Die Bankkontenverknüpfung verbindet das Bankkonto einer Kundin/eines Kunden direkt mit der App oder dem Zahlungsablauf eines Unternehmens. Es ersetzt die manuelle Eingabe von Konto- und Routingnummern durch einen kurzen Authentifizierungsschritt, bei dem verifizierte Daten direkt von der Bank abgerufen werden. Eine Kundin/ein Kunde wählt ihre/seine Bank aus, loggt sich über eine sichere Schnittstelle ein, und das Unternehmen erhält Kontodaten, denen es vertrauen kann, anstatt einer Reihe eingegebener Ziffern. Mehr als 100 Millionen US-Kundinnen und Kunden haben den kundenseitig autorisierten Datenzugriff genutzt, um ihre Finanzkontodaten mit Dritten zu teilen.

Im Folgenden gehen wir Schritt für Schritt darauf ein, wie der Verknüpfungsprozess funktioniert, welche verschiedenen Authentifizierungsmethoden Banken unterstützen und was mit sensiblen Daten während und nach einer Verbindung geschieht.

Das Wichtigste auf einen Blick

• Die Bankkontenverknüpfung ersetzt manuell eingegebene Konto- und Routingnummern durch verifizierte Daten, die direkt von der Bank der Kundin/des Kunden abgerufen werden.

• Die OAuth-basierte Authentifizierung hält Bankpasswörter sowohl vom Verknüpfungsanbieter als auch vom Unternehmen fern, während passwortbasierte Abläufe und Mikroeinzahlungen als Alternativen dienen, wenn OAuth nicht verfügbar ist.

• Tokenisierte Kontoverweise und berechtigungsbasierter Datenzugriff begrenzen das, was geteilt und gespeichert wird, beseitigen jedoch keine Betrugsrisiken, die außerhalb des Verknüpfungsablaufs selbst bestehen.

Was ist eine Bankkontenverknüpfung?

Die Bankkontenverknüpfung verbindet das Bankkonto einer Kundin/eines Kunden direkt mit der App oder dem Zahlungsablauf eines Unternehmens, sodass niemand eine Routingnummer und Kontonummer manuell eingeben muss. Die Kundin/der Kunde wählt ihre/seine Bank aus, sie/er loggt sich über eine sichere Schnittstelle ein, und das Unternehmen erhält verifizierte Kontodaten anstelle einer selbst gemeldeten Ziffernfolge.

Wie funktioniert der Prozess der Bankkontenverknüpfung?

Das Verknüpfen eines Bankkontos folgt demselben grundlegenden Ablauf, unabhängig davon, welcher Anbieter es abwickelt. Ein Unternehmen aktiviert eine Verknüpfungsanfrage, in der Regel über eine gehostete Nutzeroberfläche, die direkt in seine App oder auf seiner Bezahlseite eingebettet ist, und die Kundin/der Kunde führt einige kurze Schritte aus, bevor ihre/seine Kontodaten verifiziert werden.

Hier ist eine Schritt-für-Schritt-Anleitung:

• Bankauswahl: Die Kundin/der Kunde sucht nach ihrer/seiner Bank und wählt sie aus einer Liste aus, die normalerweise große nationale Banken und kleinere regionale Kreditgenossenschaften abdeckt.

• Authentifizierung: Die Kundin/der Kunde meldet sich mit ihren/seinen echten Bankzugangsdaten an, tut dies jedoch innerhalb einer sicheren Benutzeroberfläche, die vom Verknüpfungsanbieter oder der Bank selbst gehostet wird, und niemals auf den eigenen Servern des Unternehmens.

• Zustimmung und Kontoauswahl: Sobald sie/er authentifiziert ist, sieht die Kundin/der Kunde, welche Konten verfügbar sind, und wählt aus, welche verbunden werden sollen. Dieser Schritt ist wichtig für alle, die mehrere Konten bei derselben Bank haben, aber nur eines freigeben möchten.

• Datenrückgabe: Nachdem die Kundin/der Kunde bestätigt hat, sendet der Anbieter ein Token, das die Verbindung darstellt, zusammen mit den Kontodaten, die das Unternehmen angefordert hat, z. B. Konto- und Routingnummern, Echtzeitsaldo oder den jüngsten Transaktionsverlauf.

Welche Authentifizierungsmethoden gibt es bei der Bankverknüpfung?

Nicht jede Bank bietet dieselbe Verbindungsmethode an. Bei den drei wichtigsten Ansätzen müssen Kompromisse zwischen Geschwindigkeit, Sicherheit und dem Aufwand für die Kundinnen und Kunden abgewogen werden.

• OAuth-basierte Authentifizierung: Die Kundin/der Kunde meldet sich direkt auf der Seite oder in der App ihrer/seiner Bank an. Der Verknüpfungsanbieter sieht das Passwort nie, da die Bank stattdessen ein Token zurückgibt. Große Banken unterstützen in der Regel OAuth-basierte Authentifizierung und es ist die Methode, über die Anbieter oft versuchen, Kundinnen und Kunden zuerst weiterzuleiten. OAuth ist am schnellsten, funktioniert aber nur dort, wo die Bank die Unterstützung dafür integriert hat.

• Zugangsdaten-basierte Authentifizierung: Die Kundin/der Kunde gibt ihren/seinen Bank-Benutzernamen und ihr/sein Passwort in ein vom Verknüpfungsanbieter verwaltetes Formular ein. Dieser verwendet dann diese Zugangsdaten, um Daten von der Bank im Namen der Kundin/des Kunden abzurufen. Diese Methode deckt auch Banken ab, die noch keine OAuth-Unterstützung integriert haben. Es bedeutet jedoch, dass der Anbieter Anmeldeinformationen direkt verarbeitet, auch wenn er sie nicht dauerhaft speichert. Zugangsdaten-basierte Abläufe funktionieren fast überall, aber der Preis dafür ist, dass die Kundin/der Kunde ein tatsächliches Login teilen muss. Und dem Anbieter muss, wenn auch nur kurzzeitig, Vertrauen entgegengebracht werden.

• Mikroeinzahlungsüberprüfung: Das Unternehmen tätigt ein oder zwei kleine Einzahlungen, normalerweise unter einem Dollar, auf das Zielkonto, und die Kundin/der Kunde bestätigt die genauen Beträge ein oder zwei Tage später. Die Mikroeinzahlungsüberprüfung liefert keine Live-Saldo- oder Transaktionsdaten, funktioniert aber für fast jedes Konto mit einer Routingnummer, einschließlich derer bei Banken ohne jegliche digitale Anbindung. Mikroeinzahlungen sind die langsamste Methode – es dauert manchmal ein paar Tage, bis sie bestätigt sind – aber sie sind auch die einzige Methode, die unabhängig davon funktioniert, wie modern oder alt die Systeme einer Bank sind.

Was sind die Sicherheitsüberlegungen für Unternehmen, die die Bankverknüpfung nutzen?

Die zentrale Sicherheitsfrage bei der Bankverknüpfung lautet, wie viele sensible Daten an wen weitergegeben werden. Die Antwort hängt von drei Mechanismen ab: wie Bankpasswörter geschützt werden, wie Kontonummern durch etwas ersetzt werden, das weniger nützlich zu stehlen ist, und wie viel eine Kundin/ein Kunde zuzustimmen bereit ist, weiterzugeben.

Hier sind die Bestandteile des Sicherheitsprofils.

Zugangsdaten verlassen die Bank nie

Bei OAuth-basierten Verbindungen erreicht das Bankpasswort einer Kundin/eines Kunden den Verknüpfungsanbieter oder das Unternehmen überhaupt nicht. Die Bank authentifiziert die Kundin/den Kunden auf ihren eigenen Systemen und gibt ein Token zurück. Jeder, der diese Art von Verknüpfung integriert, berührt die Anmeldeinformationen niemals direkt, unabhängig davon, wie die Daten im Nachhinein verwendet werden.

Kontonummern werden tokenisiert

Anstatt rohe Konto- und Routingnummern zu speichern, geben Anbieter ein Token zurück, das für die Verbindung steht. Die Systeme des Unternehmens verweisen für zukünftige Transfers auf dieses Token anstatt auf die Nummern selbst. Wenn ein Token kompromittiert ist, kann es im Allgemeinen nicht außerhalb der spezifischen Integration verwendet werden, für die es ausgestellt wurde.

Der Zugriff bleibt auf das Genehmigte beschränkt

Eine Kundin/ein Kunde, die/der ihre/seine Bank für eine einzelne Zahlung verbindet, stimmt nicht automatisch zu, den Transaktionsverlauf eines Jahres zu übergeben. Anbieter begrenzen jede Verbindung auf das, was das Unternehmen angefordert und die Kundin/der Kunde während dieses Zustimmungsschritts genehmigt hat. Unternehmen, die eine Integration evaluieren, sollten genau bestimmen, was ihr Use Case benötigt, anstatt mehr als das anzufordern.

Diese Mechanismen machen keine Zahlungsmethode immun gegen Betrug. Kontoübernahmebetrug, synthetischer Identitätsbetrug und Social Engineering, das direkt auf die Kundin/den Kunden abzielt, liegen alle außerhalb des Verknüpfungsablaufs selbst, unabhängig davon, wie die Verbindung aufgebaut ist. Was berechtigter, tokenisierter Zugriff bewirkt, ist, dass die Anzahl der Orte, an denen rohe Zugangsdaten und Kontonummern vorhanden sind, verringert wird, was die mögliche Gefährdung schrumpfen lässt, falls ein einzelnes System in dieser Kette kompromittiert wird.

Was sind gängige geschäftliche Use Cases für die Kontoverknüpfung?

Welche spezifischen Daten ein Unternehmen aus der Kontoverknüpfung zieht, hängt davon ab, wofür die Kontoinformationen verwendet werden.

Hier ist ein verknüpftes Bankkonto nützlich:

• Lastschriftverfahren und Banktransfers: Unternehmen verwenden die Verknüpfung, um verifizierte Konto- und Routingnummern für Lastschriftverfahren und andere Banküberweisungen einzuziehen. Dies ist bei der Abrechnung von Abonnements, Rechnungszahlungen und Rechnungsprodukten üblich.

• Saldo- und Deckungsprüfungen: Einige Unternehmen prüfen Echtzeit-Saldodaten kurz bevor sie einen Transfer auslösen, um die Wahrscheinlichkeit einer Rückbuchung wegen unzureichender Deckung zu senken. Dies ist vor allem bei größeren Einmalzahlungen von Bedeutung.

• Kreditvergabe und Risikoevaluation: Kreditgeber beziehen Transaktionshistorie und Einkommensdaten durch Verknüpfung ein, anstatt Antragsteller zu bitten, PDF-Kontoauszüge hochzuladen. Dies beschleunigt die Risikoevaluation und minimiert den Dokumentenbetrug.

• Tools für persönliche Finanzen und Budgetierung: Apps aggregieren Ausgaben, indem sie Transaktionskategorien und Salden von jeder Bank abrufen, die eine Kundin/ein Kunde nutzt.

Der verbindende Faden für alle vier ist, dass das Unternehmen verifizierte, strukturierte Kontodaten anstelle einer von jemandem eingegebenen Nummer oder eines hochgeladenen statischen Dokuments benötigt.

Welche Tools helfen bei der Bankverknüpfung?

Der Aufbau einer Bankverknüpfung von Grund auf bedeutet, Datenaustauschvereinbarungen mit einzelnen Banken auszuhandeln, diese Verbindungen aufrechtzuerhalten, wenn Banken ihre eigenen Authentifizierungssysteme ändern, und überhaupt erst die Schnittstelle zu erstellen, die Kundinnen und Kunden verwenden, um ein Konto zu verbinden. Viele Unternehmen stützen sich auf einen Drittanbieter, anstatt diese Aufgaben direkt zu übernehmen.

Die Version von Stripe hierfür ist Financial Connections, die Unternehmen eine gehostete Benutzeroberfläche und API zum Verknüpfen von Kundenbankkonten bietet, ohne Bankbeziehungen einzeln aushandeln zu müssen. Es ermöglicht Unternehmen, Bankkonten sofort zu verifizieren und berechtigte Daten von 5.000 Finanzinstituten abzurufen, die über 97 % der US-Bankkonten abdecken.

Da sich Financial Connections in der Stripe-Suite befindet, kann ein Unternehmen, das Stripe bereits für Zahlungen nutzt, Bankkonten innerhalb eines bestehenden Bezahl- oder Abrechnungsablaufs verknüpfen, ohne eine separate Integration nur für diesen Teil erstellen zu müssen.

So kann Stripe Financial Connections Sie unterstützen

Stripe Financial Connections ist eine Reihe von APIs, die es Ihnen ermöglicht, eine sichere Verbindung zu den Bankkonten Ihrer Kundinnen und Kunden herzustellen und deren Finanzdaten abzurufen. Dadurch können Sie innovative Finanzprodukte und -dienstleistungen entwickeln.

Mit Financial Connections können Sie unter anderem Folgendes umsetzen:

• Vereinfachtes Onboarding: Bieten Sie einen nahtlosen, sofortigen Verifizierungsprozess für Bankkonten, der keine manuelle Identitäts- und Kontoverifizierung erfordert.

• Umfangreiche Finanzdaten aufrufen: Rufen Sie umfassende Informationen zu den Bankkonten Ihrer Kundinnen und Kunden auf, einschließlich Salden, Transaktionen und Kontodetails.

• Automatisierung wiederkehrender Zahlungen: Ermöglichen Sie Ihren Kundinnen und Kunden, ihre Bankkonten für wiederkehrende Zahlungen sicher zu verknüpfen und die Erfolgsquote von Zahlungen zu verbessern.

• Risikomanagement verbessern: Analysieren Sie die Finanzdaten von Kundinnen und Kunden, um fundiertere Entscheidungen in Bezug auf Kredite, Darlehen und andere Finanzprodukte zu treffen.

• Rechtskonformität: Financial Connections hilft Ihnen, die rechtlichen Vorgaben bezüglich Kundenprüfung (Know Your Customer, KYC) und Geldwäschebekämpfung (Anti-Money Laundering, AML) zu erfüllen.

• Zuverlässige Innovation: Entwickeln Sie neue Finanzprodukte und -dienste auf der sicheren und zuverlässigen Infrastruktur von Financial Connections.

Erfahren Sie mehr über Financial Connections oder starten Sie noch heute.