Erstveröffentlichung KW 42 | 20.10.2025 | Mit dem Inkrafttreten der neuen EU-Sicherheitsrichtlinie für Banküberweisungen (Verordnung (EU) 2024/886) halten zwei signifikante Änderungen im Überweisungsverkehr Einzug. Zum einen die verpflichtende Echtzeitüberweisung für Banken und zum anderen die sogenannte ‚verpflichtende Empfängerüberprüfung‘ (Verification of Payee – kurz VoP). Letztere bedarf der Aufmerksamkeit von Verantwortlichen in Praxen und MVZ. Vermutlich sind viele bereits mit dem neuen Ampelsystem in Berührung gekommen, dennoch haben wir unter 1.) das System VoP noch einmal erklärt. Zukünftige Bankgeschäfte bedürfen 2.) einer Anpassung des Arbeitsablaufs, einer Kenntnis der Opt-out-Regelung und einer sinnvollen Patienteninformation sowie 3.) Kenntnisse der Haftungsregelung. Jedem dieser Punkte haben wir einen Absatz gewidmet und stellen im vierten Absatz auch abermals auf die Sicherheit ab, denn Betrüger passen sich bekanntlich neuen Sicherheitsmechanismen an – ein ewiger Kreislauf, der auch in diesem Fall nicht aussetzt.
1.) VoP System: Was steckt hinter der Ampel? Hinter VoB verbirgt sich ein Mechanismus, nach dem Banken den Namen, der einem Konto und damit einer IBAN zugeordnet ist, mit dem Namen und der IBAN einer Überweisung vergleichen. Zahlt etwa ein Selbstzahler-Patient per Überweisung an die „Praxis am Seegrund“, weil dies so auf dem Namensschild steht, aber bei der Bank sind die Dres. Müller und Schulz als Kontoinhaber hinterlegt, so würde das Banksystem dem Kunden eine Fehler-Rückmeldung geben. Diese Rückmeldung ist nach einem Ampelsystem aufgebaut. Grün bedeutet eine Übereinstimmung, „gelb“ eine Abweichung und ‚rot‘, dass keine Übereinstimmung vorliegt. Im geschilderten Beispiel wäre also die Rückmeldung beim Patienten ‚rot‘, da die IBAN nicht ansatzweise zum Kontoinhaber passt. Kunden können diese Meldung ignorieren und überschreiben, die Überweisung also dennoch auslösen. Jedoch – und das dürfte an dieser Stelle klar sein – könnten Menschen den Vorgang erst einmal abbrechen, weil sie verunsichert sind. Das gleiche Verfahren gilt selbstredend auch andersherum, also wenn Praxen Geld überweisen, ob an Lieferanten oder Gehälter. Wer sich an dieser Stelle fragt, ob der Abgleich zwischen Kontoname und IBAN nicht schon lange Standard sei, ist willkommen in der überwiegenden Mehrheit der Teilnehmer einer Umfrage. Aber ja, bisher haben Banken diese beiden Daten nicht abgeglichen, bzw. es nicht verpflichtend machen müssen.
2.) Workflow und Information an Patienten und das Team. Stammdatenmanagement und eine klare Kommunikation sind die Zauberworte. Informationen auf der eigenen Webseite oder Behandlungsverträgen mit Hinweisen auf das eigene Konto, sollten zeitnah überprüft werden. In diesem Fall ist mit dem Stammdatenmanagement nicht das medizinische, sondern jenes für Geschäftskontakte, also Zulieferer, Lohnunternehmen, Dienstleistungen und das Personal gemeint. Wenn das Gehalt der Praxis – sofern es selbst überwiesen wird – an ein Familienkonto überwiesen werden soll, auf das auch der Partner des Angestellten eingetragen ist, so wird es zukünftig wohl zu einer Fehler-Rückmeldung kommen. Das Negieren der Fehlermeldung oder ein umständliches Rückfragen beim Angestellten sind dann zusätzliche Arbeitsschritte, die umgangen werden können. Entweder durch eine solide Datenkartei oder durch ein Extra-Feature, an das der Normgeber dankenswerterweise gedacht hat, von dem man aber erst einmal wissen muss: Bei Sammelüberweisungen gibt es die Möglichkeit, auf der Nutzeroberfläche der jeweiligen Bank ein „opt-out“-Verfahren anzuklicken. In diesem Fall wird die VoP-Sicherheitsüberprüfung umgangen. Allerdings wird damit auch die Haftungsfrage aufgeworfen. Ferner hat die APO-Bank für ihre Kunden die Möglichkeit eingerichtet, bis zu 8 verschiedene Aliasse einzurichten. Dadurch können verschiedene Varianten des Praxisnamens angegeben werden, damit Debitoren nicht in das rote Ampellicht ‚laufen‘ (~ Themenseite der APO Bank). Die APO-Bank scheint diesbezüglich noch Vorreiter. Ob andere Banken ein ähnliches Angebot etablieren, bleibt abzuwarten.
3.) Wer haftet wann? Im Normalfall, also wenn die VoP-Ampel ‚grün‘ leuchtet und damit dem Überweisenden meldet: alles ok!, ist die Bank in der Haftung, falls dennoch eine Fehlzuordnung geschieht. Zeigt die Ampel ‚rot‘, also keine Übereinstimmung, und der Kunde überschreibt die Warnung, so liegt die Haftung bei ihm. Zeigt die Ampel ‚geld‘, was wohl anfangs ein häufiges Szenario sein dürfte, so soll dem Überweisenden die ‚korrekte Inhaberinformation‘ angezeigt werden. Beispiel: Sie überweisen dankenswerterweise überpünktlich ihre Mitgliedsbeiträge an uns: Wenn Sie die IBAN und BMVZ e.V. eingeben, sollte Ihnen als korrekte Alternative ‚Bundesverband MVZ e.V.‘ angezeigt werden. Es ist uns nicht vollends klar, ob die Bank bei einem fehlerhaften Vorschlag eine Teilhaftung übernehmen müsste. Da aber der Bankkunde eine bewusste Aktion ausführen muss, indem er den Vorschlag annimmt, ist einmal davon auszugehen, dass die Haftung beim Kunden liegt.
4.) CAVE! Vorsicht bleibt oberstes Gebot. Alle Bürger der EU sind von der neuen Vorschrift betroffen. Also auch Sie persönlich und natürlich die Patient:innen. Wie eingangs erwähnt, ergibt es Sinn, dahingehend noch einmal alle Informationen zu prüfen, um verspätete Zahlungseingänge zu vermeiden. Ob der Mehraufwand zu einer umfassenden Sicherheit führt, ist aber fraglich. Zumindest im privaten Bereich haben sich Kriminelle wohl schon angepasst. Mit den althergebrachten Methoden „Überweisen Sie jetzt schnell Geld an die Polizei Kleinkleckersdorf“ oder dem sogenannten Enkeltrick, geht für die Übeltäter nun noch ein wenig Überzeugungsarbeit einher. Danach werden Opfer schlecht überredet, die „rote“ oder „gelbe“ Meldung zu ignorieren. Vielleicht ist die Umstellung, wenn der erste Ärger über den Mehraufwand verflogen ist, es wert, im Team das Thema Social Engineering aufzugreifen. Cyberkriminelle arbeiten in aller Regel mit psychologischen Tricks und verschaffen sich Zugang, oft geraume Zeit, bevor ein Schaden ersichtlich wird.
