Verification of Payee – der Prozess für Firmenkunden mit EBICS

Verification of Payee – wie der Prozess grundsätzlich funktionieren wird

Verification of Payee (VoP) ermöglicht einem Zahler, vor der Ausführung der Zahlung zu überprüfen, ob der angegebene Empfängername und gegebenenfalls weitere Identifikationscodes wie zum Beispiel ein Legal Entity Identifier (LEI) mit den bei der Empfängerbank registrierten Daten übereinstimmen. Im Internet Banking oder in der Banking App gibt der Zahler die Empfänger-IBAN, den Empfängernamen und gegebenenfalls den LEI ein und kann dann eine Prüfung anfordern. Diese Anfrage wird von der Bank des Auftraggebers zur Empfänger Bank und muss dort innerhalb von drei Sekunden, idealerweise sogar innerhalb einer Sekunde, beantwortet werden.

Die möglichen Ergebnisse sind:

• Match: die angefragte IBAN stimmt mit dem vorliegenden Empfängernamen überein
• Close-Match: der gesendete Name stimmt teilweise mit dem bei der Empfängerbank hinterlegten Namen überein
• No-Match: der gesendete Name stimmt nicht mit dem bei der Empfängerbank hinterlegten Namen überein
• No–check: falls zum Beispiel ein Timeout auf den Kommunikationswegen passiert ist

Nach Erhalt der Antwort kann der Zahler entscheiden, die Zahlung freizugeben oder abzubrechen. Selbst eine Freigabe bei einem „No-Match“ ist möglich, allerdings auf eigenes Risiko.

Vorteile für Internetbanking-Nutzer

Für Nutzer von Internetbanking oder Banking-Apps, die bei der Zahlungsfreigabe präsent sind, ist dies eine nützliche Erweiterung, die den Verbraucherschutz erhöht. Der Verification-of-Payee-Prozess läuft vollständig vor der Freigabe der eigentlichen Zahlung ab, was zusätzliche Sicherheit bietet.

Der Verification-of-Payee-Prozess für Firmenkunden

Doch wie sieht der VoP-Prozess für Firmenkunden aus, die keine Einzelzahlungen über das Internetbanking eingeben, sondern fertige Zahldateien, zum Beispiel über den Electronic Banking Internet Communication Standard (EBICS), senden? Da EBICS eine asynchrone Kommunikation nutzt und die Freigabe der Datei vor der Übermittlung erfolgt, kann der Kunde keine VoP-Entscheidung treffen.

Die Instant-Payment-Regulierung sieht vor, dass Firmenkunden (genauer gesagt Nicht-Verbraucher) freiwillig am VoP-Prozess teilnehmen können. Mit dem sogenannten Opt-in kann der Kunde seine Daten prüfen lassen, während ein Opt-out den VoP-Prozess überspringt und die Zahlungen ohne Prüfungsauftrag versendet werden.

Neue Auftragsarten

Neben den bisher üblichen Auftragsarten CCT (für klassische SEPA-Überweisungen) und CIP (für Echtzeitüberweisungen) werden die Auftragsarten CTV und CIV neu eingeführt.

• CCT und CIP repräsentieren das Opt-Out-Verfahren. Damit können, wie bisher, vollständig elektronisch unterschriebene Zahldateien an die Bank gesendet werden – auf eigenes Risiko.
• CTV und CIV dagegen lösen den VoP-Prozess bei der Auftraggeber Bank aus. Diese Dateien sind nur mit einer Transportunterschrift versehen, und die Auftraggeber-Bank muss die Datei in einzelne Zahlungen aufbrechen und einzelne VoP-Anfragen senden. Alternativ kann das VoP-System die pain.001 direkt selbst verarbeiten und erstellt die individuellen VoP-Anfragen aus der übermittelten pain.001-Datei heraus. Die Antworten werden konsolidiert und dem Auftraggeber mittels einer pain.002-Datei zur Verfügung gestellt, der dann entscheiden kann, ob die Zahldatei ausgeführt oder storniert werden soll.

Die Ausführung wird durch die Auftragsart HVE ausgelöst, während HVS den gesamten Auftrag storniert. Eine Teilausführung ist aktuell nicht vorgesehen. Der erfahrene Leser wird diesen Weg der Einreichung als verteilte elektronische Unterschrift erkennen, bei der zunächst eine Transportunterschrift und anschließend die elektronische Unterschrift gesendet wird.

Entscheidet sich der Kunde gegen die Ausführung, muss er die (reduzierte) Zahldatei neu einreichen. Dabei kann er Empfänger mit „No-Match“ oder sowohl „No-Match“ als auch „Close-Match“ ausschließen. Dieser Prozess erfordert zusätzlichen Aufwand, da die Zahldatei neu erstellt und nicht zu zahlende Positionen storniert werden müssen. Konsequenterweise sollten danach auch die Stammdaten der Close-Match- und No-Match-Empfänger angepasst werden. Anschließend kann der Kunde die Opt-Out-Auftragsarten verwenden, um den VoP-Prozess nicht erneut zu durchlaufen.

Der Versand einer EBICS-Datei wird mit VoP auf jeden Fall deutlich komplizierter.

Sonderthemen und Herausforderungen

Sammlerdateien mit einer einzelnen Transaktion

Für Firmenkunden gibt es eine wichtige Einschränkung beim Opt-Out, denn dieses gilt nur für Sammelüberweisungen. Eine Zahldatei mit nur einer einzelnen Transaktion wird laut DG FISMA nicht als Sammelüberweisung qualifiziert und muss daher immer den VoP-Prozess durchlaufen. Noch ist unklar, ob Banken solche Einzeltransaktionen, die über die Opt-Out-Auftragsarten CCT oder CIP verschickt werden, ablehnen müssen, da Opt-Out hier explizit verboten ist. Oder ob sie nur die elektronische Unterschrift entfernen und die Datei in den VEU-Prozess weiterleiten.

Sollte, wie geplant, der generelle Höchstbetrag von 100.000 € bei Echtzeitzahlungen aufgehoben werden, könnten viele Einzelzahlungen aus dem Treasury-Bereich, die oft als CCU-Dateien (=taggleiche Eilüberweisungen) verschickt werden, als Echtzeitzahlungen durchgeführt werden. Das würde die Situation der Einzelzahlungen weiter verschärfen.

VoP-Anfragen ohne Zahlungsbezug

Die EU verlangt, dass Banken den VoP-Prozess kostenlos anbieten, wenn er in Zusammenhang mit einer Zahlung steht. Obwohl der VoP-Prozess technisch vom eigentlichen Zahlungsprozess getrennt ist, sollte er nicht ohne Zahlungsbezug genutzt werden. Kunden könnten versuchen, ihre Zahlungsempfänger-Stammdaten zu prüfen, indem sie Zahldateien mit minimalen Beträgen erstellen, die von der Hausbank übermittelte pain.002 Datei auswerten und dann den gesamten Auftrag stornieren. Banken werden jedoch Maßnahmen ergreifen, um diesen Missbrauch zu verhindern oder kostenpflichtig zu machen.

Gleichzeitig könnte es für Banken oder andere Servicedienstleister ein lukratives Geschäftsmodell sein, diese Prüfung gegen eine Gebühr anzubieten. Kunden könnten so während der Neuanlage von Zahlungsempfänger-Stammdaten einen VoP Prozess nutzen, um die Richtigkeit ihrer Daten zu gewährleisten. Wenn alle Stammdaten vorab geprüft sind, kann der transaktionsbasierte VoP später entfallen.

Insgesamt zeigen diese Ausführungen, dass die zusätzliche Sicherheit im Zahlungsprozess durch ein deutlich umständlicheres Prozessing erkauft wird. Während heute eine Zahldatei final unterschrieben an eine Bank gesendet und zumeist ohne weiteres Zutun des Kunden ausgeführt wird, erfordert der VoP nun weitere Schritte mittels verteilter elektronischer Unterschrift oder gar teilweise Neuerstellung und Stornierung der Zahldatei. Außerdem wird der heute funktionierende Prozess einer einzelnen Zahlung in einer Zahldatei ab dem 8. Oktober 2025 mit der Auftragsart CCT oder CIP nicht mehr funktionieren, weil die EU dies nicht als Sammler, sondern Einzelzahlung sieht und dadurch zum VoP verpflichtet.

Wünschenswert für den Firmenkunden wäre, dass es auch bei Einzelzahlungen einen Opt-Out gibt, und die Möglichkeit geschaffen wird, dass ein Kunde einmalig seine Stammdaten prüfen kann, und nicht transaktionsbasiert die Zahlungsempfänger. Paradoxerweise verlangsamen sich durch die IPR die Zahlungsprozesse, zumindest für Firmenkunden, die den deutschen Standard EBICS verwenden.