PSD3 und PSR für Online-Händler 2026
PSD3 und PSR 2026: Zeitplan, starke Kundenauthentifizierung, IBAN-Namensabgleich und Betrugshaftung — was Marktplatzhändler jetzt schon vorbereiten sollten.
Die Kurzfassung: PSD3 und PSR sind das neue Regelwerk für Zahlungsdienste in der EU und lösen die bisherige Zahlungsdiensterichtlinie ab. EU-Parlament, Rat und Kommission haben sich am 23. April 2026 auf finale Fassungen verständigt, die politische Trilog-Einigung folgte am 5. Mai 2026. Der formale Abschluss mit Abstimmung und Veröffentlichung im Amtsblatt steht noch aus, erwartet wird er im Sommer 2026. Die PSR als unmittelbar geltende Verordnung tritt 20 Tage nach Veröffentlichung in Kraft und gilt rund 18 Monate später, also etwa zwischen Q4 2027 und Q1 2028. Die PSD3 müssen die Mitgliedstaaten binnen 24 Monaten umsetzen, realistisch also bis Q2 oder Q3 2028. Für Sie als Händler sind drei Punkte relevant: eine risikobasierte, adaptive starke Kundenauthentifizierung, der Abgleich von IBAN und Empfängername sowie eine erweiterte Betrugshaftung, die Ihre Zahlungsdienstleister stärker in die Pflicht nimmt. Dieser Beitrag ersetzt keine Rechtsberatung.
Warum es zwei Rechtsakte gibt
Das bisherige Regime steckte vollständig in einer Richtlinie. Richtlinien müssen von jedem Mitgliedstaat in nationales Recht überführt werden, was zu Auslegungsunterschieden führt.
Genau das war ein Kritikpunkt. Zahlungsdienstleister mussten sich in jedem Markt mit leicht abweichenden Anforderungen auseinandersetzen.
Deshalb wird der Rechtsrahmen jetzt geteilt. Die Payment Services Regulation, kurz PSR, ist eine Verordnung und gilt unmittelbar in allen Mitgliedstaaten — ohne nationalen Umsetzungsspielraum.
Die PSD3 bleibt eine Richtlinie und regelt vor allem das Aufsichts- und Zulassungsrecht für Zahlungsinstitute und E-Geld-Institute. Diese beiden Kategorien werden im neuen Rahmen zusammengeführt.
Für Sie als Händler ist die PSR das relevantere Dokument. Dort stehen die Regeln zu Authentifizierung, Betrugsprävention und Haftung, die Ihr Checkout und Ihre Chargeback-Quote betreffen.
Der Grundaufbau Ihrer Zahlungsabwicklung im Marktplatzumfeld ändert sich dadurch nicht — die Grundlagen dazu haben wir in Payment und Zahlungsabwicklung im Multichannel beschrieben.
Der Zeitplan: was wann greift
Die Daten sind wichtig, weil sie bestimmen, wie dringend Ihre Vorbereitung ist. Die kurze Antwort: dringlich in der Planung, nicht in der Umsetzung.
Am 23. April 2026 haben sich EU-Parlament, Rat und Kommission auf finale Fassungen von PSD3 und PSR geeinigt. Die politische Trilog-Einigung wurde am 5. Mai 2026 erzielt.
Der formale Abschluss fehlt noch. Dazu gehören die Abstimmungen in Parlament und Rat sowie die Veröffentlichung im Amtsblatt, die für den Sommer 2026 erwartet wird.
Die PSR tritt 20 Tage nach Veröffentlichung in Kraft. Anwendbar wird sie aber erst rund 18 Monate später, also etwa im Zeitraum Q4 2027 bis Q1 2028.
Für die PSD3 gilt die übliche Umsetzungsfrist von 24 Monaten für die Mitgliedstaaten. Das führt zu einem realistischen Anwendungszeitpunkt um Q2 oder Q3 2028.
Bis dahin bleibt der bestehende Rahmen in Kraft. Wer jetzt Systeme auswechselt, handelt verfrüht — wer aber Verträge mit mehrjähriger Laufzeit schließt, sollte die kommenden Anforderungen schon berücksichtigen.
Ein Hinweis zur Vorsicht: Solange der finale Text nicht im Amtsblatt steht, können sich Details noch ändern. Behandeln Sie alle inhaltlichen Punkte als belastbare Richtung, nicht als endgültigen Wortlaut.
14 Tage kostenlos testen: MarketplAIce starten — alle Tarife unter Preise.
Starke Kundenauthentifizierung wird adaptiv
Die starke Kundenauthentifizierung, kurz SCA, ist kein neues Konzept. Neu ist die Erwartung, wie sie umgesetzt wird.
PSD3 verschärft die Anforderungen und verlangt von Zahlungsdienstleistern adaptive, risikosensitive Authentifizierungsprozesse. Diese sollen Nutzerverhalten, Transaktionsmuster und neu auftretende Betrugsmuster berücksichtigen.
Für den Checkout bedeutet das im Idealfall weniger Reibung, nicht mehr. Eine risikobasierte Prüfung kann unauffällige Transaktionen leichter durchlassen und die Hürde dort erhöhen, wo tatsächlich Risiko besteht.
Ein zweiter Punkt ist die ausdrücklich zugelassene delegierte SCA. Ein Acquirer oder ein Wallet-Anbieter kann die Authentifizierung unter bestimmten Bedingungen für den Kartenherausgeber übernehmen.
Das ist für Händler mit hohem Volumen interessant, weil es die Kontrolle über das Checkout-Erlebnis erhöht. Es hat aber eine Kehrseite: Wer die Authentifizierung durchführt, trägt die Haftung, wenn sie fehlerhaft erfolgt.
Delegierte Modelle verlangen zudem detaillierte schriftliche Vereinbarungen. Darin werden Umfang der delegierten Funktion, Rollen und Verantwortlichkeiten, Service-Level und Ausstiegspläne festgelegt, samt uneingeschränkter Zugangs- und Prüfrechte für das delegierende Institut und dessen Aufsicht.
Ein weiterer Aspekt betrifft Barrierefreiheit. Authentifizierungsverfahren sollen nicht dazu führen, dass bestimmte Nutzergruppen faktisch vom Zahlungsverkehr ausgeschlossen werden.
IBAN-Namensabgleich: der Empfängercheck
Der zweite große Baustein ist die Verifizierung des Zahlungsempfängers. Zahlungsdienstleister müssen prüfen, ob der angegebene Empfängername zum eindeutigen Identifikator, also zur IBAN, passt.
Die Prüfung erfolgt vor der Ausführung. Weicht der Name ab, muss der Zahler auf die Abweichung hingewiesen werden — nach den vorliegenden Fassungen kann der Zahlungsauftrag in solchen Fällen auch abgelehnt werden.
Im SEPA-Überweisungsverkehr ist dieser Abgleich bereits Realität und Händlern aus dem Alltag vertraut. PSD3 und PSR verankern das Prinzip breiter im Zahlungsverkehrsrecht.
Für Sie hat das eine sehr praktische Konsequenz: Ihre Stammdaten müssen stimmen. Ein Kontoinhabername, der nicht exakt zu Ihrer Firmierung passt, erzeugt Warnhinweise bei jedem Kunden, der per Überweisung zahlt.
Das ist kein theoretisches Problem. Ein Warnhinweis im Zahlungsprozess wirkt für den Kunden wie ein Betrugsverdacht und bricht Zahlungen ab.
Prüfen Sie deshalb, ob Kontoinhaber, Handelsregistereintrag und die im Checkout und auf Rechnungen genannte Firmierung übereinstimmen. Abweichungen durch Zusätze, Abkürzungen oder frühere Firmennamen sind der häufigste Auslöser.
Denken Sie dabei auch an Marktplatz-Auszahlungskonten und an Konten für unterschiedliche Landesgesellschaften. Jede Abweichung ist eine potenzielle Fehlerquelle.
Betrugshaftung: die Verschiebung, die zählt
Der spürbarste Teil der Reform betrifft die Haftung. Sie verschiebt sich stärker in Richtung der Zahlungsdienstleister.
Wurde ein Zahler durch einen Betrüger dazu verleitet, eine Zahlung selbst zu autorisieren — die sogenannte APP-Betrugsvariante —, kann der Zahlungsdienstleister zur Erstattung verpflichtet sein, wenn er die erwarteten Standards der Betrugserkennung nicht erfüllt hat.
Bisher lag das Risiko in solchen Konstellationen weitgehend beim Kunden, weil die Zahlung formal autorisiert war. Diese Logik ändert sich.
Für Händler ist der Effekt indirekt, aber real. Zahlungsdienstleister, die stärker haften, werden ihre Risikomodelle verschärfen und ihre Preise anpassen.
Rechnen Sie deshalb mit zwei Entwicklungen. Erstens: strengere Prüfungen bei Onboarding und laufender Überwachung von Händlerkonten. Zweitens: mehr Aufmerksamkeit für Ihre Betrugs-, Chargeback- und Erstattungsquoten in Vertragsverhandlungen.
Wer heute schon niedrige Betrugsquoten und saubere Prozesse nachweisen kann, verhandelt in diesem Umfeld besser. Wer auffällig ist, wird teurer.
Dieser Beitrag ersetzt keine Rechtsberatung. Lassen Sie Verträge mit Zahlungsdienstleistern fachlich prüfen, bevor Sie mehrjährige Bindungen eingehen.
In 6 Schritten auf PSD3 und PSR vorbereiten
Nichts davon erfordert eine Systemumstellung im Jahr 2026. Alles davon lohnt sich trotzdem jetzt.
- Stammdaten konsolidieren. Gleichen Sie Kontoinhabername, Handelsregisterfirmierung und die im Checkout sowie auf Rechnungen verwendete Bezeichnung ab. Prüfen Sie das für jedes Konto und jede Landesgesellschaft einzeln. Abweichungen führen beim Empfängerabgleich zu Warnhinweisen und Zahlungsabbrüchen.
- Zahlungsdienstleister-Verträge sichten. Erfassen Sie Laufzeiten, Kündigungsfristen und Haftungsregelungen aller bestehenden Verträge. Fragen Sie Ihre Anbieter aktiv nach ihrem PSD3- und PSR-Fahrplan. Verträge, die über den erwarteten Anwendungszeitpunkt hinauslaufen, sollten eine Anpassungsklausel enthalten.
- Eigene Betrugs- und Chargeback-Kennzahlen aufbauen. Messen Sie Chargeback-Quote, Erstattungsquote und Betrugsfälle je Kanal und je Zahlungsart, sofern Sie das noch nicht tun. Diese Zahlen sind in kommenden Verhandlungen Ihr wichtigstes Argument. Ohne eigene Daten verhandeln Sie gegen die Zahlen Ihres Anbieters.
- Checkout auf Reibungspunkte prüfen. Analysieren Sie, an welcher Stelle Zahlungen heute abbrechen und wie hoch die Abbruchquote nach Authentifizierungsschritten ist. Testen Sie den Ablauf auf mobilen Geräten und mit gängigen Hilfstechnologien. Eine risikobasierte SCA nützt wenig, wenn der Checkout davor schon verliert.
- Delegierte Authentifizierung bewerten. Prüfen Sie, ob delegierte SCA für Ihr Volumen überhaupt relevant ist und was sie an Haftung mit sich bringen würde. Klären Sie, welche vertraglichen Anforderungen — Umfang, Verantwortlichkeiten, Service-Level, Ausstiegspläne, Prüfrechte — dafür erfüllt sein müssten. Für die meisten mittelgroßen Händler ist das eher eine Option für später als für heute.
- Verantwortlichkeit im Team festlegen. Bestimmen Sie, wer die Entwicklung verfolgt und wer bei Veröffentlichung im Amtsblatt die Auswirkungen bewertet. Setzen Sie sich eine Wiedervorlage auf den erwarteten Veröffentlichungszeitraum. Regulatorik ohne Zuständigkeit wird zuverlässig übersehen.
Auswirkungen auf Conversion und Chargebacks
Die häufigste Sorge lautet, dass mehr Regulierung automatisch mehr Reibung im Checkout bedeutet. Das ist nicht zwingend so.
Eine adaptive, risikobasierte Authentifizierung kann Conversion sogar verbessern, weil unauffällige Transaktionen weniger Hürden bekommen. Entscheidend ist die Qualität der Risikomodelle Ihres Anbieters.
Beim Empfängerabgleich ist der Effekt eindeutiger. Saubere Stammdaten bedeuten keinen Warnhinweis und damit keinen zusätzlichen Abbruchgrund.
Bei Chargebacks ist die Richtung schwerer vorherzusagen. Eine stärkere Haftung der Zahlungsdienstleister erhöht deren Interesse an strengeren Prüfungen, was Betrugsfälle reduzieren, aber auch legitime Transaktionen treffen kann.
Für Sie folgt daraus eine einfache Regel. Je besser Ihre eigenen Daten und je sauberer Ihre Prozesse, desto weniger werden Sie von pauschalen Risikoaufschlägen getroffen.
Praktisch heißt das, Retouren-, Erstattungs- und Chargeback-Quoten je Kanal und je Zahlungsart dauerhaft zu messen statt nur im Jahresabschluss zu betrachten. MarketplAIce macht diese Kennzahlen kanalübergreifend sichtbar und verknüpft sie mit Preis- und Bestandssteuerung.
Für Händler, die Ratenzahlung oder Kauf auf Rechnung anbieten, kommt ein zweiter Regulierungsstrang hinzu, den wir in Verbraucherkreditrichtlinie und BNPL behandeln.
Was das für Marktplatzhändler konkret bedeutet
Auf klassischen Marktplätzen wickelt der Betreiber die Zahlung ab. Sie merken von SCA und Empfängerabgleich im Bestellprozess wenig — bis es um Ihre Auszahlungen geht.
Genau dort ist der Empfängerabgleich relevant. Ein Auszahlungskonto, dessen Inhabername nicht exakt zu Ihrer Firmierung passt, kann Verzögerungen erzeugen.
Betroffen sind Sie außerdem überall dort, wo Sie selbst Zahlungen entgegennehmen: im eigenen Shop, bei Rechnungskäufen und im B2B-Geschäft.
Die dritte Ebene ist kaufmännisch. Wenn Zahlungsdienstleister ihre Preise an das neue Haftungsregime anpassen, verändert das Ihre Kostenstruktur je Kanal — und damit Ihren Deckungsbeitrag.
Genau hier ist eine kanalübergreifende Sicht nützlich. MarketplAIce führt Amazon, Otto, Kaufland, eBay und Temu in einem System zusammen und macht Kosten und Deckungsbeiträge je Kanal vergleichbar.
Weil die Plattform prädiktiv arbeitet und bis zu fünf Tage voraus rechnet, sehen Sie Verschiebungen früher. In die Prognose fließen 15 Dimensionen ein, darunter Nachfrageverlauf, Wettbewerbsdichte und Bestandsreichweite.
Der Nutzen ist nicht regulatorisch, sondern operativ. Wenn sich Kostenstrukturen verändern, entscheidet die Geschwindigkeit, mit der Sie Preise und Budgets nachziehen, über die Marge.
FAQ
Wann gelten PSD3 und PSR konkret?
Die PSR tritt 20 Tage nach Veröffentlichung im Amtsblatt in Kraft und wird rund 18 Monate später anwendbar, also voraussichtlich zwischen Q4 2027 und Q1 2028. Die PSD3 müssen die Mitgliedstaaten binnen 24 Monaten umsetzen, realistisch bis Q2 oder Q3 2028. Die Veröffentlichung selbst wird für den Sommer 2026 erwartet.
Ist der Text schon final?
Die inhaltliche Einigung steht: EU-Parlament, Rat und Kommission haben sich am 23. April 2026 auf finale Fassungen verständigt, die politische Trilog-Einigung folgte am 5. Mai 2026. Der formale Abschluss mit Abstimmungen und Veröffentlichung im Amtsblatt steht aber noch aus. Bis dahin können sich Details ändern.
Was ändert sich bei der starken Kundenauthentifizierung?
PSD3 verschärft die Anforderungen und verlangt adaptive, risikosensitive Verfahren, die Nutzerverhalten, Transaktionsmuster und neue Betrugsmuster berücksichtigen. Zusätzlich wird delegierte SCA ausdrücklich zugelassen, sodass etwa ein Acquirer oder Wallet die Authentifizierung übernehmen kann. Wer authentifiziert, haftet bei fehlerhafter Durchführung.
Was ist der IBAN-Namensabgleich?
Zahlungsdienstleister müssen prüfen, ob der angegebene Empfängername zum eindeutigen Identifikator, also zur IBAN, passt, und den Zahler auf Abweichungen hinweisen. Im SEPA-Überweisungsverkehr ist dieser Abgleich bereits gelebte Praxis. Für Händler heißt das vor allem: Kontoinhabername und Firmierung müssen exakt übereinstimmen.
Wer haftet künftig bei Betrug?
Wurde ein Zahler durch einen Betrüger dazu verleitet, eine Zahlung selbst zu autorisieren, kann der Zahlungsdienstleister zur Erstattung verpflichtet sein, wenn er die erwarteten Standards der Betrugserkennung nicht erfüllt hat. Das verschiebt Risiko weg vom Verbraucher. Für Händler bedeutet es indirekt strengere Prüfungen und mehr Gewicht der eigenen Betrugskennzahlen.
Muss ich als Marktplatzhändler jetzt etwas umbauen?
Technisch in aller Regel nicht, weil der Marktplatz die Zahlung abwickelt. Sinnvoll ist trotzdem, Stammdaten zu konsolidieren, Zahlungsdienstleister-Verträge zu sichten und eigene Betrugs- sowie Chargeback-Kennzahlen aufzubauen. Wer im eigenen Shop verkauft, sollte zusätzlich den Checkout auf Abbruchgründe prüfen.
Wird der Checkout dadurch schlechter konvertieren?
Nicht zwangsläufig. Eine risikobasierte Authentifizierung kann unauffällige Transaktionen mit weniger Hürden durchlassen und die Reibung gezielt dort erhöhen, wo Risiko besteht. Entscheidend sind die Qualität der Risikomodelle Ihres Anbieters und die Sauberkeit Ihrer eigenen Daten.
14 Tage kostenlos testen: MarketplAIce starten — alle Tarife unter Preise: Essential 249 €/Monat, Growth 549 €/Monat, Pro 999 €/Monat, jeweils netto.
Über den Autor
Jorginho Engelmeyer ist Gründer von MarketplAIce und Geschäftsführer der AMZ+ Consulting GmbH. Er arbeitet seit über acht Jahren im Marktplatzgeschäft und begleitet Händler und Agenturen bei Kostenstruktur, Zahlungsabwicklung und Kanalstrategie. Mit MarketplAIce entwickelt er eine prädiktive, kanalübergreifende Plattform für Gebotsoptimierung, Listing-Qualität und Repricing über Amazon, Otto, Kaufland, eBay und Temu. Mehr dazu unter mehr zur Expertise.