Die Zahlungsempfängerbestätigung: Neue Vorschriften für mehr Sicherheit

Neue Richtlinien für die Anwendung und Umsetzung der Confirmation of Payee

Im Juni 2023 präsentierte die Europäische Kommission ihren Gesetzesentwurf zur Überarbeitung und Modernisierung der aktuellen Zahlungsdiensterichtlinie PSD2. Die überarbeitete Version – die PSD3 – bringt Richtlinien für die Anwendung und Umsetzung der Zahlungsempfängerbestätigung (Confirmation of Payee) mit sich.

In diesem Beitrag erläutern wir, was eine Zahlungsempfängerbestätigung ist, worin einige der Herausforderungen bestehen, welche Regelungen existieren und wie die PSD3-Änderungen mitsamt der EU-Verordnung zu Instant Payments einzuordnen sind.

Einführung in die Zahlungsempfängerbestätigung

Die Zahlungsempfängerbestätigung hat viele Namen. Sie ist auch bekannt als Confirmation of Payee, IBAN/Name Check oder IBAN-Verifizierung. Die Zahlungsempfängerbestätigung ermöglicht es einem Zahler, die Überweisungsdaten des Zahlungsempfängers zu bestätigen, bevor er eine Zahlung an eine bestimmte Kontonummer oder IBAN sendet.

Ein Beispiel

Angenommen, Alfred Auftraggeber möchte eine Zahlung an Emil Empfänger tätigen. Alfred gibt die IBAN von Emil in die Banking-App seiner Bank ein. Leider hat Emil die IBAN vorher falsch kopiert, so dass es sich tatsächlich um die IBAN von Max Mustermann handelt.

Wenn „Emil Empfänger“ nicht mit „Max Mustermann“ übereinstimmt, sollte die Banking App von Alfred Auftraggeber ihn warnen, dass die Zahlung nicht an Emil, sondern an jemand anderen gehen würde, wenn er diese IBAN verwendet.

Die Zahlungsempfängerbestätigung kommt über die Instant-Payments-EU-Verordnung

Die Europäische Kommission führte das Konzept der obligatorischen Zahlungsempfängerbestätigung erstmals im Legislativvorschlag zu Instant Payments im Oktober 2022 ein.

Artikel 5c mit dem Titel „Diskrepanzen zwischen dem Namen und der Zahlungskontokennung eines Zahlungsempfängers bei Echtzeitüberweisungen“ beschreibt, dass PSPs (Banken, Zahlungsinstitute und E-Geld-Institute) überprüfen müssen, ob die IBAN und der vom Zahler angegebene Name des Zahlungsempfängers übereinstimmen.

Der Zahler soll unverzüglich informiert werden, nachdem er die IBAN und den Namen des Begünstigten auf den Kanälen seines Zahlungsdienstleisters (zum Beispiel Mobile-, Online- oder Electronic Banking) eingegeben hat, und bevor er die Zahlung tatsächlich ausführt. Damit soll die Sicherheit von Echtzeitüberweisungen erhöht werden, da diese im Gegensatz zu regulären Zahlungen unwiderruflich sind.

Was PSD3 für die Zahlungsempfängerbestätigung ändert

Zunächst beinhaltet die PSD3 eine Ausweitung der IBAN-Überprüfung auf alle SEPA-Überweisungen, statt nur für SEPA-Echtzeitüberweisungen. Im Falle von Umsetzungsrichtlinien ist die aktuelle Informationslage sehr dünn, jedoch lässt sich aus Artikel 5c/Absatz 1a einiges ableiten.

In klaren Worten: Die empfangende Bank muss der sendenden Bank eine Antwort auf die Anfrage zur Zahlungsempfängerbestätigung zur Verfügung stellen, bevor der Absender die eigentliche Zahlung auslöst. Die empfangende Bank muss die Anfrage dahingehend prüfen, ob es sich um eine komplette, teilweise oder gar keine Übereinstimmung handelt. Bei einer teilweisen Übereinstimmung muss der Zahlungsdienstleister des Empfängers zusätzlich den Namen des Kontoinhabers mitgeben.

Herausforderungen der Zahlungsempfängerbestätigung

Die Schwierigkeit liegt darin, dass es keine einheitliche Datenbank aller IBANs und zugehörigen Kontoinhabernamen im gesamten SEPA- oder EU/EWR Raum gibt. Angenommen, es gäbe eine umfassende Datenbank aller europäischen IBANs und der zugehörigen Kontoinhabernamen. In diesem Fall wäre der nächste Schritt, den vom Zahler eingegebenen Namen mit dem in der Datenbank hinterlegten Namen abzugleichen. Allerdings birgt dieser Prozess verschiedene Herausforderungen:

• Alphabetische Unterschiede: Der Zahlungsempfänger und der Zahler könnten unterschiedliche Alphabete für denselben Namen verwenden. Zum Beispiel könnte jemand in Spanien versuchen, eine Echtzeitüberweisung an eine Person in Griechenland zu senden und dabei den Namen im lateinischen Alphabet zu schreiben, während der Name des Zahlungsempfängers in Griechenland bei seiner Bank unter dem griechischen Alphabet gespeichert ist.
• Verwendung von Zweitnamen oder Mädchennamen: Der Zahler könnte den zweiten Namen oder den Mädchennamen des Zahlungsempfängers verwenden, auch wenn diese nicht in der Datenbank gespeichert sind, und umgekehrt. Ebenso könnten einfache Tippfehler im Namen auftreten, wie zum Beispiel „Christine“ anstelle von „Christina“.
• Unternehmens- und Rechtsformen: Wenn der Zahlungsempfänger ein Unternehmen ist, kann es vorkommen, dass der angegebene Name nicht mit der vollständigen Rechtsform des Unternehmens übereinstimmt. Zum Beispiel, wenn Alfred Auftraggeber Geld an das Unternehmen „Sternenglanz Solutions“ überweisen möchte, die Bank des Unternehmens jedoch die vollständige Rechtsform wie „Sternenglanz Solutions GmbH & Co. KG“ gespeichert hat, dann werden Abweichungen auftreten, die im besten Fall als teilweise Übereinstimmungen an Alfred zurückgemeldet werden
• Abweichungen von Rechnungsadresse und Kontoinhaber: In der Praxis kann es vorkommen, dass die Rechnungsadresse nicht mit dem Namen des Kontoinhabers übereinstimmt. Zum Beispiel möchte Alfred Auftraggeber einen Strafzettel begleichen, der auf die Stadt „Beispielhausen Verwaltungsreferat“ ausgestellt ist. Das angegebene Konto gehört jedoch der „Landeshauptkasse Kreisverwaltungsreferat Sonnenstadt (KVR Sonnenstadt)“. In solchen Fällen gibt es keine direkte Übereinstimmung, und Alfred Auftraggeber muss entscheiden, ob er die Zahlung trotzdem durchführen möchte oder nicht.
• Herausforderungen bei Übereinstimmungssystemen: Ein einfaches Match-/No-Match-System würde wahrscheinlich zu vielen Nichtübereinstimmungen führen. Daher hat die EU-Kommission beschlossen, den Zahlungsdienstleistern den rechtlichen Spielraum zu geben, um bei teilweisen Übereinstimmungen den vollen Namen des Zahlungsempfängers zurückzugeben. Der Zahler kann dann entscheiden, ob er die Zahlung durchführen möchte oder nicht.

Dennoch besteht die Schwierigkeit darin, ein Verfahren zu entwickeln, das die meisten der genannten Fälle effizient verarbeiten kann und den Zahlern bei teilweisen Übereinstimmungen die Abweichungen zwischen dem eingegebenen Namen des Begünstigten und dem in der Datenbank mit der IBAN verknüpften Namen anzeigt.

Die Umsetzung der Zahlungsempfängerbestätigung hat es in sich

Der Legislativvorschlag der EU-Kommission für Echtzeitüberweisungen sieht vor, dass diese Überprüfung sofort erfolgen soll. Obwohl der Begriff „sofort“ nicht genau definiert ist, erscheint es vernünftig, dass Benutzer nicht länger als einige Sekunden warten sollten, bevor sie eine Zahlung senden können. Andernfalls würde das den Prozess erheblich beeinträchtigen und die Benutzererfahrung negativ beeinflussen.

Große Zahlungsdienstleister stehen somit vor der Aufgabe, unter Millionen von Datensätzen nach einer IBAN zu suchen, den zugehörigen Namen zurückzugeben und diesen in wenigen  Sekunden mit dem vom Absender eingegebenen Namen zu vergleichen – und dies Millionen Mal täglich.

Das wird insbesondere für traditionelle Banken, deren Stammdatensysteme mitunter auf Altsystemen laufen, schwierig. Diese Altsysteme sind in der Regel nicht darauf ausgelegt, große Mengen an Anfragen in Echtzeit zu beantworten. Und das auch noch rund um die Uhr. Die meisten Zahlungsdienstleister werden höchstwahrscheinlich neue Systeme erstellen oder einkaufen, die die Konto- und Namensdaten ihrer Kernsysteme spiegeln und die notwendige Performanz und Verfügbarkeit unterstützen.

Im aktuellen Legislativvorschlag wurde den Zahlungsdienstleistern eine Frist von 18 Monaten nach Inkfrafttreten der EU-Verordnung zur Einhaltung dieses Confirmation-of-Payee-Services eingeräumt. Die EU teilte jedoch keine Einzelheiten dazu mit, wie Zahlungsdienstleister die IBAN-Überprüfung durchführen sollten.

Ein Rulebook und das European Payments Council

Das European Payments Council (EPC) definiert die SEPA-Zahlungsschemata und arbeitet derzeit am Payments Account Verification Rulebook. Dieses Rulebook definiert die Spielregeln, wie die Zahlungsdienstleister zukünftig kommunizieren und was von ihnen in den unterschiedlichen Rollen erwartet wird.

Nach aktuellem Kenntnisstand sollen Zahlungsdienstleister die IBAN-Verifizierung untereinander auf Basis von ISO-20022-Nachrichten über Clearing-Plattformen wie TIPS oder EBA RT1 ausführen¹. Das Verfahren ist nicht komplett neu, sondern wurde in Teilen vom Nordics Payments Council (NPC) übernommen.

In kommenden Artikeln werden wir das Verfahren der Zahlungsempfängerbestätigung genauer erläutern. Nichtsdestotrotz sollten Zahlungsdienstleister bereits jetzt ihre Analysen starten und sich auf automatisierte Echtzeitprüfungen vorbereiten.

Aktuelle Marktstudie