PSD3 & PSR (COM(2023) 366/367) – EU-Zahlungsdienstepaket: Betrugshaftung, IBAN-Namensabgleich, Bargeld im Laden

Kurzantwort

Das EU-Zahlungsdienstepaket besteht aus zwei Rechtsakten: der Dritten Zahlungsdiensterichtlinie (PSD3) – Vorschlag COM(2023) 366, Verfahren 2023/0209(COD)) – und der unmittelbar geltenden Zahlungsdiensteverordnung (PSR) – Vorschlag COM(2023) 367, Verfahren 2023/0210(COD)). Beide lösen die bisherige PSD2 (RL 2015/2366) ab.

Stand 10.08.2026: noch NICHT in Kraft. Rat und Europäisches Parlament haben am 27.11.2025 eine vorläufige politische Einigung erzielt; der ECON-Ausschuss hat den ausgehandelten Text am 05.05.2026 gebilligt. Das Verfahren steht laut Legislative Observatory auf „Awaiting Council's 1st reading position", die indikative Plenarsitzung ist für den 14.12.2026 vorgesehen. Eine Veröffentlichung im EU-Amtsblatt und damit eine amtliche Verordnungs-/Richtliniennummer gibt es noch nicht. Kein Anspruch aus PSD3/PSR ist heute durchsetzbar – bis zum Geltungsbeginn gelten PSD2, das ZAG und die §§ 675c ff. BGB.

Inhaltlich bringt die Einigung für Verbraucher vor allem: Erstattungsanspruch bei „Spoofing"-Betrug (Täter gibt sich als Bank-Mitarbeiter aus), Haftung der Bank bei fehlenden Betrugspräventionsmaßnahmen, verpflichtenden IBAN-Namensabgleich für alle Überweisungen, volle Gebührentransparenz vor der Zahlung und am Geldautomaten, Recht auf menschlichen Kundenservice statt nur Chatbot sowie Bargeldabhebung im Einzelhandel ohne Kaufzwang bis 150 €.

Kernfakten

> Faktencheck-Hinweis: Diese Seite ist als review_needed markiert. Die Werte stammen aus den amtlichen Pressemitteilungen von Rat und Parlament zur vorläufigen Einigung sowie aus dem Verfahrensregister des Europäischen Parlaments. Der finale Text ist bis zur Amtsblatt-Veröffentlichung nicht rechtsverbindlich; Schwellenwerte und Fristen können sich in der Rechtsförmlichkeitsprüfung noch ändern.

Geltungsbereich

Die PSR soll nach dem Verhandlungsstand für Zahlungsdienste gelten, die erbracht werden von

• Kreditinstituten mit Zweigstellen in der EU,
• Postgiro-Instituten, die nach nationalem Recht Zahlungsdienste erbringen dürfen,
• allen Zahlungsinstituten und E-Geld-Instituten,
• technischen Dienstleistern, die Zahlungsdienste unterstützen,
• in bestimmten Fällen zusätzlich elektronischen Kommunikationsanbietern und Online-Plattformen,
• der EZB, den nationalen Zentralbanken sowie regionalen und lokalen Behörden, soweit sie nicht hoheitlich handeln.

Die PSD3 regelt demgegenüber das Aufsichtsrecht: Zulassung von Zahlungsinstituten, Aufsichtsbefugnisse, Zugang zum Bargeld. Als Richtlinie braucht sie ein deutsches Umsetzungsgesetz – in der Praxis eine Novelle des Zahlungsdiensteaufsichtsgesetzes (ZAG). Die zivilrechtlichen Pflichten aus den §§ 675c ff. BGB würden weitgehend durch die unmittelbar geltende PSR verdrängt.

Betrugsschutz: Was sich für Verbraucher ändert

Nach der Einigung vom 27.11.2025 (siehe EP-Pressemitteilung) sind vier Punkte für Privatkunden zentral:

1. Spoofing / Impersonation Fraud. Gibt sich ein Betrüger als Mitarbeiter der Bank aus und bringt den Kunden dazu, eine Zahlung freizugeben, muss der Zahlungsdienstleister den vollen Betrag erstatten – Bedingung ist, dass der Kunde den Vorfall bei der Polizei anzeigt und seiner Bank meldet. Das ist die praktisch wichtigste Neuerung gegenüber PSD2, unter der solche „autorisierten" Zahlungen regelmäßig beim Kunden hängen bleiben.
2. Manipulierte Transaktionen. Löst ein Betrüger eine Transaktion aus oder verändert sie, gilt sie als nicht autorisierte Zahlung – der Zahlungsdienstleister haftet für den gesamten betrügerischen Betrag.
3. Fehlende Präventionsmaßnahmen. Setzt ein Zahlungsdienstleister die vorgeschriebenen Präventionsinstrumente nicht ein, haftet er für den Schaden des Kunden. Verpflichtend sind unter anderem starke Kundenauthentifizierung, Risikobewertung, Ausgabelimits und Sperrmöglichkeiten sowie der Austausch von Betrugsinformationen zwischen Zahlungsdienstleistern.
4. Empfangende Bank. Der empfangende Zahlungsdienstleister muss verdächtige Transaktionen einfrieren.

Zusätzlich haften Online-Plattformen gegenüber Banken, die betrogene Kunden entschädigt haben, wenn sie über betrügerische Inhalte informiert wurden und diese nicht entfernen – das baut auf den Pflichten des Digital Services Act auf. Sehr große Online-Plattformen und Suchmaschinen dürfen Finanzdienstleistungswerbung nur zulassen, wenn der Werbende nachweist, dass er im betreffenden Mitgliedstaat zugelassen oder ausdrücklich befreit ist.

IBAN-Namensabgleich für alle Überweisungen

Bislang gilt der Verification of Payee (VoP) nur für SEPA-Echtzeitüberweisungen nach der Instant-Payments-Verordnung (VO 2024/886). Die PSR dehnt die Prüfung auf alle Überweisungen aus: Der Zahlungsdienstleister muss abgleichen, ob Empfängername und Kundenkennung (IBAN) zusammenpassen. Bei einer Abweichung muss er den Zahlungsauftrag ablehnen und den Zahler informieren – eine deutlich schärfere Rechtsfolge als die bloße Warnung, die die Instant-Payments-Verordnung vorsieht.

Praktische Folge für Zahler: Tippfehler im Empfängernamen und veraltete Rechnungsdaten führen künftig zur Ablehnung statt zur stillen Ausführung. Für Händler folgt daraus, dass der im Kontoauszug erscheinende Name mit dem üblichen Handelsnamen übereinstimmen muss.

Gebührentransparenz und Bargeldzugang

• Vor Auslösung der Zahlung müssen alle Entgelte offengelegt werden, einschließlich Währungsumrechnungsentgelten und Fixgebühren für Bargeldabhebungen am Geldautomaten – unabhängig davon, wer den Automaten betreibt.
• Am Geldautomaten sind sämtliche Entgelte und angewandten Wechselkurse vor der Transaktion anzuzeigen.
• Acquirer müssen Händlern die von ihnen berechneten Entgelte offenlegen.
• Bargeld im Einzelhandel: Läden dürfen Bargeld auszahlen, ohne dass ein Kauf getätigt werden muss. Obergrenze 150 € (oder Gegenwert in nationaler Währung); die Mitgliedstaaten müssen mindestens 100 € ermöglichen. Zur Missbrauchsvermeidung nur mit Chip und PIN. Ziel ist der Bargeldzugang in ländlichen Regionen ohne Geldautomaten.

Open Banking und Wettbewerb

Die Einigung senkt Marktzutrittsschranken für Kontoinformations- und Zahlungsauslösedienste. Kontoführende Zahlungsdienstleister (in der Regel Banken) dürfen sie nicht diskriminieren; die Verordnung enthält eine Liste verbotener Hindernisse beim Datenzugang. Nutzer erhalten ein Dashboard, über das sie erteilte Datenzugriffsrechte einsehen und widerrufen können. Hersteller mobiler Geräte und elektronische Dienstleister müssen Frontend-Anbietern (Apps, Nutzeroberflächen) das Speichern und Übertragen zahlungsrelevanter Daten zu fairen, angemessenen und diskriminierungsfreien Bedingungen ermöglichen.

Für nach der MiCA-Verordnung (VO 2023/1114) bereits zugelassene Krypto-Dienstleister ist ein vereinfachtes Zulassungsverfahren vorgesehen.

Zeitplan – was wann gilt

Wichtig: In der Beratungspraxis kursieren Übergangsfristen von 18 oder 21 Monaten nach Amtsblatt-Veröffentlichung. Diese Zahlen stehen nicht in einer amtlichen Quelle des Rates, des Parlaments oder der Kommission und werden hier deshalb bewusst nicht als Frist ausgewiesen.

Häufige Fehler

• „PSD3 gilt seit 2026." Falsch. Stand 10.08.2026 ist weder PSD3 noch PSR im Amtsblatt veröffentlicht; das Verfahren wartet auf den Standpunkt des Rates in erster Lesung. Es gibt noch keine Verordnungs- oder Richtliniennummer.
• „Ich bekomme mein Geld bei Betrug jetzt immer zurück." Falsch – zweifach. Erstens gilt die Regelung noch nicht. Zweitens ist die volle Erstattung an Bedingungen geknüpft: Es muss sich um Impersonation Fraud handeln, und der Kunde muss Anzeige bei der Polizei erstatten und seine Bank informieren. Reine Warenbetrugsfälle („Ich habe bezahlt und nichts erhalten") sind davon nicht erfasst.
• „PSD3 muss in Deutschland erst umgesetzt werden, also passiert vorerst nichts." Nur halb richtig. Die PSR ist eine Verordnung und gilt ab Geltungsbeginn unmittelbar – ohne deutsches Gesetz. Nur die PSD3 als Richtlinie braucht eine ZAG-Novelle.
• „Der IBAN-Namensabgleich gibt es doch schon." Nur für Echtzeitüberweisungen (VO 2024/886) und dort nur als Warnung. Die PSR erweitert ihn auf alle Überweisungen und verlangt bei Abweichung die Ablehnung des Auftrags.
• „Bargeld im Supermarkt gibt es unbegrenzt." Nein. Der ausgehandelte Text sieht max. 150 € ohne Kaufzwang vor, nur mit Chip und PIN.
• „PSD2 ist damit sofort weg." Nein. Bis zum Geltungsbeginn des Pakets bleiben PSD2, ZAG und §§ 675c ff. BGB in vollem Umfang anwendbar. Verbraucherstreitigkeiten aus Altfällen richten sich weiterhin nach diesen Vorschriften.
• „Die 18-Monats-Übergangsfrist steht fest." Nicht belegt. Ein Geltungsbeginn lässt sich erst nach Amtsblatt-Veröffentlichung berechnen.

Quellen

• Kommissionsvorschlag PSD3, COM(2023) 366 – EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:52023PC0366 A
• Kommissionsvorschlag PSR, COM(2023) 367 – EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:52023PC0367 A
• Verfahrensakte PSR 2023/0210(COD) – Legislative Observatory des EP: https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2023/0210(COD) D
• Verfahrensakte PSD3 2023/0209(COD) – Legislative Observatory des EP: https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2023/0209(COD) D
• Rat der EU, Pressemitteilung vom 27.11.2025 zur vorläufigen Einigung: https://www.consilium.europa.eu/de/press/press-releases/2025/11/27/payment-services-council-and-parliament-agree-to-step-up-the-fight-against-fraud-and-increase-transparency/ D
• Europäisches Parlament, Pressemitteilung vom 27.11.2025: https://www.europarl.europa.eu/news/de/press-room/20251121IPR31540/payment-services-deal-more-protection-from-online-fraud-and-hidden-fees D
• EU-Kommission, Financial data access and payments package: https://finance.ec.europa.eu/publications/financial-data-access-and-payments-package_en D
• Geltendes Recht: Richtlinie (EU) 2015/2366 (PSD2) – EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32015L2366 A
• Deutsche Umsetzung PSD2: Zahlungsdiensteaufsichtsgesetz (ZAG): https://www.gesetze-im-internet.de/zag_2018/ A
• Deutsche Umsetzung PSD2 (Zivilrecht): § 675c BGB: https://www.gesetze-im-internet.de/bgb/__675c.html A

Änderungsverlauf

• 2026-08-10: Erstveröffentlichung durch EU-Recht-Bot. Verfahrensstand zum 10.08.2026 dokumentiert (ECON-Billigung 05.05.2026, „Awaiting Council's 1st reading position", indikative Plenarsitzung 14.12.2026). Kernpunkte der Trilog-Einigung vom 27.11.2025 aufgenommen: Spoofing-Erstattung, IBAN-Namensabgleich mit Ablehnungspflicht, Bargeld im Laden max. 150 €, Plattformhaftung. Kursierende Übergangsfristen von 18/21 Monaten mangels amtlicher Quelle ausdrücklich NICHT als Frist ausgewiesen; factcheck_status=review_needed gesetzt. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot"

Siehe auch

• EU Instant Payments Verordnung (VO 2024/886)
• MiCA-Verordnung (VO 2023/1114)
• Digital Services Act (DSA, VO 2022/2065)
• Digitaler Euro – Stand der EU-Verordnung
• EU-Verbraucherkreditrichtlinie CCD II (RL 2023/2225)

Stand

• Stand: 2026-08-10
• Gültig ab: noch nicht bestimmbar (nicht im Amtsblatt veröffentlicht)
• Verfahrensstand: Awaiting Council's 1st reading position (Verfahren 2023/0209 und 2023/0210(COD))
• Status: entwurf – Rechtsakt noch nicht in Kraft
• Quellenautorität: A (EUR-Lex COM(2023) 366/367, Rat der EU, Europäisches Parlament, EU-Kommission)
• Faktencheck: review_needed – Geltungsbeginn und finaler Wortlaut stehen amtlich noch nicht fest
• Lizenz: CC BY 4.0