SEPA-Instant-Payments – Echtzeitlimit im Fokus

Die Regulierung verpflichtet Banken zur Bereitstellung eines separaten, kundenseitig steuerbaren Echtzeitlimits auf Kontoebene. Dieses Limit ist grundsätzlich optional und kann vom Kunden jederzeit eingerichtet und angepasst werden.

Es gilt ausschließlich für Echtzeitzahlungen – jedoch kanalübergreifend – und muss zusätzlich zu bereits etablierten Limiten zur Verfügung stehen als:

• Tageslimit oder Transaktionslimit.

Transaktionslimit vs. Tageslimit – zwei unterschiedliche Logiken

Während beim Transaktionslimit jede einzelne Transaktion auf das eingestellte Limit geprüft wird, folgt das Tageslimit einer anderen Systematik:

• Alle eingereichten Echtzeitzahlungen eines Kalendertages werden aggregiert.
• Jede neue Zahlung wird gegen das Echzeitlimit minus der bereits verbrauchten Tagesgesamtsumme geprüft.
• Bei Überschreitung wird die Zahlung abgelehnt.
• Um Mitternacht wird der Zähler auf Kontoebene zurückgesetzt.

Das Tageslimit ist damit keine punktuelle, sondern eine dynamische, fortlaufende Prüfung. Dabei lassen sich Konstellationen beim Tageslimit vorstellen, bei denen zum Beispiel ein Dauerauftrag, der um 8:00 Uhr ausgeführt werden sollte, abgewiesen wird, weil das Tageslimit bereits durch die Gehaltszahlungsdatei um 7:00 Uhr „verbraucht“ wurde.

Falls also die Möglichkeit besteht, einen Echtzeit-Dauerauftrag zeitlich zu terminieren, dann sollte dieser sehr früh am Tag, also beispielsweise auf 0:01 Uhr gesetzt werden, um sicherzustellen, dass dieser auch immer ausgeführt wird.

Zudem muss die Limit-Logik konsistent und in Echtzeit greifen – unabhängig davon, über welchen Kanal die Zahlung initiiert wird:

• Internetbanking
• EBICS
• Dauerauftrag
• PSD2-Schnittstelle
• telefonisch oder
• als Beleg am Schalter oder per Post

Das Echtzeitlimit ist somit kein Limit pro Kanal, sondern ein kanalübergreifend aggregierendes Limit über sämtliche Initiierungswege.

Wann wird das Limit geprüft?

Die Platzierung dieser Limitprüfung im Abwicklungsprozess der Bank muss wohlüberlegt sein:

Das Transaktionslimit ist vergleichsweise unkritisch und kann entweder in jedem Eingangskanal oder auch an zentraler Stelle geprüft werden, beispielsweise nach erfolgreicher Dispositionsprüfung. Zu diesem Zeitpunkt ist klar, ob die Datei grundsätzlich ausführbar wäre. Anschließend können einzelne Transaktionen, die das Limit überschreiten, gezielt abgelehnt werden, während Transaktionen unterhalb dieses Transaktionslimits ohne Einschränkungen weiter prozessiert werden.

Die Prüfung des Tageslimits muss zwingend an einer zentralen Stelle erfolgen, an der alle Kanäle bereits zusammengeführt wurden. Nur so ist eine gleichberechtigte und konsistente Prüfung möglich. Hier wäre eine Prüfung vor oder nach dem Dispo-Limit möglich. Gleichzeitig darf das Dispo-Limit (entspricht dem aktuell verfügbaren Betrag plus gegebenenfalls Kreditlinie) nicht überschritten werden.

Wichtig für die Sammlereinreichung: Sobald das Tageslimit auch nur um einen Cent überschritten wird, so führt dies zu einer Ablehnung des gesamten Sammlers.

Warum schreibt die EU überhaupt ein Echtzeitlimit vor?

Die Einführung eines spezifischen Echtzeitlimits ist kein Zufall, sondern adressiert das besondere Risikoprofil von Instant Payments im Sinne der EU-Instant-Payments-Regulation. Echtzeitüberweisungen unterscheiden sich in wesentlichen Punkten von klassischen SEPA-Überweisungen:

• Ausführung in Sekundenschnelle
• Finalität der Zahlung
• Schlechte oder fehlende Rückrufmöglichkeiten

Gerade im Kontext von Betrugsfällen (zum Beispiel Social Engineering oder CEO-Fraud) führt die Kombination aus Geschwindigkeit und Finalität zu einem erhöhten Schadenspotenzial.

Das regulatorisch geforderte Echtzeitlimit dient daher primär dem präventiven Kundenschutz: Zahlungsdienstnutzer sollen sich aktiv vor ungewollt hohen und insbesondere vorschnellen Geldabflüssen schützen können.

Wie kann der Kunde das Echtzeitlimit einrichten?

Der Verordnungstext in Artikel 5a (6) der Instant-Payment-Regulierung formuliert hierzu klar:

„Auf Verlangen des Zahlungsdienstnutzers bietet ein Zahlungsdienstleister dem Zahlungsdienstnutzer die Möglichkeit an, einen per Echtzeitüberweisung versendbaren Höchstbetrag festzulegen. Dieser Höchstbetrag kann nach dem alleinigen Ermessen des Zahlungsdienstnutzers entweder pro Tag oder pro Zahlungsvorgang festgelegt werden.“

Um den administrativen Aufwand gering zu halten, implementieren Banken typischerweise elektronische Self-Service-Schnittstellen, beispielsweise:

• im Internetbanking,
• in der Banking-App (beides eher im Privatkunden-Bereich) oder
• über electronic Bank Account Management (eBAM) via EBICS (für Firmenkunden).

Diese Schnittstelle muss – nach einer Autorisierungsprüfung – unmittelbar mit dem zentralen Limit-System verbunden sein, um das Limit ohne Zeitverzug (instant) wirksam zu setzen.

Der Gesetzestext selbst schreibt keine konkrete technische Ausgestaltung vor. Rein formal könnte daher auch ein papierhafter Auftrag des Kunden ausreichen.

Allerdings heißt es weiter in Artikel 5a (6):

„Die Zahlungsdienstleister stellen sicher, dass die Zahlungsdienstnutzer diesen Höchstbetrag jederzeit vor der Erteilung eines Zahlungsauftrags für eine Echtzeitüberweisung ändern können.“

Das Wort „jederzeit“ legt nahe, dass der Gesetzgeber eine faktisch jederzeit verfügbare Änderungsmöglichkeit erwartet. In der praktischen Auslegung spricht dies klar für eine digitale, unmittelbar verfügbare Online-Lösung.

Rückmeldung der Bank bei einer Limitüberschreitung

Der letzte Satz in (6) des Artikel 5a lautet:

„Übersteigt der von einem Zahlungsdienstnutzer erteilte Zahlungsauftrag für eine Echtzeitüberweisung den Höchstbetrag oder führt zu einer Überschreitung des Höchstbetrags, so führt der Zahlungsdienstleister des Zahlers den Zahlungsauftrag für die Echtzeitüberweisung nicht aus, teilt dies dem Zahlungsdienstnutzer mit und unterrichtet den Zahlungsdienstnutzer darüber, wie der Höchstbetrag geändert werden kann.“

Hieraus ergibt sich eindeutig, dass die Bank den Kunden über die Ablehnung aufgrund einer Limitüberschreitung informieren muss.

Bei EBICS wird der Firmenkunde mittels der Auftragsart CIZ mit einer pain.002 über die Ausführung oder Ablehnung informiert. Allerdings enthält diese Nachricht keinen Hinweis darauf, wie der Höchstbetrag konkret geändert werden kann.

Bei Kaufleuten mag entsprechendes Know-how teilweise vorausgesetzt werden können, ist jedoch nicht immer gegeben. Wird, wie im obigen Beispiel, der Dauerauftrag aufgrund einer früheren Zahlung aufgrund des Tageslimits abgelehnt, muss die Bank den Kunden auf anderem Wege, zum Beispiel telefonisch oder per E-Mail (beides eher aufwendig) kontaktieren.

Kunden, die nicht EBICS, sondern Online- oder Internetbanking verwenden, werden natürlich direkt online in ihrer Session über die Nichtausführbarkeit informiert.

Neue Limit Anforderungen mit der PSD3 beziehungsweise PSR

In der aktuellen Fassung der (bislang noch nicht verabschiedeten) Payments Service Regulation (PSR)¹, die gemeinsam mit der PSD3 in Kraft treten soll, wird das Thema „Limit“ erneut aufgegriffen.

Im englischen Originaltext steht hierzu:

“Article 51

• The payment service user and the payment service provider shall agree in the framework contract on a limit of a maximum amount that can be sent for each means of payment, including for credit transfers, and for each payment instrument. It shall be possible for the payment service user to modify limits for each means of payment and each payment instrument, which may be on a per-day or per-transaction basis, or both, at the sole discretion of the payment service user. Payment service providers shall ensure that the payer is able to modify the spending limits set prior to the placing of a payment order. An increase of the spending limit by the payer, if done remotely, shall require the application of strong customer authentication in accordance with Article 85”

Zusammengefasst und übersetzt, heißt das:

• Bank und Kunde sollen für jedes Zahlungsmittel und Zahlungsinstrument Höchstbeträge setzen können.
• Der Kunde kann nach alleinigem Ermessen die Limits für jedes Zahlungsmittel und jedes Zahlungsinstrument ändern, sowohl als Tageslimit oder auf Transaktionsbasis oder beides.
• Die Bank hat sicherzustellen, dass der Zahler in der Lage ist, die Ausgabelimits vor einer Überweisung zu ändern.
• Zur Erhöhung der Limits muss der Kunden eine starke Kundenauthentifizierung nutzen.

Damit geht die PSR deutlich über die Vorgaben der Instant Payment Regulation hinaus, da sie das Thema Limit nicht nur auf Echtzeitüberweisungen beschränkt, sondern auf sämtliche Zahlungsinstrumente ausweitet. Und zwar als Tages- oder Transaktionslimit, oder beides gleichzeitig.

“Article 51, 1a.

• Payment service providers shall not unilaterally modify the spending limits agreed with their payment service users. If done remotely, payment service providers shall require a delay of a minimum of four hours and maximum of twelve hours for any resulting increase in spending limits to come into effect. Payment service users shall have the right to adjust or opt out of the application of a delay period, which, if done remotely, shall require the application of strong customer authentication in accordance with Article 85(1)(d). Where a delay period is in place, any subsequent adjustment or opting out of its application shall be subject to the delay period in place.”

Zusammengefasst und übersetzt, heißt das:

• Die Bank darf das vereinbarte Ausgabenlimit nicht einseitig ändern.
• Ist der Kunde nicht persönlich vor Ort, muss die Bank eine Verzögerung von mindestens vier Stunden und höchstens zwölf Stunden einhalten, bevor die Limitänderung in Kraft tritt.
• Kunden haben das Recht, die Anwendung einer Verzögerungsfrist anzupassen oder abzulehnen, wobei dies – wenn der Kunde nicht vor Ort ist – die Anwendung einer starken Kundenauthentifizierung gemäß Artikel 85 Absatz 1 Buchstabe d erfordert.
• Besteht eine Verzögerungsfrist, unterliegt eine diesbezügliche Änderung dieser Frist vor der Änderung bestehenden Frist.

Hier stellt sich die spannende Frage, wie sich die „jederzeitige“ Änderungsmöglichkeit des Limits aus der Instant Payment Regulierung gegen die „Cool-down-Phase“ von vier Stunden in der PSR durchsetzt. Diese Cool-down-Phase dient klar der Betrugsprävention: Kriminelle sollen nicht in der Lage sein, unmittelbar nach einer erzwungenen Limiterhöhung das neue, höhere Limit für eine betrügerische Transaktion auszunutzen. Hier kollidieren Verbraucherschutz bzw. Kriminalitätsprävention und Praktikabilität miteinander.

Die praktische Ausgestaltung dieser Vorgaben wird für viele Institute eine anspruchsvolle Herausforderung bei der Umsetzung der PSD3/PSR darstellen, sollte sich der derzeitige Entwurf der PSR/PSD3 nicht noch ändern.

Fazit

Zusammengefasst lässt sich feststellen, dass das Echtzeitlimit bislang das Stiefkind der Instant-Payment-Regulierung war – sowohl in der öffentlichen Kommunikation vieler Banken als auch in der aktiven Nutzung durch Kunden fand es bisher wenig Beachtung

Mit PSD3 und PSR dürfte das Thema Limit jedoch deutlich an Fahrt gewinnen. Da die neuen Regelungen umfassender sind, ist davon auszugehen, dass Limits künftig stärker in den Fokus von Instituten, Aufsichtsbehörden und Öffentlichkeit rücken werden als bislang im Kontext der Instant Payment Regulierung.

Und übrigens: wer bisher kein Limit gesetzt hat, hat kein Limit von Null, sondern generell keine Einschränkung bei Echtzeitzahlungen.