PSD2 und PSD3 einfach erklärt

Wenn Sie beim Online-Kauf eine Push-Nachricht Ihrer Bank bekommen und mit Face ID bestätigen, ist das kein Zufall und keine Erfindung Ihrer Bank. Es ist die praktische Umsetzung einer EU-Richtlinie, die seit 2018 die Art und Weise regelt, wie in Europa mit Karten und Konten elektronisch bezahlt wird. Ihr Name: PSD2. Und der Nachfolger PSD3 ist bereits auf dem Weg.

Dieser Ratgeber sortiert, was hinter den beiden Kürzeln steckt, was PSD2 für Sie als Verbraucher in den letzten Jahren spürbar verändert hat, welche Ausnahmen gelten, und was der 2023 vorgelegte PSD3-Entwurf konkret vorschlägt.

Was PSD2 überhaupt ist

PSD2 steht für Payment Services Directive 2 — die zweite EU-Zahlungsdienste­richtlinie (Richtlinie (EU) 2015/2366). Sie wurde 2015 verabschiedet und ist in Deutschland seit dem 13. Januar 2018 in Kraft. Umgesetzt wurde sie vor allem im Zahlungs­dienste­aufsichts­gesetz (ZAG) sowie in den §§ 675c ff. BGB.

Die Vorgängerin PSD1 (aus 2007) hatte den Binnenmarkt für Zahlungsdienste geschaffen — PSD2 hat ihn technisch und sicherheitspolitisch modernisiert. Drei Ziele standen im Vordergrund:

1. Sicherheit elektronischer Zahlungen erhöhen
2. Wettbewerb durch Öffnung des Kontozugangs für Drittanbieter fördern
3. Verbraucherrechte bei nicht autorisierten Zahlungen stärken

Was PSD2 in der Praxis geändert hat

Starke Kundenauthentifizierung (SCA)

Das für Verbraucher sichtbarste Element ist die starke Kundenauthentifizierung (Strong Customer Authentication, SCA). Seit ihrer effektiven Anwendung 2019/2020 — in Deutschland faktisch vollständig ab Frühjahr 2021 — muss jede elektronische Zahlung mit zwei unabhängigen Faktoren aus drei Kategorien bestätigt werden:

• Wissen — etwas, das nur Sie wissen (PIN, Passwort)
• Besitz — etwas, das nur Sie haben (Smartphone, Karte, Hardware-Token)
• Inhärenz — etwas, das Sie sind (Fingerabdruck, Face ID)

Die klassische Kombination am Terminal ist Karte (Besitz) plus PIN (Wissen). Im Online-Handel greift meist eine Push-Bestätigung auf dem Smartphone (Besitz) plus Biometrie (Inhärenz).

Verbot von Kartenaufschlägen

Vor PSD2 war es üblich, dass Händler oder Fluglinien einen „Kreditkarten-Aufschlag” für die Nutzung einer Karte verlangten. Für Verbraucherkarten aus dem EU-Raum ist das seit Januar 2018 verboten (Art. 62 Abs. 4 PSD2, in Deutschland § 270a BGB). Für Firmenkarten und Karten von Drei-Parteien-Systemen wie American Express in bestimmten Konstellationen gilt das Verbot nicht.

Öffnung des Kontozugangs (Open Banking)

PSD2 hat Banken verpflichtet, lizenzierten Drittanbietern (AISP für Kontoinformations-Dienste, PISP für Zahlungsauslöse-Dienste) über technische Schnittstellen einen sicheren Zugang zu Kundenkonten zu ermöglichen — sofern der Kunde ausdrücklich zustimmt. Anwendungen wie Multibanking-Apps, Kontoaggregation in Steuer- oder Buchhaltungssoftware und Sofortüberweisung als Alternative zur Kartenzahlung wurden dadurch überhaupt erst rechtlich sauber möglich.

Schärfere Haftungsregeln

Bei einer nicht autorisierten Zahlung haftet der Karteninhaber laut § 675v BGB regelmäßig nur bis zu einer Selbstbeteiligung von 50 Euro bis zur Sperrung der Karte — und nach der Sperrung gar nicht mehr, sofern er nicht grob fahrlässig gehandelt hat. Dieser Verbraucherschutz wurde durch PSD2 EU-weit vereinheitlicht.

Wo PSD2 nervt

So sinnvoll SCA im Grundsatz ist, im Alltag ist sie nicht nur beliebt. Typische Beschwerden:

• Push-Bestätigung bleibt aus, weil das Handy schlechten Empfang hat
• Beim Auslandsaufenthalt ist die SMS-TAN nicht zustellbar
• SCA wird bei kleinen wiederkehrenden Beträgen als übertrieben empfunden
• Zwei Sekunden nach der Freigabe läuft die App-Session ab und man beginnt von vorn

Genau an diesen Punkten setzt der PSD3-Vorschlag an — dazu gleich mehr.

Die Ausnahmen von der SCA-Pflicht

Der europäische Gesetzgeber hat die SCA-Pflicht bewusst nicht absolut ausgestaltet. Für bestimmte Situationen sieht die Delegierte Verordnung (EU) 2018/389 Ausnahmen vor. Die wichtigsten:

Ausnahme	Bedingung
Low-Value-Transactions	Bis 30 Euro pro Transaktion, kumuliert maximal 100 Euro oder fünf Zahlungen in Folge — dann greift SCA erneut
Trusted Beneficiaries	Sie markieren einen Händler in Ihrer Banking-App als vertrauenswürdig — künftige Zahlungen an diesen Empfänger laufen ohne SCA
Recurring Transactions	Abo-Zahlungen mit gleichbleibendem Betrag beim gleichen Empfänger — nach der ersten SCA nicht mehr für jede Folgezahlung
Transaction Risk Analysis	Die Bank stuft eine Zahlung über ihre eigene Betrugs­analyse als niedrig-riskant ein — bis 500 Euro möglich
MOTO-Zahlungen	Telefon- oder Postbestellungen mit reiner Kartennummerneingabe — fallen technisch nicht unter SCA

Wenn Sie also im Online-Shop eine Zahlung ohne App-Bestätigung durchbekommen, liegt das nicht daran, dass die Bank die Regeln übergeht — sondern daran, dass eine dieser Ausnahmen greift.

Wie SCA konkret über 3-D Secure im Kartengeschäft umgesetzt wird, ist detailliert im Ratgeber Kartensicherheit: 3-D Secure, CVV, PIN und Tokenisierung im Überblick beschrieben.

PSD3 — der Vorschlag von 2023

Am 28. Juni 2023 hat die Europäische Kommission ihren Vorschlag für ein neues Regelwerk vorgelegt — bestehend aus zwei Rechtsakten:

• PSD3 — die eigentliche Zahlungsdiensterichtlinie (löst PSD2 ab)
• PSR — die Payment Services Regulation, eine unmittelbar geltende Verordnung mit verbindlichen technischen Regeln

Die Trennung ist bedeutsam: Eine Verordnung wirkt in allen Mitgliedstaaten gleich, ohne dass jeder das Recht separat umsetzen muss. Damit sollen Unterschiede in der PSD2-Umsetzung zwischen den Ländern verschwinden.

Was der PSD3-/PSR-Vorschlag ändert

Betrugshaftung wird verschärft. Wenn ein Betrüger sich am Telefon als Bankmitarbeiter ausgibt (Impersonation Fraud), soll die Bank in mehr Fällen den Schaden tragen — nicht der Kunde. Voraussetzung: Der Angreifer hat den Bank-Absender vorgetäuscht (Spoofing).

IBAN-Namensabgleich Pflicht. Vor jeder SEPA-Überweisung soll die Empfängerbank prüfen, ob der eingegebene Name zur IBAN passt. Diese Regel wurde in Teilen bereits mit der Verordnung (EU) 2024/886 über Instant Payments vorgezogen und gilt seit Anfang 2025 EU-weit für Sofortüberweisungen.

Weniger unnötige SCA. PSD3 erlaubt, in bestimmten sensiblen Konstellationen biometrische Faktoren stärker einzusetzen und die Wiederholung von SCA bei Sitzungsverlängerungen zu reduzieren. Ziel: weniger abgebrochene Käufe wegen technischer Reibung.

Open Banking wird konkreter. Banken sollen einheitliche technische Schnittstellen bereitstellen (nicht wie bisher jede Bank ihre eigene) und Drittanbietern klare SLAs bieten. Ein Dashboard soll dem Kunden auf einen Blick zeigen, welchen Diensten er Zugriff erlaubt hat und wo er ihn widerrufen kann.

Barrierefreiheit. Zahlungsmethoden müssen für Menschen mit Behinderung zugänglich sein — zum Beispiel bei starker Kundenauthentifizierung ohne alleinige Abhängigkeit von einem Smartphone.

E-Geld unter einen Hut. Die bisher getrennte E-Geld-Richtlinie (E-Money Directive) wird in PSD3/PSR integriert. Karten wie Prepaid-Karten, die auf E-Geld basieren, unterliegen dann demselben Regelwerk.

Zeitplan

Der Vorschlag durchläuft das ordentliche Gesetzgebungsverfahren der EU (Trilog zwischen Kommission, Parlament und Rat). Realistisch ist eine Verabschiedung 2025, gefolgt von einer Umsetzungs- und Übergangsfrist von in der Regel 18 Monaten. Die effektive Anwendung wird für 2026/2027 erwartet — bei der EU-Rechtssetzung sind Verschiebungen aber keine Seltenheit.

Warum das für Sie als Verbraucher wichtig ist

PSD2 und ihre Weiterentwicklung zu PSD3 wirken zunächst wie technisches Bankenrecht. Praktisch entscheiden sie aber darüber:

• ob eine Push-Bestätigung bei jedem 15-Euro-Kauf nötig ist
• wer den Schaden trägt, wenn Sie auf einen Fake-Bankanruf hereinfallen
• ob Sie mit einer App die Salden aller Ihrer Konten sehen können
• ob eine falsche IBAN in einer Überweisung noch vor der Buchung auffällt
• wie viel Sie im Streitfall mit dem Händler von Ihrer Bank an Unterstützung erwarten dürfen — mehr dazu im Ratgeber Chargeback: wie Sie eine Kreditkartenzahlung zurückholen

Und noch etwas: Das Zusammenspiel aus PSD2, EMV-Chip und Tokenisierung ist der Grund, warum die Betrugsrate bei kontaktlosem Bezahlen mit Mobile-Wallets heute niedriger ist als bei klassischen Karten-Zahlungen — siehe Kontaktlos bezahlen: NFC, Apple Pay und Google Pay technisch erklärt.

Wenn etwas schiefgeht

Nicht autorisierte Zahlung? § 675u BGB verpflichtet Ihre Bank, unverzüglich den ursprünglichen Kontostand wiederherzustellen — der Beweis, dass Sie autorisiert haben, liegt bei der Bank. Sie müssen die Zahlung nur ohne schuldhaftes Zögern anzeigen. Die Selbstbeteiligung von maximal 50 Euro gilt nur bis zur Sperrung und nicht bei grober Fahrlässigkeit.

Praktisch bedeutet das: Wer eine unbekannte Abbuchung entdeckt, hat auf der Zeitachse zwei Verpflichtungen — die Karte zu sperren (dann fällt die 50-Euro-Beteiligung weg) und die Bank zu informieren. Nach § 676b BGB muss die Anzeige einer nicht autorisierten Zahlung innerhalb von 13 Monaten nach Belastung erfolgen — je früher, desto einfacher ist die spätere Rückabwicklung. Kommen Sie später, ist ein Anspruch grundsätzlich ausgeschlossen.

Instant Payments als Nebenschauplatz

Parallel zu PSD3/PSR läuft eine zweite EU-Initiative, die die Zahlungslandschaft verändert: die Instant-Payments-Verordnung (EU) 2024/886. Sie schreibt Banken vor, SEPA-Überweisungen in Sekunden und rund um die Uhr auszuführen — zu denselben Preisen wie klassische Überweisungen. Für die Verbraucherseite in Kraft seit Januar 2025.

Diese Verordnung ist formal kein Teil von PSD3, ergänzt sie aber inhaltlich: Der IBAN-Namensabgleich, den PSD3 flächendeckend einführen soll, ist bei Instant Payments bereits jetzt Pflicht. Ein Beispiel dafür, wie Kartensicherheit, Überweisungsrecht und Betrugsprävention in der EU zusammenwachsen.

FAQ

Ist PSD3 schon in Kraft?

Nein. Der Kommissionsvorschlag liegt seit Juni 2023 vor. Das Gesetzgebungs­verfahren läuft; eine effektive Anwendung ist ab 2026/2027 zu erwarten. Bis dahin gilt weiterhin PSD2.

Muss ich bei jeder Online-Zahlung meine App aufmachen?

Nein. Die Ausnahmen der Delegierten Verordnung (EU) 2018/389 erlauben ohne SCA Kleinbeträge bis 30 Euro, whitelistete Empfänger und wiederkehrende Zahlungen mit gleichbleibendem Betrag. Zudem darf Ihre Bank per Risiko-Analyse Zahlungen bis 500 Euro als niedrig-riskant frei geben.

Warum darf mein Händler keinen Kreditkarten-Aufschlag mehr verlangen?

Weil § 270a BGB — die deutsche Umsetzung von Art. 62 Abs. 4 PSD2 — Aufschläge für Verbraucher­karten aus dem EU-Raum verbietet. Für Firmen­karten und Karten von Drei-Parteien-Systemen wie Amex gilt das Verbot nicht.

Was ändert PSD3 konkret für mich?

Vor allem: klarere Haftung der Banken bei Spoofing-Betrug, weniger unnötige SCA-Prompts, ein einheitlicher IBAN-Namensabgleich bei Überweisungen und ein Dashboard, in dem Sie sehen, welche Drittanbieter Zugriff auf Ihre Konten haben.

Gilt PSD2 auch für Zahlungen außerhalb der EU?

Nur teilweise. Bei „One-Leg-Out"-Zahlungen — also einer Zahlung, bei der nur ein Zahlungsdienstleister im EWR sitzt — gelten einige Regeln nur eingeschränkt. Für die andere Seite gelten die dortigen Regeln. Bei einer Zahlung mit einer europäischen Karte im US-Shop kann daher auch mal ohne SCA autorisiert werden.

---

Die Mancus Mastercard® wird von der Multitude Bank p.l.c. ausgegeben. Mehr über die Karte erfahren.