Verification of Payee: Opt-in oder Opt-out für Firmen

Verification of Payee: Opt-in oder Opt-out, und was hinter der Entscheidung steht

Teil 1 einer dreiteiligen Reihe zu Verification of Payee (VoP).

Seit dem 9. Oktober 2025 prüfen Banken im Euroraum bei Überweisungen, ob Empfängername und IBAN zusammenpassen. Für Firmenkunden bringt diese Pflicht eine Entscheidung mit sich, die viele als reine Konfigurationsfrage abtun: Opt-in oder Opt-out. Tatsächlich verlagert die Wahl Prüfung und Haftung zwischen Bank und Unternehmen. Wer sie ohne klaren Prozess trifft, gibt Schutz ab, ohne es zu merken.

Was VoP prüft und was nicht

Verification of Payee (VoP) ist ein Abgleich von Empfängername und IBAN zwischen zwei Zahlungsdienstleistern. Vor der Ausführung fragt die Bank des Zahlers bei der Bank des Empfängers an, ob Name und IBAN zum Konto passen. Die Antwort ist eines von vier Ergebnissen: Match, Close Match, No Match oder Prüfung nicht möglich. Rechtsgrundlage ist die Instant Payments Verordnung, Regulation (EU) 2024/886, Artikel 5c (Quelle: EZB). Die Prüfung gilt für SEPA-Überweisungen und SEPA-Echtzeitüberweisungen.

Damit ist der Umfang beschrieben. VoP bestätigt den Empfänger am Konto. VoP bewertet nicht, ob die Zahlung berechtigt ist.

Für versehentliche Fehler und simplere Betrugsversuche ist das wirksam. Ein Tippfehler in der IBAN, ein veralteter Datensatz, ein falsch übernommener Name führen zu No Match oder Close Match, bevor Geld das Haus verlässt.

Setzt ein Täter einfach seine eigene IBAN ein, ohne den Namen anzupassen, entsteht ein No Match, und die Zahlung stoppt. Anspruchsvolle Angriffe sind dagegen auf ein sauberes Ergebnis vorbereitet. Wird ein Konto vorab auf den Namen des echten Lieferanten eröffnet, liefert die Prüfung ein Match. Wurde ein Kreditorenstammsatz vorher manipuliert, passieren die falschen Daten die Prüfung ebenfalls sauber, denn VoP sieht nur, was Ihr System sendet, nicht, was davor in Ihren Systemen geschah. Business Email Compromise gilt in Erhebungen zum Zahlungsbetrug als häufigster Angriffsweg (Quelle: AFP), und genau diese Muster liegen außerhalb dessen, was ein Name-IBAN-Abgleich erkennt (mehr dazu: Stammdaten-Validierung).

Die Wahl, die Firmenkunden haben

Für Verbraucher ist die Empfängerüberprüfung verbindlich. Firmenkunden räumt die Verordnung eine Wahl ein: Wird eine Datei mit mehr als einer Zahlung eingereicht, dürfen sie auf die Prüfung verzichten. Der Verzicht heißt Opt-out, die Einreichung mit Prüfung Opt-in. Dieser Opt-out für Sammeldateien ist dauerhaft in der Verordnung verankert, keine Übergangsregelung.

Eine Grenze ist wichtig. Für Dateien mit nur einer einzigen Zahlung sieht die Verordnung keinen Opt-out vor. Dass viele Banken ihn trotzdem anbieten, beruht auf einer aufsichtlichen Duldung der BaFin. Nach deren FAQ zur Verordnung über Echtzeitüberweisungen beanstandet die BaFin es nicht, wenn ein Zahlungsdienstleister auch bei Einzeldateien einen Verzicht anbietet. Diese Duldung gilt „bis auf Weiteres", und die BaFin behält sich eine spätere Überprüfung ausdrücklich vor (Quelle: BaFin). Manche Banken bieten den Verzicht für Einzeldateien aus Haftungsgründen dennoch nicht an. Wer seinen Prozess für Einzeldateien auf den Opt-out stützt, verlässt sich also nicht auf ein Gesetz, sondern auf eine widerrufliche Duldung und auf die Praxis der jeweiligen Bank.

Was ein Opt-in im EBICS-Prozess auslöst

Ein Opt-in ergänzt nicht einfach eine Prüfung, es verändert den Einreichungsablauf. Die Sammeldatei wird mit einer eigenen EBICS-Auftragsart eingereicht, CTV für SEPA-Überweisungen und CIV für Echtzeitüberweisungen. Datei und bankfachliche Unterschrift werden dabei zeitlich getrennt. Die Bank führt zuerst die Empfängerüberprüfung durch und stellt das Ergebnis als VoP-Statusreport in Form einer pain.002-Nachricht bereit. Erst danach wird die Datei über die Verteilte Elektronische Unterschrift (VEU) erneut autorisiert oder storniert (verwandt: Corporate Seal mit EBICS).

Diese zweite Freigabe ist immer nötig, auch wenn jede Zahlung ein Match erhält. Aus jeder Sammelzahlung mit Opt-in wird so ein zweistufiger Prozess. Der Ablauf verliert an Übersichtlichkeit, und die Freigabeverantwortlichen müssen zeitversetzt ein zweites Mal aktiv werden.

Die Informationsbasis im Freigabemoment ist zudem begrenzt. Bei einem Close Match zeigt die Bank den beim Zahlungsdienstleister des Empfängers hinterlegten Namen an. Bei einem No Match erfährt der Freigeber nur, dass Name und IBAN nicht zusammenpassen, nicht aber, welcher Name tatsächlich hinterlegt ist. Die Freigabe muss dann auf unvollständiger Grundlage erfolgen, und das zu einem Zeitpunkt, an dem die eigentliche Zahlungsentscheidung im Unternehmen längst gefallen ist.

Warum die Freigabe der falsche Ort für die Entscheidung ist

Naheliegend wäre: Dann bewertet eben der EBICS-Freigeber die Abweichungen, er unterschreibt ohnehin. In kleinen Organisationen funktioniert das. In größeren verfügen die EBICS-Freigeber häufig nicht über die notwendigen Informationen.

Der Freigeber sitzt meist im Finance oder Treasury Team. Ein No Match wirft aber fachliche Fragen auf, die woanders hingehören: Kennen wir diesen Geschäftspartner unter diesem Namen? Wurde die Bankverbindung kürzlich geändert, und war die Änderung legitim? Das beantworten Kreditorenbuchhaltung, Einkauf oder weitere Fachbereiche, also die Stellen, die die Stammdaten pflegen bzw. die jeweiligen Unternehmen kennen. Dem Freigeber bleiben unter Zeitdruck nur zwei Wege, durchwinken oder eskalieren.

Der umgekehrte Weg trägt ebenso wenig. Wer die fachlich zuständigen Personen für EBICS freischaltet, damit sie das Ergebnis in der Unterschriftenmappe sehen, gibt ihnen eine Rolle im Freigabeprozess, die sie nach interner Funktionstrennung meist nicht haben dürfen (Risikomanagement). Informationsberechtigungen ohne Unterschriftsrecht oder die Statusübersichten der VEU transportieren das Ergebnis zwar an weitere Personen. Die Bewertungskompetenz im Freigabemoment ersetzen sie nicht.

Bezeichnend ist, was die Deutsche Kreditwirtschaft sagt: Sie empfiehlt, den VoP-Statusreport zur Korrektur der Empfänger-Stammdaten zu nutzen. Damit behandelt die Branche das Prüfergebnis als das, was es fachlich ist, ein Stammdaten-Input, der im Zahlungsprozess anfällt.

Wann Opt-in trägt und wann Opt-out vertretbar ist

Aus alledem folgt keine pauschale Empfehlung. Die Empfängerüberprüfung ist ein wirksames Kontrollinstrument gegen Fehlüberweisungen, und sie wirkt auf die Haftung. Erfüllt eine Bank ihre Prüfpflicht nach Artikel 5c nicht ordnungsgemäß und entsteht dem Zahler daraus ein Schaden, kann sie einstehen müssen. Wer verzichtet oder trotz gemeldeter Abweichung freigibt, trägt das Risiko einer Fehlüberweisung selbst. Mehrere Banken weisen darauf hin, dass bei Opt-out kein Erstattungsanspruch gegen das Institut besteht. Mit dem Verzicht gibt man zweierlei ab: das Warnsignal und den Haftungsschutz.

Welche Wahl trägt, hängt von Volumen und Stammdatenqualität ab.

Der Opt-in sollte der Standard sein und funktioniert besonders reibungslos, wenn Abweichungen selten sind, weil die Stammdaten stimmen. Dann ist die erneute Unterschrift Routine von wenigen Minuten, und die seltenen Treffer rechtfertigen den Aufwand.

Der Opt-out ist vertretbar, wenn die Prüfung vorgelagert stattfindet: eine dokumentierte Kontrolle von Empfängername und Bankverbindung in den Stammdaten, vor der Zahlung, mit klarer Zuständigkeit. Ohne diesen Ersatzprozess geht man ein klares Risiko ein.

In jedem Fall gehört die Entscheidung dokumentiert und in die Bankvereinbarung aufgenommen. Sie sollte beantworten, wer Namensabweichungen bewertet, auf welcher Datengrundlage, und was passiert, wenn die Bewertung negativ ausfällt.Handlungsrelevanz für Finanzverantwortliche

Handlungsrelevanz für Finanzverantwortliche

Für den CFO ist Opt-in gegen Opt-out keine IT-Einstellung, sondern eine Frage von Haftung, Prozesszeit und Kontrolle. Der gemeinsame Nenner beider Wege liegt vor der Zahlung: Empfängername und Bankverbindung müssen stimmen, bevor daraus ein Zahlungsauftrag wird. Wer das an der richtigen Stelle absichert, kann die Bankprüfung als zusätzliche Sicherung nutzen statt als Notbremse (Zahlungsmanagement).

Weiterführend: Im zweiten Teil erfahren Sie, warum die Qualität der Stammdaten entscheidend ist und welche Compliance-Anforderungen dabei zwingend berücksichtigt werden müssen.