Open banking: access was mandated, quality was not
Open Banking: Der Zugang war vorgeschrieben, die Qualitaet nicht
Open banking gave third parties access to bank accounts with the customer’s consent. The infrastructure was built, the mandate was met, and adoption has been far slower than anyone promised. The reasons are worth examining, because the next round of rules is being written on the assumption that the first round failed for fixable reasons.
What was mandated, and what was not
PSD2 required banks to provide interfaces for account information and payment initiation. It required the interfaces to exist and to be free. It did not require them to be good.
That distinction determined the outcome. A bank complying to the letter can provide an interface that is slow, frequently unavailable, poorly documented and heavy on friction in the consent flow — and remain compliant while making the third party’s product noticeably worse than the bank’s own app.
Some banks built well anyway. Many did the minimum. Neither is surprising: the regulation asked institutions to fund infrastructure whose main use is enabling competitors.
The friction that actually decides adoption
Consent flows are the battleground. A customer who has to leave one app, authenticate in another, approve a scoped permission and be redirected back will abandon at each step. Every additional step is both a compliance measure and a conversion killer, which makes friction a competitive instrument that can be defended as security.
Add re-authentication requirements — customers reconfirming access periodically — and a service that needs continuous data access has to repeatedly send its users back to a bank that would prefer to keep them.
What PSD3 changes
The proposed successor addresses this directly: performance requirements for the interfaces, tighter limits on the friction banks may impose, and a supervisory route to complain about a bank whose API underperforms. The dedicated-interface fallback rules are being tightened. There is also a broader move toward a general financial data access framework extending beyond payment accounts.
This is the right diagnosis. Whether it is sufficient depends on enforcement, and enforcement of a qualitative standard like “does not impose unnecessary friction” is harder than enforcement of “an interface exists”.
Our view
Open banking’s disappointment is often blamed on consumer indifference. We think that reading is convenient and mostly wrong. Consumers were never asked to want open banking; they were asked to want specific products, and those products were built on infrastructure their competitors controlled and had no reason to improve.
The lesson generalises well beyond payments. Mandating access without mandating quality of access produces compliance without competition — and produces it reliably, because the incumbent’s incentive is legible from the start and nothing in the rule pushes against it.
The second attempt understands this. It remains to be seen whether a supervisor will ever tell a large bank that its API is too slow, which is the point at which the framework either works or does not.
Sources: Directive (EU) 2015/2366 (PSD2) and the Commission’s PSD3 and Payment Services Regulation proposals; the proposed Financial Data Access framework; published API performance reporting by national competent authorities. This article contains opinion, marked as such.
Open Banking gab Dritten mit Einwilligung des Kunden Zugriff auf Bankkonten. Die Infrastruktur wurde gebaut, die Vorgabe erfüllt — und die Nutzung blieb weit hinter allen Versprechen zurück. Die Gründe lohnen eine Prüfung, weil die nächste Regelrunde gerade unter der Annahme geschrieben wird, die erste sei aus behebbaren Gründen gescheitert.
Was vorgeschrieben wurde und was nicht
PSD2 verpflichtete Banken, Schnittstellen für Kontoinformationen und Zahlungsauslösung bereitzustellen. Sie mussten existieren und kostenlos sein. Gut mussten sie nicht sein.
Diese Unterscheidung hat das Ergebnis bestimmt. Eine Bank, die dem Wortlaut folgt, kann eine Schnittstelle liefern, die langsam ist, häufig ausfällt, schlecht dokumentiert ist und im Einwilligungsablauf viel Reibung erzeugt — und bleibt regelkonform, während sie das Produkt des Dritten spürbar schlechter macht als die eigene App.
Manche Banken haben trotzdem gut gebaut. Viele haben das Minimum getan. Überraschend ist weder das eine noch das andere: Die Regulierung verlangte von Instituten, Infrastruktur zu finanzieren, deren Hauptzweck darin besteht, Wettbewerbern zu helfen.
Die Reibung, die über die Nutzung entscheidet
Einwilligungsabläufe sind das Schlachtfeld. Wer eine App verlassen, sich in einer zweiten authentifizieren, eine abgegrenzte Berechtigung bestätigen und zurückgeleitet werden muss, springt bei jedem Schritt ab. Jeder zusätzliche Schritt ist zugleich Sicherheitsmaßnahme und Abschlusskiller — was Reibung zu einem Wettbewerbsinstrument macht, das sich als Sicherheit verteidigen lässt.
Dazu kommen Pflichten zur erneuten Authentifizierung. Ein Dienst, der dauerhaften Datenzugriff braucht, muss seine Nutzer damit immer wieder zu einer Bank zurückschicken, die sie lieber behalten würde.
Was PSD3 ändert
Der Nachfolgeentwurf adressiert genau das: Leistungsanforderungen an die Schnittstellen, engere Grenzen für die zulässige Reibung und ein aufsichtliches Verfahren, um eine Bank mit unterdurchschnittlicher Schnittstelle zu beanstanden. Die Ausweichregeln für dedizierte Schnittstellen werden verschärft. Daneben gibt es die Bewegung hin zu einem allgemeinen Rahmen für Finanzdatenzugang über Zahlungskonten hinaus.
Die Diagnose stimmt. Ob sie genügt, hängt am Vollzug — und der Vollzug eines qualitativen Maßstabs wie „erzeugt keine unnötige Reibung” ist schwerer als der von „eine Schnittstelle existiert”.
Unsere Einschätzung
Die Enttäuschung über Open Banking wird gern der Gleichgültigkeit der Verbraucher zugeschrieben. Wir halten diese Lesart für bequem und weitgehend falsch. Verbraucher wurden nie gefragt, ob sie Open Banking wollen; sie wurden gefragt, ob sie bestimmte Produkte wollen — und diese Produkte standen auf Infrastruktur, die ihre Wettbewerber kontrollierten und keinen Grund hatten zu verbessern.
Die Lehre reicht weit über den Zahlungsverkehr hinaus. Zugang vorzuschreiben, ohne die Qualität des Zugangs vorzuschreiben, erzeugt Konformität ohne Wettbewerb — und zwar zuverlässig, weil der Anreiz des Etablierten von Anfang an ablesbar ist und nichts in der Regel dagegen drückt.
Der zweite Anlauf hat das verstanden. Ob je eine Aufsicht einer Großbank sagen wird, ihre Schnittstelle sei zu langsam, bleibt abzuwarten — und genau an diesem Punkt funktioniert der Rahmen oder eben nicht.
Quellen: Richtlinie (EU) 2015/2366 (PSD2) sowie die Kommissionsvorschläge zu PSD3 und zur Zahlungsdiensteverordnung; der vorgeschlagene Rahmen für Finanzdatenzugang; veröffentlichte Berichte nationaler Aufsichtsbehörden zur Schnittstellenleistung. Dieser Beitrag enthält Meinung, als solche gekennzeichnet.