Open Banking in der Hausverwaltung: Kontoabruf nach PSD2 und PSR

Montagmorgen in einer Verwaltung mit neun WEG und einem Dutzend Mietobjekten: Der Kontostand eines Hausgeldkontos steht seit Freitag still, die Mieteingänge des Monatsersten fehlen, und die ersten Eigentümer fragen, warum ihre Zahlung als offen geführt wird. Die Bank hat nichts verloren. Abgelaufen ist die Freigabe, mit der die Software das Konto lesen darf.

Genau diese Freigabe ist der Teil von Open Banking, der im Alltag am meisten Fragen aufwirft. Sie ist befristet, sie hängt an einer Person mit Online-Banking-Zugang, und ihre Frist hat sich in den vergangenen Jahren geändert. Mit den neuen EU-Zahlungsregeln (PSD3 und PSR) bleibt die Einwilligung für den Kontozugriff auf 180 Tage begrenzt. Jede Bankverbindung muss also etwa halbjährlich neu bestätigt werden. Dieser Beitrag erklärt, woher die Frist kommt, was sich mit der neuen Zahlungsdiensteverordnung ändert und wie immoGenio den Kontoabruf, die Erneuerung und die Zuordnung der Mieteingänge umsetzt.

Was PSD2 regelt — und was nicht

Die Zweite Zahlungsdiensterichtlinie (Richtlinie (EU) 2015/2366, kurz PSD2) verpflichtet Kreditinstitute, zugelassenen Drittanbietern über eine standardisierte Schnittstelle Zugriff auf Zahlungskonten zu gewähren, sofern der Kontoinhaber zustimmt. In Deutschland ist sie im Zahlungsdiensteaufsichtsgesetz umgesetzt. § 1 Abs. 34 ZAG definiert den Kontoinformationsdienst (Account Information Service, AIS): einen Online-Dienst, der Informationen über ein oder mehrere Zahlungskonten zusammenführt. Wer ausschließlich diesen Dienst erbringt, braucht keine volle Erlaubnis, muss sich aber nach § 34 ZAG bei der BaFin registrieren.

Für das Verständnis der eigenen Lage ist eine Unterscheidung wichtig: Ein Kontoinformationsdienst liest nur. Er sieht Salden, Umsätze und Kontostammdaten, löst aber keine Zahlung aus. Das wäre ein Zahlungsauslösedienst, für den eine eigene Erlaubnis nötig ist. Für den Abgleich von Mieteingängen und Hausgeldzahlungen genügt das Lesen vollständig. Lastschriften und Sammelüberweisungen laufen weiterhin über SEPA-Dateien; wie ein solcher Einzug aufgebaut ist, beschreibt unser Beitrag zur SEPA-Basis-Lastschrift mit pain.008-Sammelläufen.

Das zweite tragende Element der PSD2 ist die starke Kundenauthentifizierung nach § 55 ZAG: Anmeldung mit zwei voneinander unabhängigen Merkmalen, in der Praxis Online-Banking-Zugang plus pushTAN, photoTAN oder chipTAN. Sie ist der Grund, warum eine Bankverbindung nicht einmal eingerichtet wird und dann für immer läuft.

Von 90 auf 180 Tage: woher die Frist kommt

Die technischen Einzelheiten der PSD2 stehen in den Regulatory Technical Standards, der Delegierten Verordnung (EU) 2018/389. Deren Art. 10 erlaubte den Banken, beim reinen Lesen von Kontodaten auf die starke Kundenauthentifizierung zu verzichten, allerdings höchstens 90 Tage lang. Danach musste der Kontoinhaber den Zugriff mit TAN neu bestätigen. Viele Anbieter und Fachartikel nennen deshalb bis heute 90 Tage.

Diese Frist gilt seit dem 25. Juli 2023 nicht mehr. Die Delegierte Verordnung (EU) 2022/2360 hat die Regeln an zwei Stellen geändert. Erstens darf die Bank bei einem Zugriff über einen Kontoinformationsdienst nach der ersten Freigabe keine erneute Authentifizierung mehr verlangen, solange sie keinen Betrugsverdacht hat (neuer Art. 10a). Zweitens verlängert sich der Zeitraum bis zur nächsten Bestätigung auf 180 Tage, und die Bestätigung holt der Kontoinformationsdienst selbst ein, nicht mehr die Bank.

Für die Verwaltung heißt das: Eine Bankverbindung trägt rund ein halbes Jahr. Danach muss eine Person mit Zugang zum Online-Banking des Kontos die Freigabe erneuern, wieder mit TAN. Wer von 90 Tagen ausgeht, erneuert doppelt so oft wie nötig. Wer die Frist gar nicht im Blick hat, bemerkt den Ablauf erst an fehlenden Umsätzen.

Einzelne Anbieter setzen die Laufzeit kürzer an als das rechtlich Zulässige, etwa weil ihre Bankverbindung technisch anders aufgebaut ist. Maßgeblich ist deshalb nicht die Höchstfrist, sondern das Ablaufdatum, das der Anbieter für die einzelne Verbindung meldet.

Was PSD3 und PSR ändern

Die EU hat die PSD2 überarbeitet und teilt sie in zwei Rechtsakte auf: eine neue Richtlinie (PSD3), die vor allem Zulassung und Aufsicht der Zahlungsinstitute regelt, und eine unmittelbar geltende Verordnung (Payment Services Regulation, PSR), die die Rechte und Pflichten beim Zahlen und beim Kontozugriff festlegt. Für den Kontoabruf ist die PSR der wichtigere Teil.

Der Stand im Herbst 2026:

• Parlament und Rat haben sich am 27. November 2025 politisch geeinigt.
• Der Ausschuss der Ständigen Vertreter hat den Kompromisstext am 22. April 2026 gebilligt, der Wirtschafts- und Währungsausschuss des Parlaments am 5. Mai 2026.
• Die Veröffentlichung im Amtsblatt wird für die zweite Jahreshälfte 2026 erwartet. Die meisten Vorschriften gelten erst rund 21 Monate nach Inkrafttreten, also voraussichtlich Ende 2027 oder Anfang 2028.

Inhaltlich übernimmt die PSR das Modell von 2023 und schreibt es in die Verordnung selbst: Die Bank verlangt die starke Kundenauthentifizierung beim ersten Zugriff, der Kontoinformationsdienst bestätigt den Kontoinhaber danach selbst, spätestens alle 180 Tage. Der Rhythmus einer halbjährlichen Erneuerung bleibt damit bestehen.

Neu ist eine Übersicht der erteilten Zugriffsrechte, die Banken ihren Kunden anbieten müssen. Dort sieht der Kontoinhaber, welcher Drittanbieter auf welches Konto zugreift, seit wann und in welchem Umfang, und er kann einen Zugriff mit wenigen Klicks entziehen. Für Verwaltungen hat das eine praktische Folge: Eine Bankverbindung kann künftig nicht nur durch Fristablauf enden, sondern auch dadurch, dass jemand mit Zugang zum Online-Banking den Zugriff in dieser Übersicht beendet, etwa ein Beiratsmitglied mit eigener Online-Banking-Berechtigung, das den Eintrag nicht zuordnen kann. Wer die Kontoberechtigten informiert, welcher Dienst dort auftaucht und wozu er dient, vermeidet solche Abbrüche.

Handlungsbedarf entsteht durch die PSR für Verwaltungen heute nicht. Die Frist bleibt, die Pflichten treffen die Banken und die Kontoinformationsdienste.

Wer die Freigabe erteilt

Die Freigabe erteilt, wer sich im Online-Banking des Kontos anmelden kann. Bei WEG-Konten ist das in der Regel nicht der Eigentümer selbst: Kontoinhaberin ist die Gemeinschaft der Wohnungseigentümer, die seit der Reform 2020 rechtsfähig ist (§ 9a WEG) und nach außen vom Verwalter vertreten wird (§ 9b WEG). Die Online-Banking-Berechtigung liegt deshalb meist bei der Verwaltung, bei größeren Büros bei einzelnen Mitarbeitern.

Daraus folgt eine Schwachstelle, die mit Technik wenig zu tun hat. Hängt die Freigabe aller Konten an einer Person, fällt der Kontoabruf aus, sobald diese Person im Urlaub ist, krank wird oder die Verwaltung verlässt. Bewährt hat sich, für jedes Konto mindestens zwei Personen mit Online-Banking-Berechtigung zu führen und die Ablaufdaten so zu legen, dass nicht alle Verbindungen in derselben Woche enden.

Wie immoGenio den Kontoabruf umsetzt

immoGenio ist selbst kein Kontoinformationsdienst, sondern arbeitet mit registrierten Anbietern zusammen. Beim Verbinden eines Bankzugangs stehen zwei zur Wahl: finAPI und Enable Banking. Sie decken zusammen einen großen Teil der deutschen und europäischen Banken ab; welcher Anbieter eine bestimmte Bank am zuverlässigsten erreicht, ist erfahrungsgemäß von Institut zu Institut verschieden.

Der Ablauf einer Verbindung, am Beispiel finAPI:

1. Anbieter und Bank wählen. Unter Buchhaltung → Banking startet der Dialog „Bankzugang verbinden”. Bei finAPI wird die Bank im Formular des Anbieters gewählt, bei Enable Banking vorab in immoGenio.
2. Anmeldung und TAN. Die Anmeldedaten des Online-Bankings werden im Formular des Anbieters oder direkt bei der Bank eingegeben, nie in immoGenio. immoGenio sieht weder PIN noch TAN und speichert sie nicht.
3. Rückkehr und Konten. Nach erfolgreicher Bestätigung kehrt der Browser zu immoGenio zurück. Eine Verbindung entspricht einem Online-Banking-Zugang und kann mehrere Konten umfassen; jedes Konto gehört zu einem Mandanten.
4. Erster Abruf. immoGenio lädt Salden und die Umsätze der letzten 90 Tage. Das Ablaufdatum der Freigabe wird an der Verbindung gespeichert, bei finAPI 180 Tage nach der Bestätigung.

Die Zugangsschlüssel, die immoGenio für den Abruf beim Anbieter braucht, liegen AES-256-GCM-verschlüsselt in der Datenbank; der Schlüssel zum Entschlüsseln wird außerhalb der Datenbank verwahrt.

Laufender Abruf. Jede Nacht um 03:30 UTC ruft immoGenio alle aktiven Verbindungen ab. Zusätzlich meldet finAPI neue Umsätze per Webhook. immoGenio prüft die Signatur jeder Meldung (HMAC-SHA256), verwirft doppelt zugestellte Meldungen anhand ihrer Kennung und stößt dann sofort einen Abruf der betroffenen Verbindung an. Ein Mieteingang ist so in der Regel wenige Minuten nach der Buchung bei der Bank sichtbar. Damit nächtlicher Lauf, Webhook und ein manueller Abruf nicht gleichzeitig dieselbe Verbindung bearbeiten, sichert eine Datenbanksperre je Verbindung den Vorgang ab; wer sie nicht bekommt, überspringt die Verbindung.

Wenn die Freigabe abläuft

Die Frist lässt sich nicht verlängern, nur rechtzeitig erneuern. immoGenio prüft deshalb täglich die Ablaufdaten aller Verbindungen:

• 14 Tage vor Ablauf erhalten alle Nutzer, die Bankkonten bearbeiten dürfen, den Hinweis „Bankzugang läuft am … ab”, mit Bezeichnung der Verbindung und maskierter IBAN, voreingestellt in immoGenio und in der täglichen Zusammenfassung per E-Mail. Der Hinweis führt direkt zur Banking-Übersicht, von dort startet die Erneuerung.
• Höchstens einmal in sieben Tagen wird erneut erinnert, damit aus einer Frist kein Dauerton wird.
• Am Ablaufdatum wechselt die Verbindung in den Stand „Freigabe abgelaufen”, der Abruf ruht. Die bisherigen Umsätze und Zuordnungen bleiben unverändert. Nach der Erneuerung läuft der Abruf wieder an.

Vierzehn Tage Vorlauf sind ein Kompromiss: kurz genug, dass der Hinweis nicht untergeht, lang genug, dass Urlaub oder ein verlängertes Wochenende dazwischen passen.

Entsteht trotzdem eine Lücke, etwa weil die Erneuerung erst Wochen später gelingt, lässt sie sich mit einem Kontoauszug als Datei schließen. immoGenio liest CAMT.053 (XML) und MT940 ein, zeigt vor der Übernahme eine Vorschau und überspringt Umsätze, die bereits eingelesen wurden.

Mieteingänge zuordnen: drei Wege zum Zahlenden

Umsätze in der Datenbank sind erst die halbe Arbeit. Die andere Hälfte ist, einen Eingang der richtigen Forderung zuzuordnen, ohne dass jemand jede Buchung von Hand anfasst, und so, dass jede Zuordnung begründet ist. immoGenio prüft dafür zwei Fragen nacheinander: Wer hat gezahlt, und wofür?

Wer gezahlt hat, ergibt sich auf einem von drei Wegen, absteigend nach Verlässlichkeit:

1. Referenz im Verwendungszweck (Konfidenz 0,95). Gemeint sind Referenzen, die beim Zahlenden bereits angekommen sind: die Mandatsreferenz eines SEPA-Lastschriftmandats und die End-to-End-Referenz einer eigenen Lastschrift, die bei einer Rücklastschrift zurückkommt. Eine eigene Vertragsnummer, die dem Mieter erst mitgeteilt werden müsste, ist dafür nicht nötig.
2. IBAN des Zahlenden (Konfidenz 0,92). Stimmt die IBAN mit der hinterlegten IBAN des Mieters oder seines Lastschriftmandats überein, ist der Vertrag gefunden, auch wenn der Verwendungszweck leer ist.
3. Name (Konfidenz 0,50 bis 0,88). Ähnelt der Name des Zahlenden dem Mieternamen, entsteht ein Kandidat. Der Name allein reicht nie für eine selbsttätige Buchung; erst ein passender Betrag hebt ihn darüber.

Wofür gezahlt wurde, prüft immoGenio gegen die tatsächlich offenen Forderungen des Vertrags, nicht gegen die vereinbarte Monatsmiete. Ein Eingang kann eine Forderung genau treffen, die Summe mehrerer offener Monate sein, dem Betrag des Vormonats entsprechen, weil der Dauerauftrag einer Mieterhöhung nicht gefolgt ist, oder ein runder Teilbetrag sein. Gedeckt werden die ältesten Forderungen zuerst, wie es § 366 Abs. 2 BGB nahelegt. Passt der Betrag zu keiner offenen Forderung, sinkt die Konfidenz um 0,15: Dann zahlt jemand etwas anderes als Miete, und das gehört vor einen Menschen.

Aus beidem ergibt sich die Entscheidung:

• ab 0,9 bucht immoGenio selbsttätig,
• von 0,6 bis unter 0,9 entsteht ein Vorschlag mit Begründung in Klartext, der mit einem Klick bestätigt wird,
• unter 0,6 bleibt der Eingang unzugeordnet.

Kommen mehrere Verträge in Frage, bucht immoGenio nicht selbsttätig, sondern legt den Fall vor. Geprüft werden bei jedem Abruf nur die neu eingegangenen Umsätze, nicht der gesamte Bestand; eine einmal von Hand korrigierte Zuordnung bleibt so, wie sie ist.

Der Nutzen zeigt sich an zwei Stellen. Das Mahnwesen nach § 288 BGB mahnt nur, was wirklich offen ist, statt Zahlungen vom Monatsersten anzumahnen, die schon eingegangen sind. Und bei den Hausgeldvorschüssen aus dem Wirtschaftsplan nach § 28 WEG ist der Stand jedes Eigentümers tagesaktuell, auch vor der Versammlung.

Was der Kontoabruf nicht ersetzt

Damit die Erwartungen stimmen, zwei Abgrenzungen:

• Keine Zahlungen. Der Bankzugang in immoGenio liest nur. Überweisungen und Lastschrifteinzüge laufen über SEPA-Dateien (pain.001 und pain.008), die bei der Bank eingereicht werden.
• Kein Beleg. Ein abgerufener Umsatz belegt, dass Geld geflossen ist, nicht, wofür eine Rechnung gestellt wurde. Eingangsrechnungen bleiben eigene Belege; wie strukturierte Rechnungen eingelesen und gegen einen Austausch der Bankverbindung abgesichert werden, beschreibt der Beitrag zur E-Rechnung mit ZUGFeRD und XRechnung. Was Aufbewahrung und Nachvollziehbarkeit verlangen, steht im Beitrag zur Belegbuchhaltung nach GoBD.

Was Verwaltungen jetzt tun sollten

1. Ablaufdaten prüfen. Wer Bankverbindungen noch im Takt von 90 Tagen erneuert, kann auf den tatsächlichen Ablauf umstellen, den die Software je Verbindung anzeigt.
2. Berechtigungen verteilen. Für jedes Konto mindestens zwei Personen mit Online-Banking-Zugang, damit eine Erneuerung nicht an einer Abwesenheit scheitert.
3. Termine staffeln. Verbindungen nicht alle am selben Tag einrichten; sonst läuft ein halbes Jahr später alles gleichzeitig ab.
4. Kontoberechtigte informieren. Spätestens mit der Übersicht der Zugriffsrechte nach der PSR sehen alle, die Zugang zum Online-Banking haben, den Kontoinformationsdienst. Ein kurzer Hinweis, wozu er dient, verhindert, dass jemand ihn in guter Absicht entfernt.
5. Kontoauszugsdatei als Rückfall kennen. CAMT.053 oder MT940 aus dem Online-Banking schließt jede Lücke, ohne auf die Erneuerung warten zu müssen.

An der PSR selbst ist bis zu ihrer Anwendung nichts umzustellen. Die 180 Tage gelten heute und bleiben.

Fragen, Rückmeldungen oder Erfahrungen mit Banken, deren Schnittstelle in der Praxis Eigenheiten zeigt? Wir freuen uns über Ihre Nachricht an info@immogenio.de.