2026-08-17 • 12 Min. Lesezeit

Die Instant-Payments-Verordnung: Banken für ein 10-Sekunden-SLA bauen

Die Instant Payments Regulation der EU hat von Banken nicht verlangt, schneller zu werden. Sie hat verlangt, dass sie sofort sind – und dass jede Kontrolle, die früher in den Lücken zwischen Geschäftstagen lief, nun innerhalb eines Zehn-Sekunden-Fensters läuft, in jeder Sekunde, jeden Tag. Institute, die die Frist wie ein Netzwerk-Upgrade behandelten, bekamen eine SLA-Verletzungsmaschine. Institute, die sie als Architekturproblem behandelten, bekamen eine dauerhafte Fähigkeit.

Eine Verordnung, die die Physik der Zahlungen verändert

Die SEPA-Echtzeitüberweisung (SCT Inst) gibt es bereits seit November 2017 – allerdings als optionales Zusatzschema zum Standardverfahren: Eine Bank konnte sie anbieten, den Preis frei festlegen, und rund 60% des Marktes taten das, uneinheitlich und meist gegen Aufpreis für den Kunden. Die Verordnung (EU) 2024/886 – die Instant Payments Regulation (IPR), seit April 2024 in Kraft – beendet die Ära der Freiwilligkeit. Jeder Zahlungsdienstleister, der Standard-Euro-Überweisungen anbietet, muss nun auch die Echtzeitvariante anbieten, sie rund um die Uhr in zehn Sekunden oder weniger ausführen und dafür nicht mehr verlangen als für eine gewöhnliche Überweisung.

Zehn Sekunden klingen nach einem Netzwerkproblem. Sind sie nicht. Eine gewöhnliche SEPA-Überweisung wird innerhalb eines Geschäftstags verrechnet, läuft durch Batches, die gegen nachts aktualisierte Sanktionslisten geprüft werden, durch Betrugserkennung mit Stunden an Spielraum und wird zum Tagesabschluss abgestimmt. Die IPR verlangt, dass dieselben Kontrollen – Geldwäscheprävention, Sanktionsprüfung, Betrugserkennung, Liquiditätssteuerung, Buchung im Kernbanksystem – korrekt und vollständig innerhalb von zehn Sekunden ablaufen, ohne Batch-Fenster, in dem man sich verstecken kann. Das ist keine Verschärfung eines SLA. Das ist eine Veränderung dessen, was für ein System eine Bank sein muss.

Die Fristen waren real – und der Umbau auch

Die Staffelung war bewusst gestreckt, aber eng getaktet. Ab dem 9. Januar 2025 mussten Zahlungsdienstleister im Euroraum eingehende Echtzeitüberweisungen rund um die Uhr annehmen können – was in der Praxis bedeutete, dass sie ab diesem Datum auch jede eingehende Transaktion in Echtzeit gegen EU-Sanktionslisten prüfen mussten, denn eine empfangende Bank darf ein Konto nicht gutschreiben, bevor die Prüfung abgeschlossen ist. Ab dem 9. Oktober 2025 mussten dieselben Institute Echtzeitüberweisungen auch versenden können, und Verification of Payee wurde für ausgehende Überweisungen verpflichtend. EU-Mitgliedstaaten außerhalb des Euroraums – Schweden, Polen und andere – erhielten mehr Zeit: Empfang bis Januar 2027, Versand und VoP bis Oktober 2027.

Woran sich ein wirklich abgeschlossenes Programm von einem geflickten unterschied, zeigte sich schnell. Institute, die bereits Echtzeit-Zahlungskerne betrieben oder Engines im Stil von Challenger-Banken für kontinuierliche Verarbeitung gebaut hatten, behandelten den Januar 2025 als Formsache. Institute mit batch-orientierten Hauptbüchern bauten schlanke Echtzeit-Frontends, die in einen darunterliegenden Batch-Kern einreihten – an ruhigen Tagen technisch innerhalb von zehn Sekunden, brüchig, sobald das Volumen ansteigt. Und fast überall stellte sich der Umbau der Sanktionsprüfung – von nächtlicher Listenaktualisierung zu kontinuierlicher Einspeisung – als der Schwanz heraus, der das gesamte Programm wedelte, denn eine veraltete Sanktionsliste ist kein UX-Mangel, sondern ein aufsichtsrechtlicher Befund, der nur darauf wartet, entdeckt zu werden.

EZ = Eurozone. VoP = Verification of Payee. Balken markieren die laufende Pflicht ab dem jeweiligen Termin; Daten gemäß Verordnung (EU) 2024/886.

Verification of Payee: die neue Eingangstür

Bevor eine Überweisung ausgeführt wird, muss die Bank des Zahlers künftig in Echtzeit prüfen, ob der eingegebene Name mit dem beim Ziel-IBAN hinterlegten Kontoinhaber übereinstimmt – durch eine Echtzeitabfrage bei der Bank des Zahlungsempfängers oder einem gemeinsamen Verzeichnis, mit dem Ergebnis Übereinstimmung, teilweise Übereinstimmung, keine Übereinstimmung oder nicht überprüfbar, bevor der Zahler die Zahlung bestätigt. Der Mechanismus ähnelt Systemen, die in Großbritannien und den Niederlanden bereits laufen, und man unterschätzt leicht, wie weit er reicht: Die IPR weitet die VoP-Pflicht auch auf gewöhnliche SEPA-Überweisungen aus, nicht nur auf die Echtzeitschiene.

Der operative Biss steckt in den Randfällen. Ein falsches „keine Übereinstimmung" untergräbt das Kundenvertrauen und erzeugt Support-Tickets zu völlig legitimen Transaktionen; eine falsche „Übereinstimmung" verfehlt den eigentlichen Zweck, denn Identitätsbetrug und autorisierter Zahlungsbetrug sind genau das Fehlerbild, gegen das VoP gerichtet ist. Die Fuzzy-Matching-Logik richtig hinzubekommen – Rechtsformzusätze, transliterierte Namen, Gemeinschaftskonten, diakritische Zeichen – ist ein echtes Datenqualitätsproblem, keine API-Integration, und die Qualität der zugrunde liegenden Kunden- und Kontodaten einer Bank bestimmt nun unmittelbar, wie gut ihre VoP-Antworten ausfallen. Das ist ein neuer, ungewöhnlich direkter Anreiz, Datenschulden zu begleichen, die jahrelang unangetastet blieben.

Sanktionsprüfung im Sekundentakt

Das Zehn-Sekunden-Budget muss die Prüfung jedes Begünstigten und Auftraggebers gegen EU-, UN- und nationale Sanktionslisten einschließen, die sich untertägig ändern können – eine neue Listung kann zu jeder Stunde erfolgen, und die Aufsichtserwartung verlangt, dass Institute ohne unangemessene Verzögerung gegen aktualisierte Listen prüfen, üblicherweise verstanden als Stunden, nicht als „bis morgen früh". Batch-Architekturen mit nächtlicher Listenaktualisierung konnten diese Anforderung nicht unverändert überstehen; das Muster, das sich durchsetzte, ist ein kontinuierlich eingespeister In-Memory-Listen-Cache mit vorgefertigtem Fuzzy-Matching-Index, sodass eine Prüfung in Millisekunden statt Sekunden zurückkommt.

Der Zeitdruck verschärft einen Zielkonflikt, der ohnehin schon unbequem war. Eine Engine, die auf jede unscharfe Nahtreffer-Übereinstimmung anschlägt, produziert genug Falschmeldungen, um das Zehn-Sekunden-Budget zu sprengen, sobald ein Mensch hinschauen muss; eine auf Geschwindigkeit getrimmte Engine riskiert, zu wenig zu prüfen. Durchgesetzt hat sich ein zweigeteilter Pfad: risikoarme Transaktionen werden bewertet und automatisch innerhalb der Echtzeitschiene freigegeben, während echte Zweifelsfälle bewusst in eine Prüfschlange außerhalb des Instant-SLA wandern – eine Überweisung, die einen Menschen braucht, ist per Konstruktion keine Echtzeitüberweisung mehr.

Illustrative Aufteilung eines konformen Zehn-Sekunden-Verarbeitungsbudgets; die tatsächliche Aufteilung variiert je nach PSP-Architektur und Clearing-Weg (TIPS, RT1 oder ein nationales Echtzeitschema).

Liquidität und Dauerbetrieb

Vierundzwanzig-sieben-dreihundertfünfundsechzig bricht mit der Annahme, auf der jedes Kernbanksystem und jedes RTGS-System ursprünglich aufgebaut wurde: ein nächtliches Fenster zum Abstimmen und Ausgleichen. TARGET Instant Payment Settlement (TIPS), die Abwicklungsschicht des Eurosystems für Echtzeitzahlungen, läuft selbst kontinuierlich, und Teilnehmer müssen jederzeit ausreichende Liquidität auf einem dedizierten Konto vorhalten – einschließlich Wochenenden und Feiertagen, ohne die Ausweichoption „das gleichen wir am Montag aus".

Das erzwingt kontinuierliche, untertägige Liquiditätsüberwachung und -prognose anstelle von Tagesabschluss-Batch-Abstimmung, und es legt eine Naht zwischen Treasury und Zahlungsverkehr offen, die man früher bequem organisatorisch getrennt halten konnte – denn ein Liquiditätsengpass blockiert nun live Kundentransaktionen in Echtzeit, statt am nächsten Morgen als Abwicklungsausnahme aufzutauchen. Banken, die automatisierte, kontinuierlich ausgleichende Liquiditätspuffer gebaut hatten, steckten das ohne Drama weg. Banken mit weiterhin manuellen Treasury-Prozessen stellten fest, dass Wochenenden still und leise zum riskantesten Fenster ihrer Woche geworden waren.

Zehn Sekunden, eine Währung: Warum der grenzüberschreitende Zahlungsverkehr die nächste Front ist

Die Zehn-Sekunden-Garantie der IPR ist auf Euro-Überweisungen innerhalb von SEPA begrenzt. Sie reicht noch nicht bis zu währungsübergreifenden Überweisungen oder Zahlungen außerhalb des Schemas, wo Korrespondenzbankwesen und FX-Umrechnung weiterhin Stunden bis Tage dauern. Sowohl die Europäische Kommission als auch die EZB haben Interesse signalisiert, Echtzeit-Erwartungen über den Euroraum hinaus zu tragen, und Corporate Treasurer – die inzwischen schlicht erwarten, dass eine Euro-Zahlung in Sekunden ankommt – sind die lautesten Stimmen, die denselben Standard auch überall sonst fordern.

Die praktische Lesart für den Rest von 2026: Banken, die VoP, Echtzeitprüfung und kontinuierliches Liquiditätsmanagement als wiederverwendbare Plattformfähigkeiten aufgebaut haben – nicht als einmalige Compliance-Projekte, die an einen Legacy-Kern angeflanscht wurden –, sind gut positioniert, Echtzeitschienen in neue Korridore auszuweiten, sobald sich der Geltungsbereich erweitert. Banken, die sich 2025 durchgeflickt haben, werden denselben Kampf jedes Mal neu führen, wenn der Umfang wächst – nach dem Zeitplan anderer.

Vom Compliance-Sprint zur dauerhaften Fähigkeit

Das Muster ist vertraut: Eine regulatorische Frist erzwingt Investition, und diese Investition wird entweder zu belastbarer Infrastruktur oder zu einem Flicken, der im nächsten Zyklus erneut geflickt werden muss. Die IPR ist ungewöhnlich darin, wie wenig Raum sie dem Flicken lässt, sich zu verstecken. Ein Zehn-Sekunden-SLA nach Wanduhr, mit aufsichtsrechtlicher Meldepflicht bei Nichteinhaltung, ist nichts, was eine Integrationsschicht still absorbieren kann – Fehler zeigen sich sofort, in Produktion, bei einem Kunden, der auf einen Ladekreis starrt.

Banken, die das Mandat genutzt haben, um Sanktionsprüfung, Empfängerabgleich und Liquiditätsmanagement als dauerhafte Echtzeitfähigkeiten neu aufzubauen, halten heute einen belastbaren operativen Vorsprung: Dieselbe Infrastruktur macht den Unterschied bei der nächsten Betrugsschiene, dem nächsten Open-Banking-Datenfluss und der nächsten Dauerbetrieb-Erwartung der Aufsicht, die ohne Vorwarnung eintrifft. Banken, die 2025 als Frist zum Überleben behandelten, werden 2027 – und was danach kommt – wieder bei null antreten.