Verification of Payee im Livebetrieb: neun Monate Close Matches, Sammeldateien und ungepreiste Haftung

Die Prüfung des Zahlungsempfängers hörte an dem Tag auf, ein Produkt zu sein, an dem sie zur Pflicht wurde. Seit dem 9. Oktober 2025 muss jeder Zahlungsdienstleister in einem Mitgliedstaat des Euroraums Verification of Payee für Überweisungen anbieten, kostenlos, nach Regulation (EU) 2024/886. Die Prüfung selbst ist nicht schwierig: einen Namen mit dem auf einem Konto hinterlegten Namen vergleichen und antworten. Schwierig ist alles darum herum — ein Antwortbudget von fünf Sekunden, eine mittlere Antwort, die weder Ja noch Nein lautet, Firmendateien, die vor der Prüfung zerlegt werden müssen, und eine Haftungsgrenze, die weder die Verordnung noch das Rulebook des Scheme zieht.

Management Summary

Die Pflicht ist breit und unbepreist. Regulation (EU) 2024/886 verlangt von PSPs, dem Zahler Verification of Payee kostenlos anzubieten, über die Überweisungen im Anwendungsbereich hinweg; Anbieter im Euroraum sind seit dem 9. Oktober 2025 live, Anbieter außerhalb des Euroraums folgen nach einem späteren Zeitplan. Die Kosten über ein Entgelt hereinzuholen, ist ausgeschlossen.

Die Interoperabilität wurde ausgelagert. Statt jeden PSP mit jedem anderen PSP zu verbinden, leitet das Scheme des European Payments Council Anfragen über Routing and/or Verification Mechanisms, die ein Qualifizierungsverfahren des EPC durchlaufen. Diese Entscheidung löste die Erreichbarkeit und schuf eine Drittabhängigkeit, die in das Register der operationellen Resilienz gehört.

Die Latenz ist eine Scheme-Vorgabe, kein selbst gewähltes SLO. Das Scheme setzt maximal fünf Sekunden, in denen der anfragende PSP eine Antwort erhalten muss, mit einem in der Praxis deutlich kürzeren Zielwert. Ein Timeout ist kein Fehlerzustand, vor dem sich der Zahler abschirmen lässt; er ist eine Antwort, und er bedeutet „konnte nicht geprüft werden".

Die Kontrolle verfällt bei falscher UX. Eine Warnung, die zu oft erscheint oder wie ein Textbaustein wirkt, wird weggeklickt. Der Umgang mit Close Matches ist die wirkungsstärkste Design-Entscheidung der gesamten Umsetzung.

Die Verordnung hat die Prüfung zur Infrastruktur gemacht

Ein Jahrzehnt lang war der Namensabgleich eine nationale Initiative und eine Wettbewerbsgeschichte. Die Niederlande und das Vereinigte Königreich bauten Verfahren auf und vermarkteten den Rückgang des Betrugs. Regulation (EU) 2024/886 hat diese Erzählung im gesamten Euroraum beendet: Die Prüfung ist verpflichtend, kostenlos und allgemein.

Drei Eigenschaften der Pflicht wiegen schwerer als alles andere.

Sie ist für den Zahler kostenlos. Article 5c lässt keinen Raum für eine Premium-Stufe der Prüfung. Damit entfällt der kommerzielle Hebel, mit dem eine Bank den Aufbau sonst finanziert und die Nutzung rationiert.

Sie ist nicht auf Echtzeitzahlungen beschränkt. Das Instrument kam zwar über die Instant Payments Regulation, doch die Prüfpflicht hängt an den Überweisungen im Anwendungsbereich insgesamt, einschließlich klassischer SEPA-Überweisungen. Institute, die ihr Programm allein auf SCT Inst zugeschnitten hatten, fanden eine erheblich größere Integrationsfläche vor als geplant.

Sie ist zeitlich gedeckelt. Das Scheme des European Payments Council setzt eine Obergrenze von fünf Sekunden, innerhalb derer der anfragende PSP eine Antwort erhalten muss; im Normalbetrieb liegt der Zielwert deutlich darunter. Diese Zahl ist kein Service-Level-Ziel, das eine Bank intern aushandelt. Sie ist eine Scheme-Vorgabe, und alles davor — die UX der Zahlungsauslösung, Kanal-Timeouts, Retry-Logik, Dateiverarbeitung — muss hineinpassen.

Die Folge ist struktureller Natur. Die Prüfung wurde zur gemeinsamen Grundleistung mit festem Latenzbudget und ohne Erlösposition. Sie ist ein Kostenblock des Zahlungskontobetriebs.

Was das Scheme tatsächlich verlangt

Das EPC-Scheme definiert den Nachrichtenaustausch und, entscheidend, das Vokabular der Antwort. Der anfragende PSP fragt; der antwortende PSP — jener, der das Konto hinter der IBAN führt — antwortet mit einer Klassifizierung statt mit dem vollständigen Namen des Kontoinhabers.

Tabelle 1: Antworttypen und die Pflichten, die sie auslösen

Antwort	Bedeutung	Was der Zahler sieht	Was der PSP nachweisen können muss
Match	Der übermittelte Name entspricht dem auf dem Konto hinterlegten Namen	Fortfahren ohne Reibung	Dass die Prüfung stattfand und die Antwort protokolliert wurde
Close match	Die Namen entsprechen sich weitgehend, aber nicht exakt — Abkürzung, Geschäftsbezeichnung, vertauschte Bestandteile	Eine Warnung und, so das Design des Scheme, den tatsächlich hinterlegten Namen, damit der Zahler entscheiden kann	Die exakt angezeigte Zeichenkette, den Zeitstempel und die anschließende Wahl des Zahlers
No match	Der Name entspricht dem Konto nicht	Eine ausdrückliche Warnung vor der Autorisierung	Den Inhalt der Warnung und, falls vorhanden, das Übergehen
Verification not possible	Keine Antwort im Zeitfenster, oder die antwortende Seite kann die Anfrage nicht bedienen	Eine neutrale Aussage, dass die Prüfung nicht abgeschlossen werden konnte	Warum sie scheiterte und dass der Zahler informiert wurde

Die vierte Zeile haben die meisten Programme unterdimensioniert. Ein Timeout ist kein interner Fehler zum Verschlucken. Er ist ein Scheme-Ergebnis mit Offenlegungspflicht, und er wird eintreten — bei Störungen des antwortenden PSP, bei RVM-Degradation oder schlicht bei Netzschwankungen nahe der Obergrenze.

Die Interoperabilität übernehmen Routing and/or Verification Mechanisms. Ein PSP kann Gegenparteien über ein RVM erreichen, statt bilaterale Erreichbarkeit zu jedem Institut in SEPA aufzubauen, und RVMs müssen ein Qualifizierungsverfahren des EPC durchlaufen. Architektonisch war das die richtige Entscheidung — die Alternative ist ein nicht baubares Mesh —, doch sie setzt einen konzentrierten Dritten in den Autorisierungspfad eines regulierten Zahlungsdienstes. Das gehört in das Informationsregister nach DORA und in die Konzentrationsrisikoanalyse, nicht nur in eine Lieferantenakte.

Der Close Match ist das eigentliche Problem

Match und No Match sind leicht. Sie bedeuten „weiter" und „stopp". Close Match bedeutet „entscheiden Sie selbst" — und genau dort wirkt die Kontrolle oder stirbt leise.

Echte Empfängernamen sind auf Weisen unsauber, die mit Betrug nichts zu tun haben. Ein Unternehmen tritt unter einer Marke auf und führt sein Konto unter der eingetragenen Gesellschaft. Das Konto eines Einzelunternehmers läuft auf eine Privatperson. Namen tragen diakritische Zeichen, die die Tastatur des Zahlers nicht hergibt, oder Rechtsformzusätze, die der Zahler weglässt. Lange Namen kürzen vorgelagerte Systeme ab. Zwei legitime Parteien unterscheiden sich mitunter um ein Komma.

Daraus entsteht ein stetiger Strom nahezu übereinstimmender Treffer bei vollkommen echten Zahlungen. Jeder davon verlangt einem Menschen ein Urteil ab, für das ihm die Grundlage fehlt, genau in dem Moment, in dem er eine Aufgabe abschließen will. Das Fehlermuster kennt man von jeder Sicherheitswarnung, die je ausgeliefert wurde: Wer sie oft genug folgenlos sieht, klickt sie reflexhaft weg — und wenn die eine wichtige kommt, klickt er auch die weg.

Zwei Design-Festlegungen verändern das Ergebnis spürbar.

Zeigen Sie den Namen, nicht nur das Urteil. Eine Warnung mit dem Text „die Angaben stimmen nicht exakt überein" gibt dem Zahler nichts an die Hand. Das Design des Scheme sieht vor, bei nahezu übereinstimmenden Treffern den auf dem Konto hinterlegten Namen zurückzugeben — genau damit der Zahler erkennt, dass „ACME Trading Ltd" und „Acme Trading Limited" dieselbe Gegenpartei sind und „A. Trading Services" eben nicht.

Machen Sie das Übergehen der Warnung bewusst und protokollpflichtig. Die Entscheidung des Zahlers nach einer Warnung ist das wichtigste Artefakt der gesamten Interaktion. Sie bestimmt, wer den Schaden trägt. Sie gehört als ausdrücklicher Akt erfasst, zusammen mit der exakt angezeigten Zeichenkette — nicht als stille Folge davon, dieselbe Schaltfläche wie immer zu drücken.

Messen Sie dann, worauf es wirklich ankommt. Nicht die Zahl der ausgelösten Warnungen, sondern den Anteil der übergangenen — und darunter, wie viele später bestritten wurden. Eine hohe Quote übergangener Warnungen bei echten Zahlungen heißt: Das Matching ist zu streng. Eine hohe Streitquote unter den übergangenen Warnungen heißt: Die Warnung wird nicht gelesen.

Sammeldateien haben das Modell gesprengt, und die Abwahl wurde zur Kontrolle

Einzelzahlungen im Privatkundengeschäft waren nie der schwierige Fall. Firmen-Zahlungsdateien schon.

Ein Firmenkunde reicht eine Zahlungsdatei ein — üblicherweise eine pain.001 — mit Hunderten oder Tausenden Überweisungen. Die Prüfung arbeitet nicht auf Dateien. Sie arbeitet auf Zahlungsempfängern. Die Bank muss die Sammeldatei also zerlegen, pro Zeile eine Anfrage stellen und die Antworten einsammeln, jede unter derselben Fünf-Sekunden-Obergrenze, bevor sie die Datei freigeben kann. Die eigenen Klarstellungen des Scheme zur Bereitstellung bei Sammeldateien existieren, weil sich das aus dem Verordnungstext nicht erschloss.

Die Verordnung hat den Druck vorweggenommen. Zahlungsdienstnutzer, die keine Verbraucher sind, können die Prüfung abwählen, wenn sie mehrere Zahlungsaufträge als Paket einreichen, und sie wieder anwählen. Diese eine Bestimmung trägt heute einen überproportionalen Anteil der operativen Last, und sie verdient Behandlung als Kontrolle, nicht als Bequemlichkeit.

Für Firmenkundenteams folgen daraus zwei Konsequenzen.

Die Abwahl ist eine einmal getroffene Risikoentscheidung, die tausendfach weitervererbt wird. Ein Treasurer, der die Prüfung für Sammeleinreichungen abwählt, hat eine Betrugskontrolle aus jeder Zahlung jeder künftigen Datei entfernt, bis jemand die Entscheidung erneut aufruft. Sie gehört auf denselben Überprüfungsrhythmus wie eine Mandatsänderung, mit benanntem Verantwortlichen, Ablaufdatum und regelmäßiger Neubestätigung — nicht als Häkchen, das beim Onboarding gesetzt und nie wieder gesehen wird.

Die bessere Antwort liegt weiter vorn im Prozess. Die Prüfung bei Dateieinreichung ist der falsche Punkt im Lebenszyklus: Der Begünstigte kam Wochen zuvor ins ERP- oder Treasury-System, und dort richtet eine ausgetauschte Kontonummer ihren Schaden an. Wer bei der Anlage des Begünstigten und bei jeder späteren Änderung der Bankverbindung prüft, verschiebt die Kontrolle auf den Moment der Änderung, nimmt den Zahlungslauf vollständig aus dem Latenzdruck und erzeugt weit weniger Prüfungen bei einer weit wertvolleren Entscheidung. Banken, die Firmenkunden die Prüfung auf Begünstigtenebene als dauerhaften Dienst anbieten, lösen das eigentliche Problem; Banken, die nur bei Einreichung prüfen, lösen die Frist.

Die Haftungsgrenze, die niemand gezogen hat

Das Scheme definiert Antworten. Es definiert keine Folgen. In dieser Lücke wird der Streit der nächsten Jahre sitzen.

Nehmen Sie den inzwischen alltäglichen Ablauf. Eine Bank löst eine Close-Match-Warnung aus. Der Zahler fährt fort. Das Geld geht an einen Betrüger. Die Bank hat ihre Pflicht exakt erfüllt und kann es belegen. Der Zahler sagt, die Warnung sei mehrdeutig gewesen und man habe ihm nicht gesagt, was tatsächlich nicht stimmte.

Beide Positionen sind vertretbar — das ist das Problem. Die Verordnung verpflichtet zum Dienst und sieht Folgen für den entstandenen Schaden vor, wenn ein PSP ihn nicht erbringt. Sie entscheidet den Fall nicht, in dem der Dienst funktionierte, die Warnung erschien und der Mensch falsch entschied. Nationale Umsetzungen, Schlichtungsentscheidungen und mit der Zeit die Rechtsprechung werden das über die Mitgliedstaaten hinweg uneinheitlich klären.

Für Institute, die dieses Ergebnis lieber gestalten als hinnehmen, folgt daraus dreierlei.

Die Beweisqualität ist die Verteidigung. Nicht „eine Warnung wurde angezeigt", sondern die exakte Zeichenkette, der erhaltene Antworttyp, der Zeitstempel und die Handlung des Zahlers — aufbewahrt über das gesamte Streitfenster und für die Beschwerdebearbeitung ohne Engineering-Ticket abrufbar.

Die Warnqualität ist die zweite Verteidigung. Ein Institut mit spezifischen, lesbaren Close-Match-Warnungen steht deutlich stärker da als eines mit Standardfloskeln. Dasselbe Übergehen liest sich vor derselben Schlichtungsstelle anders, je nachdem, was der Zahler tatsächlich zu sehen bekam.

Die Abwahl im Firmenkundengeschäft braucht eine Aktenspur. Wenn eine Sammeldatei ohne Prüfung eingereicht wird und eine Zahlung darin schiefgeht, lautet die Frage, ob der Kunde verstanden hat, worauf er verzichtete. Ein datierter, zugeordneter, neu bestätigter Nachweis beantwortet sie. Ein Häkchen aus dem Onboarding nicht.

Das operative Playbook

Für Institute, die bereits live sind, geht es jetzt um Konsolidierung, nicht um Lieferung.

Messen Sie die Mitte. Berichten Sie Close-Match-Quote, Übergehungsquote und Quote bestrittener Übergehungen als monatliche Zeitreihe, segmentiert nach Kanal und Kundentyp. Diese drei Zahlen sagen Ihnen, ob die Kontrolle wirkt; das Prüfvolumen sagt es nicht.
Behandeln Sie das RVM als kritischen Dritten. Es sitzt im Autorisierungspfad. Es braucht Exit-Planung, Substituierbarkeitsanalyse und Einbindung in die Incident Response auf derselben Stufe wie jeder andere kritische Anbieter.
Gestalten Sie den Timeout-Pfad bewusst. Entscheiden und dokumentieren Sie je Kanal und Betragsband, ob ein Ergebnis „Verification not possible" blockiert, warnt oder durchläuft. Schweigen als Voreinstellung ist eine Entscheidung durch Unterlassen.
Verlagern Sie die Firmenkundenprüfung nach vorn. Bieten Sie die Prüfung bei Begünstigtenanlage und bei Änderung der Bankverbindung als dauerhaften Dienst an. Das senkt die Latenz im Zahlungslauf, verbessert die Kontrolle und ist ein echtes kommerzielles Angebot in einer Verordnung, die das Bepreisen sonst verbietet.
Bestätigen Sie jede Abwahl bei Sammeldateien neu. Setzen Sie ein Ablaufdatum. Benennen Sie einen Verantwortlichen. Machen Sie die Verlängerung zu einer Entscheidung statt zum Ausbleiben einer solchen.
Bereiten Sie die Nicht-Euro-Tranche vor. Anbieter außerhalb des Euroraums fallen nach einem späteren Zeitplan bis ins Jahr 2027 in den Anwendungsbereich. Wer in beiden Räumen tätig ist, sollte eine Fähigkeit bauen, nicht zwei.

Die Verordnung hat die Wahl genommen, ob geprüft wird. Was bleibt, ist ausschließlich die Frage, wie gut — und der Unterschied zwischen einer Umsetzung, die Betrug senkt, und einer, die nur einen Prüfer zufriedenstellt, zeigt sich an drei Stellen: am Close-Match-Bildschirm, im Register der Abwahlen bei Sammeldateien und in der Beweisspur hinter einer übergangenen Warnung.

Häufig gestellte Fragen

Gilt Verification of Payee nur für Echtzeitzahlungen?
Nein. Die Anforderung kam zwar über die Instant Payments Regulation, doch die Prüfpflicht hängt an den Überweisungen im Anwendungsbereich insgesamt, einschließlich klassischer SEPA-Überweisungen, nicht nur an SCT Inst. Programme, die allein auf Echtzeitzahlungen zugeschnitten waren, haben die Integrationsfläche unterschätzt.

Darf eine Bank Verification of Payee bepreisen?
Gegenüber dem Zahler nicht für den nach Article 5c geforderten Dienst — die Verordnung verlangt ihn kostenlos. Angrenzende Leistungen jenseits der Pflicht, etwa die Prüfung von Begünstigten bei der Anlage oder bei Änderung der Bankverbindung für Firmenkunden, fallen nicht unter diese Beschränkung; dort besteht legitimer Raum für ein kommerzielles Angebot.

Was passiert, wenn das antwortende Institut nicht rechtzeitig antwortet?
Das Scheme setzt maximal fünf Sekunden, in denen der anfragende PSP eine Antwort erhalten muss. Ein Timeout erzeugt das Ergebnis „Verification not possible" — ein definiertes Resultat, über das der Zahler informiert werden muss, kein interner Fehler zum Unterdrücken. Jedes Institut muss je Kanal entscheiden, ob dieses Ergebnis blockiert, warnt oder durchläuft.

Können Firmenkunden die Prüfung für Sammeldateien abschalten?
Ja. Die Verordnung erlaubt Zahlungsdienstnutzern, die keine Verbraucher sind, die Abwahl des Dienstes bei Einreichung mehrerer Zahlungsaufträge als Paket sowie die spätere Wiederanwahl. Weil dieser Verzicht dann für jede Zahlung in jeder folgenden Datei gilt, gehört er als dauerhafte Risikoentscheidung geführt — mit Verantwortlichem, Ablaufdatum und regelmäßiger Neubestätigung.

Überträgt eine Close-Match-Warnung die Haftung auf den Zahler?
Nicht automatisch und nicht einheitlich. Die Verordnung verpflichtet zum Dienst; sie löst den Fall nicht, in dem die Warnung erschien und der Zahler dennoch fortfuhr. Die Ergebnisse werden nationale Umsetzung, Schlichtungspraxis und Rechtsprechung bestimmen. Am stärksten stehen die Institute da, die den exakt angezeigten Warntext, den erhaltenen Antworttyp und die protokollierte Handlung des Zahlers vorlegen können.

Quellen

Europäisches Parlament und Rat der Europäischen Union, 2024. Regulation (EU) 2024/886 zur Änderung der Verordnungen (EU) Nr. 260/2012 und (EU) 2021/1230 im Hinblick auf Echtzeitüberweisungen in Euro. Brüssel: Amtsblatt der Europäischen Union. Verfügbar unter: Europäisches Parlament und Rat der Europäischen Union, 2024..
Europäische Zentralbank, 2026. Instant Payments Regulation. Frankfurt am Main: Europäische Zentralbank. Verfügbar unter: Europäische Zentralbank, 2026..
Europäische Kommission, 2025. Klarstellung der Anforderungen der Instant Payments Regulation. Brüssel: Generaldirektion Finanzstabilität, Finanzdienstleistungen und Kapitalmarktunion. Verfügbar unter: Europäische Kommission, 2025..
European Payments Council, 2025. Verification of Payee scheme. Brüssel: EPC. Verfügbar unter: European Payments Council, 2025..
European Payments Council, 2025. Verification of Payee scheme rulebook — häufig gestellte Fragen. Brüssel: EPC. Verfügbar unter: European Payments Council, 2025..
European Payments Council, 2025. Klarstellungen zur Bereitstellung von VOP-Diensten für Sammeldateien. Brüssel: EPC. Verfügbar unter: European Payments Council, 2025..
European Payments Council, 2025. Routing and/or Verification Mechanisms for the Verification of Payee scheme. Brüssel: EPC. Verfügbar unter: European Payments Council, 2025..

Zuletzt überprüft 2026-08-05.

Diesen Artikel republizieren

Verification of Payee im Livebetrieb: neun Monate harte Praxis — Sebastien Rousseau

Neun Monate nach der IPR-Frist ist Verification of Payee Pflicht für jeden PSP im Euroraum. Schwierig sind Close Matches, Sammeldateien und Haftung.

Dieser Artikel ist lizenziert unter Creative Commons Attribution 4.0 International. Eine Republikation erfordert Attribution zur kanonischen URL.

Verification of Payee im Livebetrieb: neun Monate harte Praxis — Sebastien Rousseau

Neun Monate nach der IPR-Frist ist Verification of Payee Pflicht für jeden PSP im Euroraum. Schwierig sind Close Matches, Sammeldateien und Haftung.

Originally published at https://sebastienrousseau.com/de/2026-07-27-verification-of-payee-production-vop-ipr-banks-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER