PSD3 und PSR: Warum Betrugsschutz als durchgängiger Kundenprozess gedacht werden muss

Autor: acceleraid Redaktion | 20. August 2026

Die Debatte über PSD3 und die Payment Services Regulation (PSR) ist für Banken vor allem eine Frage der richtigen zeitlichen Einordnung. Die Europäische Kommission legte die beiden Vorschläge am 28. Juni 2023 vor. Parlament und Rat erzielten am 27. November 2025 eine vorläufige politische Einigung; der in den interinstitutionellen Verhandlungen vereinbarte Text wurde am 5. Mai 2026 im ECON-Ausschuss gebilligt. Die Einigung muss jedoch noch formell von Parlament und Rat angenommen werden, bevor sie in Kraft treten kann. Europäisches Parlament: Legislative Train Schedule

Das ist keine begriffliche Feinheit. Die im Einigungstext beschriebenen neuen Schutzmechanismen sind nicht als bereits anwendbare PSR- oder PSD3-Pflichten zu behandeln. Geltendes Recht und künftiger Rechtsrahmen müssen in Programmplanung, Kundenkommunikation und Kontrollnachweisen getrennt bleiben. Zugleich gibt es bereits anwendbare Regeln: PSD2 gilt seit Januar 2018; die Anforderung an starke Kundenauthentifizierung gilt seit September 2019. Für Zahlungsdienstleister im Euroraum nennt die Kommission außerdem seit Oktober 2025 die Pflicht, dass Kundinnen und Kunden Euro-Echtzeitüberweisungen senden können und der beabsichtigte Zahlungsempfänger überprüft wird. Europäische Kommission: Payment services

Für die operative Gestaltung ist der Inhalt der politischen Einigung dennoch wertvoll. Er beschreibt keinen isolierten Betrugsschutz-Schritt, sondern eine Kette: Prävention und Warnung, Prüfung der Transaktion, bewusstes Handeln der Kundin oder des Kunden, Sicherung beziehungsweise Sperre, Fallbearbeitung, mögliche Erstattung und Rückführung der Erkenntnisse in Prävention und Service. Wer diese Stationen als getrennte Systeme betreibt, riskiert widersprüchliche Informationen und unklare Übergaben. Wer sie als Kundenprozess gestaltet, schafft eine belastbare Grundlage – ohne vorwegzunehmen, was künftig rechtlich gelten wird.

Erst die Rechtslage, dann das Zielbild

Der vereinbarte PSR-Text ordnet Zahlungsdienste und bestimmte unterstützende technische Dienstleister in einen stärker harmonisierten Rahmen ein; PSD3 betrifft unter anderem Zulassung und Aufsicht. Für den Betrugsschutz beschreibt die politische Einigung unter anderem Abgleich von Name und eindeutiger Kennung des Zahlungsempfängers, Zurückweisung und Information bei Abweichungen, starke Kundenauthentifizierung, Risikobewertung sowie Ausgabenlimits und Sperrmaßnahmen. Europäisches Parlament: Einigung zu Zahlungsdiensten

Diese Punkte sollten in der Architektur als potenzielles Zielbild geführt werden, nicht als gegenwärtige PSR-Checkliste. Besonders wichtig ist die Trennung von zwei Aussagen: Eine Anforderung kann heute aus PSD2 oder aus der Instant-Payments-Verordnung gelten; eine weitere Anforderung kann im politisch geeinten PSR-/PSD3-Text stehen, aber noch nicht in Kraft sein. Diese Trennung gehört in Policy-Register, Schulungen, Kundenhinweise, Testfälle und Management-Reporting.

Ein gutes Zielbild ersetzt auch keine Einzelfallentscheidung. Es legt vielmehr fest, welche Information zu welchem Zeitpunkt verfügbar sein muss: Transaktionsdaten und Warnsignale vor der Freigabe, der Authentifizierungsstatus beim Zustimmungsschritt, eine unveränderbare Zeitachse für den Fall und nachvollziehbare Kriterien für Eskalation, Sperre oder Kommunikation. So bleibt später belegbar, was technisch geschah und was die Kundin oder der Kunde gesehen beziehungsweise bestätigt hat.

Warnung und Transaktionsprüfung als zusammenhängender Moment

Der Abgleich von Name und eindeutiger Kennung des Empfängers ist im vereinbarten Text mit einer klaren Folge verbunden: Bei einer Abweichung soll der Zahlungsdienstleister den Zahlungsauftrag ablehnen und den Zahler informieren. Für die Prozessgestaltung folgt daraus ein einfaches Prinzip: Prüfung und Erklärung dürfen nicht auseinanderfallen. Eine Warnung, die erst nach dem Abbruch des Vorgangs erscheint, hilft dem Kundenprozess weniger als eine verständliche Information am Entscheidungspunkt. Europäisches Parlament: Einigung zu Zahlungsdiensten

Das gilt besonders für digitale Journeys. Ein Team sollte nicht nur speichern, ob eine Regel ausgelöst hat. Es sollte auch dokumentieren können, welche Fassung einer Warnung in welchem Kanal ausgespielt wurde, auf welche Transaktion sie sich bezog und ob der Vorgang abgebrochen, abgelehnt oder in eine weitere Prüfung geführt wurde. Das ist kein behaupteter gesetzlicher Wortlaut, sondern ein Gestaltungsprinzip für nachvollziehbare Kundeninteraktion.

Die starke Kundenauthentifizierung gehört dabei nicht in einen separaten Sicherheitskanal. Sie ist Teil desselben Moments: Die Kundin oder der Kunde soll nachvollziehen können, worauf sich die Zustimmung bezieht; das System braucht eine eindeutige Verknüpfung zwischen Freigabe, Transaktion und Risikokontext. Der aktuelle Rechtsrahmen enthält bereits starke Kundenauthentifizierung. Der PSR-Einigungstext nennt darüber hinaus Risikobewertung und weitere Präventionsmechanismen. Europäische Kommission: Payment services Europäisches Parlament: Einigung zu Zahlungsdiensten

Von Zustimmung zur Sperre: klare Zustände statt stiller Übergaben

Der politisch geeinte Text sieht Ausgabenlimits und Sperrmaßnahmen zur Verringerung von Betrugsrisiken vor. Er beschreibt außerdem, dass der empfangende Zahlungsdienstleister eine von ihm als verdächtig erkannte Transaktion einfrieren soll. Auch das sind Aussagen über den noch nicht formell angenommenen Text, nicht über eine bereits anwendbare PSR-Pflicht. Europäisches Parlament: Einigung zu Zahlungsdiensten

Operativ spricht dies für klar benannte Zustände statt für ein pauschales „Fraud Hold“. Beispiele für fachliche Zustände sind: Warnung angezeigt, Freigabe noch offen, Auftrag abgelehnt, Zahlung angehalten, Fall eröffnet, Gegenpartei informiert und Entscheidung ausstehend. Die Begriffe sind konzeptionell; sie sollen keine rechtlichen Kategorien ersetzen. Ihr Nutzen liegt darin, dass digitale Oberfläche, Contact Center, Betrugsteam und Beschwerdemanagement denselben Status sehen und den nächsten Schritt konsistent erklären können.

Bei Verdacht darf das Kundenerlebnis nicht an einer automatischen Sperre enden. Der Prozess braucht eine Übergabe mit Kontext: Transaktionsreferenz, Zeitstempel, Warn- und Authentifizierungsereignisse, Kontakthistorie, Risikogrund und Verantwortlichkeit. Mitarbeitende benötigen eine Ansicht, die nicht erst mehrere Systeme zusammenführen muss. Umgekehrt muss die digitale Strecke wissen, dass ein Fall offen ist, damit sie keine widersprüchliche Bestätigung oder Werbung ausspielt.

Erstattung als Fallentscheidung, nicht als nachgelagerter Zahlungsvorgang

Der Einigungstext differenziert mehrere Konstellationen. Wird eine Transaktion durch einen Betrüger ausgelöst oder verändert, soll sie als nicht autorisiert gelten; der Zahlungsdienstleister wäre für den gesamten betrügerischen Betrag haftbar. Bei Identitätsbetrug, bei dem sich ein Täter als Mitarbeiter eines Zahlungsdienstleisters ausgibt und eine Zahlung freigeben lässt, beschreibt der Text eine vollständige Erstattung, sofern der Kunde den Betrug bei Polizei und Zahlungsdienstleister meldet. Europäisches Parlament: Einigung zu Zahlungsdiensten

Gerade deshalb sollte eine mögliche Erstattung nicht als isolierte Backoffice-Buchung geplant werden. Sie braucht eine Fallakte, die Anlass, Kundenmeldung, Transaktionsstatus, Kommunikation, gegebenenfalls polizeiliche Meldung und Entscheidungsgrund zusammenführt. Die genannten Erstattungsregeln sind Teil des politisch geeinten, noch nicht formell angenommenen Pakets. Für aktuelle Fälle sind weiterhin die jeweils geltenden Vorgaben und die konkrete Sachverhaltsprüfung maßgeblich.

Der Einigungstext sieht außerdem eine mögliche Haftung von Online-Plattformen gegenüber Zahlungsdienstleistern vor, wenn sie über betrügerische Inhalte informiert wurden und diese nicht entfernen, nachdem ein Zahlungsdienstleister geschädigte Kunden erstattet hat. Das unterstreicht, dass die Fallbearbeitung Schnittstellen über die Bank hinaus haben kann. Eine Prozessarchitektur sollte deshalb Belege, Meldungen und Kommunikationsschritte strukturiert halten, ohne automatisch eine Rechtsfolge zu behaupten. Europäisches Parlament: Einigung zu Zahlungsdiensten

Fallabschluss liefert den Stoff für bessere Prävention

Die politische Einigung nennt auch menschlichen Kundensupport und öffentliche Aufklärung über Betrugsvermeidung. Damit wird deutlich: Schutz endet nicht bei einer Regel im Zahlungsablauf. Nach dem Abschluss eines Falls sollte die Bank prüfen, welche Signale, Warntexte, Übergaben und Unterstützungswege funktionierten – und welche nicht. Europäisches Parlament: Einigung zu Zahlungsdiensten

Für ein B2B-Betriebsmodell empfiehlt sich ein geschlossener Lernkreislauf. Erstens werden Fälle nach einem kontrollierten Schema klassifiziert. Zweitens werden vermeidbare Reibungen zwischen App, Call Center und Fallbearbeitung erfasst. Drittens werden Warnung, Regel oder Arbeitsanweisung gezielt geändert und versioniert. Viertens wird geprüft, ob die Änderung die beabsichtigte Wirkung im Prozess entfaltet, ohne Kundinnen und Kunden unnötig zu blockieren. Das sind Maßnahmen der Prozesssteuerung, keine Aussage darüber, welche Kennzahl das künftige Recht verlangen würde.

Auch die Governance sollte in zwei Spuren laufen. Eine Rechts- und Compliance-Spur beobachtet den formellen Abschluss von PSR und PSD3 und aktualisiert Pflichtenkataloge erst auf dieser Grundlage. Eine Prozess-Spur verbessert schon heute Nachvollziehbarkeit, Übergaben und Kundeninformation dort, wo das mit geltendem Recht und dem eigenen Risikorahmen vereinbar ist. Der Eurosystem-Ansatz unterstützt eine strukturierte Zusammenarbeit von Behörden und Marktteilnehmern gegen Zahlungsbetrug und verweist dabei auf PSD3, PSR und das AML-Paket. Europäische Zentralbank: Payments strategy

Die zentrale Entscheidung lautet damit nicht „PSR-Projekt oder Kundenprozess“. Sie lautet: Kann die Bank vom ersten Warnhinweis bis zum Fallabschluss erklären, welcher Status gilt, wer handelt, welche Information der Kunde erhält und wie Erkenntnisse zurück in die Prävention gelangen? Dieses durchgängige Design ist heute eine sinnvolle Steuerungsaufgabe. Es wird nicht dadurch zu geltendem Recht, dass es gut vorbereitet ist.

Illustration: KI-generiert. KI-gestützte Inhalte: Bei der Erstellung unserer Beiträge setzen wir KI-Technologien und automatisierte Agenten ein, unter anderem von Microsoft, Google, OpenAI, Anthropic und weiteren Anbietern. Themen, fachliche Ausrichtung und finale Freigabe liegen bei unserem Team.