Offensiv: Sparkassen als Open-Banking-Partner – über 5.000 OSPlus-Funktionen via neuer API-Plattform

Mit ihrer API-Management-Strategie positioniert sich die Sparkassen-Finanzgruppe als Partner im Open Banking. Ein wichtiger Baustein dieser Strategie ist die von der Finanz Informatik (FI) zusammen mit ihrer Tochter Star Finanz entwickelte API-Plattform. Diese kann Drittanbietern neben der in der EU-Zahlungsdiensterichtlinie PSD2 geforderten Funktionalität auch technischen Zugriff auf die mehr als 5.000 bankfachlichen Funktionen des Gesamtbanksystems OSPlus bieten.Carsten Wendt (Bereichsleiter Financial Innovation und Digital Solution bei Finanz Informatik) stellt die neue API-Plattform exklusiv in IT Finanzmagazin vor.

von Carsten Wendt, Finanz Informatik

Wenn Daten das Öl des 21. Jahrhundert sind, dann stellt sich auch die Frage, wie man Daten effektiv und auf verantwortungsvolle, sichere Art und Weise fördert.

Die PSD2-Richtlinie (Payment Services Directive 2) verpflichtet die Institute, Bohrplattformen für Third-Party-Provider (TTPs) zu bauen, die Zugang zu definierten Ölfeldern bieten. Aber was machen Institute mit ihren anderen Ölfeldern?”

Gewähren sie Zugang und wenn ja, auf welche Weise? Übernehmen sie selbst die Förderung vom Rohöl aus den Tiefen? Oder bieten sie den Drittanbietern bereits veredelte oder vollständig raffinierte Produkte?

Der Dachverband Deutscher Sparkassen- und Giroverband (DSGV) hat die API-Management-Strategie der Sparkassen-Finanzgruppe in dem Projekt „Finanzplattform“ festgelegt. Sie ist eine wichtige Säule für das Zielbild einer One Single Plattform. In der Strategie setzt die Finanzgruppe auf weitgehende Offenheit für die Zusammenarbeit mit Drittanbietern, um möglichst viele attraktive und innovative Produkte und Dienstleistungen für ihre Privat- und Firmenkunden zu ermöglichen. PSD2 wird damit zum Katalysator für Innovationen und zur großen Chance für die insgesamt 377 Sparkassen und ihre rund 50 Millionen Kunden.

Zentraler Zugang über das Developer Portal

Im Zentrum der technischen Umsetzung des weitreichenden Open Banking-Ansatzes der Sparkassen steht die neue API-Plattform.Über diese Plattform werden verschiedene fachliche Dienste mit ihren Schnittstellen angeboten. Auf dieser Basis hat die FI bereits im März 2019 entsprechend der Richtlinie die gemeinsame PSD2-Schnittstelle der Sparkassen und Landesbanken zu Testzwecken zur Verfügung gestellt.

Als zentraler Anlaufpunkt für Informationen über die APIs der Sparkassen – und in naher Zukunft auch der Verbundpartner wie die öffentlichen Versicherungen oder Landesbausparkassen – fungiert das ebenfalls im Jahr 2019 etablierte Developer Portal. Für neue Services und Applikationen können sich Entwickler und FinTechs über die vorhandenen APIs, deren Funktionsweisen, Dokumentationen sowie mögliche Use-Cases informieren. Außerdem können sie eigene Produktideen und Anforderungen einreichen und mit dem Sparkassen Innovation Hub (S-Hub) in Kontakt treten. Auf dem Developer Portal wird auch die Access-to-Account-Schnittstelle (XS2A) der Sparkassen bereitgestellt. Die XS2A kann über eine sogenannte Sandbox direkt getestet werden und über die zugelassenen Kontoinformationsdienste (KID) oder Zahlungsauslösedienste (ZAD) Kontoinformationen von Sparkassenkunden abrufen beziehungsweise Zahlungen auslösen. Damit werden die fachlichen PSD2-Anforderungen erfüllt.

Open Banking mit der Banking-API

Die neue API-Plattform der FI umfasst nicht nur die XS2A-Schnittstelle.

Sie bietet darüber hinaus auch potenziell alle Funktionen der Gesamtbanklösung OSPlus an. So sind zum Beispiel Kreditfinanzierungen, Kreditkartenbestellungen oder Ratings möglich.”

Damit stehen die bankfachlichen Funktionen als Funktionsbausteine oder auch gesamte OSPlus-Prozesse Drittanbietern zur Verfügung. Möglich wird dies durch die moderne, serviceorientierte Architektur des Gesamtbanksystems, in dem sämtliche fachlichen Funktionen redundanzfrei entwickelt und in einem zentralen Repository dokumentiert sind. Über die Banking-API werden die fachlichen Dienste mit ihren Schnittstellen angeboten, wobei für jeden dieser Dienste unterschiedliche Nutzerberechtigungen definiert werden können.

Auf dieser technischen Grundlage können die Sparkassen oder die FI mit Drittanbietern Vereinbarungen treffen, die den Zugang zu den bankfachlichen Funktionen – und damit auch zu den Daten in OSPlus – regeln. Um im Bild der Ölförderung zu bleiben: Sie behalten sich die Entscheidung vor, welche Ölfelder und damit Bohrinseln sie für welchen Partner freigeben beziehungsweise welche Endprodukte aus der Datenquelle OSPlus sie den Partnern anbieten.

Funktionsweise der Banking-API

Über die API-Plattform steuert die FI für die Banking-API unter anderem das Berechtigungsmanagement für den Zugriff auf Funktionen, die Prüfung eingehender Anfragen, limitiert die Anfragen auf die Schnittstellen, leitet sie an die jeweiligen internen Systeme weiter und stellt Analysedaten über die Nutzung von Schnittstellen sowie deren Dokumentation zur Verfügung.

Um APIs zu entwickeln, können Entwickler auf alle existierenden Funktionen der Dynamischen Schnittstelle (DynS) im OSPlus zurückgreifen. Die Dynamische Schnittstelle bündelt alle Funktionen des Gesamtbanksystems, die mit den entsprechenden Berechtigungen und den passenden Aufrufparametern für jedes beliebige in OSPlus angelegte Institut nutzbar sind. Mit den über 5.000 Funktionen, die in der Dynamischen Schnittstelle hinterlegt sind, lässt sich auf nahezu alle Daten der Institute zugreifen. Außerdem können mit diesem umfangreichen Toolset die meisten Anforderungen an APIs umgesetzt werden, die auf den bestehenden Datenstrukturen eines Instituts basieren.

Damit die API nach außen möglichst einfach zu verwenden ist, bietet die FI maßgeschneiderte Services für Drittanbieter, die nur die gewünschten Daten liefern, an. Um schnell neue APIs zur Verfügung zu stellen, bedient sich die FI einer sogenannten Orchestrierungsschicht. In dieser können die mehr als 5.000 Funktionen der Dynamischen Schnittstelle einfach verknüpft werden. Diese können auch außerhalb der OSPlus-Releases zur Verfügung gestellt werden. Die Zugriffe auf die Banking-API sind mehrfach abgesichert und verwenden moderne und standardisierte Autorisierungsverfahren (OAuth 2.0) und unterstützen das „Restful-Paradigma“.

Management des Zugriffs auf Sparkassen-Daten

Aufgrund der Vielzahl der Anwendungen und ihrer individuellen Konfigurierbarkeit stellt die Sparkassen-Finanzgruppe die OSPlus Banking-API nicht frei zur Verfügung sondern als Private Managed APIs.”

Das setzt voraus, dass Drittanbieter von der FI validiert sowie im Falle der Zusammenarbeit mit einem Institut oder dem IT-Dienstleister aktiv über die fachlichen Möglichkeiten informiert und beraten werden. Drittanbieter können auf entsprechend vertraglicher Basis die Services dadurch schnell anbinden und nutzen.

Die Banking-API öffnet sowohl den Sparkassen als auch den Drittanbietern ein weites Spektrum digitaler Funktionen und Mehrwerte. Die leistungsfähige API erlaubt es sparkassen-fremden Ökosystemen, direkt auf OSPlus-Funktionen zuzugreifen. So kann zum Beispiel ein Vergleichsportal neben Kreditkonditionen der Sparkasse auch einen Routenplaner zur gewünschten Filiale anbieten. Andere APIs erlauben den anonymisierten Abruf von Kundenportfolios, etwa zur Anlageberatung für Drittanbieter. Payment-Lösungen wie Blue Code und Apple Pay nutzen die Banking-APIs ebenso wie digitale Sprachassistenten.

Damit stellt die Sparkassen-Finanzgruppe die Weichen für ein sehr weitreichendes Open Banking. Die API-Philosophie der Sparkassen-Finanzgruppe setzt auf eine selektive Zusammenarbeit mit Drittanbietern.

Durch individuelle Apps oder Webdienste der Verbundpartner oder fremder Ökosysteme können zahlreiche Mehrwerte geschaffen werden.”

Dies ermöglicht eine weitreichende Öffnung der IT-Systeme und damit auch der Zusammenarbeit: Denn Open Banking ist für Sparkassen nicht nur ein Schlagwort, sondern eine Chance, ihre marktführende Stellung weiter auszubauen. Carsten Wendt, Finanz Informatik