When an institution fails, where is the money that was in flight?
Wenn ein Institut scheitert — wo ist das Geld, das unterwegs war?
A payment is not an instant event. It is a sequence of steps across several institutions, and at any moment a large quantity of money exists in a state between having left one account and having arrived at another. Deposit guarantee schemes protect money sitting in an account. Nobody talks much about the money that is in motion when an institution stops functioning — and the answer depends entirely on what kind of institution it was.
Three different failures
The question has three answers, not one, and conflating them is the source of most confusion.
A bank fails. Deposits are protected up to the guarantee limit — 100,000 euros per depositor per institution in the European Union, with comparable schemes elsewhere. In practice, modern resolution rarely leaves retail depositors waiting: the usual outcome is a transfer of the deposit book to an acquiring institution over a weekend, with accounts functioning on Monday. Payments in flight are handled as part of the transfer.
A payment institution or e-money institution fails. This is a different regime entirely, and the difference is not widely understood by the people affected. Such firms are not banks, do not take deposits, and their customers are not covered by deposit guarantee schemes. Instead they are required to safeguard customer funds: hold them separately from the firm’s own money, either in a segregated account at a credit institution or covered by an insurance policy or guarantee.
Safeguarding is a different protection from a guarantee, and worse in two specific ways. It protects the funds from the firm’s creditors — the money is not part of the insolvency estate — but it does not guarantee the amount, and it does not guarantee the timing. If reconciliation records are poor, establishing which customer is owed what can take a long time, and customers wait without access while an administrator works it out.
A merchant’s acquirer fails. Funds collected from cardholders but not yet settled to the merchant are somewhere in the chain. Whether the merchant is a protected client or an unsecured creditor depends on the contractual structure and on whether the funds were safeguarded — questions most merchants have never asked.
What “in flight” actually means
The phrase covers several distinct states, and each behaves differently under stress.
An authorised but uncaptured card transaction is a reservation against a cardholder’s limit. No money has moved. If the merchant’s provider fails at this point, the authorisation simply expires and the cardholder’s limit is restored — the cleanest of the failure modes.
A captured but unsettled transaction is money the issuer will pay but which has not reached the merchant. This is where the largest exposure sits, because settlement cycles mean a merchant’s unsettled balance is typically one to three days of revenue.
A credit transfer submitted but not settled sits in the payment system between banks. Where exactly depends on the scheme: some settle continuously, others in batches at defined times, and a payment caught between batches sits with the sending institution.
An instant payment mostly avoids this problem, which is one of its underrated advantages. Settlement finality arrives in seconds, so the window in which money is in an indeterminate state is very short. The trade-off is elsewhere — irrevocability makes fraud harder to reverse — but on this specific question, instant is simply better.
The 2023 lesson
The bank failures of 2023 illustrated something that had been theoretical.
An institution can be solvent, or close to it, and still be unable to make payments — because failure is a liquidity and access event before it is a balance-sheet event. Money that was demonstrably present became temporarily unreachable, and the effect propagated to counterparties who had done nothing wrong and had no exposure to the underlying problem.
The clearest example was a large dollar stablecoin that traded below par for a weekend because a portion of its reserve sat at a failed bank. The reserve was adequate. The issue was that part of it could not be accessed and nobody could quickly establish how much — which is why the European framework’s requirement that a minimum share of reserves sit as deposits with credit institutions is a considered response rather than a naive one.
The transmissible lesson is that concentration is the variable that matters. An organisation with a single settlement account at a single institution has a single point of failure regardless of how well capitalised that institution is, and the cost of a second banking relationship is small compared with the cost of discovering this on a Friday evening.
Questions worth answering in advance
What is your maximum unsettled balance? Not the average — the peak, which for a seasonal business may be several times normal. That is the amount at risk if the party holding it stops functioning.
Is your provider a bank, a payment institution or an e-money institution? These have materially different protections, and the answer is in the regulatory register, not in the marketing.
Where are safeguarded funds actually held? A payment institution safeguards at a credit institution. Which one, and is it the same one your own accounts are at? If so, the redundancy you believe you have does not exist.
How long could you operate without incoming settlement? This is a working capital question with a specific number as its answer, and most businesses have never computed it.
The underlying point
Payment system risk is usually discussed as fraud and operational failure. The structural risk is different: at any moment a substantial quantity of value exists in a state where its ownership is clear but its accessibility is not, and the protections covering that state are weaker and slower than the ones covering money at rest.
This is not an argument for alarm. Failures are rare, resolution regimes work better than they did, and instant settlement is steadily shrinking the window. It is an argument for knowing the number — how much of your money is in motion at peak, and who is holding it — because that is the one figure that determines what a failure elsewhere costs you, and it is not on any statement.
Eine Zahlung ist kein Augenblick. Sie ist eine Folge von Schritten über mehrere Institute, und zu jedem Zeitpunkt existiert eine große Menge Geld in einem Zustand zwischen „ein Konto verlassen” und „auf einem anderen angekommen”. Einlagensicherungen schützen Geld, das auf einem Konto liegt. Über das Geld, das unterwegs ist, wenn ein Institut aufhört zu funktionieren, wird wenig gesprochen — und die Antwort hängt vollständig davon ab, um welche Art Institut es sich handelte.
Drei verschiedene Ausfälle
Die Frage hat drei Antworten, nicht eine, und ihre Vermengung ist die Quelle der meisten Verwirrung.
Eine Bank scheitert. Einlagen sind bis zur Sicherungsgrenze geschützt — 100.000 Euro je Einleger und Institut in der Europäischen Union, mit vergleichbaren Einrichtungen anderswo. In der Praxis lässt moderne Abwicklung Privatkunden selten warten: Üblich ist die Übertragung des Einlagenbestands auf ein übernehmendes Institut über ein Wochenende, mit funktionierenden Konten am Montag. Unterwegs befindliche Zahlungen werden als Teil der Übertragung behandelt.
Ein Zahlungs- oder E-Geld-Institut scheitert. Das ist ein völlig anderes Regime, und der Unterschied ist den Betroffenen wenig geläufig. Solche Unternehmen sind keine Banken, nehmen keine Einlagen entgegen, und ihre Kunden sind von der Einlagensicherung nicht erfasst. Stattdessen müssen sie Kundengelder sichern: getrennt vom eigenen Geld halten, entweder auf einem getrennten Konto bei einem Kreditinstitut oder gedeckt durch eine Versicherung oder Garantie.
Sicherung ist ein anderer Schutz als eine Garantie und in zwei bestimmten Hinsichten schlechter. Sie schützt die Gelder vor den Gläubigern des Unternehmens — das Geld gehört nicht zur Insolvenzmasse — aber sie garantiert weder den Betrag noch den Zeitpunkt. Sind die Abstimmungsunterlagen schlecht, kann es lange dauern festzustellen, welchem Kunden was zusteht, und die Kunden warten ohne Zugriff, während ein Verwalter es aufklärt.
Der Acquirer eines Händlers scheitert. Von Karteninhabern eingezogene, aber noch nicht an den Händler ausgezahlte Gelder befinden sich irgendwo in der Kette. Ob der Händler geschützter Kunde oder ungesicherter Gläubiger ist, hängt von der Vertragsstruktur ab und davon, ob die Gelder gesichert waren — Fragen, die die meisten Händler nie gestellt haben.
Was „unterwegs” tatsächlich heißt
Der Ausdruck umfasst mehrere Zustände, und jeder verhält sich unter Stress anders.
Eine autorisierte, aber nicht eingezogene Kartenzahlung ist eine Reservierung gegen das Limit des Karteninhabers. Es ist kein Geld geflossen. Scheitert der Anbieter des Händlers an dieser Stelle, verfällt die Autorisierung schlicht und das Limit wird wiederhergestellt — der sauberste der Fehlerfälle.
Eine eingezogene, aber nicht abgerechnete Zahlung ist Geld, das der Kartenherausgeber zahlen wird, das den Händler aber nicht erreicht hat. Hier sitzt die größte Exponierung, denn Abrechnungszyklen bedeuten, dass der nicht abgerechnete Bestand eines Händlers typischerweise ein bis drei Tagesumsätze beträgt.
Eine eingereichte, aber nicht ausgeführte Überweisung liegt im Zahlungssystem zwischen Banken. Wo genau, hängt vom Verfahren ab: Manche rechnen fortlaufend ab, andere in Stapeln zu festen Zeiten — und eine zwischen zwei Stapeln liegende Zahlung liegt beim sendenden Institut.
Eine Echtzeitzahlung vermeidet dieses Problem weitgehend, was zu ihren unterschätzten Vorzügen zählt. Die Endgültigkeit tritt in Sekunden ein, das Fenster mit unbestimmtem Zustand ist also sehr kurz. Der Nachteil liegt anderswo — Unwiderruflichkeit macht Betrug schwerer rückgängig zu machen — aber in dieser konkreten Frage ist Echtzeit schlicht besser.
Die Lehre von 2023
Die Bankenausfälle des Jahres 2023 haben etwas veranschaulicht, das bis dahin theoretisch war.
Ein Institut kann solvent oder nahezu solvent sein und dennoch keine Zahlungen leisten können — denn ein Ausfall ist ein Liquiditäts- und Zugriffsereignis, bevor er ein Bilanzereignis ist. Geld, das nachweislich vorhanden war, wurde vorübergehend unerreichbar, und die Wirkung pflanzte sich zu Gegenparteien fort, die nichts falsch gemacht hatten und mit dem eigentlichen Problem nichts zu tun hatten.
Das deutlichste Beispiel war ein großer Dollar-Stablecoin, der ein Wochenende lang unter dem Nennwert notierte, weil ein Teil seiner Reserve bei einer gescheiterten Bank lag. Die Reserve war ausreichend. Das Problem war, dass ein Teil nicht zugänglich war und niemand schnell feststellen konnte, wie groß — weshalb die Vorgabe des europäischen Rahmens, einen Mindestanteil der Reserven als Einlagen bei Kreditinstituten zu halten, eine durchdachte und keine naive Antwort ist.
Die übertragbare Lehre lautet: Konzentration ist die entscheidende Größe. Wer ein einziges Abwicklungskonto bei einem einzigen Institut hat, hat einen einzigen Ausfallpunkt, gleich wie gut dieses Institut kapitalisiert ist — und die Kosten einer zweiten Bankverbindung sind klein gegen die Kosten, das an einem Freitagabend zu entdecken.
Fragen, die man vorher beantworten sollte
Wie hoch ist Ihr maximaler nicht abgerechneter Bestand? Nicht der Durchschnitt, die Spitze — die bei einem Saisongeschäft ein Vielfaches des Normalen sein kann. Das ist der Betrag im Risiko, wenn die haltende Partei aufhört zu funktionieren.
Ist Ihr Anbieter eine Bank, ein Zahlungsinstitut oder ein E-Geld-Institut? Das sind materiell verschiedene Schutzniveaus, und die Antwort steht im Aufsichtsregister, nicht im Marketing.
Wo liegen gesicherte Gelder tatsächlich? Ein Zahlungsinstitut sichert bei einem Kreditinstitut. Bei welchem — und ist es dasselbe, bei dem Ihre eigenen Konten liegen? Dann existiert die Redundanz, die Sie zu haben glauben, nicht.
Wie lange könnten Sie ohne eingehende Abrechnung arbeiten? Das ist eine Working-Capital-Frage mit einer konkreten Zahl als Antwort, und die meisten Unternehmen haben sie nie berechnet.
Der zugrunde liegende Punkt
Risiko im Zahlungssystem wird meist als Betrug und Betriebsstörung erörtert. Das strukturelle Risiko ist ein anderes: Zu jedem Zeitpunkt existiert eine erhebliche Menge Wert in einem Zustand, in dem die Zuordnung klar ist und die Zugänglichkeit nicht — und die Schutzmechanismen für diesen Zustand sind schwächer und langsamer als die für ruhendes Geld.
Das ist kein Argument für Alarm. Ausfälle sind selten, die Abwicklungsregime funktionieren besser als früher, und die Echtzeitabwicklung verkleinert das Fenster stetig. Es ist ein Argument dafür, die Zahl zu kennen — wie viel Ihres Geldes zur Spitze unterwegs ist und wer es hält. Denn das ist die eine Größe, die bestimmt, was ein Ausfall anderswo Sie kostet, und sie steht auf keinem Kontoauszug.
