PSD3 und PSR 2026: DACH-Übergangsleitfaden

Was PSD3 und PSR für deutsche PIs und EMIs bedeuten

Am 27. November 2025 erzielten Europäisches Parlament und Rat eine vorläufige politische Einigung über PSD3 und die Payment Services Regulation (PSR). Die finale Veröffentlichung im Amtsblatt wird für H1 2026 erwartet. Das Inkrafttreten ist für 2027 geplant, mit einer Übergangsperiode von 21 Monaten, so dass die praktische Anwendung in Deutschland auf Mitte bis Ende 2027 fällt.

Für deutsche Zahlungsinstitute (ZAG-PI) und E-Geld-Institute (ZAG-EMI) bedeutet PSD3 die größte Strukturreform seit PSD2 2018:

• Zusammenführung von PI und EMI in eine einheitliche Kategorie "Zahlungsinstitut mit E-Geld-Emissionsbefugnis". Deutsche EMIs wechseln in die neue Kategorie.
• Direkt anwendbare Verordnung (PSR) ersetzt viele nationale ZAG-Durchführungsregeln.
• Verpflichtende IBAN-Namens-Verifikation vor Überweisungen.
• APP-Betrugs-Rückerstattungspflicht für autorisierte Push-Payment-Betrugsopfer.
• FIDA (Financial Data Access) erweitert Open-Banking auf Anlagen, Renten, Versicherungen und Hypotheken.

IBAN-Namens-Check: in Deutschland bereits live für alle Euro-Überweisungen

Die EU-Instant Payments Regulation (Verordnung (EU) 2024/886) verlangt seit dem 9. Oktober 2025 eine obligatorische Verifikation des Zahlungsempfängers (VoP, Verification of Payee) bei allen Euro-Überweisungen, ob Standard-SEPA oder SEPA Instant. Deutsche Banken, PIs und EMIs mussten die Prüfung bereits implementieren. PSD3/PSR erweitert die Regel auf Überweisungen in anderen Währungen.

Deutsche Anbieter nutzen überwiegend die EPC-Standards und Routing über EBA CLEARING (RT1) oder TARGET Instant Payment Settlement (TIPS). Die Bundesbank ist stark in der TIPS-Infrastruktur engagiert.

APP-Betrugshaftung: was deutsche Institute bauen müssen

PSR führt eine Haftung für autorisierten Push-Payment-Betrug (APP-Betrug) ein: wenn ein Betrüger den Zahler durch Täuschung zur Autorisierung einer Zahlung bewegt, kann das Zahlungsinstitut zur Rückerstattung verpflichtet werden, falls es die erwarteten Betrugserkennungsstandards nicht eingehalten hat.

Für deutsche PIs und EMIs bedeutet das: Echtzeit-Transaktionsmonitoring mit Machine-Learning-Detektion, IBAN-Empfänger-Reputationsdatenbanken (im Austausch mit anderen DE-Instituten), strukturierte APP-Betrugs-Erkennungsregeln und dokumentierte Erstattungsprozesse. 2026 ist das Jahr, in dem DACH-Institute diese Systeme aufbauen müssen, bevor PSD3 2027 gilt.

Safeguarding-Verschärfungen

• Diversifizierungspflicht. Oberhalb einer Schwelle müssen Kundengelder auf mindestens zwei Kreditinstitute verteilt werden. Konzentrationsrisiko bei einer einzelnen Safeguarding-Bank ist nicht mehr akzeptabel.
• Bundesbank-Konten. PSD3 erlaubt nationalen Gesetzgebern, Zahlungsinstituten ein Safeguarding direkt bei der nationalen Zentralbank zu ermöglichen. Die Bundesbank hat hier einen strukturellen Startvorteil.
• Tägliche Abstimmung mit formaler Beweisführung und Dokumentation.
• Insolvenzrechtliche Abgrenzung mit klarer Kundenvorrangregel im Insolvenzfall.

Was deutsche Institute 2026 vorbereiten sollten

1. Kategorisierungs-Mapping. ZAG-PI oder ZAG-EMI auf die neue einheitliche Kategorie abbilden. Identifizieren Sie zusätzliche Dokumentation, die die BaFin beim Re-Authorisation-Prozess erwartet.
2. IBAN-Namens-Check ausrollen. Seit 9. Oktober 2025 Pflicht für alle Euro-Überweisungen, Standard und Instant, auch für PIs und EMIs. Als Nächstes die PSR-Ausweitung auf Überweisungen in anderen Währungen vorbereiten.
3. APP-Betrugserkennung. Echtzeit-Monitoring, IBAN-Empfänger-Reputationsaustausch, APP-Betrugs-Regeln.
4. Safeguarding-Diversifizierung. Auf mindestens zwei Kreditinstitute verteilen; Bundesbank-Safeguarding-Zugang prüfen.
5. API-Qualität. Berlin Group XS2A-APIs auf PSD3-Performance-KPIs heben.
6. Governance und Substanz. Anheben auf PSD3/DORA-Niveau.

Starten Sie Ihr PSD3-fähiges Produkt mit Crassula

Crassula liefert den Core für PSD3-bereite deutsche Institute: Ledger, IBANs, Karten, SEPA und SEPA Instant, Berlin-Group-XS2A-APIs, IBAN-Namens-Check, Echtzeit-Betrugserkennung, Safeguarding-Diversifizierung, DORA-konformes ICT und BaFin-fähiges Reporting.

FAQ