PSD3, die Zahlungsdiensteverordnung und FiDA: Europas Zahlungsreform

Drei Dossiers schreiben den europäischen Zahlungsverkehr gleichzeitig neu, und häufig werden sie in einen Topf geworfen, obwohl sie nicht zusammengehören. PSD3 und die Zahlungsdiensteverordnung ersetzen PSD2. FiDA weitet den Datenzugang über den Zahlungsverkehr hinaus auf den Rest der Finanzdienstleistungen aus. Anwendungsbereich, Zeitplan und der Grad der Gewissheit sind bei allen dreien verschieden.

Wenn Sie Zahlungsprodukte, Bankanbindungen, Buchhaltungssoftware oder irgendetwas bauen, das Open-Banking-Schnittstellen nutzt, ist das hier das Dossier, das Ihre Architektur in der zweiten Hälfte des Jahrzehnts am stärksten verändern wird.

Wo die drei jeweils stehen

PSD3 und die PSR. Rat und Parlament erzielten am 27. November 2025 eine vorläufige politische Einigung. Das ist der am weitesten fortgeschrittene Teil. Es folgen die förmliche Verabschiedung und dann die Fristen für Umsetzung und Anwendung. Angewendet wird das realistisch gegen Ende des Jahrzehnts.

FiDA. Das schwierigste Dossier der europäischen Finanzgesetzgebung. Im Juni 2023 zusammen mit PSD3 vorgeschlagen, beinahe aufgegeben, dann wiederbelebt. Die Trilogverhandlungen kamen Anfang 2026 zum Erliegen und wurden wieder aufgenommen. Realistisch ist eine gestaffelte Anwendung zwischen 2027 und 2030, und wie weit der Anwendungsbereich am Ende reicht, ist wirklich offen.

Die Aufteilung in Richtlinie und Verordnung ist wichtig. PSD3 ist eine Richtlinie, die Mitgliedstaaten setzen sie um, und bei Zulassung und Aufsicht wird es deshalb nationale Unterschiede geben. Die PSR ist eine Verordnung, sie gilt unmittelbar und überall gleich. Wohlverhaltensregeln, Betrugsbestimmungen und die Anforderungen an Open Banking stecken überwiegend in der Verordnung, eine gute Nachricht für alle, die 27 nationale Umsetzungen von PSD2 durchlitten haben.

Was PSD3 und die PSR ändern

Die Betrugshaftung verschiebt sich

Die zentrale Änderung. PSD2 regelte die Haftung für nicht autorisierte Transaktionen. Beim autorisierten Überweisungsbetrug dagegen, bei dem das Opfer selbst zur Zahlung verleitet wird, blieb der Schaden weitgehend beim Opfer.

Der neue Rahmen weitet die Haftung für bestimmte Konstellationen aus, vor allem für den Identitätsbetrug, bei dem sich ein Betrüger überzeugend als die Bank oder eine andere vertrauenswürdige Stelle ausgibt. In klar umrissenen Fällen haften künftig die Zahlungsdienstleister.

Was das technisch bedeutet: Betrugserkennung ist dann kein Kostenblock mehr, der die eigenen Verluste begrenzt, sondern eine unmittelbare Haftungssteuerung. Wenn Sie den Schaden tragen, rechnet sich eine Investition in die Erkennung völlig anders.

Änderungen bei der starken Kundenauthentifizierung

Die starke Kundenauthentifizierung gilt seit 2019 und hat viel Reibung, viele Ausnahmen und viele Umgehungen hervorgebracht. Der neue Rahmen justiert nach: Die Ausnahmen werden klarer gefasst, die Authentifizierung muss auch für Nutzer ohne Smartphone zugänglich sein, und die Ausnahme für die Transaktionsrisikoanalyse wird eigens geregelt.

Was das bedeutet: Wenn Sie Ihre SCA-Umsetzung 2019 gebaut und seitdem nicht angefasst haben, rechnen Sie mit Nacharbeit. Vor allem die Zugänglichkeit der Authentifizierung ist eine echte Anforderung, und sie überschneidet sich mit der Europäischen Barrierefreiheitsrichtlinie.

Der Abgleich von IBAN und Name wird ausgeweitet

Die Überprüfung des Zahlungsempfängers, die im Oktober 2025 mit der Verordnung über Sofortzahlungen kam, wird im neuen Rahmen ausgeweitet und verallgemeinert. Sie deckt dann mehr Zahlungsarten ab als nur Euro-Überweisungen.

Was das bedeutet: Die Behandlung der vier möglichen Ergebnisse, die Sie für Sofortzahlungen gebaut haben, wird vom Sonderfall zum Normalfall.

Die Leistung der Open-Banking-Schnittstellen wird durchsetzbar

Die PSD2 verlangte von den Banken Zugangsschnittstellen. Dass diese Schnittstellen auch etwas taugen, hat sie nicht wirksam verlangt. Das Ergebnis waren Jahre, in denen Drittanbieter über Ausfälle, uneinheitliche Daten, aggressive Anforderungen zur erneuten Authentifizierung und dedizierte Schnittstellen klagten, die schlechter liefen als der Kundenkanal.

Die PSR geht das mit Leistungsanforderungen an, mit einem Verbot von Hindernissen und mit dem Wegfall der Pflicht zur Ausweichschnittstelle, im Gegenzug für echte Qualitätsstandards bei der dedizierten Schnittstelle.

Was das bedeutet: Wenn Sie Open-Banking-Schnittstellen nutzen, steigt die Untergrenze für die Zuverlässigkeit. Wenn Sie sie bereitstellen, verschiebt sich die Messlatte von der bloßen Existenz zur Leistung.

Zahlungsinstitute und E-Geld-Institute verschmelzen

Aus zwei Lizenzkategorien wird eine. Für die meisten Häuser ist das eine Vereinfachung. Wer beide hält oder wessen Geschäftsmodell sorgfältig auf einer Seite der Grenze gebaut war, hat Übergangsarbeit vor sich.

Was FiDA ändern würde

FiDA ist das architektonisch gewichtigere Dossier, falls es so kommt wie vorgeschlagen, denn es dehnt das Modell des Open Banking auf den Rest der Finanzdienstleistungen aus.

Heute erfasst der regulierte Datenzugang nur Zahlungskonten. FiDA würde ihn auf Spar- und Anlagekonten, Altersvorsorge, Hypotheken, Nichtlebensversicherungen und mehr ausdehnen und mit dem Finanzinformationsdienstleister eine neue regulierte Kategorie schaffen.

In einem wichtigen Punkt unterscheidet sich der Mechanismus von PSD2. Die PSD2 schrieb den Zugang schlicht vor. FiDA setzt dagegen auf Systeme für den Austausch von Finanzdaten, also auf marktgetriebene Vereinbarungen zwischen Dateninhabern und Datennutzern, die die technischen Standards und das Vergütungsmodell festlegen. Dateninhaber wären berechtigt, Datennutzern ein Entgelt zu berechnen, anders als bei PSD2, wo der Zugang kostenlos ist.

Warum das zählt: Damit ist die Hauptbeschwerde der Banken über PSD2 aufgegriffen, nämlich dass sie Schnittstellen bauen und pflegen mussten, an denen andere verdienten, ohne etwas beizutragen. Es heißt aber auch, dass die kommerziellen Konditionen ausgehandelt und nicht gesetzlich gesetzt werden, und das bringt eine eigene Unsicherheit mit sich.

Warum es so zäh läuft: Der Anwendungsbereich ist riesig, das Vergütungsmodell ist umstritten, die Versicherungsbranche hat sich massiv gegen die Einbeziehung gewehrt, und der Nutzen liegt weniger auf der Hand als beim Zahlungsverkehr. Beinahe wäre das Dossier zurückgezogen worden.

Was das bedeutet, wenn Sie Finanzsoftware bauen

Wenn Sie Open-Banking-Schnittstellen nutzen

Es wird besser, langsam. Leistungspflichten, ein Verbot von Hindernissen und klarere Regeln zur erneuten Authentifizierung greifen genau die Beschwerden aus dem laufenden Betrieb auf, an denen sich die Aggregation im Open Banking bisher aufgerieben hat. Rechnen Sie damit, dass die Verbesserung von Bank zu Bank unterschiedlich schnell ankommt.

Kommt FiDA, wächst der erreichbare Datenbestand enorm. Sie sollten dann aber damit rechnen, für den Zugang zu zahlen und einem System beizutreten, statt sich auf ein Zugangsrecht zu berufen.

Wenn Sie Zahlungsdienste erbringen

Für die Änderung der Betrugshaftung sollten Sie planen. Rechnen Sie Ihr Risiko unter der neuen Verteilung durch, bevor sie gilt, denn davon hängt ab, wie viel Investition in die Erkennung sich rechtfertigen lässt.

Die Authentifizierung müssen Sie ohnehin überarbeiten, wegen der geänderten Ausnahmen und wegen der Zugänglichkeit. Der ausgeweitete Namensabgleich braucht dieselben vier Zustände wie bei Sofortzahlungen.

Wenn Sie Buchhaltungs-, Treasury- oder ERP-Anbindungen bauen

Sie sitzen am Ende der Kette. Praktisch werden die Daten, die Sie ziehen können, breiter und verlässlicher, und der Authentifizierungstanz wird einheitlicher. Das größte Risiko ist, sich auf heutige bankspezifische Eigenheiten festzulegen, die die neuen Leistungsregeln beseitigen werden.

Wenn Sie E-Commerce-Checkout bauen

Direkt betrifft Sie das weniger, als Sie vielleicht denken. Bei Ihnen ankommen werden die Anpassungen bei der Authentifizierung sowie die allgemeine Bewegung hin zu Konto-zu-Konto-Zahlungen, für die auch Wero und der digitale Euro stehen.

Der architektonische Punkt

Alle drei Dossiers, dazu die Verordnung über Sofortzahlungen, Wero, der digitale Euro und die EU-Brieftasche für digitale Identität, zeigen in dieselbe Richtung: Zahlungen und Finanzdaten in Europa bewegen sich hin zu Konto-zu-Konto-Schienen, zu geprüfter Identität auf Infrastrukturebene, zu einheitlichen Schnittstellen und zu regulierten Preisen.

Die Folgerung für die Architektur ist bei allen dieselbe. Systeme, die eine Zahlungsmethode, eine Datenquelle oder ein Authentifizierungsverfahren als austauschbares Modul behandeln, nehmen das billig auf. Systeme, in denen die Besonderheiten quer durch die Codebasis verteilt sind, bezahlen jede Änderung einzeln.

Wenn Sie nur eines mitnehmen: Es ist für jedes dieser Dossiers dieselbe Abstraktionsarbeit. Wer sie einmal für Wero macht, hat sie bezahlt, und alles danach kostet fast nichts.

Zeitplan, ehrlich betrachtet

Für PSD3 und die PSR gibt es eine politische Einigung, inhaltlich ist also das meiste geklärt. Bis zur Anwendung dauert es noch Jahre, und die technischen Standards, die bestimmen, was Sie am Ende bauen, folgen erst nach der Verabschiedung. Jetzt zu bauen wäre verfrüht. Die Richtung zu kennen nicht.

Bei FiDA ist die Lage wirklich offen. Es kann mit breitem Anwendungsbereich kommen, deutlich gestutzt kommen oder gar nicht. Heute schon dafür zu entwickeln wäre unklug. Ihr Datenmodell so zu bauen, dass eine neue Finanzdatenquelle eine Konfigurationsänderung ist und kein Projekt, ist ohnehin klug.

Wo das hinpasst

Die vollständige Warteschlange der Gesetzgebung steht in unserer EU-Gesetzespipeline. Die Zahlungsregeln, die schon heute gelten, behandelt unser Leitfaden zu Sofortzahlungen und der Überprüfung des Zahlungsempfängers, und das größere Compliance-Feld unser Leitfaden zur EU-Digitalregulierung 2026.

Hilfe bekommen

Wir bauen Zahlungsanbindungen, Bankschnittstellen und Finanzsysteme für Unternehmen in ganz Europa, einschließlich Aggregation im Open Banking, Abstimmung und der Arbeit an Zustandsautomaten, von der abhängt, ob Zahlungsstrecken zuverlässig laufen.

Wenn Ihre Zahlungsschicht die Abstraktionsarbeit braucht, die sich hier überall auszahlt, oder wenn Sie wissen wollen, wie hoch Ihr Haftungsrisiko bei Betrug unter der neuen Verteilung ausfällt, schreiben Sie an office@c9group.dev. Mehr über unsere europäische Arbeit auf der Seite zum EU-Markteintritt.

Wir sind Ingenieure, keine Regulierungsberater. Fragen zur Zulassung und Positionen zur Haftung gehören in die Hände Ihrer Anwälte.