei einer kleinen Zusammenfassung der Vorstellungen:

Anna ist eine geniale Onlinebanking-App im Stile eines Messengers. Clever frägt die App nach und sogar Überweisungen lassen sich damit einstellen.

PayHero bietet nicht nur Geldtransfers per einfachem Foto, sondern auch weitere sinnvolle Services, wie Preisvergleiche.

Intelligent Transaction ermittelt Kundenbedürfnisse und kann Kunden - je nach Bedürfnissen - in einzelnen Gruppen zusammenfassen.

Certface (in Stuttgart der Postbank API-Gewinner) ermöglicht Anmeldungen zu Events und zieht dabei gleich eine Kaution ein - bei Besuch des Events wird das Pfand wieder gutgeschrieben. Der Veranstalter kann sich sicher sein, dass sich nur wirklich interessierte Personen anmelden.

Mit Piggy Bank (in Stuttgart der SAP-API-Gewinner) wird ein regelbasiertes Online-Banking vorgestellt.

Und zum Abschluss: Der DispoWarner warnt den Nutzer, bevor der Kontostand negativ wird. Erkannte künftige Umsätze fließen in die Berechnung ein. Ausgabenentscheidungen können so fundamental getroffen werden.

Community-Gewinner wurde Schmutziges Wiesel. Daneben wurden drei erste Plätze gekürt: Anna, PayHero und Trust.me.


Hier geht es zum ersten Teil des Artikels: POST /bank - Grand final der Postbank Hackathon-Reihe.

POST /bank - Grand final der Postbank Hackathon-Reihe

Gestern fand das große Finale der Hackathon-Reihe #deletelimits der Postbank statt. Die Postbank hat in den letzten Monaten nicht nur einen, sondern gleich drei Hackathons jeweils in Köln, Berlin und Stuttgart durchgeführt. Dazu noch drei weitere Meetups in Hamburg, München und Frankfurt - und nun ein grandioses Finale in Bonn, mit Livekonzert von Jupiter Jones und vielen Gewinnerideen aus den vorangegangenen Veranstaltungen.

Die Hacker hatten noch einmal die Chance ihre Lösungen und Produkte in jeweils drei Minuten kurz vorzustellen - die Sponsoren haben für die Besten nochmal tolle Preise ausgelobt.

Den Start machte der Communitygewinner "Schmutziges Wiesel" mit einer App, die eine PIN-Eingabe in der App statt am Geldautomaten ermöglicht. Die App sorgt dafür, dass das Geld zum richtigen Zeitpunkt am Geldautomaten heraus kommt, egal wie das Pinpad am Geldautomaten aussieht oder von einer Hackerkamera abgefilmt wird.

Danach folgte MyFunMoney, eine sehr schicke Online-Banking-App die insbesondere zukünftige Ausgaben sehr anschaulich darstellt. So habe ich die Entwicklung meines Kontostands immer gut im Blick.

Die nächsten beiden Apps beschäftigen sich mit der Identifikation von Benutzern - bei CognitiveAuth mittels geschossenem Foto in der App und bei Trust.Me mittels Sensordaten, die zum Beispiel vom SmartPhone gemacht werden, während man es aus der Tasche zieht. Die Trust.Me-Entwickler haben fest gestellt, dass sich die gewonnen Daten der Sensoren bei unterschiedlichen Personen so stark unterscheiden, dass eine eindeutige Identifizierung möglich ist. Solche Lösungen lassen sich natürlich sehr gut mit Online-Banking kombinieren.

BioPay identifiziert ebenfalls Personen anhand von geschossenen Fotos und vereinfacht damit den Bezahlvorgang am Point of Sale. Das Bezahlen geht damit viel schneller und ist deutlich einfacher, da weder Geldbeutel noch Karte oder PIN benötigt werden.

Der Wildcard-Gewinner datum.me stellt eine Lösung vor, in der ein Kunde seine persönlichen Daten sicher verwalten kann und dadurch bei den Banken für höchste Aktualität sorgt - damit kann Fraud Prevention noch hochwertiger durchgeführt werden.

[stay tuned] Die weiteren Ideen und Infos zum Preisträger folgen in einem weiteren Artikel...

Grand Final zu den POST /bank Hackathons

Heute findet das Grand Final der Postbank Hackathon-Reihe statt - glücklicherweise habe ich eine Einladung erhalten und darf daran teilnehmen.

Im Rahmen der Hackathons gab es die Möglichkeit, sich an eine ganze Reihe von APIs (neben der Postbank-API auch an die Deutsche Bahn, SAP, Microsoft, die SatoshiPay Digital Goods API von SathoshiPay, die Open Data Plattform der Stadt Köln oder die Giant Swarm API) anzubinden und komplett neue Produkte und Lösungen zu entwerfen.

Ich bin schon einmal sehr gespannt auf die Pitches, die heute vorgestellt werden und vor allem die Ideen, die damit umgesetzt werden. Sicher eine gute Grundlage und interessante Inspiration für weitere Services für die XS2A-Schnittstellen.

Die Wünsche aus Kundensicht

XS2A steht als Abkürzung für Access (XS) to (2) Accounts (A) und ist eine Anforderung an Banken, die durch die Payment Service Directive II (PSD II) von der EU formuliert wurde. Bis 2018 müssen Banken die EU-Richtlinie umsetzen. Ein Teil der PSD II beschäftigt sich mit Dienstleistern, die Aufträge für ihre Kunden bei Banken einreichen und kundenbezogene Daten abrufen.

Doch gibt es auch Wünsche aus Kundensicht im Sinne von Endkunden?

Sicher muss es sein - aber auch einfach zu bedienen. Das ist wohl selbstverständlich. Doch welche Möglichkeiten gibt es noch?

Konto- und Umsatzdaten

Die nicht erst seit BTX-Zeiten mit hohem Abstand am häufigsten genutzte Funktionalität ist das Abfragen von Kontoinformationen und Umsatzdaten. Mit XS2A stehen diese dann den dritten Dienstleistern zur weiteren Verarbeitung zur Verfügung - über möglichst schlanke und effektive Schnittstellen, die schnell und einfach integriert werden können. Multibankfähige Apps oder Portale sind dann genauso möglich wie Budgetverwaltung (Personal Finance Management) oder andere Anwendungen, die sich mit der Auswertung von Daten beschäftigen, wie zum Beispiel Kontowechselservices.

Wertpapierinformationen

Wertpapiere unterliegen häufigen Kursschwankungen, auch wenn sich am Bestand selbst nichts ändert.

Wichtig wird - neben dem aktuellen Depotbestand daher insbesondere die Orderhistorie. Nur wenn Kauf- und Verkaufszeitpunkte und Ausführungskurse bekannt sind, lassen sich aus den realisierten Gewinnen und Verlusten auch die entsprechenden Renditen errechnen. Bisher ist das oft nur durch Nacherfassung aller Depotumsätze möglich, da die Orderhistorie typischerweise nur sehr selten über entsprechende Schnittstellen abgerufen werden kann.

Mit Push-Nachrichten kann dann auch noch das Orderbuch optimal ergänzt werden. So kommen Ausführungsinformationen mit relevanten Details zeitnah beim Depotinhaber oder Verwalter an.

Push-Nachrichten

Versendet die XS2A-Schnittstelle an alle berechtigten Systeme entsprechende Push-Nachrichten bei Änderungen, dann wäre das natürlich grandios - in mehrerlei Hinsicht. So sieht der Kunde in seiner App sofort, wenn sich auf seinem Konto etwas getan hat. Sei es der Einkauf der nun abgebucht wird, oder wenn das ersehnte Gehalt eingeht. Das technisch aufwändige, ständige Nachfragen („ist immer noch kein neuer Umsatz vorhanden“) entfällt komplett. Natürlich bedeutet dies eine direkte Entlastung der Infrastruktur auf der Bankenseite. Statt vieler Nachfragen - die meisten ohne oder noch schlimmer ohne neue Ergebnisse - wird nur noch einmal die Kommunikation aufgebaut, und zwar genau dann, wenn das auslösende Ereignis eintritt. Daneben wird die push-Nachricht unmittelbar beim entsprechenden Ereignis versandt - während das bisher verwendete Pullen (regelmäßige Nachfragen) immer erst mit entsprechendem Zeitversatz an die gewünschten Informationen herankommt. Versuchte man auch noch, den Zeitversatz möglichst gering zu halten, dann gelingt das nur durch Erhöhung der Abfragefrequenz - mit der Auswirkung, dass die Banksysteme nun noch mehr Anfragen zu verarbeiten haben. All dies würde entfallen und dazu würde sich auch noch die Kundenerfahrung deutlich verbessern, wenn aktive push-Nachrichten von der XS2A-Schnittstelle ausgehen würden.

Payment

XS2A ist eine tolle Möglichkeit, Blockchain-Mechanismen einzuführen. Händler können über einfache Requests Zahlungsaufforderungen bei der Bank einreichen, die der Kunde dann im Internetbanking der Bank sicher autorisiert. Der Händler hat mit der Zahlungsaufforderung eine eindeutige ID mitgeliefert, die von der Bank in einem Blockchain veröffentlicht und signiert wird. Der Händler kann die Zahlung als durchgeführt erkennen und die Ware an den Kunden senden, sobald er die ID in der Blockchain der Bank vorfindet. Natürlich können weiterhin gewohnte Benachrichtigungen in Form von E-Mails und Backlinks die Bezahlinformation an den Händler senden.

Schon heute gibt es entsprechende Möglichkeiten, auf Bankdaten zuzugreifen. Kompliziert sind diese allerdings - und standardisiert nur in wenigen Teilen von Europa. Mit einer smarten und schlanken „state of the Art“ XS2A-Schnittstelle, die vor allem technisch einfach zu integrieren ist würden sich die Banken sicherlich einen großen Gefallen tun, neue Märkte erschließen und tolle Kundenservices ermöglichen.

Verknüpfungen mit anderen Diensten

Einfache Schnittstellen lassen sich gut mit anderen Schnittstellen verknüpfen, selbst wenn nur wenige oder gar keine Gemeinsamkeiten vorhanden sind. Stelle man sich vor, dass Universitäten Noten und Zensuren anonym und in Blockchains abgesichert öffentlich zur Verfügung stellen. Eltern und Großeltern können die IDs der Studenten hinterlegen, so dass bei jeder guten Note eine Überweisung in Höhe von 10,- EUR auf die Prepaid-Kreditkarte der Studentin ausgeführt wird. Einfacher und direkter lässt sich wohl kaum eine andere Belohnung realisieren.

IFTTT

„If This Than That“-Anwendungen kümmern sich um Workflows. Es werden Events definiert, auf die in einer bestimmten Art und Weise reagiert wird. Sowohl auf einfache Ereignisse, wie zum Beispiel „der erste Montag eines Monats“ kann reagiert werden, als auch auf komplexe Events. So könnte zum Beispiel ein Unterschreiten des Saldos direkt dazu führen, dass die PrePaid-Karte mit weiteren EUR 50,- aufgeladen wird, sofern noch ein entsprechendes Guthaben auf dem Girokonto ist und der Monat noch weniger als 10 restliche Tage hat.

Schon alleine an dieser kleinen Übersicht an Wünschen und konkreten Ideen lässt sich erkennen, dass in XS2A ein unheimlich großes Potential steckt, das bei sinnvoller Umsetzung gehoben werden kann.

XS2A - was ist das und was passiert hier?

Access to Accounts (XS2A) ist eine im Rahmen einer EU-Verordnung (Payment Service Directive II - PSD II) geforderte offene Schnittstelle zu Banken und Finanzinstituten.

XS2A soll FinTechs, StartUps, Servicedienstleistern und Shops den Zugang zu Konten wesentlich erleichtern.

Per XS2A können Kontodaten im Namen von Endkunden abgerufen und Zahlungen eingestellt werden.

Damit können Anwendungen wie beispielsweise Bonitätsprüfungen anhand von Kontoumsätzen, ein einfacher und intelligenter Kontowechselservice oder Bezahlung von Waren und Dienstleistungen

Jetzt könnte man meinen: APIs zu Banken gibt es doch schon, weshalb noch mehr? Da stehen in Deutschland das weit verbreitete HBCI (Homebanking Computer Interface) und FinTS (Financial Transaction Services) zur Verfügung, in Österreich der Multibankenstandard MBS und international gibt es noch OFX (open financial exchange). Allen gemeinsam ist jedoch, dass es sich um betagte Schnittstellen handelt und sich inzwischen deutlich einfacher integrierbare API-Konzepte durchgesetzt haben die gerade StartUps und FinTechs gewohnt sind und auch fordern. Faktisch ist auch keine der bestehenden Schnittstellen innerhalb der EU auch nur annähernd flächendeckend verbreitet. EU-weit skalieren lässt sich daher kein Produkt, das auf den bestehenden Schnittstellen aufsetzt.

Bis Februar 2018 soll die EU-Verordnung jeweils entsprechend in nationales Recht umgesetzt sein. Wir dürfen also gespannt sein, was sich in der Zeit bis dahin noch so Alles tun wird. Ich freue mich schon sehr, wenn ich Sie dabei begleiten darf. Schauen Sie immer mal wieder rein und natürlich stehe ich Ihnen bei Fragen oder Anregungen sehr gerne zur Verfügung. Schreiben Sie ganz einfach eine kurze E-Mail an info@xs2a.io.

Opening soon!

Herzlich willkommen auf xs2a.io - dem Blog zu Access to Accounts!

Aktuell gibt es hier leider noch keine Einträge - das wird sich aber schon in Kürze ändern.

Demnächst wird es auch die Möglichkeit geben, sich zu einem Newsletter anzumelden und so über künftigen Änderungen informiert zu werden. Bis es soweit ist, reicht ein einfache E-Mail an info@xs2a.io aus.