Instant Payment - Echtzeitlimit

Die EU-Verordnung 2024/886 verpflichtet Zahlungsdienstleister dazu, den Zahlungsdienstnutzern die Möglichkeit zu bieten, individuelle Höchstbeträge für Echtzeitüberweisungen festzulegen. Diese Verpflichtung dient der Erhöhung der Sicherheit und Kontrolle für Nutzer bei der Durchführung von Echtzeitüberweisungen und stellt eine bedeutende Neuerung in der Zahlungsverkehrsregulierung dar.

Die Hauptzielsetzung der Verordnung 2024/886 ist es, den Zahlungsdienstnutzern eine erhöhte Kontrolle über ihre finanziellen Transaktionen zu geben. Mit der Einführung individueller, anpassbarer Höchstbeträge sollen die Nutzer in der Lage sein, das Risiko unautorisierter oder betrügerischer Transaktionen zu minimieren. Dies ist eine Reaktion auf die zunehmende Nutzung von Echtzeitüberweisungen in der EU und die damit einhergehenden Sicherheitsrisiken.

Im Rahmen der Umsetzung der neuen EU-Verordnung müssen Mechanismen zur Limitänderung für Echtzeitüberweisungen geschaffen werden, um den Zahlungsdienstnutzern (Zahlern) mehr Flexibilität und Kontrolle über ihre Transaktionen zu gewähren. Diese Limits sollen pro Tag oder pro Transaktion konfigurierbar sein und kanalübergreifend gelten.

Das Konzept der Echtzeit-Limitsteuerung gemäß Artikel 5 § 6 sieht vor, dass Zahlungsdienstleister den Zahlungsdienstnutzern ermöglichen, individuell festgelegte Höchstbeträge für Echtzeitüberweisungen zu bestimmen. Diese Höchstbeträge können je nach Präferenz des Nutzers entweder für jeden einzelnen Zahlungsvorgang oder für den gesamten Tag festgelegt werden.

Festlegung des Höchstbetrags
Die Nutzer können nach ihrem eigenen Ermessen bestimmen, wie hoch der maximal zulässige Betrag für Echtzeitüberweisungen sein soll.
Änderbarkeit
Die Nutzer müssen die Möglichkeit haben, diese Limits jederzeit zu ändern, bevor ein Zahlungsauftrag für eine Echtzeitüberweisung erteilt wird.
Verweigerung bei Überschreitung
Wenn ein Zahlungsauftrag den festgelegten Höchstbetrag überschreitet oder zu einer Überschreitung führen würde, wird die Überweisung nicht ausgeführt.
Benachrichtigung
Der Zahlungsdienstleister informiert den Nutzer über die Nichtausführung des Auftrags und stellt Informationen zur Verfügung, wie der Höchstbetrag angepasst werden kann.

Eigene Limits des Zahlers

Der Zahler hat das Recht, eigene Limits für Echtzeit-Überweisungen festzulegen, die für alle Zahlungsauslösekanäle gelten und die er jederzeit ändern kann. Es darf keine vom Zahlungsinstitut festgelegte Obergrenze geben. Ab Oktober 2025 entfällt die bisherige 100.000 EURO-Obergrenze für Echtzeitüberweisungen.

Mindestgrenze für Limit

Die EU-Kommission akzeptiert keine niedrigeren Limits für Echtzeitüberweisungen als die bestehenden SEPA-Überweisungslimits.

Technische Anforderungen zur Implementierung

Flexibles Limit-Management

Die Verordnung erfordert ein System, das sowohl die Festlegung als auch die Anpassung der Höchstbeträge für Echtzeitüberweisungen ermöglicht. Die Zahlungsdienstleister müssen sicherstellen, dass Kunden in der Lage sind, individuelle Höchstbeträge pro Transaktion oder pro Kalendertag zu definieren. Die Anforderungen umfassen:

Benutzeroberfläche zur Limit-Verwaltung
Kunden müssen die Möglichkeit haben, ihre Höchstbeträge auf einer benutzerfreundlichen Plattform zu verwalten.
Echtzeitdatenüberwachung
Um sicherzustellen, dass die festgelegten Limits nicht überschritten werden, müssen Zahlungsdienstleister eine Echtzeitdatenverarbeitung implementieren.
Änderungsmanagement
Nutzer müssen vor Einreichung einer Echtzeitüberweisung die Möglichkeit haben, Limits zu ändern. Dies erfordert eine sichere Authentifizierung und Protokollierung.

Sicherheit und Authentifizierung

Eine der größten Herausforderungen bei der Umsetzung dieser Verordnung liegt in der Sicherstellung einer robusten Sicherheitsinfrastruktur. Dies beinhaltet:

Mehrfaktor-Authentifizierung (MFA)
Vor der Änderung eines Höchstbetrags sollte eine MFA verwendet werden, um unautorisierte Änderungen zu verhindern.
Audit-Trails
Jede Änderung der Höchstbeträge muss dokumentiert werden, um Compliance- und Sicherheitsstandards zu gewährleisten.
Benachrichtigungssysteme
Nutzer sollten automatisch benachrichtigt werden, wenn eine Änderung vorgenommen wurde oder eine Überschreitung des Höchstbetrags verhindert hat, dass eine Überweisung durchgeführt wurde.

Verfahren bei Überschreitung der festgelegten Limits

Gemäß §5a Abs. 6 der Verordnung müssen Zahlungsdienstleister den Zahlungsdienstnutzer informieren, wenn eine Echtzeitüberweisung aufgrund eines überschrittenen Limits nicht ausgeführt wird. Dies umfasst:

Echtzeit-Benachrichtigung
Der Zahlungsdienstleister muss dem Nutzer umgehend mitteilen, dass der übermittelte Zahlungsauftrag das festgelegte Limit überschreitet.
Hinweise zur Limit-Änderung
Der Nutzer muss darüber informiert werden, wie und wo er seine Höchstbeträge anpassen kann, um zukünftige Transaktionen zu ermöglichen.

Herausforderungen und Lösungsansätze

Das neue Echtzeitlimit wird nur für Echtzeitüberweisungen gelten und soll diverse und komplexe bereits bestehende Limite nicht ersetzen. Die Einführung dieser Limits ist eine zusätzliche Sicherheitsmaßnahme, die es den Nutzern ermöglicht, ihre Überweisungen individueller zu steuern, ohne die bestehenden Sicherheitsmechanismen und Limite zu beeinflussen.

Die bei Initiierung und Verarbeitung von Zahlungsaufträgen angewendeten Limite lassen sich grob in die folgenden Kategorien unterteilen:

Zugangskanalspezifische Limite

Limite, die während der Initiierung eines Auftrags im Zugangskanal überprüft werden, z.B. das institutsspezifische Limit bei Einreichung einer Überweisung am SB-Terminal oder das kundenspezifisch auf dem Bankrechner eingerichtete Limit eines Teilnehmers.

Produktspezifische Limite

Limite, die auf Produktebene, z.B. für Daueraufträge, und damit zugangskanalübergreifend angewendet werden. Diese Limite tragen zur Sicherstellung bei, dass das jeweilige Produkt den definierten Rahmenbedingungen entspricht.

Limite ZV-Verarbeitung

Hierzu gehören Limite, die im Rahmen der ZV-Verarbeitung überprüft werden, wie z.B. die Beachtung von Betragsgrenzen aus dem Einreichervertrag. Diese Limite dienen dazu, die Sicherheit und Verlässlichkeit der Zahlungsabwicklung zu gewährleisten.

Limite ZV-Risiko

Hierzu gehören Limite, die aus einer Risikobetrachtung heraus überprüft werden, wie z.B. Betragsgrenzen aus der Phishing-Prüfung oder den COP-Regelsets. Diese Limite sollen helfen, potenzielle Risiken im Zahlungsverkehr zu identifizieren und zu mindern.

Die Umsetzung dieser neuen Anforderungen ist mit mehreren Herausforderungen verbunden:

Systemkomplexität
Die Entwicklung und Implementierung einer flexiblen Limitsteuerung erfordert erhebliche Investitionen in IT-Infrastruktur und Softwareentwicklung.
Datenschutz
Die Speicherung und Verarbeitung von Daten zu persönlichen Limitänderungen müssen im Einklang mit der DSGVO stehen.
Kundenerziehung
Zahlungsdienstleister müssen ihre Kunden aktiv über die neuen Funktionen informieren und schulen, um die Akzeptanz und Nutzung zu fördern.

Anforderungen an das Echtzeitlimit

Charakter und Verwaltung des Echtzeitlimits

Einführung eines neuen, separaten Limits
Es ist ein eigenständiges Limit zu schaffen, das für alle Echtzeitüberweisungen gilt, einschließlich Einzelaufträgen, Sammelaufträgen, Daueraufträgen und terminierten Überweisungen aus sämtlichen Zugangskanälen.
Priorisierung bestehender Limite
Andere bestehende Limite dürfen nicht übersteuert werden; das niedrigste Limit ist bindend.
Prüfung bei Ausführung
Bei der Ausführung von Echtzeitdaueraufträgen und terminierten Echtzeitüberweisungen kann ein Warnhinweis an den Kunden bezüglich einer möglichen Überschreitung des Echtzeitlimits erfolgen<

Optionale Einrichtung des Echtzeitlimits

Freiwillige Bereitstellung
Die Einrichtung des Echtzeitlimits ist dem Kunden optional anzubieten. Standardmäßig ist kein Limit gesetzt.
Flexibilität
Das Limit kann entweder pro Tag oder pro Zahlungsvorgang festgelegt werden.
Einschränkung auf Kontoebene
Die Feinsteuerung des Limits für einzelne Mitarbeiter von Geschäftskonten wird nicht angeboten.
Warnhinweise
Beim Einrichten des Limits kann dem Kunden ein Warnhinweis zur potenziellen zukünftigen Limitüberschreitung angezeigt werden.

Verwaltungskanäle für das Echtzeitlimit

Kanalspezifische Verwaltung
Die Verwaltung des Echtzeitlimits muss auf allen Kanälen möglich sein, auf denen es dem Kunden bereits heute möglich ist, Limite zu verwalten.
Selbstverwaltung
Die Selbstverwaltung ist in medialen Kanälen entsprechend dem heutigen Regelwerk sicherzustellen.
Unterstützung durch Mitarbeiter
Alternativ kann die Einrichtung über Mitarbeiter der Sparkasse erfolgen.
Einschränkung für Geschäftskonten
Für Geschäftskonten wird keine Feinsteuerung des Limits für einzelne Mitarbeiter oder Anwender angeboten (Beschluss AP1).