Das EU-Zahlungsverkehrspaket, PSD3 und die Payment Services Regulation, ist inhaltlich abgeschlossen und prozedural unfertig. Parlament und Rat erzielten am 27. November 2025 eine vorläufige politische Einigung, der Rat veröffentlichte am 23. April 2026 die finalen Kompromisstexte, und der ECON-Ausschuss des Parlaments billigte den Kompromiss am 5. Mai 2026. Was bleibt, sind die formale Annahme, die Unterzeichnung durch den Rat und die Veröffentlichung im Amtsblatt. Über den Inhalt verhandelt niemand mehr neu.
Genau diese Konstellation handhaben Zahlungsinstitute erfahrungsgemäß schlecht. Der Instinkt rät, mit Budgetzusagen auf das Amtsblatt-Datum zu warten, weil das Paket noch kein geltendes Recht ist. Die vorherrschende Markterwartung ist jedoch eine Veröffentlichung in der zweiten Jahreshälfte 2026 mit materiellem Geltungsbeginn 2028, und was das Paket verlangt, eine Schicht zur Empfängerprüfung, ein Case-Management-Workflow für Erstattungen, überarbeitete Authentifizierungsstrecken, sind Programme über mehrere Quartale mit Abhängigkeiten zu Kernbanksystemen und Zahlungsschienen. Ein Institut, das erst startet, wenn der Text formal final ist, presst in der Übergangsphase zwei Jahre Arbeit in eines.
Zwei Uhren, nicht eine Deadline
Das Paket teilt sich in zwei Instrumente mit unterschiedlicher Timing-Mechanik. Die PSR ist eine Verordnung: Sie gilt nach ihrer eigenen Übergangsfrist unmittelbar in der gesamten EU, und die jüngere Implementierungskommentierung konvergiert für die Hauptpflichten auf Anfang bis Mitte 2028. PSD3 ist eine Richtlinie: Sie braucht nationale Umsetzung, und eine Marktschätzung setzt dafür 18 Monate ab Veröffentlichung an, was bei einem Amtsblatt-Termin Mitte 2026 ein Umsetzungsfenster von Mitte bis Ende 2027 ergibt. Ein laufend gepflegter Legislativ-Tracker erwartet die Veröffentlichung im Juni oder Juli 2026, mit möglichem Rutschen auf September wegen sprachjuristischer Finalisierung und Plenarterminierung.
Für ein Institut, das in mehreren Mitgliedstaaten tätig ist, kann dasselbe Produkt daher je nach Umsetzungsstand der Richtlinie und je nachdem, welche Pflichten in der unmittelbar geltenden Verordnung sitzen, unterschiedliche Cutover-Termine haben. Die Release-Planung sollte den PSR-Strang und den PSD3-Umsetzungsstrang als getrennte Programme mit getrennten Terminen behandeln, nicht als ein Projekt mit einem einzigen Go-live. Manche Bestimmungen greifen noch später: Eine Implementierungsnotiz von Mitte 2026 nennt speziell für die Bestimmungen zur Empfängerprüfung einen Vorlauf von 27 Monaten.
Die Haftungsverschiebung ist der teure Teil
Nach breitem Verständnis dehnt das Paket die Betrugserstattung über die klassischen Fälle nicht autorisierter Zahlungen hinaus auf Authorised-Push-Payment- und Impersonation-Betrug aus, mit dem IBAN-Namensabgleich als Kernmechanismus. Der operative Artikeltext steht noch nicht im Amtsblatt, der genaue Anwendungsbereich sollte also gegen die finale Veröffentlichung geprüft werden, doch die Richtung steht fest: Zu erwarten sind eine verpflichtende Infrastruktur zur Empfängerprüfung und eine Neuverteilung der Haftung bei Impersonation-Betrug als Teil der Go-live-Last 2027–2028, nicht als Compliance-Punkt für 2026.
Erstattungshaftung verändert die Ökonomie der Scam-Erkennung. Sobald ein Impersonation-Scam ein erstattungsfähiges Ereignis ist statt ein Kundenverlust, landet jeder APP-Betrug, den die eigenen Kontrollen nicht stoppen, in der eigenen Gewinn-und-Verlust-Rechnung. Das verschiebt die Erkennung nach vorn: Echtzeit-Scoring ausgehender Zahlungen, Behandlung von Namensabweichungen innerhalb der Zahlstrecke und ein Claims-Prozess, der in großem Volumen Beweise sammelt, Haftung routet und über Erstattung entscheidet. Institute, die das als Thema für die Rechtsabteilung behandeln, werden feststellen, dass es ein Payments-Engineering-Problem im juristischen Gewand ist.
Was 2026 zu bauen ist
Weil die Kompromisstexte feststehen, ist das verbleibende Risiko in diesem Paket der Implementierungsaufwand, keine politische Kehrtwende. Damit lassen sich die folgenden Posten gefahrlos jetzt starten:
- Ein Service zur Empfängerprüfung. Intern gebaut oder über einen Anbieter integriert; er muss Begünstigtennamen prüfen, standardisierte Match-Ergebnisse an die Zahlstrecke zurückgeben und Beweise für spätere Streitfälle protokollieren. Das Interface-Design zählt so viel wie das Matching: Wie ein Close-Match-Ergebnis dem Zahler präsentiert wird, wird jedes Mal geprüft, wenn über Haftung gestritten wird.
- Ein Case-Management-Workflow für Erstattungen. Eingang, Beweissammlung, Haftungsrouting und Erstattungsentscheidung für Impersonation- und APP-Betrugsfälle. Für die meisten PSPs ist das eine neue operative Funktion, keine Erweiterung einer bestehenden Queue.
- Ein Inventar der SCA-Strecken. Die finalen Authentifizierungsartikel sind in den kursierenden Zusammenfassungen nicht ausformuliert; SCA ist deshalb ein Change-Management-Punkt: jede Authentifizierungsstrecke, jeden Ausnahmepfad, jeden Fallback und jeden Step-up-Trigger jetzt katalogisieren, damit sie sich schnell anpassen lassen, sobald der finale Text gilt.
- Consent- und API-Observability. Die Open-Banking-Seite des Pakets wird im Betrieb des Drittparteizugangs spürbar. Tracking des Consent-Status, Uptime-Monitoring, eine saubere Fehler-Taxonomie und Streitbeweise zur Interface-Performance müssen existieren, bevor eine Aufsicht danach fragt.
Der Audit Trail entscheidet die Streitfälle
Alles oben Genannte erzeugt Streitfälle, und Streitfälle werden auf Basis von Aufzeichnungen entschieden. Behauptet ein Kunde, trotz Warnung aus dem Namensabgleich betrogen worden zu sein, braucht das Institut den Datensatz auf Ereignisebene: was der Verifikationsservice zurückgab, was dem Kunden angezeigt wurde, was er bestätigte, was die Fraud-Engine bewertete und wann. Fragt eine Aufsicht, warum ein Erstattungsanspruch abgelehnt wurde, braucht die Fallakte dieselbe Lineage.
Das heißt: Die Beweisschicht wird neben den Kontrollen entworfen, nicht nach ihnen. Jede Empfängerprüfung, jedes Betrugssignal, jedes Authentifizierungsereignis und jede Erstattungsentscheidung sollte einen dauerhaften Datensatz schreiben, mit Zeitstempeln und den exakten Daten, die dem Nutzer angezeigt wurden. Der typische Fehler ist ein Verifikationsservice, der sein Match-Ergebnis protokolliert, aber nicht die Darstellung, sodass das Institut nicht belegen kann, was der Zahler tatsächlich sah. Aufbewahrung, Replay-Fähigkeit und Zugriff für Dispute-Bearbeiter sind Engineering-Anforderungen mit direkter GuV-Konsequenz, sobald die Haftungsregeln greifen. Die Institute, die dieses Paket günstig verdauen werden, sind jene, die 2026 als das Jahr für die Grundverkabelung nutzen, solange die Deadline noch bequem weit entfernt aussieht.
Häufige Fragen
Lohnt es sich, vor der Veröffentlichung im Amtsblatt Budget zu binden?
Ja, für die Posten mit langem Vorlauf. Die Kompromisstexte wurden im April 2026 veröffentlicht und die Ausschussabstimmung ist erfolgt; das verbleibende Risiko ist Terminverzug, keine inhaltliche Änderung. Empfängerprüfung, Case Management für Erstattungsfälle und die Inventarisierung der SCA-Strecken tragen ein Lieferrisiko, das jede Restunsicherheit im Text weit übersteigt. Am besten beginnt man mit den Posten, die sich unabhängig vom exakten Geltungsdatum auszahlen.
Wir betreiben bereits Chargeback-Operations. Kann dieses Team APP-Erstattungsansprüche mit übernehmen?
Die Ermittler lassen sich übertragen, der Workflow nicht. Chargebacks laufen über Kartensystem-Regeln mit definierten Reason Codes und Schlichtung durch das Netzwerk. Ein Erstattungsanspruch wegen Impersonation-Betrug ist eine Haftungsentscheidung zu einer Überweisung, bei der das Institut eigene Beweise zusammenträgt, ein eigenes Haftungsrouting anwendet und sich gegenüber einer Aufsicht statt einem Scheme verantwortet. Zu erwarten sind neue Eingangsprozesse, andere Beweisstandards und engere Entscheidungsfristen.
Die Bestimmungen zur Empfängerprüfung greifen womöglich später. Lässt sich dieser Build aufschieben?
Aufschieben ist meist ein Fehler, selbst wenn die gesetzliche Frist später liegt; eine Notiz von Mitte 2026 nennt für genau diese Bestimmungen einen Vorlauf von 27 Monaten. Die Empfängerprüfung ist der Mechanismus, der die eigenen Verluste begrenzt, sobald Impersonation-Betrug erstattungsfähig wird; sie früh zu betreiben senkt die Exponierung, bevor sie verpflichtend ist. Sie ist außerdem der Build mit dem längsten Nachlauf: Matching-Qualität, Gegenparteidaten und die Darstellung gegenüber dem Zahler brauchen alle mehrere Iterationen.