Open Banking und APIs: Chancen und Anforderungen für KMU

Warum Open Banking auch Schweizer KMU betrifft

Die Schweizerische Bankiervereinigung (Swiss Banking) betrachtet Open Banking und Open Finance als Faktoren, die den gesamten Bankensektor massgeblich und dauerhaft beeinflussen und verändern werden, mit erheblichem Potenzial für den Finanzplatz. Der Impuls ist nicht nur technologischer Natur: Geänderte Kundenbedürfnisse, neue Akteure und neue Technologien stellen die Banken vor bisher unbekannte Herausforderungen.

Der Punkt, der KMU direkt betrifft, ist die Fragmentierung der Wertschöpfungskette. Laut Swiss Banking werden Kunden heute von einem äusserst breiten und diversifizierten Spektrum an Anbietern bedient: Banken, Fintechs und branchenfremde Anbieter. In diesem Szenario stellt sich praktisch nicht mehr die Frage, „ob“ sich Open Banking und Open Finance durchsetzen werden, sondern nur noch, in welcher Form.

Für ein Unternehmen können Kontodaten, Zahlungen und Finanzinformationen in einem Ökosystem mit mehreren Beteiligten liegen: der Bank, dem Anbieter der Verwaltungssoftware, der E-Commerce-Plattform oder einer allfälligen Fintech-Firma.

Swiss Banking begleitet den Prozess, indem sie dazu beiträgt, Rahmenbedingungen zu definieren, die angemessene Geschäftsmodelle ermöglichen und die Wettbewerbsfähigkeit des Schweizer Finanzplatzes stärken. Die Vereinigung hält marktwirtschaftliche Lösungen für essenziell, um das Kundenvertrauen zu wahren (Wirtschaftsordnung).

Ein KMU kann somit drei unterschiedliche Rollen einnehmen: Kunde vernetzter Dienstleistungen, Anbieter, der Daten oder Dienste über eine Schnittstelle bereitstellt, oder Partner einer Bank oder einer Fintech-Firma.

APIs und Open Banking: Was standardisierter und geschützter Austausch bedeutet

Swiss Banking definiert Open Banking als Geschäftsmodell, das auf dem standardisierten und geschützten Datenaustausch zwischen einer Bank und einem Drittanbieter mit nachgewiesener Zuverlässigkeit basiert. Zu den Drittanbietern können auch andere Finanzdienstleister gehören. Die offene Standardisierung der Schnittstellen ist die Voraussetzung für eine einwandfreie Anbindung Dritter und einen fehlerfreien Datenaustausch.

Open Finance ist der Begriff, den die Staatssekretariat für internationale Finanzfragen (SIF) verwendet. Er ermöglicht den Austausch von Finanzdaten auf Kundenwunsch über standardisierte und sichere Datenschnittstellen. Die beiden entscheidenden Elemente sind daher untrennbar miteinander verbunden: ein gemeinsamer Standard zwischen den Parteien und die Zustimmung des Kunden, die den Austausch autorisiert.

Swiss Banking betont, dass die Öffnung der Schnittstellen und die Zusammenarbeit mit Drittanbietern nicht einseitig erfolgen dürfen. Der gegenseitige Austausch von Daten bietet allen beteiligten Parteien – Kunden, Drittanbietern und den Banken selbst – einen klaren Mehrwert.

Operativ bedeutet dies für ein KMU, eine Vereinbarung auf bidirektionaler Basis auszuhandeln. Es geht nicht nur um den Zugriff auf die Daten der eigenen Bank, sondern auch um die Definition, welche Daten und Dienste das Unternehmen selbst dem Ökosystem zur Verfügung stellt. Dabei muss festgelegt werden, wer diese speichert, zu welchen Zwecken und für wie lange.

Konkrete Chancen: Integrierte Zahlungen und vernetzte Finanzdienstleistungen

Im Jahr 2015 realisierte die Migros Bank eine der ersten Schweizer Anwendungen, die mit der europäischen Richtlinie über Zahlungsdienste (PSD2) konform war. Sie verband den Zahlungsdienst SOFORT des schwedischen Fintech-Unternehmens Klarna über eine speziell entwickelte Schnittstelle (E-Pay). Dadurch konnten die Kunden der Bank Einkäufe in über 30'000 Online-Shops in ganz Europa tätigen, ohne eine Kreditkarte zu verwenden. Dieses Beispiel zeigt, wie eine Schnittstelle den Zugang zu einem Netzwerk von Zahlungsmethoden eröffnen kann, das nicht direkt verwaltet wird.

Das Beispiel ist jedoch nicht als Verpflichtung zur Integration Dritter zu verstehen. Die Migros Bank weist darauf hin, dass das Bezahlen in einem Online-Shop ohne Kreditkarte nicht zwingend eine Open-Banking-Lösung mit der Integration eines externen Zahlungsdienstleisters erfordert. Die Kunden der Bank können online einfach mit der Visa Debit-Karte bezahlen, die sie automatisch als kostenlose Kontokarte erhalten. Die für ein KMU nützliche Frage lautet daher nicht „Brauchen wir APIs?“, sondern welches spezifische Problem bei Zahlung, Inkasso oder Datenzugriff die Integration im Vergleich zu bereits verfügbaren Alternativen löst.

Auf der Angebotsseite stellt die Migros Bank fest, dass Banken nicht nur technologisch offen sein müssen. Die Offenheit muss alle Ebenen betreffen: Strategie, Kultur, Prozesse und Systeme. Ein Ökosystem mit etablierten Partnerschaften ist ein entscheidender Erfolgsfaktor, um Mehrwert zu bieten.

Für ein integrierendes KMU gilt dieselbe Logik: Das Projekt ist nicht nur technisch. Es betrifft die Zahlungsabstimmung im Eingang, die Verwaltung von Retouren und Stornierungen sowie die Art und Weise, wie die Daten in die Buchhaltung einfliessen.

Schlüsselschritte zur Integration eines API-Dienstes in ein KMU

Vertrauen, Datenschutz und Cybersicherheit: Nicht verhandelbare Anforderungen

Swiss Banking erkennt die Chancen an, die sich aus der Öffnung der Schnittstellen und der Zusammenarbeit mit Drittanbietern ergeben. Sie warnt jedoch davor, dass die Öffnung der Schnittstellen und die Intensivierung des Datenaustauschs auch neue Herausforderungen mit sich bringen, insbesondere im Bereich des Datenschutzes und der Cybersicherheit. Für Schweizer Banken hat der Schutz der Kundendaten eine zentrale Bedeutung: Der Austausch muss mit den modernsten technologischen Lösungen erfolgen. Die Konformität muss nicht nur von den beteiligten Instituten, sondern auch von den Drittanbietern gewährleistet werden.

Daraus ergeben sich überprüfbare Kriterien, bevor ein Vertrag mit einem Schnittstellenanbieter unterzeichnet wird. Die Definition von Swiss Banking verlangt einen Drittanbieter mit nachgewiesener Zuverlässigkeit: Rechtliche Identität und Bewilligungen müssen geprüft, nicht vermutet werden.

Ausserdem muss geklärt sein, auf welche Daten der Dritte zugreift: Nur Lesezugriff auf Salden oder die Initiierung von Zahlungen sind unterschiedliche Level. Es muss klar sein, wer die Zugangsdaten besitzt und welcher offene Standard verwendet wird.

Es ist zu prüfen, ob der Anbieter Unterauftragnehmer einschaltet, wie ein Sicherheitsvorfall gehandhabt wird und wer für den Schaden haftet. Schliesslich ist zu klären, auf welche Weise und innerhalb welcher Fristen aus dem Vertrag ausgestiegen werden kann, wobei die Daten wieder in den eigenen Besitz übergehen.

Für beaufsichtigte Gegenparteien existiert ein formaler Rahmen. Die FINMA-Rundschreiben 2023/1 Operative Risiken und Resilienz definiert die Anforderungen für Banken, Wertpapierhändler und Versicherungsunternehmen, die bedeutende Funktionen für ihre Geschäftstätigkeit an einen Dienstleister auslagern. Das auslagernde Unternehmen bleibt gegenüber der FINMA verantwortlich, als würde es die ausgelagerten Funktionen intern ausführen. Ein KMU, das Dienstleistungen für ein reguliertes Institut erbringt, muss daher vertraglich Anforderungen dieser Art erfüllen.

Vorteile und Risiken von Open Banking für KMU

Wenn das KMU Finanzdienstleistungen anbietet: Wann eine FINMA-Bewilligung erforderlich ist

Wer am Finanzmarkt tätig sein will, benötigt eine Bewilligung der FINMA. Die Behörde prüft, ob die Unternehmen die gesetzlichen Anforderungen erfüllen: Nur wer die finanziellen, organisatorischen und personellen Voraussetzungen erfüllt, hat Anspruch auf eine Bewilligung.

Die Finanzmarktgesetze verbinden die verschiedenen Bewilligungsformen mit unterschiedlich strengen Anforderungen. Die Bewilligungen können die Pflicht zur Zahlung von Gebühren gemäss der Verordnung über die Gebühren und Abgaben der FINMA nach sich ziehen.

Nach der Erteilung führt die FINMA Kontrollen unterschiedlicher Intensität durch. Wenn die aufsichtsrechtlichen Vorschriften nicht mehr erfüllt werden, kann dies bis zum Entzug der Bewilligung als Ultima Ratio führen.

Für innovative Finanzunternehmen hat der Gesetzgeber die Fintech-Bewilligung geschaffen, eine Kategorie, die unter erleichterten Bedingungen erhältlich ist und von der FINMA erteilt wird. Sie erlaubt die Entgegennahme von Publikumseinlagen bis zur Höchstgrenze von hundert Millionen Schweizer Franken oder auf Kryptografieprinzipien basierenden Vermögenswerten. Voraussetzung ist, dass die Publikumseinlagen oder Vermögenswerte nicht angelegt werden und keine Zinsen darauf vergütet werden.

Eine weitere Bedingung ist, dass das bewilligte Institut eine Aktiengesellschaft, eine Kommanditgesellschaft oder eine Gesellschaft mit beschränkter Haftung ist. Es muss seinen Sitz in der Schweiz haben und seine Tätigkeit dort ausüben.

Die Kundeneinlagen sind im Falle eines Konkurses des Instituts mit Fintech-Bewilligung weder privilegiert noch durch eine Einlagensicherung geschützt. Die zukünftigen Kunden müssen darüber informiert werden (Art. 1b Abs. 4 Bst. d GwG und Art. 7a Abs. 3 VwG).

Verfahrenstechnisch veröffentlicht die FINMA einen praktischen Leitfaden, um die Antragstellung zu erleichtern. Interessenten können ihr Projekt vor der Einreichung des Antrags vorstellen.

Das Verfahren ist gebührenpflichtig. Die FINMA kann für die Bewilligung einen Audit-Bericht verlangen. Die Dauer des Verfahrens hängt von der Komplexität des Projekts, der Qualität und der Vollständigkeit des Antrags ab.

In seinem Bericht vom 16. Dezember 2022 hat der Bundesrat die Notwendigkeit anerkannt, in diesem Bereich tätig zu werden. Die Frage ist im Rahmen des Regulierungsprojekts zur Anpassung des Finanzmarktrechts im Hinblick auf innovative Geschäftsmodelle von Finanzinstituten zu betrachten.

Auswahl eines API-Partners: Bestehende Standards, Rentabilität und Konformität

Was die Standards betrifft, ist die Aussage des dritten Open Banking Summit von OpenBankingProject.ch eindeutig. Die Veranstaltung fand am 25. August 2022 im Zürcher Google-Standort statt. Die Schweiz sollte sich auf bestehende Standards stützen, anstatt eigene zu schaffen.

An der Diskussionsrunde nahmen unter anderem Roi Tavor (Google Cloud Austria & Switzerland), Stefanie Auge-Dickhut (Business Engineering Institute) und Ana Climente (BBVA) teil. Parallel dazu erinnert die Migros Bank daran, dass Standardisierung ein Mittel ist, um die Prozesskosten zu senken. Bei der Diskussion über Programmierschnittstellen darf die Rentabilität nicht aus den Augen verloren werden.

Aus diesen beiden Kriterien ergeben sich konkrete Schritte zur Bewertung eines Anbieters. Erstens: Bevorzugen Sie Schnittstellen, die offenen und verbreiteten Standards entsprechen, da ein proprietärer Standard die Ausstiegskosten und den Aufwand für den Anbieterwechsel erhöht.

Zweitens: Berechnen Sie die Rentabilität, indem Sie die Integrations- und Wartungskosten, wiederkehrende Provisionen oder Gebühren und die Einsparungen durch die Automatisierung der Abstimmung und Dateneingabe vergleichen. Bewerten Sie nicht nur den kommerziellen Nutzen.

Drittens: Wie im Beispiel Klarna müssen der Kundennutzen und die Datensicherheit gemeinsam bewertet werden. Die Garantie der Sicherheit betrifft nicht nur die Bank, sondern auch den Drittanbieter.

Abgeschlossen wird die Prüfung durch die Konformität des Partners. Zu prüfen sind: nachgewiesene Zuverlässigkeit, schriftlich definierte Eigentums- und Nutzungsrechte an den Daten, Haftung im Schadensfall, Bezugnahme auf anerkannte Standards und Übereinstimmung mit den regulatorischen Pflichten der banklichen Gegenpartei. Ein Anbieter, der diese Punkte nicht nachweisbar dokumentieren kann, ist vor der Unterzeichnung auszuschliessen, nicht erst nach der Integration.

Wesentliche Kriterien für die Wahl eines API-Partners

Schweizer Perspektiven: Hin zu einer grösseren Öffnung der Schnittstellen

In seiner Sitzung vom 16. Dezember 2022 hat sich der Bundesrat mit der Entwicklung von Open Finance in der Schweiz befasst. Er hat das Eidgenössische Finanzdepartement (EFD) beauftragt, ihm bis Juni 2024 mögliche Massnahmen vorzulegen, um den Finanzsektor zu einer stärkeren Öffnung seiner Schnittstellen zu bewegen.

Die politische Richtung ist somit klar. Der Austausch von Finanzdaten auf Kundenwunsch über standardisierte und sichere Schnittstellen ist ein zu förderndes Ziel. Es ist keine Option, die der einzelnen privaten Initiative überlassen bleibt.

Für ein KMU bedeutet dies praktisch, sich auf ein interoperableres Ökosystem für Finanzdaten vorzubereiten. Drei Aktivitäten sind bereits jetzt nützlich.

Erstellen Sie ein Inventar der Finanzdaten, die das Unternehmen produziert und empfängt. Fragen Sie Ihre aktuellen Anbieter für Buchhaltung, Verwaltung und Online-Handel explizit, welche Standardschnittstellen sie anbieten und unter welchen Bedingungen. Gestalten Sie Ihre internen Prozesse so, dass Daten aus verschiedenen Quellen automatisch abgestimmt werden können, wenn sich die Öffnung über die Zahlungsdienste hinaus ausweitet.