Ende August haben deutsche Banken PayPal-Transaktionen im Wert von über 10 Milliarden Euro gestoppt, nachdem sie eine Welle verdächtiger Lastschriften in ihren Systemen entdeckt hatten. Was als technischer Ausfall in PayPals Betrugsprüfung begann, wurde binnen kurzer Zeit zu einem der größten Zahlungsstopps der jüngeren europäischen Bankengeschichte.
Im Zentrum der Störung stand ein Versagen in PayPals automatischer Sicherheitsebene — jenem System, das betrügerische Lastschriften erkennen und blockieren soll, bevor sie die Banken erreichen. Über mehrere Tage war dieser Filter entweder stark beeinträchtigt oder komplett außer Betrieb. Die Folge war ein Schwall ungeprüfter Zahlungsaufträge: Millionen von Anfragen, die den Banken wie mögliche Betrugsversuche erschienen. Angesichts dieser Flut an Auffälligkeiten reagierten deutsche Kreditinstitute, darunter große Genossenschafts- und Landesbanken, damit, eingehende PayPal-Zahlungen vollständig einzufrieren.
Zahlungen in diesem Umfang zu stoppen, birgt klare Risiken für Banken, Händler und Verbraucher. Aber Finanzinstitute sind durch Regulierung wie durch ihren Ruf verpflichtet, Kundinnen und Kunden zu schützen, wenn Betrugssysteme versagen — auch wenn dieser Schutz Störungen verursacht. Der Deutsche Sparkassen- und Giroverband, der über 300 Institute vertritt, räumte die „erheblichen Auswirkungen“ in ganz Europa ein und bestätigte, dass die Aufsichtsbehörden nahezu sofort informiert wurden. Die deutsche BaFin und die luxemburgische CSSF, die PayPal Europe beaufsichtigt, bestätigten beide, den Vorgang zu beobachten — eingegriffen hat allerdings keine der beiden, nachdem PayPal seine Systeme wiederhergestellt hatte.
PayPals Aktie fiel im Nachgang um knapp zwei Prozent — ein Hinweis darauf, wie schnell Märkte reagieren, wenn der Verbraucherschutz in Zweifel steht. Auch wenn PayPal den Fehler zügig identifizierte, die Systeme nachbesserte und sich mit den Bankpartnern abstimmte, blieb der Reputationsschaden sichtbar. Für Sparkassenkundinnen und -kunden, die größte betroffene Gruppe, lief der Dienst innerhalb eines Tages wieder normal; bei anderen Banken brauchte der Abgleich eine gründlichere Prüfung, um betrügerische von berechtigten Aufträgen zu trennen.
Es ist nicht das erste Mal, dass PayPals Schutzmechanismen unter Druck geraten. Das Unternehmen hatte in der Vergangenheit bereits Sicherheitsvorfälle und Datenlecks, folgte dabei aber stets demselben Muster: schnell reagieren, die Abwehr härten und dafür sorgen, dass sich dieselbe Schwachstelle nicht wiederholt. Nachdem ein Datenleck im Jahr 2022 zu Bußgeldern in New York geführt hatte, führte PayPal strengere Mehr-Faktor-Authentifizierung, CAPTCHA-Abfragen, Passwort-Rücksetzungen und intensivere Mitarbeiterschulungen ein. Frühere Vorfälle mit kompromittierten Drittanbietern führten ebenfalls zu engerer Aufsicht und strafferen Kontrollen. In der Summe hat das Unternehmen seiner Infrastruktur Schicht um Schicht neue Schutzmaßnahmen hinzugefügt, damit jeder Fehler ein einmaliger bleibt und keine wiederkehrende Schwäche wird.
Für Compliance- und Risikoteams unterstreicht der Vorfall, wie wichtig Widerstandsfähigkeit bleibt. Die Banken, die Zahlungen eingefroren haben, handelten in einer unklaren Lage entschlossen: Sie stellten Sicherheit über Bequemlichkeit und blieben regulatorisch sauber, indem sie die Aufsicht unverzüglich informierten. PayPal betont, dass betroffene Konten inzwischen aktualisiert wurden. Zurück bleibt trotzdem die unbequeme Erinnerung, dass selbst die größten Plattformen nur so stark sind wie ihre schwächste Schutzmaßnahme.