> ## Content Index > Fetch the complete content index at: https://digioneer.pro/llms.txt > Use this file to discover other available public pages before exploring further. # „Sie haben ja selbst überwiesen“ - URL: https://digioneer.pro/zahlungsbetrug-autorisiert-bank-haftet-nicht/ - Published: 2026-08-26T08:00:03.000Z - Updated: 2026-08-26T08:00:03.000Z - Description: Ein Anruf, ein Code, 27.650 Euro weg — und ein Höchstgericht, das keinen Handlungsbedarf sieht. Warum das Wort „autorisiert“ in Österreich und Deutschland zur Falltür geworden ist. - Author: Jamie Walker - Tags: digitale Warteschleife, Verbraucherschutz, Banken, Recht, Betrug *Ein Anruf, ein Code, 27.650 Euro weg — und ein Höchstgericht, das keinen Handlungsbedarf sieht. Warum das Wort „autorisiert“ in Österreich und Deutschland zur Falltür geworden ist.* Fällst du in Österreich oder Deutschland auf einen Schockanruf herein und gibst die Überweisung selbst frei, bekommst du dein Geld in aller Regel nicht zurück. Der OGH hat eine Revision dagegen im August 2024 zurückgewiesen: 27.650 Euro, weg, die Bank haftet nicht. Großbritannien erstattet seit Oktober 2024 verpflichtend, Österreich und Deutschland nicht. Es ist kurz nach acht am Abend in Brooklyn, und im Hausflur klingelt ein Festnetztelefon, von dem ich dachte, es sei längst abgemeldet. Zweimal, dann Stille. Niemand geht ran. Niemand geht hier je ran. Auf meinem Handy liegt derweil eine SMS, Absender: der Name meiner Bank, sauber ausgeschrieben, im selben Verlauf wie die echten Nachrichten der letzten zwei Jahre. *Verdächtige Abbuchung. Bitte umgehend zurückrufen.* Ich rufe nicht zurück, aber ich weiß auch, dass ich das nur weiß, weil ich beruflich den ganzen Tag über solche Dinge lese. Hätte ich einmal falsch getippt, wäre juristisch alles korrekt gelaufen. Das Geld wäre trotzdem weg. --- ## BREAK – Der Code stimmte, das Geld ist weg, und niemand muss zahlen Der Oberste Gerichtshof hat den Ablauf in der Entscheidung [7 Ob 95/24g vom 28\. August 2024](https://www.ris.bka.gv.at/Dokument.wxe?Abfrage=Justiz&Dokumentnummer=JJT%5F20240828%5FOGH0002%5F0070OB00095%5F24G0000%5F000&ref=digioneer.pro) festgestellt. Ein Bankkunde bekommt eine Phishing-SMS, angeblich von einem Paketzusteller, und gibt Daten preis. Kurz darauf ruft eine unbekannte Person von einer deutschen Nummer an und behauptet, jemand greife auf sein Konto zu. Der Kunde bestätigt daraufhin in seiner Kontroll-App den Login des Täters und gibt eine Überweisung über 20.000 Euro frei. Die Betrugserkennung der Bank stoppt sie. Danach laufen vier weitere Überweisungen durch: zweimal 9.000, dann 3.950 und 5.700 Euro. Zusammen 27.650 Euro. Diese stoppt niemand. Der OGH wies die Revision des Kunden zurück. Der Kunde hatte jede dieser Zahlungen selbst per Zwei-Faktor-Authentifizierung freigegeben, damit lag kein nicht autorisierter Zahlungsvorgang im Sinn der [§§ 67, 68 ZaDiG 2018](https://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=20010182&ref=digioneer.pro) vor. Ob die Bank darüber hinaus ihre vertraglichen Schutzpflichten verletzt hatte, sei eine Frage des Einzelfalls — und die Beurteilung der Vorinstanzen nicht korrekturbedürftig. ⚖️ ****Die unbequeme Stelle** Der OGH hat nichts entschieden, was über diesen einen Fall hinausreicht. Jedes nächste Opfer fängt bei null an. Deutschland hat dieselbe Konstruktion, nur mit anderer Nummer. [§ 675u BGB](https://www.gesetze-im-internet.de/bgb/%5F%5F675u.html?ref=digioneer.pro) verpflichtet die Bank, den Betrag bei einer nicht autorisierten Zahlung unverzüglich zu erstatten, spätestens bis zum Ende des Geschäftstags nach der Anzeige. Eine Frist, um die dich jede britische Verbraucherschutzorganisation beneidet. Sie gilt nur für einen Fall, der bei den heutigen Maschen fast nie eintritt. Und selbst dort, wo sie gilt, greift sie schlecht. Der Verbraucherzentrale Bundesverband hat am 21\. April 2026 die Auswertung von 100 Verbrauchermeldungen aus dem Zeitraum Mai bis November 2025 vorgelegt. Das Muster, das er beschreibt: Standardschreiben statt Einzelfallprüfung, schleppende Bearbeitung, unzureichend erfüllte Nachweispflichten — und der pauschale Vorwurf, die Betroffenen hätten grob fahrlässig gehandelt. Der vzbv fordert deshalb ein Aufrechnungsverbot: erst erstatten, dann prüfen. ([vzbv, 21.04.2026](https://www.vzbv.de/pressemitteilungen/kontobetrug-banken-lassen-betroffene-immer-wieder-im-stich?ref=digioneer.pro)) Die [österreichische Anzeigenstatistik für 2025](https://www.bundeskriminalamt.at/501/files/kriminalpolizeiliche%5Fanzeigenstatistik%5F2025%5Fbf.pdf?ref=digioneer.pro), veröffentlicht am 31\. März 2026, weist 31.001 Anzeigen wegen Internetbetrugs aus, ein Minus von 2,4 Prozent gegenüber 2024\. Die Aufklärungsquote liegt bei 28,1 Prozent und ist um 2,7 Prozentpunkte gefallen. Zur Einordnung: Von zehn angezeigten Fällen bleiben sieben ungeklärt. Und die Anzeige ist ohnehin nur die Spitze — wer auf einen Schockanruf hereinfällt, geht nicht als Erstes zur Polizei. Viele erzählen es nicht einmal ihren Kindern. Zwischendurch die gute Nachricht, weil sie so selten vorkommt. Seit 9\. Oktober 2025 müssen Zahlungsdienstleister im Euroraum vor jeder Euro-Überweisung prüfen, ob Empfängername und IBAN zusammenpassen — Verification of Payee nach [Verordnung (EU) 2024/886](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R0886&ref=digioneer.pro), Artikel 5c. Für Institute außerhalb des Euroraums läuft die Frist bis 9\. Juli 2027\. Führt die Bank die Prüfung nicht durch und geht das Geld an die falsche Adresse, haftet sie. Beim Schockanruf stimmt der Name aber. Das Zielkonto läuft auf eine echte Person, die es hergegeben hat — bezahlt, erpresst oder ihrerseits getäuscht. Der Abgleich meldet grün, du drückst zu, und die Haftung bleibt exakt dort, wo sie vorher war. --- ## Bleib dran Jeden Mittwoch die digitale Warteschleife — gratis in dein Postfach, ohne Algorithmus dazwischen. Gratis abonnieren Fast geschafft — schau in dein Postfach und bestätige. ## ANALYZE – Warum ein Klick unter Zwang als Zustimmung zählt Vier Mechanismen greifen ineinander. Keiner davon ist Absicht. Zusammen ergeben sie ein System, das dich anhört und dir nicht antwortet. **1\. Der Autorisierungs-Trick.** Das Zahlungsdiensterecht kennt zwei Zustände: Du hast zugestimmt, oder du hast nicht zugestimmt. Der moderne Betrug lebt im dritten. Du hast zugestimmt — unter Vorspiegelung, unter Zeitdruck, gegenüber einer geklonten Stimme, die klingt wie die Frau, mit der du im Februar telefoniert hast. Deine Finger haben getippt, dein Wille war fremdgesteuert. Das Recht kennt nur das *Ob*, nicht das *Warum*. **2\. Der Monitoring-Rabatt.** In der OGH-Entscheidung steht ein Detail, das mich nicht loslässt: Die erste Überweisung wurde gestoppt. Die vier folgenden nicht. Das System konnte es also, es hat nur aufgehört. Solange der Schaden bei der Kundschaft bleibt, ist jede zusätzliche Prüfung für die Bank ein reiner Kostenposten — mehr Fehlalarme, mehr Beschwerden, mehr abgebrochene Zahlungen. Eine Echtzeitüberweisung um 23:40 Uhr auf ein zwei Tage altes Konto zu blockieren, kostet Geld. Sie durchzulassen kostet nichts, jedenfalls nichts, was in der Bankbilanz auftaucht — dasselbe Muster, das wir hier schon bei [Filialschließungen und Gebühren](https://digioneer.pro/der-unsichtbare-preis-des-fortschritts-wenn-digitalisierung-kosten-spart-und-du-die-rechnung-zahlst/) beschrieben haben. **3\. Die Papier-Beweislast.** Formal muss die Bank grobe Fahrlässigkeit beweisen. Praktisch behauptet sie sie, und du musst widerlegen, was jemand über deinen Gemütszustand in einem Telefonat behauptet, dessen Aufzeichnung du nicht hast. Genau das dokumentiert der vzbv. Wie es aussieht, wenn eine Bewertung über dich entsteht, [ohne dass du sie je zu sehen bekommst](https://digioneer.pro/der-unsichtbare-tursteher/), haben wir im Dezember beschrieben. Eine Beweislastregel, die niemand durchsetzt, ist eine Empfehlung mit Paragrafennummer. **4\. Der Umzug ohne Haftpflicht.** ID Austria, Bund-ID, ab dem Jahreswechsel die EUDI-Wallet: Die [eIDAS-Verordnung](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1183&ref=digioneer.pro) verlangt die Bereitstellung bis Ende 2026, [Deutschland peilt den 2\. Jänner 2027 an](https://netzpolitik.org/2026/faq-zur-eudi-wallet-die-wichtigsten-fragen-und-antworten-zur-digitalen-brieftasche/?ref=digioneer.pro). Wer keine Wahl mehr hat, den analogen Weg zu gehen, trägt das Risiko des digitalen allein — wie das für die aussieht, die ohnehin schon [durch das Raster fallen](https://digioneer.pro/wer-nicht-digital-ist-existiert-nicht/), haben wir im April durchgerechnet. Der Staat verlegt seinen Schalter. Die Haftung verlegt er nicht. Jetzt das Argument der Gegenseite, und es ist ein gutes. Der OGH hat nicht willkürlich entschieden. Wenn eine mit zwei Faktoren freigegebene Zahlung nachträglich rückholbar wird, verliert die Autorisierung ihren Sinn, und die Bank haftet für die Sorgfalt fremder Menschen. Dazu kommt der Moral-Hazard-Einwand: Wer mit Entschädigung rechnet, passt weniger auf. Das ist kein Strohmann. Jede Bankenvertretung in Europa führt ihn, und ich tue nicht so, als wäre er keiner. Zwei Dinge dazu. Erstens reicht die österreichische Rechtsprechung weiter, als es die Schlagzeile nahelegt. Das Oberlandesgericht Linz hat in der Entscheidung [1 R 45/25f vom 22\. Mai 2025](https://www.ris.bka.gv.at/Dokument.wxe?Abfrage=Justiz&Dokumentnummer=JJT%5F20250522%5FOLG0459%5F00100R00045%5F25F0000%5F000&ref=digioneer.pro) einer Bank eine Haftung zur Hälfte auferlegt, weil 41 Überweisungen über zusammen rund 200.000 Euro innerhalb von eineinhalb Stunden durchliefen, ohne dass das Transaktionsmonitoring anschlug. Die Pflicht dazu steht in Artikel 2 der [Delegierten Verordnung (EU) 2018/389](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32018R0389&ref=digioneer.pro). Es gibt sie also. Nur muss jedes Opfer sie einzeln einklagen, mit Anwält:in, auf eigene Rechnung, gegen ein Institut mit eigener Rechtsabteilung. Zweitens liegen zum Moral-Hazard-Einwand inzwischen Daten vor statt Vermutungen. ### Was passiert, wenn jemand haftet – der Gegenbeweis liegt in London Großbritannien hat die Lücke am 7\. Oktober 2024 geschlossen. Der Payment Systems Regulator verpflichtete Zahlungsdienstleister zur Erstattung bei Authorised Push Payment Fraud, also genau bei den Zahlungen, die das Opfer selbst auslöst. Sendende und empfangende Bank teilen sich die Kosten je zur Hälfte. Bis zu 85.000 Pfund, Auszahlung binnen fünf Werktagen, ein optionaler Selbstbehalt von bis zu 100 Pfund, der bei schutzbedürftigen Kund:innen nicht angewandt werden darf. ([PSR](https://www.psr.org.uk/information-for-consumers/app-fraud-reimbursement-protections/?ref=digioneer.pro)) Die [Wirkungsanalyse des PSR vom 1\. Juli 2026](https://www.psr.org.uk/news-and-updates/latest-news/news/payment-fraud-falls-by-73m-following-psr-reimbursement-scheme/?ref=digioneer.pro) liest sich so: 73 Mio £ weniger Schaden pro Jahr 35.000 Betrugsfälle weniger als vorher 97 % Erstattungsquote bei erfassten Fällen - Die Schadenssumme ist um geschätzt 73 Millionen Pfund pro Jahr gesunken. - Es gab rund 35.000 Betrugsfälle weniger — mehr, als Österreich 2025 überhaupt an Internetbetrug angezeigt hat. - Die Erstattungsquote über alle gemeldeten Fälle stieg von 54 auf 65 Prozent, bei den vom Verfahren erfassten Fällen liegt sie bei 97 Prozent. - Frontier Economics beziffert den kurzfristigen Nettonutzen, nach Abzug der Mehrkosten für die Zahlungsdienstleister, auf 17 bis 29 Millionen Pfund — die Erstattungspflicht bleibt also im Plus, auch wenn man sie den Banken durchrechnet. Das ist die Antwort auf den Moral-Hazard-Einwand, und sie fällt anders aus als erwartet: Die Zahl der Fälle sinkt, nicht nur die Zahl der unbezahlten Rechnungen. Der Schaden entsteht seltener, seit ihn jemand trägt, der ihn verhindern kann. Nach dem [PSR-Dashboard](https://www.psr.org.uk/information-for-consumers/app-scams-reimbursement-dashboard/?ref=digioneer.pro) vom 30\. Juli 2026 erstatteten die Institute zwischen Oktober 2024 und März 2026 insgesamt 316 Millionen Pfund, das sind 88 Prozent der gemeldeten Schadenssumme. 82 Prozent der Fälle waren binnen fünf Werktagen erledigt, 98 Prozent binnen 35 Werktagen. Wegen mangelnder Sorgfalt der Kundschaft lehnten sie drei Prozent der Ansprüche ab, im ersten Quartal 2026 nur noch zwei. Kein Blankoscheck: Das Schema deckelt bei 85.000 Pfund, es gilt nur für inländische Zahlungen in Pfund über Faster Payments und CHAPS, und es macht den einzelnen Betrug nicht ungeschehen. Es verhindert einen Teil davon und verschiebt beim Rest die Rechnung. In Österreich und Deutschland steht an derselben Stelle nichts. Keine Erstattungspflicht, kein Deckel, keine Frist, keine Kostenteilung — nur die Einzelfallhaftung, die du dir erstreiten musst. Großbritannien seit 7\. Oktober 2024 Anspruch Erstattungspflicht bei APP-Betrug in ganzer Breite Höhe bis 85.000 Pfund, Selbstbehalt bis 100 Pfund, keiner bei Schutzbedürftigen Tempo Auszahlung binnen fünf Werktagen Wer zahlt sendende und empfangende Bank je zur Hälfte Österreich und Deutschland heute Anspruch keiner von Gesetzes wegen; Haftung nur im Einzelfall einklagbar Höhe was das Gericht zuspricht Tempo die Dauer des Verfahrens Wer zahlt die betrogene Person EU-Zahlungsdiensteverordnung frühestens Ende 2027 Anspruch vorgesehen, aber nur bei Identitätsvortäuschung Höhe voller Betrag, kein Deckel Tempo Frist noch offen Wer zahlt noch offen Und Brüssel? Brüssel arbeitet daran. Die Zahlungsdiensteverordnung, die genau diese Erstattung bei Betrug mit gefälschter Identität vorsieht, hat am [27\. November 2025 eine vorläufige politische Einigung](https://www.consilium.europa.eu/en/press/press-releases/2025/11/27/payment-services-council-and-parliament-agree-to-step-up-the-fight-against-fraud-and-increase-transparency/?ref=digioneer.pro) erreicht. Die förmliche Annahme steht aus, danach folgen 18 bis 24 Monate Übergangsfrist. Sie wirkt frühestens in der zweiten Jahreshälfte 2027, realistisch eher 2028. Der [Vorschlag der Kommission](https://germany.representation.ec.europa.eu/news/modernisierung-der-zahlungsdienstleistungen-und-offnung-von-finanzdienstleistungsdaten-chancen-fur-2023-06-28%5Fde?ref=digioneer.pro) stammt vom 28\. Juni 2023\. Das sind dann fünf Jahre in der Leitung. --- ## BUILD – Was du regeln würdest, wenn du dürftest Also gut. Wenn du entscheiden dürftest — wirklich du — würdest du sechs Dinge machen. Keines davon braucht eine Zustimmung aus Brüssel. **1\. Eine nationale Erstattungspflicht für getäuschte Zahlungen.** Nach britischem Muster: gedeckelt, mit Frist, mit Selbstbehalt für alle außer den Schutzbedürftigen. Österreich kann das im ZaDiG regeln, Deutschland im BGB, ohne auf die Zahlungsdiensteverordnung zu warten. Sie überschreibt das Nationale später ohnehin. Bis dahin verhindert die nationale Regel Schäden, die sonst entstehen. Das ist unsere redaktionelle Haltung, kein neutraler Konsens. **2\. Die Kosten auf beide Banken aufteilen.** Hälftig zwischen sendendem und empfangendem Institut. Das ist der eigentliche Hebel, weil es auch die Bank zum Hinschauen zwingt, bei der das Zielkonto liegt. Ein Konto, das zwei Tage alt ist und in einer Nacht 40.000 Euro aus vier Richtungen einsammelt, fällt jedem Regelwerk auf, das jemand betreiben will. **3\. Den Fahrlässigkeitsvorwurf beweispflichtig machen.** Wer grobe Fahrlässigkeit behauptet, begründet sie: einzelfallbezogen, schriftlich, mit den Daten zur Zahlungsauslösung. Dazu das Aufrechnungsverbot, das der vzbv fordert. Wer den Vorwurf nicht belegt, erstattet. **4\. Beim Spoofing die Auslandsroute schließen.** Hier gehört Österreich gelobt, weil es geliefert hat: Die [10\. Novelle der KEM-V](https://www.rtr.at/TKP/aktuelles/publikationen/newsletter/newsletter%5F2026/RTR.Telekom.Post-Newsletter%5F01%5F2026/10.-novelle-der-kem-v.de.html?ref=digioneer.pro), kundgemacht am 25\. März 2026, richtet ein RTR-Register für alphanumerische SMS-Absenderkennungen ein. Seit 1\. Juli können sich die rechtmäßigen Inhaber:innen eintragen, ab 1\. Oktober 2026 — in fünf Wochen — stellen die Netze SMS mit nicht registrierter Kennung nicht mehr zu. Das Versenden solcher SMS aus dem Ausland an österreichische Kund:innen ist untersagt. Beim Telefon fehlt genau diese Sperre. Die [Anti-Spoofing-Verordnung der RTR](https://www.rtr.at/TKP/presse/pressemitteilungen/presseinformationen%5F2024/pinfo29082024tkp.de.html?ref=digioneer.pro) wirkt seit 1\. September 2024 für Mobilrufnummern und seit Jahresende 2024 für alle übrigen. Sie verlangt die Verifizierung auch bei Anrufen aus dem Ausland — aber nur, solange der Anruf als Auslandsanruf erkennbar bleibt. Betrüger:innen buchen eine österreichische Nummer bei einem ausländischen Anbieter und lassen den Anruf über einen virtuellen Anbieter zurückrouten; die beteiligten Netzbetreiber sehen dann nicht mehr, dass die Nummer gefälscht war. Das berichtete [help.ORF.at](https://help.orf.at/stories/3236092/?ref=digioneer.pro) am 20\. Juni 2026\. Die Regel existiert, die Kontrolle an der Grenze nicht. **5\. Aufklären, ohne die Haftungsfrage damit zu erledigen.** Prävention ist gut und ändert nichts an der Rechtslage. Wo du im Umgang mit synthetischen Stimmen und manipulierten Kanälen wirklich stehst, sagt dir der **AI SCORE**. Aber ein Kompetenztest ersetzt keine Rechtsnorm. **6\. Aufhören zu warten.** Die Zahlungsdiensteverordnung kommt frühestens Ende 2027\. Bis dahin vergeht ein weiteres volles Kriminalitätsjahr. Wer wartet, entscheidet auch. Nur so, dass die Entscheidung am Ende niemandem gehört. --- ## Und jetzt? Es ist spät geworden in Brooklyn. Das Festnetztelefon im Hausflur schweigt wieder, die SMS liegt noch auf meinem Display, im selben Verlauf wie die echten. Ich weiß immer noch nicht, wer sie geschickt hat. Ich weiß inzwischen aber sehr genau, was passiert wäre, wenn ich zurückgerufen hätte: nichts, was mir irgendjemand ersetzt. Betrug gibt es, seit es Geld gibt. Damit habe ich mich abgefunden. Womit nicht: Wir haben eine funktionierende Antwort, ein Nachbarland misst sie seit fast zwei Jahren, und hier nimmt trotzdem niemand den Hörer ab. Zu teuer ist sie nicht, der britische Nettonutzen ist positiv. Sie muss nur jemand aufschreiben. Die Rechtslage ist eindeutig. Sie steht auf der falschen Seite. Und jede Warteschleife endet irgendwann — entweder du wirst durchgestellt, oder du legst auf. Beim autorisierten Zahlungsbetrug haben Gesetzgeber und Höchstgerichte längst aufgelegt. Nur du hängst noch in der Leitung. *Wo würdest du die Grenze ziehen zwischen deiner Sorgfalt und der Verantwortung deiner Bank? Schreib mir auf Bluesky: @jamie-walker.bsky.social* --- ## Kurz nachgefragt #### Was ist autorisierter Zahlungsbetrug? Eine Betrugsform, bei der das Opfer die Überweisung selbst auslöst und freigibt — meist nach einem Schockanruf, einer gefälschten Bank-SMS oder einem Anruf, der angeblich aus der Bank kommt. International heißt sie Authorised Push Payment Fraud, kurz APP-Betrug. Weil die Zahlung technisch autorisiert ist, greifen die gesetzlichen Erstattungsregeln für nicht autorisierte Zahlungen nicht. #### Muss die Bank das Geld zurückzahlen, wenn jemand betrogen wurde? In Österreich und Deutschland in aller Regel nicht, sofern die Zahlung selbst mit Zwei-Faktor-Authentifizierung freigegeben wurde. Der OGH hat eine Revision dagegen in der Entscheidung 7 Ob 95/24g zurückgewiesen. Ein Anspruch kann bestehen, wenn die Bank ihre Pflicht zur Betrugserkennung verletzt hat — das OLG Linz sprach 2025 eine hälftige Haftung zu. Durchsetzen muss ihn jede betroffene Person selbst. #### Was ändert die Empfängerüberprüfung seit Oktober 2025? Seit 9\. Oktober 2025 gleichen Banken im Euroraum vor Euro-Überweisungen ab, ob Empfängername und IBAN zusammenpassen, und warnen bei Abweichung. Unterbleibt die Prüfung, haftet die Bank. Gegen Schockanrufe hilft das wenig, weil der Name auf dem Zielkonto meist stimmt. #### Wie funktioniert die britische Erstattungspflicht? Seit 7\. Oktober 2024 müssen britische Zahlungsdienstleister Opfer von APP-Betrug entschädigen, bis 85.000 Pfund, in der Regel binnen fünf Werktagen. Sendende und empfangende Bank teilen sich die Kosten hälftig. Ein Selbstbehalt von bis zu 100 Pfund ist zulässig, bei schutzbedürftigen Kund:innen nicht. #### Kommt eine europäische Regelung? Ja, mit der Zahlungsdiensteverordnung. Sie sieht Erstattung bei Betrug mit gefälschter Identität vor. Voraussetzung ist, dass Betroffene den Betrug bei der Polizei anzeigen und ihren Zahlungsdienstleister informieren. Die vorläufige politische Einigung fiel am 27\. November 2025, die förmliche Annahme steht aus, danach folgen 18 bis 24 Monate Übergangsfrist. Vor der zweiten Jahreshälfte 2027 wirkt sie nicht, realistisch eher ab 2028.