PSD3 und PSR: Was sich bei der Bekämpfung von Zahlungsbetrug ändert

Kurz gesagt: Am 21. Oktober 2026 hat der Rat der EU seinen Standpunkt in erster Lesung zur dritten Zahlungsdiensterichtlinie (PSD3) und zur neuen Zahlungsdiensteverordnung (PSR) festgelegt. Beide Texte ersetzen die PSD2 und die E-Geld-Richtlinie. Beim Thema Betrug gibt es vier große Änderungen: volle Erstattung bei Betrug durch falsche Bankmitarbeiter, Namens-/IBAN-Abgleich für alle Überweisungen, eine gesetzlich verankerte starke Kundenauthentifizierung und ein verpflichtender Austausch von Betrugsdaten, auch mit großen Online-Plattformen. Die PSR gilt 21 Monate nach Inkrafttreten.

‍

Der Text ist noch nicht endgültig, sein Inhalt aber bekannt und stabil. Die Reform verschärft die Zulassung, öffnet den Zugang zu Bankkonten und modernisiert Open Banking. Ihr eigentlicher Schwerpunkt ist jedoch der Betrug: Zum ersten Mal lässt das Gesetz Zahlungsdienstleister einen Teil der Betrugsfälle tragen, die ihre Kunden selbst autorisiert haben.

‍

Bei Meelo begleiten wir täglich Banken, Zahlungsinstitute und Fintechs bei der Betrugserkennung im Onboarding. Hier erfahren Sie, was sich ändert, wer betroffen ist und wie Sie sich vorbereiten.

‍

PSD3 und PSR im Überblick

‍

Die Reform teilt den bisherigen Rahmen in zwei Texte. Die Richtlinie PSD3 regelt Zulassung und Aufsicht. Die Verordnung PSR legt die Verhaltensregeln fest, einschließlich aller Vorgaben zum Betrug, und gilt unmittelbar in allen 27 Mitgliedstaaten, ohne nationale Umsetzung.

‍

Das ist ein Methodenwechsel. Unter der PSD2 setzte jedes Land die Regeln auf seine Weise um, was zu Unterschieden führte. Mit der PSR wenden eine französische Bank und ein niederländisches Zahlungsinstitut genau dieselben Betrugsregeln an. Auch das E-Geld verschwindet als eigenes Regime: E-Geld-Institute werden in den Rahmen der Zahlungsinstitute überführt.

‍

Der Zeitplan ab Inkrafttreten

‍

• Tag 0: Inkrafttreten 20 Tage nach Veröffentlichung im Amtsblatt der EU.
• +21 Monate: Die PSR gilt, ebenso die nationalen Gesetze zur Umsetzung der PSD3. Bestehende Lizenzen bleiben gültig.
• +27 Monate: Ende der Übergangsfrist. Zahlungsinstitute, E-Geld-Institute und ausgenommene Unternehmen müssen neu zugelassen werden, sonst wird ihre Tätigkeit ausgesetzt. Der erweiterte Namens-/IBAN-Abgleich und seine Haftungsregeln greifen.

‍

Das Europäische Parlament muss das Verfahren noch abschließen, und alle Fristen laufen ab der Veröffentlichung. Wird der Text 2027 veröffentlicht, würden die ersten Betrugspflichten Ende 2028 oder 2029 gelten.

‍

Betrug durch falsche Bankmitarbeiter: Der Zahlungsdienstleister erstattet

‍

Das ist die am meisten erwartete Maßnahme. Heute trägt ein Kunde, der unter dem Druck eines falschen Bankberaters selbst eine Überweisung freigibt, den Verlust allein: Die Zahlung gilt als autorisiert und fällt nicht unter die Erstattungsregeln der PSD2.

‍

Mit der PSR erhält der Verbraucher eine volle Erstattung, wenn drei Bedingungen erfüllt sind:

‍

• Der Betrüger hat sich als der eigene Zahlungsdienstleister des Kunden ausgegeben (Bank, Zahlungsinstitut oder E-Geld-Institut).
• Er hat gefälschte Kanäle genutzt: Telefonnummer, SMS oder E-Mail-Adresse, die denen des Dienstleisters nachgeahmt sind.
• Das Opfer hat den Betrug seinem Zahlungsdienstleister gemeldet und Anzeige bei der Polizei erstattet.

‍

Um die Erstattung abzulehnen, muss der Dienstleister grobe Fahrlässigkeit des Kunden nachweisen. Der Rat hat die Regel auf die Nachahmung des Zahlungsdienstleisters selbst beschränkt, während das Parlament jede öffentliche oder private Stelle einbeziehen wollte. Betrug durch falsche Polizisten oder andere Organisationen bleibt also außen vor.

‍

Zahlungsdienstleister müssen außerdem ihre eigenen Kanäle gegen Spoofing absichern. Bei klassischen nicht autorisierten Zahlungen bleibt die Regel gleich: Erstattung bis zum Ende des folgenden Geschäftstags, Selbstbeteiligung des Kunden von 50 €. Neu ist: Vermutet der Dienstleister Betrug oder grobe Fahrlässigkeit, muss er seine Gründe schriftlich darlegen und innerhalb von 15 Geschäftstagen entscheiden.

‍

Die Sicht von Meelo. Ein Betrug durch falsche Bankmitarbeiter braucht immer ein Konto, auf dem das Geld ankommt, oft eröffnet mit einer gestohlenen Identität oder gefälschten Dokumenten. Genau dort setzen wir an. Je früher dieses Konto gesperrt wird, desto weniger Opfer müssen entschädigt werden, bei Ihnen wie bei allen anderen Zahlungsdienstleistern.

‍

Namens-/IBAN-Abgleich: für alle Überweisungen

‍

Seit Oktober 2025 schreibt die Verordnung über Echtzeitüberweisungen die Empfängerüberprüfung (Verification of Payee) für SEPA-Überweisungen in Euro vor. Die PSR weitet sie auf alle Überweisungen aus, auch außerhalb des Euro.

‍

Vor dem Versand prüft der Zahlungsdienstleister des Zahlers, ob der eingegebene Name zum Inhaber der IBAN passt, und meldet jede Abweichung. Wendet ein Dienstleister die Prüfung nicht oder fehlerhaft an, erstattet er dem Zahler den Betrag, und der verantwortliche Dienstleister entschädigt den anderen.

‍

Diese Regel gilt ab Monat 27. Für Institute mit Fremdwährungsüberweisungen ist das ein technisches Projekt, das früh starten sollte. Für Unternehmen, die Lieferanten und Partner bezahlen, ist es ein direkter Schutz vor Betrug durch geänderte Bankverbindungen.

‍

Die Sicht von Meelo. Unsere Prüfung der IBAN-Inhaberschaft funktioniert bereits für Privatpersonen und Unternehmen und ist mit der Verification of Payee kompatibel. Unsere Kunden nutzen sie vor allem im Onboarding: Wer schon bei der Kontoeröffnung prüft, ob die angegebene IBAN wirklich der Person oder Firma gehört, hält betrügerische Konten aus der Zahlungskette heraus.

‍

Starke Kundenauthentifizierung: jetzt im Gesetz

‍

Unter der PSD2 beruhte die starke Kundenauthentifizierung (SCA) auf der Richtlinie und den technischen Standards der EBA. Die PSR verankert sie direkt in der Verordnung und erweitert ihren Anwendungsbereich:

‍

• Neue Fälle: Tokenisierung einer Karte, Erhöhung von Limits, Änderung von Passwort oder Kontaktdaten.
• Wirklich unterschiedliche Faktoren: Die Authentifizierungselemente müssen aus verschiedenen Kategorien stammen.
• Barrierefreiheit: Verfahren für Menschen mit Behinderung, ältere Menschen oder Personen ohne Smartphone.
• Erweiterte Haftung: Technische Dienstleister und Betreiber von Zahlungssystemen haften, wenn sie die SCA verhindern.

‍

Sensible Momente der Customer Journey, etwa der Wechsel der Telefonnummer, sind genau die, die Betrüger für eine Kontoübernahme nutzen. Sie müssen künftig geschützt werden.

‍

Die Sicht von Meelo. Die SCA beweist, dass es das richtige Gerät ist, nicht dass die richtige Person dahintersteht. Wir ergänzen sie um weitere Signale: Geräte-Fingerprinting, Hinweise auf Automatisierung, VPN- oder Proxy-Erkennung, Prüfung von Mobilfunkanbieter und Rufnummernportierung. Diese Signale helfen, eine auffällige Journey zu erkennen, bevor daraus Betrug wird.

‍

Austausch von Betrugsdaten und Online-Plattformen

‍

Die PSD2 sagte fast nichts über die Zusammenarbeit der Akteure. Die PSR macht sie zur Pflicht.

‍

Zwischen Zahlungsdienstleistern. Die Dienstleister müssen Betrugsdaten untereinander austauschen. Der Austausch ist geregelt: Vorher ist eine gemeinsame DSGVO-Folgenabschätzung nötig. Zudem müssen die Dienstleister ihre Erstattungsstatistiken veröffentlichen.

‍

Mit Plattformen. Große Online-Plattformen und Suchmaschinen dürfen Werbung für Finanzdienstleistungen nur schalten, wenn der Werbende seine Zulassung im Zielland nachweist. Sie müssen Meldekanäle für Zahlungsdienstleister einrichten. Laut der vorläufigen Einigung haftet eine Plattform, die auf betrügerische Inhalte hingewiesen wurde und sie nicht entfernt, gegenüber dem Dienstleister, der das Opfer entschädigt hat.

‍

Die Logik ändert sich: Betrug ist kein isoliertes Problem einzelner Banken mehr, sondern eine Kette geteilter Verantwortung.

‍

Wer ist betroffen, und wie

‍

• Banken: Sie tragen die Erstattung bei Betrug durch falsche Bankmitarbeiter, gleichen Name und IBAN bei allen Überweisungen ab und teilen Betrugsdaten. Außerdem müssen sie eine eigene Open-Banking-Schnittstelle anbieten und dürfen Konten von Zahlungs- oder E-Geld-Instituten nur aus festgelegten Gründen kündigen, mit 4 Monaten Frist.
• Zahlungsinstitute: Betrugshaftung, Namens-/IBAN-Abgleich und SCA sind nun per Verordnung geregelt. Neuzulassung ab Monat 27 und höheres Anfangskapital (40.000 € für Finanztransfergeschäfte, 125.000 bis 150.000 € für andere Dienste).
• E-Geld-Institute: dieselben Betrugs- und SCA-Regeln wie Zahlungsinstitute, Ende des separaten EMD2-Regimes, Anfangskapital von 250.000 € für die Ausgabe (heute 350.000 €).
• Verbraucher: Erstattung bei Betrug durch falsche Bankmitarbeiter mit Anzeige, Warnung vor jeder Überweisung bei abweichendem Namen, Gebühren vor der Zahlung sichtbar und ein Dashboard zum Widerruf von Open-Banking-Zugriffen. Die Selbstbeteiligung von 50 € bleibt.

‍

So bereiten Sie sich jetzt vor

‍

Die Fristen wirken weit weg, doch die Erstattungspflicht verändert die Wirtschaftlichkeit von Betrug. Jeder unerkannte Betrugsfall wird zum direkten Verlust für den Dienstleister.

‍

• Exposition ermitteln: Schätzen Sie, wie viele Fälle von Identitätsvortäuschung Sie in den letzten 12 Monaten hätten erstatten müssen.
• Empfängerüberprüfung ausweiten auf alle Überweisungen, auch in Fremdwährung.
• Sensible Schritte absichern: Änderung von Telefonnummer, E-Mail oder Limit, neue Empfänger.
• Früh erkennen: Ein mit falscher Identität eröffnetes Konto dient später dazu, das Geld der Opfer zu empfangen. Kontrollen im Onboarding (KYC, KYB) senken direkt, was Sie später zahlen.
• Datenaustausch vorbereiten: DSGVO-Folgenabschätzung, Auswahl der Partner und Austauschformate.
• Ablehnungen dokumentieren: Wer grobe Fahrlässigkeit geltend macht, braucht schriftliche Nachweise und eine Entscheidung binnen 15 Geschäftstagen.
• Für Zahlungs- und E-Geld-Institute: Neuzulassung und erforderliches Kapital frühzeitig planen.

‍

Wie Meelo Zahlungsdienstleistern bei der PSR hilft

‍

• Erstattung bei Identitätsvortäuschung: Identitätsprüfung und Betrugsscore mit Face Matching und Lebenderkennung, Echtheitsprüfung von Dokumenten und Erkennung KI-generierter Dokumente, um von Betrügern eröffnete Konten zu blockieren.
• Namens-/IBAN-Abgleich: Prüfung der IBAN-Inhaberschaft für Privat- und Geschäftskunden, kompatibel mit Verification of Payee.
• Erweiterte SCA: Geräte-Fingerprinting, VPN- und Proxy-Erkennung, Prüfung von Telefon und E-Mail.
• Open Banking: Kontoanalyse, Abgleich mit den angegebenen Daten, Warnungen zu verbundenen Konten.
• Geschäftskunden und Betrug durch geänderte Bankverbindungen: KYB-Prüfung von Unternehmen, wirtschaftlich Berechtigten und Geschäftsführern, in Frankreich und international.
• Geldwäscheprävention: Abgleich mit Sanktionslisten, politisch exponierten Personen und negativen Medienberichten.

‍

Alles läuft über eine Plattform und eine Integration. Das Ziel: den Betrüger stoppen, bevor er das Konto eröffnet, auf dem das Geld der Opfer landet, statt im Nachhinein zu erstatten.

‍

FAQ

‍

Was ist der Unterschied zwischen PSD3 und PSR?

‍

Die PSD3 ist eine Richtlinie zu Zulassung und Aufsicht von Zahlungsinstituten, die jedes Land umsetzt. Die PSR ist eine unmittelbar geltende Verordnung mit den Verhaltensregeln, darunter Betrug, SCA und Open Banking.

‍

Ab wann gelten PSD3 und PSR?

‍

Die PSR gilt 21 Monate nach Inkrafttreten. Die Übergangsfrist endet nach 27 Monaten. Das Europäische Parlament muss den finalen Text noch annehmen.

‍

Müssen Banken Betrug durch falsche Bankmitarbeiter erstatten?

‍

Ja, wenn sich der Betrüger über gefälschte Kanäle als die Bank selbst ausgegeben hat und das Opfer den Betrug der Bank und der Polizei gemeldet hat. Die Bank kann nur ablehnen, wenn sie grobe Fahrlässigkeit nachweist.

‍

Wird die Empfängerüberprüfung überall Pflicht?

‍

Ja. Bereits Pflicht für SEPA-Überweisungen in Euro, wird sie auf alle Überweisungen ausgeweitet. Ein Dienstleister, der sie nicht anwendet, erstattet dem Zahler den Betrag.

‍

Sind Online-Plattformen betroffen?

‍

Ja. Große Plattformen müssen prüfen, ob Werbende für Finanzdienstleistungen zugelassen sind, und mit Zahlungsdienstleistern zusammenarbeiten, um betrügerische Inhalte zu entfernen.

‍

Ersetzt die PSD3 die PSD2?

‍

Ja. Die PSD2 und die E-Geld-Richtlinie (EMD2) werden aufgehoben und durch PSD3 und PSR ersetzt.

‍

Quellen: Rat der EU, Dokumente ST 8535/26 (Zahlungsdiensterichtlinie) und ST 8543/26 (Zahlungsdiensteverordnung), Standpunkt in erster Lesung vom 21. Oktober 2026; vorläufige Einigung zwischen Rat und Europäischem Parlament, November 2025; Verordnung (EU) 2024/886 über Echtzeitüberweisungen.