Die Zahlungsrichtlinie PSD2 hat den europäischen Zahlungsverkehr seit 2018 geprägt, vor allem durch die starke Kundenauthentifizierung, die aus der Kartenzahlung im Netz einen Zwei-Faktor-Vorgang gemacht hat. Diese Grundlage wird nun ersetzt, und zwar nicht durch eine einzelne Nachfolgerichtlinie, sondern durch ein Paket aus zwei Rechtsakten mit unterschiedlicher Wirkung.
Verordnung und Richtlinie statt einer Richtlinie
An die Stelle von PSD2 und der E-Geld-Richtlinie treten die Payment Services Regulation, kurz PSR, und die Payment Services Directive 3, kurz PSD3. Der Unterschied zwischen den beiden Formen ist für die Praxis wichtiger als die Namen.
Die PSR ist eine Verordnung und gilt unmittelbar in allen Mitgliedstaaten, ohne nationalen Umsetzungsakt. In ihr stehen die Verhaltensregeln des laufenden Geschäfts: starke Kundenauthentifizierung, Haftungsverteilung bei Betrug, die Standards für Open Banking, Transparenzpflichten und Verbraucherschutz. Die PSD3 bleibt eine Richtlinie und muss von den Mitgliedstaaten in nationales Recht überführt werden; sie regelt vor allem Zulassung und Aufsicht der Zahlungsdienstleister.
Diese Aufteilung ist eine direkte Reaktion auf ein bekanntes Problem von PSD2. Weil die Richtlinie 27 Mal einzeln umgesetzt wurde, entstanden Auslegungsunterschiede, die grenzüberschreitend tätige Anbieter jeweils national nachbauen mussten. Was künftig in der Verordnung steht, gilt für alle im gleichen Wortlaut.
Der Stand des Verfahrens
Parlament und Rat haben im November 2025 eine vorläufige politische Einigung über beide Texte erzielt. Am 23. April 2026 hat der Ausschuss der Ständigen Vertreter die Trilogeinigung bestätigt, die endgültigen Kompromisstexte wurden veröffentlicht. Die Veröffentlichung im Amtsblatt der EU war für die Mitte des Jahres 2026 erwartet.
Danach beginnt der eigentliche Zeitplan, und er ist länger, als die Einigung vermuten lässt. Die PSR soll etwa 18 Monate nach Inkrafttreten anwendbar werden, was auf das vierte Quartal 2027 oder den Jahresbeginn 2028 hinausläuft. Für die Umsetzung der PSD3 haben die Mitgliedstaaten 24 Monate. Die Regeln zur Empfängerprüfung greifen 27 Monate nach Inkrafttreten und damit am spätesten.
Was sich inhaltlich verschiebt
Bei der Authentifizierung wird nachgeschärft. Die Anforderungen an die Faktoren werden enger gefasst, biometrische Verfahren gewinnen an Gewicht, und die Vorgaben werden mit dem Rahmen von eIDAS 2.0 verzahnt, also mit der europäischen Infrastruktur für digitale Identitäten.
Die auffälligste Neuerung für Zahlende ist die Empfängerprüfung, im englischen Text Verification of Payee. Kontonummer und angegebener Empfängername werden vor der Ausführung gegeneinander abgeglichen, und bei Abweichung erfolgt ein Hinweis. Diese Prüfung richtet sich gegen eine Betrugsform, gegen die eine Zwei-Faktor-Freigabe nichts ausrichtet: Wer getäuscht wurde und freiwillig überweist, authentifiziert die Zahlung korrekt. Der Faktor bestätigt, dass die richtige Person zahlt, nicht dass sie an die richtige Adresse zahlt.
Damit verbunden ist eine Verschiebung der Haftung. Die PSR fasst die Verantwortung bei betrügerisch veranlassten Zahlungen neu und verlangt von Zahlungsdienstleistern eine Betrugsüberwachung in Echtzeit. Für Open Banking werden die Schnittstellen strenger normiert, nachdem uneinheitliche Umsetzungsqualität unter PSD2 ein wiederkehrender Kritikpunkt war.
Häufige Fragen
Wird PSD2 abgeschafft?
PSD2 wird zusammen mit der E-Geld-Richtlinie durch das Paket aus PSR und PSD3 ersetzt. Bis zur Anwendbarkeit der neuen Rechtsakte bleibt der bisherige Rahmen maßgeblich.
Was ist der Unterschied zwischen PSR und PSD3?
Die PSR ist eine unmittelbar geltende Verordnung und enthält die Regeln des laufenden Geschäftsbetriebs. Die PSD3 ist eine Richtlinie zu Zulassung und Aufsicht und muss national umgesetzt werden.
Ab wann gelten die neuen Regeln?
Die PSR wird etwa 18 Monate nach Inkrafttreten anwendbar, also voraussichtlich gegen Ende 2027 oder zu Beginn 2028. Die Umsetzungsfrist der PSD3 beträgt 24 Monate, die Empfängerprüfung greift nach 27 Monaten.
Was bringt die Empfängerprüfung?
Sie vergleicht Kontonummer und Empfängername vor der Ausführung und weist auf Abweichungen hin. Sie adressiert Fälle, in denen die Zahlung technisch korrekt freigegeben, aber an einen falschen Empfänger gerichtet wurde.
Ändert sich etwas an der Zwei-Faktor-Freigabe?
Das Prinzip bleibt, die Anforderungen werden präzisiert. Biometrische Verfahren erhalten mehr Gewicht, und die Vorgaben werden an eIDAS 2.0 angebunden.
Der Verfahrensstand und die Fristen folgen den veröffentlichten Kompromisstexten des Zahlungsdiensterahmens der Europäischen Kommission.