Nicht jeder autorisierte Betrug wird erstattet
Die Reform des europäischen Zahlungsrechts verschiebt das Risiko bestimmter Betrugsfälle von Verbrauchern zu Banken und anderen Zahlungsdienstleistern. Sie führt aber keine pauschale Erstattung für jede Überweisung ein, die ein Kunde nach einer Täuschung selbst freigegeben hat. Der entscheidende neue Schutz greift enger: Ein Betrüger muss sich als Zahlungsdienstleister des Verbrauchers ausgegeben und dafür einen Kommunikationskanal genutzt haben, der diesem Institut zugerechnet wird.
Das steht im finalen Kompromisstext der neuen Zahlungsdiensteverordnung, kurz PSR. Artikel 59 erfasst etwa einen Anruf mit manipulierter Bankrufnummer, eine gefälschte Banknachricht oder eine nachgeahmte Banking-Seite. Gibt sich der Täter dagegen als Angehöriger, Händler oder Behörde aus, fällt der Fall nicht automatisch unter diese besondere Erstattungsnorm. Für Kunden und Institute ist diese Grenze wichtiger als das Schlagwort einer allgemeinen Haftungswende.
Das Gesetzgebungsverfahren ist noch nicht abgeschlossen
Rat und Europäisches Parlament erzielten am 27. November 2025 eine vorläufige politische Einigung. Der Rat veröffentlichte die ausgearbeiteten Kompromisstexte für die PSR und die dritte Zahlungsdiensterichtlinie, PSD3 am 17. April 2026. Der Ausschuss der Ständigen Vertreter bestätigte sie am 22. April. Der Verfahrenseintrag bei EUR-Lex führt die PSR weiterhin als laufendes Gesetzgebungsverfahren.
Damit stehen die politischen Leitplanken und ein belastbarer Kompromisstext, aber noch kein festes Datum im Amtsblatt. Aussagen, das gesamte neue Regime trete Ende 2027 in Kraft, gehen deshalb zu weit. Nach dem bestätigten Text soll die PSR grundsätzlich 21 Monate nach ihrem Inkrafttreten gelten. Für den Abgleich von Empfängername und Kontokennung sowie die daran geknüpfte Haftung sehen Artikel 50 und 57 sogar 27 Monate vor. Erst Veröffentlichung und Inkrafttreten setzen diese Fristen in Gang.
Erstattung mit Frist und Beweislast
Wurde ein Verbraucher durch einen vorgetäuschten Kontakt seines Zahlungsdienstleisters manipuliert und löste dies eine betrügerische, aber autorisierte Zahlung aus, soll das Institut den vollständigen Betrag erstatten. Voraussetzung ist, dass der Kunde den Vorfall nach Kenntnis ohne unangemessene Verzögerung meldet und bei der Polizei anzeigt.
Das Institut hat nach Erhalt der Meldung und des Polizeinachweises 15 Geschäftstage Zeit. Es muss entweder erstatten oder seine Ablehnung begründen und auf zuständige Beschwerde- und Streitbeilegungsstellen verweisen. Eine Erstattung entfällt, wenn der Kunde selbst betrügerisch oder grob fahrlässig gehandelt hat. Die Beweislast dafür liegt nach dem Kompromisstext beim Zahlungsdienstleister. Bevor er grobe Fahrlässigkeit annimmt, muss er dem Verbraucher Gelegenheit geben, den Ablauf zu schildern. Schweigen allein reicht nicht als Beweis.
Für Banken verändert das die Fallbearbeitung. Sie müssen nicht nur Transaktionsdaten prüfen, sondern auch dokumentieren, welcher Kommunikationskanal missbraucht wurde, wann die Meldung einging, ob ein Polizeinachweis vorliegt und worauf eine mögliche Ablehnung beruht. Der Vorgang verbindet Betrugserkennung, Beschwerdemanagement und Rechtsprüfung in einer festen Frist.
Name und IBAN werden zu einem Haftungsfaktor
Der zweite große Hebel ist der Abgleich von Empfängername und eindeutiger Kontokennung. Die PSR überträgt die bereits für Euro-Sofortüberweisungen angelegte Prüfung auf Überweisungen im breiteren Anwendungsbereich. Der Zahler soll vor Ausführung erkennen können, ob Name und IBAN nicht zusammenpassen.
Artikel 57 knüpft daran eine klare Folge: Verletzt ein Zahlungsdienstleister die Abgleichpflicht und wird die Zahlung dadurch fehlerhaft ausgeführt, muss der Zahlungsdienstleister des Zahlers den überwiesenen Betrag ohne Verzögerung zurückzahlen. Lag der Fehler beim Institut des Empfängers oder bei einem Zahlungsauslösedienst, muss diese Stelle den Schaden des erstattenden Instituts ausgleichen.
Die beiden Haftungswege dürfen nicht vermischt werden. Beim fehlerhaften Name-IBAN-Abgleich geht es um die nicht ordnungsgemäße Anwendung eines Präventionswerkzeugs. Bei der Identitätsvortäuschung geht es um einen Täter, der als Institut erscheint, und um die anschließende Prüfung von Meldung, Polizeianzeige und möglicher grober Fahrlässigkeit.
Auch technische Dienstleister tragen einen Teil des Risikos
Der Kompromiss verteilt Verantwortung entlang der Zahlungskette. Artikel 58 erfasst technische Dienstleister und Betreiber von Zahlungssystemen, wenn sie notwendige Leistungen für die starke Kundenauthentifizierung nicht bereitstellen. Ihre Haftung bezieht sich auf den direkten finanziellen Schaden, richtet sich nach ihrem Anteil am Versagen und ist auf den Betrag der betroffenen Transaktion begrenzt.
Zahlungsdienstleister sollen außerdem Betrugsinformationen austauschen und robuste technische Vorkehrungen gegen den Missbrauch ihrer Kommunikationskanäle vorhalten. Damit reicht es nicht, nur eine Kundenwarnung in die App zu stellen. Institute müssen Telefonie, E-Mail, Webauftritte, Authentifizierung und Transaktionsüberwachung als zusammenhängende Kontrollkette behandeln.
Was sich in Deutschland vorbereitet
Die PSD3 bündelt die Zulassung und Aufsicht über Zahlungs- und E-Geld-Institute in einem Richtlinienrahmen. Deutschland muss diesen Teil in nationales Recht übertragen. Heute übt die BaFin nach Paragraf 4 des Zahlungsdiensteaufsichtsgesetzes die Aufsicht über Zahlungsdienstleister und E-Geld-Emittenten aus und arbeitet dabei mit der Deutschen Bundesbank zusammen. Das ZAG wird für die PSD3 angepasst werden müssen. Die PSR gilt nach ihrer Anwendungsfrist dagegen unmittelbar.
Für deutsche Institute beginnt die praktische Arbeit vor dem endgültigen Datum. Erstens sollten sie Betrugsfälle nach Täuschungsmuster und missbrauchtem Kanal neu klassifizieren. Zweitens brauchen sie eine belastbare 15-Geschäftstage-Akte für Erstattung oder Ablehnung. Drittens müssen sie den Name-IBAN-Abgleich samt Warnung, Kundenentscheidung und Fehlerbehandlung protokollieren. Viertens gehören Verträge mit technischen Dienstleistern auf Verantwortlichkeit für starke Kundenauthentifizierung geprüft.
Verbraucher erhalten damit einen besseren, aber keinen grenzenlosen Schutz. Banken tragen mehr Erstattungs- und Nachweisrisiko, wenn ihr eigener Auftritt nachgeahmt wird oder ein vorgeschriebenes Kontrollwerkzeug versagt. Der operative Kern der Reform ist deshalb nicht nur eine neue Haftungsregel. Es ist die Pflicht, Prävention und Entscheidung so zu dokumentieren, dass ein Institut innerhalb kurzer Frist erklären kann, warum es zahlt oder warum nicht.
Discussion
Sign in to join the discussion.
No comments yet. Be the first to share your thoughts.