Regulatorisches Update · Stand 02.10.2026
Was sich für deine Fraud-Prävention konkret ändert.
Sechs Änderungen, ausgewählt nach ihrer Wirkung auf deine Fraud-Praxis: Zahlungsfreigaben, KI-gestützte Trefferbearbeitung, Beschäftigtenprüfungen und klare Zuständigkeiten. Bereits anwendbare Vorgaben, künftig anwendbares Recht und Gesetzgebungsvorhaben werden ausdrücklich getrennt.
Bisherige und neue Regelung im Vergleich
| Bisherige Regelung |
Neue Regelung |
| Empfängerüberprüfung bei ÜberweisungenÜberweisungen wurden allein anhand der IBAN ausgeführt; ein Abgleich mit dem Namen des Zahlungsempfängers war nicht vorgeschrieben. Umgeleitete Zahlungen etwa bei CEO-Fraud oder gefälschten Lieferantenrechnungen fielen oft erst nach der Ausführung auf. |
Seit 09.10.2025Zahlungsdienstleister im Euroraum gleichen vor der Freigabe einer SEPA- oder Echtzeitüberweisung IBAN und Namen des Empfängers ab und teilen dem Zahler das Ergebnis mit (Art. 5c VO (EU) Nr. 260/2012 i. d. F. VO (EU) 2024/886). Nichtverbraucher können bei Sammelaufträgen auf die Prüfung verzichten. Für Unternehmen gehört das Prüfergebnis in die Zahlungsfreigabe – ein Verzicht sollte eine dokumentierte Entscheidung sein. Eine Übereinstimmung von Name und IBAN bestätigt weder die Echtheit der Rechnung noch die Berechtigung des Zahlungsauftrags; bei geänderten Bankdaten bleiben Rückfragen über bereits bekannte Kontaktdaten, Funktionstrennung und dokumentierte Freigaben nach deiner Risikobewertung erforderlich. |
| KI-Kompetenz in der BetrugserkennungVor dem 02.02.2025 bestand keine allgemeine KI-spezifische Kompetenzpflicht; allgemeine und sektorspezifische Organisations-, Qualifikations- und Datenschutzanforderungen blieben unberührt. Die erste Fassung von Art. 4 KI-Verordnung verlangte, ein ausreichendes Maß an KI-Kompetenz des Personals sicherzustellen. |
Seit 02.02.2025 · Art. 4 neu gefasst seit 27.07.2026Art. 4 VO (EU) 2024/1689 wurde durch die VO (EU) 2026/1744 neu gefasst. Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und weiterer in ihrem Auftrag mit KI-Systemen befasster Personen zu unterstützen – unter Berücksichtigung von Kenntnissen, Erfahrung, Aus- und Fortbildung, Einsatzkontext und betroffenen Personen; ein bestimmtes individuelles Kompetenzniveau muss nicht garantiert werden. Die Ausnahme für die Aufdeckung von Finanzbetrug in Anhang III Nr. 5 Buchst. b betrifft nur die Hochrisiko-Kategorie der Kreditwürdigkeitsprüfung, nicht sämtliche KI-Pflichten. Für Trefferprüfung, Freigabe und Eskalation gelten die jeweils einschlägigen fachlichen, datenschutzrechtlichen und organisatorischen Anforderungen. |
| EU-Geldwäscheverordnung (AMLR)Die Pflichten der Verpflichteten ergeben sich aus dem GwG zur Umsetzung der Richtlinie (EU) 2015/849; den Geldwäschebeauftragten regelt § 7 GwG. |
Ab 10.07.2027Die VO (EU) 2024/1624 gilt für die hier behandelten Verpflichteten grundsätzlich ab 10.07.2027 unmittelbar (Art. 90). Art. 11 unterscheidet das verantwortliche Mitglied des Leitungsorgans und den Compliance-Beauftragten für die operative Umsetzung; unter den Voraussetzungen von Art. 11 Abs. 7 dürfen Funktionen zusammengeführt werden, für Ein-Personen-Konstellationen gelten besondere Regeln. Eine allgemeine Pflicht zur Bestellung eines zusätzlichen Fraud Officers folgt daraus nicht. Art. 13 verlangt die Beurteilung der an der Pflichterfüllung beteiligten Beschäftigten vor Tätigkeitsaufnahme und regelmäßig danach. Die Richtlinie (EU) 2024/1640 ist grundsätzlich bis 10.07.2027 umzusetzen; einzelne Bestimmungen haben abweichende Fristen. |
| Vermögenswerte unklarer HerkunftDie strafrechtliche Einziehung richtet sich insbesondere nach §§ 73 ff. StGB. Davon zu unterscheiden ist das im Entwurf des Zollfinanzgerechtigkeitsgesetzes vorgesehene spezielle Verwaltungsverfahren des Zolls zu verdächtigen Vermögensgegenständen. |
Im Bundestag · geplant ab 01.01.2027Das Bundeskabinett hat am 12.08.2026 den Regierungsentwurf beschlossen, der Bundesrat hat am 25.09.2026 Stellung genommen; der Entwurf liegt dem Bundestag als Drucksache 21/8282 vom 30.09.2026 vor. Vorgesehen ist unter anderem ein Verwaltungsverfahren zur Ermittlung, Sicherstellung und Einziehung verdächtiger Vermögensgegenstände von bedeutendem Wert, mit eigenen Voraussetzungen, gerichtlichen Entscheidungen und Schutzrechten – ein Verdacht allein bewirkt keine endgültige Einziehung. Der 01.01.2027 ist der geplante allgemeine Inkrafttretenstermin mit abweichenden Einzelregelungen; geltendes Recht ist das noch nicht. |
| EU-Richtlinie zur KorruptionsbekämpfungUnionsrechtlich galten der Rahmenbeschluss 2003/568/JI zur Bestechung im privaten Sektor und das Übereinkommen von 1997 zur Bestechung von Amtsträgern; national gelten die §§ 299 ff. und 331 ff. StGB. |
Umsetzung bis 01.06.2028Die Richtlinie (EU) 2026/1021 ist am 31.05.2026 in Kraft getreten und grundsätzlich bis 01.06.2028 in nationales Recht umzusetzen. Sie enthält Mindestvorgaben zu Korruptionsdelikten einschließlich der unerlaubten Einflussnahme und zu Sanktionen; für juristische Personen sind strafrechtliche oder nichtstrafrechtliche Sanktionen vorgesehen, einschließlich Vorgaben zum Höchstmaß von Geldstrafen oder Geldbußen. Für die nationalen Risikobewertungen und Strategien nach Art. 20 Abs. 5 und Art. 21 gilt die längere Frist bis 01.06.2029 – das sind Staatsaufgaben, keine unmittelbaren Unternehmensfristen. Unternehmen können ihre Antikorruptionsmaßnahmen schon jetzt risikobezogen überprüfen. |
| Zahlungsdiensterecht (PSR und PSD3)Nach der Richtlinie (EU) 2015/2366 (PSD2), in Deutschland §§ 675u und 675v BGB, erstattet die Bank nicht autorisierte Zahlungen. Überweisungen, die der Kunde nach einer Täuschung selbst freigibt, sind davon grundsätzlich nicht erfasst. |
Im GesetzgebungsverfahrenPSR und PSD3 werden als Gesetzgebungsausblick behandelt: politische Einigung am 27.11.2025, Kompromisstext der PSR als Ratsdokument 8221/26 vom April 2026, Zustimmung des ECON-Ausschusses am 05.05.2026. Eine abgeschlossene förmliche Annahme und Veröffentlichung im Amtsblatt war zum Stand 02.10.2026 nicht verifizierbar. Der Kompromisstext sieht in Art. 59 unter bestimmten Voraussetzungen einen Erstattungsanspruch für Verbraucher bei Betrug durch Vortäuschung ihres Zahlungsdienstleisters vor – keine allgemeine Erstattungsgarantie für CEO-Fraud oder manipulierte Lieferantenrechnungen von Unternehmen. Grundsätzlich soll die PSR 21 Monate nach Inkrafttreten gelten, einzelne Vorschriften abweichend. |
Rechtsgrundlagen: SEPA-VO · VO (EU) Nr. 260/2012, Art. 5c, geändert durch VO (EU) 2024/886 · KI-Verordnung · VO (EU) 2024/1689, Art. 4, Anhang III, geändert durch VO (EU) 2026/1744 · AMLR · VO (EU) 2024/1624, Art. 11, 13, 90 · AMLD6 · RL (EU) 2024/1640 · StGB · §§ 73 ff., 299 ff., 331 ff. · Zollfinanzgerechtigkeitsgesetz · Regierungsentwurf, BT-Drs. 21/8282 · Korruptionsbekämpfung · RL (EU) 2026/1021 · BGB · §§ 675u, 675v · PSR · Kompromisstext, Ratsdok. 8221/26, Art. 59. Die Pflichten sind jeweils nach Branche, Unternehmensgröße und Rolle im Zahlungsverkehr einzuordnen.
Dein Praxistransfer: Prüfe, ob deine Zahlungsfreigabe neben dem Ergebnis der Empfängerüberprüfung einen unabhängigen Rückruf vorsieht, bereite die Beschäftigtenbeurteilung nach Art. 13 AMLR vor und lege fest, wer KI-gestützte Treffer bewertet und freigibt.