PSD3 & PSR: Was die neuen EU-Regeln für Schweizer Banken bedeuten

Im Gespräch mit Banken und Playern im Financial Services im Bereich Fraud Management fällt eines immer wieder auf: Betrugsfälle werden technologisch immer ausgeklügelter und raffinierter, wodurch es für Kunden immer schwieriger ist, Realität von Schein zu unterschieden. Besonders häufig ist dies der Fall bei Authorised Push Payments Frauds, wobei Zahlungen vom Kunden bewusst ausgelöst wurden – allerdings unter falschen Voraussetzungen. Genau an diesem Punkt wird es aus haftpflichtrechtlicher Sicht besonders spannend. Aus regulatorischer Sicht stellt PSD3 und PSR nämlich die Frage, in wie weit die Bank für solche Zahlungen haftbar ist, wenn der Kunde die Zahlung zwar autorisiert und somit freigegeben hat, aber zuvor gezielt manipuliert respektive getäuscht wurde. Diese Diskussion ist auch für Schweizer Finanzinstitute wesentlich relevanter, als dies auf den ersten Blick erscheinen mag.

Die Entwicklung des Zahlungsverkehrs

Der Authorised Push Payment ist nur ein Beispiel von vielen, wenn wir die Entwicklung im Zahlungsverkehr anschauen. Mit der Einführung von PSD2 im europäischen Zahlungsmarkt im Jahr 2018 kamen nicht nur neue Zahlungsdienstleister auf den Markt, wie Fintech-Unternehmen sondern der digitale Zahlungsverkehr wurde mittels der Zwei-Faktor-Authentisierung oder der Öffnung der Bankenschnittstelle (APIs) auch sicherer gemacht.

Der Markt hat sich seit der Einführung von PSD2 weiterentwickelt. Zahlprozesse sind nicht nur schneller, digitaler und vernetzter geworden, sondern auch die Erwartungshaltung der Kunden von reibungslosen Zahlprozessen hat sich verändert. Hinzukommt die Nutzung und der Austausch von Zahlungsdaten. Mit Veränderungen kommen aber auch Herausforderungen. Es tauchen Fragen der Transparenz von Gebühren, der Verantwortungsteilung sowie veränderte Anforderungen an Sicherheit auf. Gleichzeitig wird es auch für Fraudster mit Hilfe von Künstlicher Intelligenz und sozialen Medien einfacher, glaubwürdige Szenarien zu schaffen und Kundinnen du Kunden gezielt zu manipulieren. Damit trifft der mit PSD2 geschaffene regulatorische Rahmen heute auf einen Zahlungsverkehr, dessen Risiken, Technologien und Erwartungen sich wesentlich weiterentwickelt haben.

PSD3 und PSR als regulatorische Antwort für Schwachstellen im Zahlungsverkehr

Genau hier setzt die PSD3 und die neue Payment Services Regulation (PSR) der Europäischen Union an. Mit der Weiterentwicklung des europäischen Zahlungsmarkts adressiert die EU gezielt Schwachstellen des PSD2 Zahlungsverkehrsrechts, um so die Regeln an die heutige Realität des Zahlungsverkehrs anzupassen. Dabei rücken mehrere Themen gleichzeitig in den Fokus: ein stärkerer Schutz von Kundinnen und Kunden vor Betrug, klarere Verantwortlichkeiten im Schadenfall, die Weiterentwicklung von Open Banking, mehr Transparenz im Zahlungsverkehr sowie ein möglichst einheitlicher regulatorischer Rahmen für unterschiedliche Marktteilnehmer.

Was bedeuten PSD3 und PSR für die Schweiz?

Die zentrale Frage für Schweizer Banken ist, wie relevant eine europäische Regulierung überhaupt ausserhalb der EU ist. Wie im Webinar durch die Rechtsanwältin MyChau Bachelard eingeordnet, werden PSD3 und PSR nicht automatisch zu Schweizer Recht. Bei rein schweizerischen Sachverhalten gilt das Paket grundsätzlich nicht, da Schweizer Recht, der konkrete Vertrag, die AGB und die schweizerischen Aufsichtsvorgaben (vgl. BGE 115 II 62 E. 3a) massgebend sind. Nichtsdestotrotz kann sich eine direkte Betroffenheit insbesondere über Konzernstrukturen und Aktivitäten innerhalb der EU bzw. des EWR ergeben. Gleichzeitig können PSD3 und PSR als Benchmark für die weitere Entwicklung des Zahlungsverkehrs dienen. Neue europäische Standards bei Open Banking, Sicherheit, Kundenschutz oder Fraud können auch die Erwartungen und Marktstandards in der Schweiz beeinflussen. Für Schweizer Banken geht es deshalb weniger um eine direkte Übernahme der Regulierung als um die Frage, welche Entwicklungen künftig auch für das eigene Geschäft relevant werden.

Ein Blick in die Praxis

Dass sich solche Entwicklungen bereits heute konkret abzeichnen, zeigt der Blick nach Liechtenstein. Da Liechtenstein Mitglied des Europäischen Wirtschatfsraums (EWR) ist, sind sie deutlich enger an den europäischen Regulierungsrahmen gebunden. So gaben Markus Hösli und Michael Hartman einen interessanten Einblick, wie sie solchen Fragestellungen bereits heute in der Liechtensteinschen Landes Bank (LLB) begegnen. Mit der Einführung von Verification of Payee haben sie eine Empfängerüberprüfung, um verdächtige Zahlungen frühzeitig zu erkennen, um Kundinnen und Kunden zu warnen und so mögliche Haftungsfragen im Bereich Fraud Management zu klären. Ebenfalls erwähnen sie, dass die Bank zur Zeit prüft, welche Anpassungen an Schnittstellen und Prozessen im Bereich Open Banking notwendig sind, damit autorisierte Drittanbieter künftig sicher und standardisiert auf Kontodaten und Zahlungsfunktionen zugreifen können.

Die Quintessenz für Schweizer Banken

Die Beispiele aus Liechtenstein zeigen, wie sich die regulatorischen Entwicklungen bereits heute in konkrete Anforderungen übersetzen lassen. Für Schweizer Banken sind PSD3 und PSR aber vor allem ein Blick in die Zukunft des Zahlungsverkehrs. Nicht alles wird direkt übernommen, aber viele Entwicklungen dürften auch hierzulande neue Marktstandards prägen – insbesondere bei Fraud, Open Banking, Sicherheit und Kundenschutz.