DKB integriert XS2A-Server von finAPI

Die Deutsche Kreditbank (DKB) hat den PSD2-konformen XS2A-Server von finAPI in ihr System integriert. Der Wechsel zu finAPI sei im Dezember 2023 innerhalb von nur vier Wochen erfolgt. Mit dem XS2A-Server macht die DKB regulierten Drittanbietern (Third Party Provider, TPP) Kontoinformationen zugänglich und ermöglicht das Auslösen von Zahlungen.

Der XS2A-Server besteht idealerweise aus drei Umgebungen: einer Sandbox für TPP-Tests, einer Integrationsumgebung für Bank-Tests und der Live-Umgebung. Dank des QWAC-Zertifikats (Qualified Website Authentication Certificate) von finAPI kann die DKB in der Integrationsumgebung Tests ohne eigenes Zertifikat durchführen. Vorteil der direkten Bereitstellung der kundenübergreifenden Sandbox ist, dass TPPs mit der Integration der neuen Schnittstellen beginnen können, bevor die Bank-Systeme live gehen. <q>finAPI — Der XS2A-Server besteht idealerweise aus drei Umgebungen: einer Sandbox für TPP-Tests, einer Integrationsumgebung für Bank-Tests und der Live-Umgebung. Dank des QWAC-Zertifikats (Qualified Website Authentication Certificate) von finAPI kann die DKB in der Integrationsumgebung Tests ohne eigenes Zertifikat durchführen. Vorteil der direkten Bereitstellung der kundenübergreifenden Sandbox ist, dass TPPs mit der Integration der neuen Schnittstellen beginnen können, bevor die Bank-Systeme live gehen. finAPI

Der XS2A-Server entlaste die DKB im Alltag von prozessualen Aufgaben wie dem Einwilligungs- und TPP-Management. Der Server ermögliche es, dass keine zeitaufwändigen Spezifikationen für den Datenaustausch und Datenzugriff notwendig sind.

TechTalk zur API-Umsetzung

Alle erforderlichen Komponenten für die Implementierung des XS2A-Servers werden den Kunden innerhalb von 24 Stunden bereitgestellt. Dazu gehören unter anderem Dokumentationen und Ad-hoc-Support für die Integration sowie auf Wunsch Unterstützung der TPP bei der Nutzung der Schnittstelle. Der XS2A-Server wird von finAPI (Website) in Frankfurt gehostet. Damit übernimmt das Unternehmen das SLA. Für die Anbindung an das Kernbankensystem wurde von der DKB ein entsprechendes Backend, nach API-Spezifikation von finAPI, implementiert. Dies wird von der DKB eigenverantwortlich gehostet. Das notwendige Balancing und die Synchronisierung zwischen zwei oder mehreren RZ (Rechenzentren) für den XS2A-Server wird über die Technologie des Hosting-Partners gelöst. Die Server-Antwortzeiten betragen durchschnittlich 200ms – denn die Anbindung zwischen finAPI und der DKB erfolgt über gleiche Mechanismen wie bei der DKB-App und sei damit hochperformant. Wie schnell die Requests abgearbeitet werden, hängt von der Größe der Anfrage ab: Abfragen mit sehr vielen Daten können länger dauern, wohingegen kleinere Abfragen im zweistelligen Millisekunden-Bereich liegen.

Um Drittanbietern (Third Party Providers, TPPs) den Zugriff auf Bankdaten zu ermöglichen, müssen Banken im Rahmen der PSD2 sichere und standardisierte Schnittstellen (Application Programming Interfaces, APIs) bereitstellen. Über diese APIs können TPPs auf Bankkontodaten zugreifen und Zahlungsauslösedienste (Payment Initiation Services, PIS) sowie Kontoinformationsdienste (Account Information Services, AIS) durchführen. Der XS2A Server übernimmt dabei die Verwaltung der TPPs und die Sicherheit für den Zugriff auf die Kernbankenschnittstellen.finAPI

Die Anbindung an das Kernbankensystem wird von der Bank übernommen. Dafür liefert finAPI eine einfache API-Spezifikation. Diese kann durch Generierungsansätze für die Erzeugung des Servers eingesetzt werden. So liege der Hauptaufwand bei der Bank nur bei zwei Aufgaben: der Implementierung eines Clients auf das Kernbankensystem und das Mapping der Daten. Ein Vorteil daran ist, dass die Bank ihre Schnittstellen selbst am besten kennt und keine Projekte mit finAPI umsetzen muss, sondern durch reine Eigenleistung eine Anbindung umsetzen kann. Zudem müssen keine langen Spezifikationen vorab erstellt werden, da dies bereits alles im Rahmen des Produktes vorgegeben ist.

FinAPI liefert zudem einen XS2A Mock-Server für eine Sandbox – mit den gleichen Schnittstellen. Dadurch können die Funktionalität und die dahinterliegenden Prozesse produktseitig vorab getestet werden und sicherstellen, dass die Umsetzung dann von Anfang an sauber läuft.

Die Integration zwischen DKB und finAPI verlief schnell und reibungslos. Durch die direkte Kommunikation und die schnelle Reaktionsgeschwindigkeit auf beiden Seiten konnte die Implementierung in kürzester Zeit erfolgreich abgeschlossen werden. finAPI war für die Klärung offener Fragen und Herausforderungen während des Integrationsprozesses immer erreichbar und beriet uns sehr lösungsorientiert. Die enge Zusammenarbeit ermöglichte uns, unsere selbst entwickelte Adapter-Software entsprechend unseren Anforderungen anzupassen und spezielle DKB-Prozesse in der DKB Banking Platform unterstützen zu können.“

Marius Gartmann, Head of Banking Platform DKB

Besonders wichtig beim Einsatz von XS2A-Schnittstellen sind die Faktoren Verfügbarkeit und Geschwindigkeit. Die produktive Verfügbarkeit des XS2A-Servers lag, laut finAPI, seit dem Go-live bei der DKB im Januar bei 100 Prozent (also für ein halbes Jahr).

Wir sind überzeugt, dass die DKB mit dem XS2A-Server von finAPI die Ausnahmegenehmigung der BaFin erfolgreich beantragen kann, da alle Voraussetzungen dafür erfüllt sind.“

Peter Hiekmann, Vice President Sales bei der finAPI

Ausnahmegenehmigung der BaFin

Erteilt die BaFin einer Bank die Ausnahmegenehmigung (Website), dürfen die Kontodaten für Girokonten dann ausschließlich über die PSD2-Schnittstelle angeboten werden. FinTS und Web-Scraping Interfaces für den Abruf von Transaktionen und Kontoständen von Zahlungskonten sowie die Ausführung von SEPA-Überweisungen sind in diesem Fall nicht mehr zulässig.

Der finAPI XS2A-Server soll bereits PSD3-ready sein

Den finAPI XS2A-Server, der auf dem Berlin Group Standard basiert, gibt es seit Inkrafttreten der PSD2 2019. Der aktuelle XS2A-Server biete bereits heute die Anbindung von Kreditkarten und geht damit über die Mindestanforderungen der PSD2 hinaus. Da der XS2A-Server so konzipiert sei, dass er leicht erweitert werden kann, um den kommenden regulatorischen Anforderungen (PSD3/PSR/FIDA) zu entsprechen, sieht sich das Unternehmen bereits heute „PSD3-ready“. Dabei ist noch nicht wirklich klar, welche Überraschungen die EBA/BaFin noch für die letzte Sekunde bereithalten.aj