PSD3 und Open Banking: Wie das Zahlungsverkehrspaket die Schnittstellen für Unternehmen und Verbraucher verändert

Hintergrund: von der PSD2 zum Zahlungsverkehrspaket

Die zweite Zahlungsdiensterichtlinie (PSD2, Richtlinie (EU) 2015/2366) öffnete die Zahlungskonten der Banken für zugelassene Drittanbieter und machte die starke Kundenauthentifizierung zur Grundvoraussetzung für elektronische Zahlungen. Während ihrer Anwendung zeigten sich jedoch mehrere Schwächen: Die Qualität der Bankschnittstellen war uneinheitlich, nationale Auslegungen gingen auseinander, und Betrug verlagerte sich zunehmend von technischen Angriffen hin zur Manipulation der Nutzer.

Am 28. Juni 2023 legte die Europäische Kommission ein neues Zahlungsverkehrspaket vor, bestehend aus einer dritten Zahlungsdiensterichtlinie (PSD3) und einer Zahlungsdiensteverordnung (Payment Services Regulation, PSR). Das Paket gibt den Grundgedanken der PSD2 nicht auf, sondern präzisiert ihn. Für Open Banking ist die wichtigste Änderung, dass die Regeln zu Schnittstellen, Einwilligungen und Authentifizierung weitgehend in eine unmittelbar geltende Verordnung überführt werden.

Dieser Leitfaden untersucht die strukturellen Änderungen des Pakets und ihre Auswirkungen auf die Schnittstellen zwischen Banken, Zahlungsinstituten, Händlern und Verbrauchern. Als Hintergrund empfehlen wir unsere Leitfäden zu Open-Banking-Netzwerken und Echtzeitüberweisungen.

Richtlinie und Verordnung: eine neue Aufgabenteilung

Die PSD2 war eine Richtlinie, die jeder Mitgliedstaat in nationales Recht umsetzen musste. Das führte zu Unterschieden, etwa bei der Auslegung von Ausnahmen von der starken Kundenauthentifizierung oder von Schnittstellenanforderungen. Das Zahlungsverkehrspaket teilt die Regelungen in zwei Teile:

Für Entwickler und Anbieter bedeutet dies, dass künftig in der gesamten EU dieselben Schnittstellenregeln einheitlich gelten. Nationale Unterschiede verbleiben vor allem bei Zulassungs- und Aufsichtsverfahren.

Für E-Geld-Institute ist die Änderung erheblich: Ihr gesonderter Rechtsrahmen wird in den Rahmen für Zahlungsinstitute überführt. Nach Einschätzung juristischer Kommentatoren müssen bestehende Institute während der Übergangszeit eine erneute Zulassung beantragen. Laut Addleshaw Goddard ist die Übergangsregelung in 21, 27 und bis zu 30 Monate gestaffelt: eine Frist für die Antragstellung, eine Frist für den Nachweis der Konformität und eine mögliche Verlängerung, wenn die Aufsicht einen rechtzeitig eingereichten Antrag nicht bearbeiten konnte.

Gesetzgebungsverfahren und Zeitplan

Das Paket hat sich wie folgt entwickelt:

• 28. Juni 2023 – die Kommission veröffentlichte ihren Vorschlag.
• 27. November 2025 – Europäisches Parlament und Rat erzielten eine vorläufige politische Einigung.
• 22. April 2026 – der Ausschuss der Ständigen Vertreter (AStV/COREPER) billigte das Ergebnis der Trilogverhandlungen.
• 23. April 2026 – die endgültigen Kompromisstexte wurden veröffentlicht (Ratsdokumente ST-8222-2026-INIT, PSD3, und ST-8221-2026-INIT, PSR).

Zum Zeitpunkt der Erstellung standen die förmliche Annahme und die Veröffentlichung im Amtsblatt der Europäischen Union noch aus. Laut im September 2026 veröffentlichten juristischen Analysen wurde die Veröffentlichung bis Ende 2026 erwartet. Kommentatoren zufolge gelten die neuen Regeln überwiegend rund 21 Monate nach der Veröffentlichung, womit die vollständige Anwendung in das Jahr 2028 fallen würde.

Open-Banking-Schnittstellen

Unter der PSD2 hatten Banken zwei Möglichkeiten, Drittanbietern Zugang zu Zahlungskonten zu gewähren: eine dedizierte Schnittstelle oder eine angepasste Version der Kundenschnittstelle. Zusätzlich war neben der dedizierten Schnittstelle ein Notfallmechanismus (Fallback) erforderlich, sofern die Aufsicht keine Befreiung erteilte.

Nach Artikel 35 des Kompromisstextes muss ein kontoführender Zahlungsdienstleister, der online zugängliche Zahlungskonten anbietet, mindestens eine dedizierte Schnittstelle bereitstellen. Das automatische Recht, alternativ eine angepasste Kundenschnittstelle zu nutzen, entfällt; Ausnahmen können bei der Aufsicht beantragt werden. Die Änderung schafft Klarheit für Entwickler: Der Zugang zu Kontoinformationen und zur Zahlungsauslösung erfolgt in erster Linie über eine dokumentierte Schnittstelle.

Darüber hinaus verschärft das Paket die Anforderungen an die Schnittstellenqualität:

• Leistung und Verfügbarkeit. Für Leistung und Verfügbarkeit der Schnittstellen gelten detailliertere Anforderungen, und von den Aufsichtsbehörden wird erwartet, dass sie bei Mängeln unverzüglich einschreiten.
• Begründete Beschränkungen. Beschränkt ein kontoführender Zahlungsdienstleister den Zugang eines Drittanbieters zu einem Zahlungskonto, muss er dafür eine konkrete, dokumentierte Begründung vorlegen.
• Erneute Authentifizierung. Laut Freshfields müssen sich Nutzer von Kontoinformationsdiensten alle 180 Tage erneut authentifizieren, damit der Zugang gültig bleibt.

In der Praxis verringert die Änderung den Bedarf an Screen-Scraping-Lösungen und verbessert die Planbarkeit. Die Vereinheitlichung der Schnittstellen über verschiedene Banken hinweg hängt jedoch weiterhin davon ab, welche technischen Standards der Markt und die EBA zugrunde legen.

Das Einwilligungs-Dashboard

Eine der für Verbraucher sichtbarsten Änderungen ist das Einwilligungs-Dashboard (Permission Dashboard). Nach Artikel 43 des Kompromisstextes muss der kontoführende Zahlungsdienstleister in seiner Benutzeroberfläche ein Dashboard bereitstellen, in dem Nutzer die Einwilligungen verwalten können, die sie Kontoinformations- und Zahlungsauslösediensten erteilt haben.

Technisch setzt das Dashboard voraus, dass der Status von Einwilligungen zuverlässig zwischen kontoführendem Zahlungsdienstleister und Drittanbietern übermittelt wird. Widerruft ein Nutzer eine Einwilligung bei seiner Bank, muss der Anbieter rechtzeitig informiert werden und den Datenabruf einstellen. Das unterstreicht die Bedeutung ereignisbasierter Benachrichtigungen und einheitlicher Statuscodes in Schnittstellen.

Starke Kundenauthentifizierung und Barrierefreiheit

Die starke Kundenauthentifizierung (SCA) bleibt der Grundpfeiler der Zahlungssicherheit, doch die Zahlungsdiensteverordnung legt mehr Gewicht auf ihre Barrierefreiheit. Laut Freshfields enthält der Kompromisstext unter anderem folgende Grundsätze:

• Zahlungsdienstleister müssen mehrere kostenlose Authentifizierungsmittel anbieten, die auch für Menschen mit Behinderungen, mit geringen digitalen Kompetenzen oder ohne Smartphone geeignet sind.
• Kein Authentifizierungsverfahren darf von einem einzigen Gerät oder einer einzigen Technologie abhängen, sofern der Nutzer nicht zustimmt.
• Eine Authentifizierung mit zwei Inhärenzelementen ist zulässig, sofern deren Unabhängigkeit gegenüber der Aufsicht nachgewiesen werden kann.
• Mit technischen Dienstleistern, die die Authentifizierung im Auftrag eines Zahlungsdienstleisters durchführen, sind detaillierte schriftliche Vereinbarungen zu schließen.

Diese Änderungen wirken sich unmittelbar auf die Architektur von Authentifizierungsdiensten aus. Ein Modell, das ausschließlich auf einer mobilen App beruht, genügt allein nicht mehr; daneben werden alternative Authentifizierungsverfahren benötigt. Die Rolle der Biometrie behandeln wir ausführlicher im Leitfaden Biometrische Authentifizierung und starke Kundenauthentifizierung sowie im Technologiebereich Sichere Authentifizierungsprotokolle.

Betrugsprävention und Haftungsverteilung

Die bedeutendsten Änderungen der Zahlungsdiensteverordnung betreffen Betrugsfälle, in denen der Zahler selbst dazu verleitet wird, eine Zahlung zu autorisieren. Unter der PSD2 trug in solchen Fällen häufig der Zahler den Schaden, weil die Zahlung technisch autorisiert war.

Prüfung des Empfängernamens

Die EU-Verordnung über Sofortzahlungen führte die Empfängerüberprüfung für Euro-Überweisungen ein. Die Zahlungsdiensteverordnung weitet dieses Prinzip aus: Laut Kompromisstext muss der Zahlungsdienstleister vor Ausführung einer Überweisung prüfen, ob der Name des Zahlungsempfängers mit der Kontokennung übereinstimmt. Wurde eine Abweichung dem Zahler nicht angezeigt und wird die Zahlung deshalb fehlgeleitet, entsteht für den Anbieter eine Erstattungspflicht.

Identitätsmissbrauch im Namen des Anbieters

Laut Kompromisstext muss ein Zahlungsdienstleister einem Verbraucher den vollen Betrag erstatten, wenn sich ein Betrüger über die eigenen Kanäle des Anbieters als dieser ausgegeben und den Verbraucher zur Autorisierung einer Zahlung verleitet hat. Der Verbraucher muss den Fall unverzüglich dem Anbieter und der Polizei melden. Die Beweislast für Betrug oder grobe Fahrlässigkeit des Verbrauchers liegt beim Anbieter.

Nicht autorisierte Zahlungen und Informationsaustausch

Die Pflicht zur Erstattung nicht autorisierter Zahlungen bleibt bestehen, doch der Anbieter kann die Erstattung um bis zu 15 Geschäftstage aufschieben, wenn ein objektiv begründeter Verdacht auf Betrug durch den Zahler besteht. Zudem ermöglicht das Paket den Austausch betrugsbezogener Informationen zwischen Zahlungsdienstleistern, was eine sorgfältige datenschutzgerechte Gestaltung erfordert.

Der Schwerpunkt der Betrugsprävention verlagert sich von der Authentifizierung hin zum Risikomanagement entlang des gesamten Zahlungsablaufs: Wer ist der Zahlungsempfänger, wie kam der Zahler zur Zahlung, und welche Informationen werden zwischen Anbietern geteilt?

Wie Sie sich vorbereiten

Auch wenn die Regeln erst nach der Übergangszeit gelten, betreffen sie Systeme, deren Entwicklung Zeit erfordert. Die verschiedenen Akteure sollten mindestens Folgendes prüfen:

1. Kontoführende Zahlungsdienstleister: Leistung der dedizierten Schnittstelle, Messung der Verfügbarkeit, Umsetzung des Einwilligungs-Dashboards und Dokumentation von Beschränkungen.
2. Kontoinformations- und Zahlungsauslösedienste: Verwaltung des Einwilligungslebenszyklus, Nutzerführung bei der erneuten Authentifizierung und Reaktion auf Widerrufe im Dashboard der Bank.
3. Zahlungsdienstleister allgemein: alternative SCA-Verfahren, Vereinbarungen mit technischen Dienstleistern, Prüfung des Empfängernamens und Austausch von Betrugsinformationen.
4. E-Geld-Institute: Zulassungsstrategie und Übergangsfristen.
5. Händler: Übereinstimmung des in Rechnungen verwendeten Namens mit dem Namen des Kontoinhabers, damit die Namensprüfung keine unnötigen Warnungen bei Kunden auslöst.

Die endgültigen Auswirkungen des Pakets hängen von dem im Amtsblatt veröffentlichten Text und den technischen Standards der EBA ab. Wir aktualisieren diesen Leitfaden, sobald der offizielle Text vorliegt.

Quellen und weiterführende Literatur

1. Richtlinie (EU) 2015/2366 (PSD2), EUR-Lex
2. Rat der Europäischen Union: Pressemitteilungen und Dokumente
3. Freshfields: PSD3/PSR – what the EU’s new payments rules mean for your business
4. Addleshaw Goddard: PSD3 – a new era for EU payment services regulation (September 2026)
5. Morrison Foerster: PSD3 and the Payment Services Regulation – key developments