Ten seconds, no way back: instant payments and the recourse gap
Zehn Sekunden, kein Zurueck: Echtzeitzahlungen und die Luecke bei der Rueckholung
Instant payments are now mandatory across the euro area: ten seconds, any hour, any day. The settlement problem is solved. The fraud problem it creates is not, and the two are the same problem viewed from different ends.
What irrevocability means
A card payment can be reversed. The chargeback system exists precisely so that a cardholder who was defrauded has a route back, funded by an established liability chain.
An instant credit transfer has no such route. It settles finally in seconds. Recovery depends on the receiving bank freezing funds before they move — and in a well-run fraud, they move immediately, often through several accounts, sometimes out of the jurisdiction, before anyone has noticed.
This is not a defect. Finality is the product. But it means the consumer protection people have learned to expect from card payments does not exist here, and most people do not know that until it matters.
Confirmation of payee, and its limits
The main mitigation is verification of payee: before the transfer, the sender is shown whether the account name matches the name they entered. The EU instant payments regulation makes this mandatory and free.
It helps against misdirection — mistyped details, invoice interception. It helps considerably less against the dominant fraud pattern, where the victim is persuaded to send money to an account that is exactly what it claims to be. The name matches. The account is real. The person operating it is the fraudster.
A control that verifies the destination cannot address a victim who intends to pay that destination.
The mule account layer
Every one of these frauds requires a receiving account, and those accounts are opened at regulated institutions by people who passed identity checks. Some are recruited, some are coerced, some are compromised.
This is where the leverage actually is, and it is under-reported because it points at the receiving bank rather than the sender’s. A bank that opens an account for a customer with no history and then processes a rapid sequence of inbound transfers followed by immediate outbound dispersal has all the information it needs to notice. Whether it acts depends on how it is measured.
Liability frameworks that place the cost on the sending institution — which had the least information — get the incentives backwards. Recent UK reimbursement rules split the cost between sending and receiving firms, which is a better allocation, and the EU is moving in a comparable direction.
Our view
Mandating instant payments without simultaneously mandating a proportionate liability framework was a sequencing error. The infrastructure requirement arrived on a deadline; the consumer protection is arriving afterwards, in pieces, at national level.
The predictable result is a window in which the payment rail is fast everywhere and the recourse is uneven. Fraud finds windows like that quickly, because they are visible from the outside as a map of where recovery is hardest.
Sources: Regulation (EU) 2024/886 on instant credit transfers in euro, including the verification of payee obligation; UK Payment Systems Regulator rules on authorised push payment reimbursement. This article contains opinion, marked as such.
Echtzeitzahlungen sind im Euroraum jetzt Pflicht: zehn Sekunden, zu jeder Stunde, an jedem Tag. Das Abwicklungsproblem ist gelöst. Das Betrugsproblem, das dabei entsteht, nicht — und beides ist dasselbe Problem von zwei Seiten betrachtet.
Was Unwiderruflichkeit bedeutet
Eine Kartenzahlung lässt sich zurückholen. Das Chargeback-System existiert genau dafür: Wer betrogen wurde, hat einen Rückweg, getragen von einer etablierten Haftungskette.
Eine Echtzeitüberweisung hat diesen Weg nicht. Sie ist in Sekunden endgültig. Rückholung hängt daran, dass die Empfängerbank das Geld einfriert, bevor es weiterläuft — und bei einem gut gemachten Betrug läuft es sofort weiter, meist über mehrere Konten, mitunter aus dem Land, bevor überhaupt jemand etwas bemerkt hat.
Das ist kein Mangel. Endgültigkeit ist das Produkt. Es heißt aber, dass der Verbraucherschutz, den man von Kartenzahlungen gewohnt ist, hier nicht existiert — und die meisten Menschen erfahren das erst, wenn es darauf ankommt.
Empfängerprüfung und ihre Grenzen
Die zentrale Abhilfe ist die Empfängerüberprüfung: Vor der Überweisung wird angezeigt, ob der Kontoname zu dem passt, was der Absender eingegeben hat. Die EU-Verordnung zu Echtzeitüberweisungen macht das verpflichtend und kostenlos.
Gegen Fehlleitung hilft das — Zahlendreher, abgefangene Rechnungen. Gegen das vorherrschende Betrugsmuster hilft es deutlich weniger: Dort wird das Opfer überredet, an ein Konto zu senden, das genau das ist, was es zu sein vorgibt. Der Name stimmt. Das Konto ist echt. Wer es führt, ist der Täter.
Eine Kontrolle, die das Ziel verifiziert, kann einem Opfer nicht helfen, das genau dieses Ziel bezahlen will.
Die Ebene der Mittelsmannkonten
Jeder dieser Betrugsfälle braucht ein Empfängerkonto, und diese Konten werden bei regulierten Instituten von Personen eröffnet, die Identitätsprüfungen bestanden haben. Manche sind angeworben, manche genötigt, manche übernommen.
Hier liegt der eigentliche Hebel, und er wird zu selten benannt, weil er auf die Empfängerbank zeigt statt auf die des Absenders. Eine Bank, die für einen Kunden ohne Historie ein Konto eröffnet und danach eine schnelle Folge von Eingängen mit sofortiger Weiterverteilung verarbeitet, hat alle Informationen, um es zu bemerken. Ob sie handelt, hängt davon ab, woran sie gemessen wird.
Haftungsregeln, die die Kosten dem sendenden Institut zuweisen — dem mit den wenigsten Informationen —, drehen die Anreize um. Die neueren britischen Erstattungsregeln teilen die Kosten zwischen sendendem und empfangendem Institut, was die bessere Zuordnung ist; die EU bewegt sich in eine vergleichbare Richtung.
Unsere Einschätzung
Echtzeitzahlungen vorzuschreiben, ohne gleichzeitig einen passenden Haftungsrahmen vorzuschreiben, war ein Fehler in der Reihenfolge. Die Infrastrukturpflicht kam mit Frist; der Verbraucherschutz kommt danach, in Stücken, auf nationaler Ebene.
Das absehbare Ergebnis ist ein Zeitfenster, in dem die Zahlungsschiene überall schnell und die Rückholung ungleich ist. Solche Fenster findet Betrug schnell, weil sie von außen wie eine Karte dessen aussehen, wo Rückholung am schwersten ist.
Quellen: Verordnung (EU) 2024/886 über Echtzeitüberweisungen in Euro einschließlich der Pflicht zur Empfängerüberprüfung; Regeln des britischen Payment Systems Regulator zur Erstattung bei veranlassten Überweisungen. Dieser Beitrag enthält Meinung, als solche gekennzeichnet.