Mit PSD3 und der neuen Payment Services Regulation (PSR) ordnet die EU den Zahlungsverkehr 2026 grundlegend neu - und anders als bei der bisherigen PSD2 wirkt vieles davon direkt im Checkout Ihres Onlineshops. Nach der politischen Einigung Ende November 2025 (Europäisches Parlament/Rat) und der Bestätigung durch die Mitgliedstaaten im April 2026 (Rat der EU) zeichnet sich ab, worauf sich Händler einstellen müssen: Die starke Kundenauthentifizierung wird strenger und zugleich barrierefreier, Aufschläge auf Zahlungsarten fallen weiter weg, ein IBAN-Namensabgleich kommt, und die Haftung bei Betrug wird neu verteilt. Wer Checkout, Zahlungsdienstleister und Rechnungskauf jetzt vorbereitet, senkt Reibung, Abbrüche und Abmahnrisiko. Dieser Beitrag erklärt, was sich ändert, wann es greift und welche Schritte im Shop sinnvoll sind.
Von PSD2 zu PSD3 und PSR: das neue Regelwerk
Die zweite Zahlungsdiensterichtlinie PSD2 prägt den europäischen Checkout seit 2018: Sie hat die starke Kundenauthentifizierung (SCA) verpflichtend gemacht, Open Banking geöffnet und Zusatzentgelte auf viele Kartenzahlungen verboten. Doch die Umsetzung fiel in den Mitgliedstaaten unterschiedlich aus, Betrugsmuster verschoben sich, und neue Zahlarten wie A2A-Überweisungen sprengten den alten Rahmen. Die EU zieht daraus die Konsequenz und ersetzt PSD2 durch ein Doppelpaket: die Richtlinie PSD3 und die unmittelbar geltende Verordnung PSR.
Die Aufteilung ist mehr als Formsache. Eine Richtlinie muss erst in nationales Recht übertragen werden und lässt Spielraum; eine Verordnung gilt europaweit direkt und identisch. Genau deshalb wandern die Regeln, die den Checkout betreffen - Authentifizierung, Transparenz, Entgelte, Betrugshaftung - in die PSR und werden in allen EU-Staaten einheitlich. Das reduziert die bisherige Fragmentierung und macht länderübergreifenden Handel berechenbarer (Herbert Smith Freehills Kramer). Für Händler heißt das: Was heute je nach Land unterschiedlich gehandhabt wird, folgt künftig einem gemeinsamen Buch.
Inhaltlich knüpft das Paket an die Schwächen der PSD2 an. Die verpflichtende Authentifizierung hat den Kartenbetrug spürbar gedrückt, doch neue Maschen wie der Überweisungsbetrug durch Täuschung wuchsen im Schatten der alten Regeln. Gleichzeitig blieb Open Banking hinter den Erwartungen zurück, weil Bankschnittstellen uneinheitlich und teils unzuverlässig waren. PSD3 und PSR setzen genau hier an: Sie modernisieren die Betrugsabwehr, stärken die Schnittstellen und schließen Lücken, die im Onlinehandel der letzten Jahre sichtbar geworden sind. Für Shopbetreiber ist die Reform damit weniger ein Bruch als eine konsequente Fortschreibung dessen, was den Checkout ohnehin schon prägt.
| Ebene | PSD3 (Richtlinie) | PSR (Verordnung) |
|---|---|---|
| Rechtsnatur | In nationales Recht umzusetzen | Gilt unmittelbar in der ganzen EU |
| Regelt vor allem | Zulassung, Aufsicht, Lizenzen | Checkout: SCA, Entgelte, Haftung |
| Relevanz für Shops | Mittelbar über die Dienstleister | Unmittelbar am Bezahlvorgang |
Die Reform betrifft nicht nur Banken und Zahlungsdienstleister, sondern jeden Händler, der online Geld entgegennimmt. Sobald sich die Regeln für Authentifizierung, Entgelte und Haftung ändern, ändern sich Konversion, Kosten und Pflichten im Checkout. Wer die Umstellung früh mit seinem Payment-Setup plant, gestaltet sie aktiv statt sie später unter Zeitdruck nachzuziehen.
Der Zeitplan: Wann PSD3 und PSR wirklich greifen
Ende November 2025 erzielten Parlament und Rat eine vorläufige politische Einigung über PSD3 und PSR (Europäisches Parlament/Rat). Im April 2026 bestätigten die Mitgliedstaaten den Kompromisstext (Rat der EU); es folgen die förmliche Annahme und die Veröffentlichung im Amtsblatt der EU. Erst mit dieser Veröffentlichung beginnen die Fristen zu laufen - und die sind bewusst gestaffelt, damit Banken, Dienstleister und Händler ihre Systeme anpassen können.
Nach dem Inkrafttreten haben die Mitgliedstaaten für die Richtlinie PSD3 rund 18 Monate Zeit zur Umsetzung, während die Verordnung PSR nach einer vergleichbaren Übergangsfrist direkt anwendbar wird (Herbert Smith Freehills Kramer). Realistisch entfaltet der Kern der neuen Pflichten seine Wirkung damit ab 2027. Einzelne Bausteine bekommen längere Vorläufe: Der verpflichtende Empfängerabgleich etwa greift für viele Anbieter erst rund 24 Monate nach Inkrafttreten (Rat der EU). Der Zeithorizont bis 2027 ist deshalb kein Grund zu warten - Zahlungsflüsse, Vertragswerk und Checkout lassen sich nur mit Vorlauf sauber umstellen.
Die Übergangsfristen wirken großzügig, doch Anpassungen an Checkout, Betrugsregeln und Verträgen mit dem Zahlungsdienstleister brauchen Test- und Abstimmungszeit. Erfahrungsgemäß lohnt es sich, den eigenen Bezahlprozess frühzeitig zu inventarisieren und mit dem Dienstleister einen Fahrplan abzustimmen, statt kurz vor der Anwendbarkeit zu reagieren.
Starke Kundenauthentifizierung wird strenger und barrierefreier
Die starke Kundenauthentifizierung bleibt das Herzstück der Betrugsabwehr - und wirkt: SCA-authentifizierte Kartenzahlungen weisen deutlich niedrigere Betrugsquoten auf als nicht authentifizierte, und außerhalb des Europäischen Wirtschaftsraums, wo SCA rechtlich nicht greift, liegt die Betrugsquote bei Kartenzahlungen rund zehnmal höher (ECB/EBA). Zugleich zeigt die Statistik Luft nach oben: 2024 waren nur etwa 40 Prozent der Kartenzahlungen und rund 38 Prozent der E-Geld-Transaktionen tatsächlich stark authentifiziert (ECB/EBA).
Die PSR schärft die SCA an mehreren Stellen nach. Erstens muss die Authentifizierung barrierefrei funktionieren: Sie darf nicht ausschließlich ein modernes Smartphone voraussetzen, sondern muss auch Menschen ohne Smartphone oder mit Behinderung einen Weg lassen. Das ist zugleich eine Brücke zu den Anforderungen des barrierefreien Checkouts. Zweitens werden die Ausnahmen von der SCA - etwa die Transaktionsrisikoanalyse für risikoarme Zahlungen - klarer gefasst, damit Händler weniger unnötige Authentifizierungsschritte auslösen. Drittens werden Verantwortlichkeiten zwischen den Beteiligten präziser verteilt.
Wirksam gegen Betrug
SCA senkt die Betrugsquote spürbar; außerhalb des EWR ohne SCA liegt sie rund zehnmal höher (ECB/EBA). Die Reform baut auf diesem Fundament auf.
Barrierefrei nutzbar
Die Authentifizierung darf nicht allein am Smartphone hängen - ein Gewinn für Reichweite und für den barrierefreien Shop.
Weniger unnötige Reibung
Klarere Ausnahmen für risikoarme Zahlungen sollen Abbrüche reduzieren, ohne die Sicherheit zu senken.
Für den Checkout bedeutet das: Der eingesetzte 3-D-Secure-Ablauf und die Logik, wann eine Ausnahme geltend gemacht wird, gehören auf den Prüfstand. Ein technisch sauber umgesetzter Bezahlprozess - abgestimmt in der Shop-Programmierung - entscheidet darüber, ob Kunden reibungslos durchkommen oder frustriert abbrechen. Denn jede zusätzliche, aber vermeidbare Authentifizierung kostet Konversion. Umgekehrt gilt: Wer risikoarme Zahlungen zu aggressiv von der Authentifizierung ausnimmt, verliert den Haftungsschutz und trägt Rückbuchungen selbst. Die richtige Balance zwischen Reibung und Sicherheit ist deshalb keine reine Technikfrage, sondern eine betriebswirtschaftliche Abwägung, die regelmäßig überprüft gehört.
Surcharge-Verbot: keine Aufschläge auf Zahlungsarten
Schon unter PSD2 waren Aufschläge auf viele Karten- und SEPA-Zahlungen unzulässig. Die PSR zieht den Rahmen weiter und dehnt das Verbot ausdrücklich auf Überweisungen und Lastschriften in allen EU-Währungen aus, um bisherige Auslegungsunterschiede zu beseitigen (Herbert Smith Freehills Kramer). Praktisch heißt das: Ein Extra-Entgelt, nur weil ein Kunde per Karte, Überweisung oder Lastschrift zahlt, ist im europäischen Handel künftig noch klarer tabu.
Für die Preisgestaltung im Shop hat das Folgen. Wer bislang die Kosten bestimmter Zahlarten über einen Aufschlag weitergereicht hat, muss diese Kalkulation überdenken und die Gebühren entweder in den Grundpreis einpreisen oder anders auffangen. Wichtig ist dabei, nicht in die entgegengesetzte Falle zu tappen: Ein pauschaler Rabatt für eine bevorzugte Zahlart kann je nach Ausgestaltung als verstecktes Entgelt auf die anderen Zahlarten gewertet werden. Klar ausgewiesene, für alle gängigen Wege einheitliche Endpreise sind daher der sicherste Weg - und zugleich der transparenteste für Ihre Kundschaft.
Versteckte oder nachträglich aufgeschlagene Zahlungsentgelte sind ein klassischer Abmahnpunkt. Zahlungsartabhängige Aufschläge sollten aus dem Checkout verschwinden, und der Endpreis muss transparent ausgewiesen sein. Wer stattdessen kostenfreie, gängige Zahlwege anbietet, erfüllt die Vorgaben und verbessert nebenbei die Nutzererfahrung. Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall.
Verification of Payee: der IBAN-Namensabgleich
Ein sichtbar neuer Baustein ist der Empfängerabgleich, die Verification of Payee (VoP). Vor einer Überweisung prüft der Zahlungsdienstleister, ob der angegebene Empfängername zur genannten IBAN passt, und warnt bei Abweichungen. Ursprünglich für Echtzeitüberweisungen entwickelt, wird der Abgleich unter der PSR breiter verankert; die entsprechende Pflicht und Haftung greift für viele Anbieter rund 24 Monate nach Inkrafttreten (Rat der EU).
Für Shops ist das überall dort relevant, wo Kunden per Überweisung zahlen - etwa bei Vorkasse, beim Rechnungskauf oder bei A2A-Zahlverfahren. Stimmen die Empfängerdaten in der Rechnung nicht exakt mit dem Kontoinhaber überein, kann eine Warnung Kunden verunsichern und Zahlungen verzögern. Wer Firmierung, Kontoinhaber und Zahlungshinweise sauber und konsistent aus dem System ausgibt - idealerweise sauber angebunden über die Warenwirtschafts-Schnittstelle - vermeidet unnötige Rückfragen. Gerade im B2B-Geschäft mit Rechnungskauf und Sammelüberweisungen zahlt sich saubere Stammdatenpflege doppelt aus.
Betrugshaftung wird neu verteilt
Der Zahlungsbetrug in der EU wächst: 2024 summierte er sich auf rund 4,2 Milliarden Euro, nach etwa 3,5 Milliarden Euro im Vorjahr (ECB/EBA). Auf Karten mit EU/EWR-Ausgabe entfielen davon etwa 1,3 Milliarden Euro - ein Plus von rund 29 Prozent gegenüber 2023 (ECB/EBA). Für Händler ist Betrug kein abstraktes Risiko: Europäische Onlinehändler verlieren nach Branchenschätzungen im Schnitt rund 2,8 Prozent ihres Umsatzes an Betrug (Sift).
Die PSR reagiert darauf mit einer neu austarierten Haftung. Neben der klassischen Kartenzahlung nimmt sie Authorised-Push-Payment-Betrug in den Blick - also Fälle, in denen Kunden durch Täuschung selbst eine Überweisung auslösen. Kommt es etwa trotz eines fehlerhaften oder ausgebliebenen IBAN-Namensabgleichs zu einem Schaden, verschiebt sich die Verantwortung stärker zu den beteiligten Zahlungsdienstleistern. Auch die missbräuchliche Nutzung des Markennamens eines Anbieters bei Betrugsmaschen wird adressiert (Worldline).
Die neue Haftungsverteilung entlastet Kunden und nimmt Dienstleister stärker in die Pflicht - ersetzt aber keine eigene Betrugsvorsorge. Je sauberer Ihr Checkout SCA und Ausnahmen handhabt, desto seltener geraten Sie in Streit um Rückbuchungen. Ein durchdachter Bezahlprozess ist damit nicht nur Pflicht, sondern ein Hebel für Marge und Vertrauen - denn außerhalb des EWR ohne SCA liegt die Betrugsquote rund zehnmal höher (ECB/EBA).
Open Banking und A2A: mehr als nur Karten
Die PSR baut das Open Banking weiter aus und verbessert die Datenschnittstellen zwischen Banken und lizenzierten Diensten. Für den Handel öffnet das die Tür zu Konto-zu-Konto-Zahlungen (A2A), die direkt vom Kundenkonto auf das Händlerkonto laufen - oft günstiger als Karten und mit sofortiger Gutschrift, wenn Echtzeitüberweisungen im Spiel sind. Wichtig ist dabei die verlässliche Erreichbarkeit der Bankschnittstellen, die die Reform ausdrücklich stärkt (Worldline).
- Mehr Auswahl im Checkout: Neben Karte, Wallet und Kauf auf Rechnung gewinnen A2A-Verfahren an Bedeutung - ein Argument, den Zahlartenmix regelmäßig zu prüfen.
- Günstigere Transaktionen: Konto-zu-Konto-Zahlungen umgehen die Kartennetzwerke und können die Gebührenlast senken.
- Sofortige Liquidität: In Verbindung mit Echtzeitüberweisungen ist das Geld binnen Sekunden da - relevant für Cashflow und Versandfreigabe.
- Zuverlässige Schnittstellen: Die gestärkten Vorgaben für Bankschnittstellen sollen Ausfälle und Reibung reduzieren.
Wie Sie diese Verfahren konkret in Ihren Shop einbinden, hängt von Plattform und Dienstleister ab. Eine saubere technische Anbindung - etwa über eine geprüfte Shopware-Umsetzung - stellt sicher, dass neue Zahlwege stabil laufen und sich in Buchhaltung und Warenwirtschaft korrekt widerspiegeln.
Checkliste: So bereiten Sie Ihren Checkout vor
Bis die Regeln vollständig greifen, bleibt Zeit - aber die sollten Händler nutzen. Die folgenden Schritte helfen, den Bezahlprozess ohne Hektik auf PSD3 und PSR auszurichten:
- Zahlarten-Inventur: Welche Zahlwege sind aktiv, und fallen irgendwo noch zahlungsartabhängige Aufschläge an?
- SCA-Ablauf prüfen: Läuft 3-D-Secure aktuell, und werden Ausnahmen für risikoarme Zahlungen sinnvoll genutzt?
- Barrierefreiheit testen: Funktioniert die Authentifizierung auch ohne modernes Smartphone?
- Stammdaten abgleichen: Passen Firmierung, Kontoinhaber und IBAN exakt zusammen (Empfängerabgleich)?
- Dienstleister-Fahrplan: Mit Payment-Anbieter und Bank die Umstellungstermine und Haftungsfragen klären.
- Preisangaben prüfen: Endpreise transparent, keine versteckten Zahlungsentgelte im Checkout.
Checkout technisch härten
3-D-Secure, Ausnahmelogik und Fehlerbehandlung sauber umsetzen - abgestimmt in der Programmierung, damit jede Zahlung zuverlässig durchläuft.
Daten und Zahlungen absichern
Zahlungs- und Kundendaten gehören in ein sicheres, europäisches Umfeld - Näheres in unserem Beitrag zur Datenhoheit für Online-Shops.
Zahlartenmix erweitern
A2A und Wallet-Zahlungen ergänzen Karte und Rechnungskauf - für mehr Reichweite und geringere Gebühren.
Rechtstexte aktualisieren
AGB, Zahlungs- und Preisangaben an die neuen Vorgaben anpassen - passend auch zur neuen Produkthaftung ab Dezember 2026.
Jetzt den Checkout PSD3-fest machen
PSD3 und PSR sind kein reines Bankenthema, sondern eine Modernisierung des Bezahlens, die unmittelbar im Checkout ankommt. Strengere und zugleich barrierefreiere SCA, ein weiter gefasstes Surcharge-Verbot, der IBAN-Namensabgleich und eine neu verteilte Betrugshaftung verändern, wie Kunden bezahlen und wer im Schadensfall haftet. Für Händler ist das vor allem eine Chance: Ein sauber aufgesetzter Bezahlprozess senkt Abbrüche, spart Gebühren und schützt vor Abmahnungen und Rückbuchungen.
Auch verwandte Weichenstellungen im B2B-Handel - etwa kundenspezifische Preise aus dem ERP - und weitere Fristen des Jahres wie das anstehende Ende der Google Content API zeigen: 2026 ist ein Jahr vieler paralleler Umstellungen. Wer den Checkout jetzt strukturiert angeht, muss später weniger nachbessern und behält die Kontrolle über Termine und Kosten. Wir analysieren Ihren Bezahlprozess, richten SCA und Zahlarten zukunftssicher aus und binden sie stabil an Shop und Warenwirtschaft an - inklusive einer klaren Prioritätenliste, welche Anpassung wann ansteht. Sprechen Sie unser Team an, um Ihren Checkout rechtzeitig und ohne Zeitdruck auf PSD3 und PSR vorzubereiten.
Dieser Artikel stützt sich auf die vorläufige politische Einigung von Europäischem Parlament und Rat zu PSD3 und PSR (November 2025) sowie die Bestätigung durch den Rat der EU (April 2026), auf die PSD3/PSR-Analyse von Herbert Smith Freehills Kramer, auf den gemeinsamen Bericht zum Zahlungsbetrug von EZB und EBA (ECB/EBA, 2024er Zahlen) zu Betrugsvolumen, Kartenbetrug und SCA-Quoten, auf die Payment-Trends von Worldline sowie auf Branchendaten zu Betrugsverlusten im Handel (Sift). Fristen und Details können sich im weiteren Gesetzgebungsverfahren noch ändern; genannte Zahlen dienen der Orientierung. Dieser Beitrag ersetzt keine individuelle Rechtsberatung. Stand: August 2026.
PSD3 ist eine Richtlinie, die von den Mitgliedstaaten in nationales Recht umgesetzt werden muss und vor allem Zulassung und Aufsicht von Zahlungsdienstleistern regelt. Die PSR ist eine Verordnung, die europaweit unmittelbar und einheitlich gilt und die Regeln für den Bezahlvorgang enthält - etwa starke Kundenauthentifizierung, Entgelte und Betrugshaftung. Für Onlineshops ist vor allem die PSR relevant, weil sie den Checkout direkt betrifft.
Parlament und Rat haben sich Ende November 2025 vorläufig geeinigt (Europäisches Parlament/Rat), im April 2026 folgte die Bestätigung durch die Mitgliedstaaten (Rat der EU). Nach der Veröffentlichung im Amtsblatt gelten gestaffelte Übergangsfristen; die Richtlinie ist typischerweise binnen rund 18 Monaten umzusetzen, die Verordnung wird nach einer vergleichbaren Frist anwendbar (Herbert Smith Freehills Kramer). Der Kern der neuen Pflichten wirkt damit realistisch ab 2027, einzelne Bausteine wie der Empfängerabgleich rund 24 Monate nach Inkrafttreten (Rat der EU).
Ja. Die SCA bleibt Pflicht, wird aber nachgeschärft: Sie muss barrierefrei funktionieren und darf nicht ausschließlich ein modernes Smartphone voraussetzen, die Ausnahmen für risikoarme Zahlungen werden klarer gefasst, und die Verantwortlichkeiten zwischen den Beteiligten werden präziser verteilt. SCA gilt weiterhin als wirksam: Außerhalb des EWR ohne SCA liegt die Betrugsquote bei Kartenzahlungen rund zehnmal höher (ECB/EBA).
Das Verbot von Zusatzentgelten wird ausgeweitet: Die PSR untersagt Aufschläge künftig ausdrücklich auch bei Überweisungen und Lastschriften in allen EU-Währungen (Herbert Smith Freehills Kramer). Zahlungsartabhängige Aufschläge sollten daher aus dem Checkout verschwinden, und Endpreise müssen transparent ausgewiesen sein. Versteckte Zahlungsentgelte sind ein bekanntes Abmahnrisiko.
Vor einer Überweisung gleicht der Zahlungsdienstleister ab, ob der eingegebene Empfängername zur IBAN passt, und warnt bei Abweichungen. Das schützt vor Fehlüberweisungen und Betrug. Für Shops ist der Abgleich vor allem bei Vorkasse, Rechnungskauf und A2A-Zahlungen wichtig: Firmierung, Kontoinhaber und IBAN sollten exakt übereinstimmen, damit keine Warnungen Kunden verunsichern. Die Pflicht greift für viele Anbieter rund 24 Monate nach Inkrafttreten (Rat der EU).
Wir analysieren den bestehenden Bezahlprozess, prüfen SCA-Ablauf, Ausnahmelogik und Zahlartenmix und setzen die technischen Anpassungen im Checkout um - abgestimmt mit Ihrem Zahlungsdienstleister. Dabei achten wir auf barrierefreie Authentifizierung, transparente Preisangaben und eine saubere Anbindung an Warenwirtschaft und Buchhaltung. So lässt sich der Checkout typischerweise rechtzeitig und ohne Zeitdruck auf die neuen Vorgaben ausrichten (Projekterfahrung).