PSD3 und PSR: Neue Payment-Regulierung für Zahlungsdienstleister und Banken

Aktualisiert am 04.05.2026

EU-Parlament, Rat und EU-Kommission haben sich am 23. April 2026 auf finale Fassungen der PSD3 (Payment Services Directive 3) und der PSR (Payment Services Regulation) geeinigt. Damit ist der Weg frei für eine grundlegende Reform des europäischen Zahlungsrechts.  

Für Kreditinstitute, E-Geld-Institute und Zahlungsdienstleister (PSPs) bedeutet das: Sie sollten ihre Compliance-Strukturen, die vertraglichen Regelwerke und die IT-Architektur frühzeitig überprüfen und – wo erforderlich – anpassen.  

Die zunächst parallel angestoßene, flankierende Open‑Finance‑Initiative (Financial Data Access, FIDA) war zuletzt weitgehend „on hold“; nach der jüngsten Wiederaufnahme von Kompromissbemühungen im Rat sind jedoch auch insofern zeitnah Verhandlungsfortschritte zu erwarten. 

Die zentralen Neuerungen gemäß der finalen Entwürfe im Überblick 

Bestehende Lizenzen: (Re-)Autorisierung und Grandfathering für Bestandsinstitute 

Bestehende Zahlungsinstitute und E‑Geld-Institute müssen ihre Zulassung aktiv überprüfen und neu bestätigen lassen. Grundsätzlich besteht die Pflicht, innerhalb der vorgesehenen Übergangsfristen einen (Re‑)Autorisierungsantrag zu stellen. 

Regelmäßig werden aber automatische Autorisierungen und Registereintragungen erfolgen. Hierzu ist erforderlich, dass der Aufsicht Nachweise vorgelegt werden, dass das Institut auch die verschärften Anforderungen erfüllt (etwa im Hinblick auf Abwicklungspläne einschließlich der Sicherstellung von Outsourcing‑Kontinuität).  

Betrugsprävention 

Die Anforderungen an die Betrugsprävention werden deutlich ausgeweitet. Zahlungsdienstleister müssen ihre Monitoring-Systeme weiterentwickeln und dabei ausdrücklich auch neue Technologien wie künstliche Intelligenz einsetzen, sofern dies zur Risikoerkennung geeignet ist. Gleichzeitig steigen die Haftungsrisiken: Defizite im Monitoring können künftig stärker zu Erstattungsansprüchen führen. 

Der Datenaustausch zur Betrugsbekämpfung wird erleichtert, bleibt aber an enge datenschutzrechtliche Vorgaben gebunden, etwa Zweckbindung oder Datenschutz-Folgenabschätzungen. 

Neu sind zudem Kooperationspflichten: Anbieter elektronischer Kommunikationsdienste und sehr große Online-Plattformen bzw. Suchmaschinen müssen sich stärker in die Betrugsprävention einbinden lassen. 

Ein zentrales Instrument ist die Empfängerüberprüfung (Verification of Payee). Diese wird inhaltlich deutlich geschärft: 

• Ausweitung grundsätzlich auf alle Überweisungen, auch außerhalb von SEPA, 

• eng begrenzte Opt‑out‑Möglichkeiten im B2B‑Bereich, 

• klar geregelte Haftungs- und Regressbeziehungen zwischen beteiligten Zahlungsdienstleistern. 

Starke Kundenauthentifizierung 

Die Vorgaben zur starken Kundenauthentifizierung (SCA) werden inhaltlich weiterentwickelt und stärker harmonisiert. 

Neu ist insofern eine klare Inklusionsperspektive: Zahlungsdienstleister müssen Nutzergruppen mit besonderen Bedürfnissen – etwa ohne Smartphone – kostenfrei geeignete Authentifizierungslösungen anbieten. 

Ein weiterer Baustein ist das verpflichtende Berechtigungs-Dashboard. Zahlungsdienstleister müssen in ihrer Kundenschnittstelle eine zentrale Übersicht bereitstellen, über die Nutzer ihre erteilten Zugriffe an Drittanbieter verwalten können – inklusive Transparenz zu Zweck, Umfang und Laufzeit der Einwilligungen sowie klar geregelten Widerrufs- und Protokollierungsfunktionen. 

Ergänzend führt das Regelwerk neue Pflichten und Haftungsregeln für technische Dienstleister ein, insbesondere im Kontext von Outsourcing. Haftungsrisiken werden dabei grundsätzlich auf direkte Schäden begrenzt. Ungeklärt scheint, ob dies auch im Falle künftig verpflichtend anzuerkennender und von den Mitgliedstaaten angebotener European Digital Identity Wallets als gemäß eIDAS zulässiger SCA‑Option gilt. 

Open Finance 

Der Zugang zu Zahlungskonten und Zahlungssystemen wird präziser geregelt. Kontoführende Institute dürfen den Zugang für Drittanbieter künftig nur noch unter eng definierten Voraussetzungen verweigern oder entziehen, etwa bei nachweislich „ernsthaften“ Risiken – insbesondere im Zusammenhang mit Geldwäscheprävention. 

Ziel ist ein Level Playing Field zwischen Banken und nicht-banklichen Zahlungsdienstleistern. 

Ursprünglich sollte dieses Regime durch den Vorschlag für ein Financial Data Access Framework (FiDA) ergänzt werden. Hier wird nach aktuellem Stand ab Sommer 2026 wieder Bewegung in den Trilogverhandlungen erwartet.  

Schutz von Kundengeldern 

Die Anforderungen an die Sicherung von Kundengeldern werden vereinheitlicht und gleichzeitig verschärft. Insbesondere für E‑Geld-Institute gilt künftig eine deutlich strengere Frist für die Sicherung eingehender Mittel, die sich an einer T+1‑Logik orientiert. 

Neu hinzu kommen konkrete Vorgaben zur Steuerung von Konzentrationsrisiken, etwa bei Verwahrstellen oder Sicherungsinstrumenten. Darüber hinaus müssen Zahlungsdienstleister wesentliche Änderungen ihrer Sicherungsmaßnahmen künftig vorab anzeigen. 

Klarstellend regelt das neue Framework zudem den Umgang mit Geldern im Zusammenhang mit E‑Geld-Token und verzahnt die Vorgaben mit der Markets in Crypto-Assets Regulation (MiCA). 

Alignment mit dem MiCA-Framework 

Um Doppelregulierung zu vermeiden, enthält das Paket gezielte Abgrenzungen zur MiCA-Verordnung. Zahlungsdienstleister mit PSD3‑Zulassung können bestimmte kryptobezogene Dienstleistungen im Zusammenhang mit E‑Geld-Token erbringen, ohne zusätzlich eine eigenständige MiCA-Erlaubnis zu benötigen. 

Voraussetzung ist allerdings, dass sie entsprechende Anzeige- und Informationspflichten erfüllen und bestimmte Vorlaufzeiten einhalten. 

Ausnahmen-Regime 

Die bestehenden Ausnahmetatbestände werden überarbeitet und präzisiert. 

Ein Schwerpunkt liegt auf der europaweiten Harmonisierung der Handelsvertreter-Ausnahme, die bislang unterschiedlich ausgelegt wurde. 

Zudem stellt der Gesetzgeber klar, unter welchen Voraussetzungen die „limited network“-Ausnahme greift. Ziel ist es, regulatorische Grauzonen zu reduzieren und die Abgrenzung zwischen regulierten und nicht regulierten Geschäftsmodellen zu schärfen. 

Hintergrund der Reform des Zahlungsrechts 

PSD3 und PSR sollen die Regulierung harmonisieren 

Mit der Verlagerung zentraler verhaltensbezogener Vorschriften in die PSR verfolgt der Gesetzgeber das Ziel, nationale Umsetzungsspielräume und damit regulatorische Fragmentierung zu reduzieren. Dies erhöht die Rechts- und Planungssicherheit, führt aber auch zu einer einheitlicheren und strengeren Durchsetzung der Vorschriften mit weniger Raum für nationale Interpretation. 

Mehr Sicherheit und Betrugsprävention 

Mit den Neuerungen rücken Sicherheit und Betrugsprävention noch stärker in den Mittelpunkt. Strong Customer Authentication (SCA), verbesserte Transaktionsüberwachung und (Wieder-) Einführung des IBAN‑Namensabgleichs sollen Risiken senken und das Vertrauen in digitale Zahlungen stärken. Operativ anspruchsvoll ist zudem die Verschärfung der Haftung und Erstattung in Betrugsfällen: Ähnlich wie in UK und Singapur werden PSPs in bestimmten Konstellationen von Betrug zu Lasten von Bankkunden Schäden erstatten müssen. Gleichzeitig wird es einfacher – und teilweise auch verpflichtend – werden, Betrugsdaten auszutauschen. Gegenüber Telekommunikationsunternehmen, deren Infrastruktur durch Betrüger genutzt wurde, wird es eng gefasste Regressmöglichkeiten geben. 

Außerdem wird der regulatorische Rahmen für Open Banking weiterentwickelt. Dedizierte, sichere Schnittstellen und klare Regeln zur Schnittstellen-Governance sollen die Verfügbarkeit und Qualität erhöhen; Kunden sollen mehr Transparenz und Kontrolle über Datenzugriffe erhalten, etwa über Berechtigungs‑Dashboards. 

Stärkung von Verbraucherschutz und Transparenz 

Die Informationspflichten gegenüber Kunden werden präzisiert, insbesondere hinsichtlich Währungsumrechnungsentgelten und der Sperrung von Geldbeträgen. In der Folge werden viele Institute ihre AGB, Kundeninformationen und produktbegleitenden Dokumente inhaltlich und redaktionell überarbeiten müssen. 

Wie Unternehmen sich auf die PSD3 und die PSR vorbereiten sollten 

Kreditinstitute, Zahlungsinstitute, E-Geld-Institute sowie AIS-/PIS-Anbieter sollten frühzeitig eine integrierte rechtliche und operative Gap-Analyse durchführen (lassen), damit die Anforderungen aus PSD3/PSR prüffest in Prozesse, Kontrollen, IT und Verträge übersetzt werden. 

Am effizientesten ist ein Ansatz, bei dem Rechtsabteilungen und Second–Line-Verantwortliche eng zusammenarbeiten und die regulatorische Auslegung direkt in ein umsetzbares Operating Model überführen – insbesondere für GRC, Third-Party/Outsourcing-Governance, Vertragswerk, SCA/Fraud-Kontrollen und API-/Schnittstellen-Governance. 

Wir arbeiten regelmäßig in enger Kooperation mit den Implementierungsexpertinnen und -experten der KPMG AG Wirtschaftsprüfungsgesellschaft, die sich unter anderem hier mit entsprechenden Umsetzungsfragen befassen.