Beim PayPal Skandal wurden Ende August 2025 in Deutschland nach einem Ausfall zentraler PayPal-Sicherheitssysteme Lastschriften in geschätzter Größenordnung von über zehn Milliarden Euro vorübergehend gestoppt, unter anderem durch die Bayerische Landesbank, die Hessische Landesbank und die DZ Bank. Der PayPal Skandal ist damit kein reines IT-Problem, sondern ein Vorgang mit direktem Einfluss auf SEPA-Lastschriften, Bankprozesse und den Schutz vor unberechtigten Abbuchungen.
Die Chronologie und zentrale Aussagen der Bankenverbände sind in Berichten von tagesschau.de zur PayPal-Panne und gestoppten Lastschriften, bei NDR-Ratgeberhinweisen zu PayPal-Problemen und Rückbuchungen sowie in der Einordnung der Verbraucherzentrale zum PayPal-Zahlungsstopp dokumentiert.
Wichtige Fakten auf einen Blick
- Ende August 2025 fielen bei PayPal Sicherheitssysteme zur Prüfung eingereichter Lastschriften aus, danach stoppten deutsche Banken Lastschriften in Milliardenhöhe, laut Schätzung über zehn Milliarden Euro.
- Die Verbraucherzentrale nennt als betroffene Institute unter anderem Bayerische Landesbank, Hessische Landesbank und DZ Bank, die zeitweise sämtliche PayPal-Transaktionen stoppten.
- Der DSGV sprach von „unberechtigten Lastschriften von PayPal gegenüber verschiedenen Kreditinstituten“ und von erheblichen Auswirkungen auf den Zahlungsverkehr in Europa, besonders in Deutschland.
- Autorisierte SEPA-Lastschriften können Bankkundinnen und Bankkunden innerhalb von acht Wochen ohne Begründung zurückbuchen, bei nicht autorisierten Abbuchungen gilt eine Frist von 13 Monaten.
- PayPal sprach von einer „vorübergehenden Serviceunterbrechung“, die Transaktionen von Bankpartnern betraf und laut Hinweis auf der PayPal-Hilfeseite Verzögerungen für eine kleine Zahl von Konten auslöste.
- Die Aufsicht liegt wegen PayPals Europasitz in Luxemburg bei luxemburgischen Behörden, während das Bundesfinanzministerium auf EU-Regeln zum Schutz vor Schäden durch unautorisierte Abbuchungen verwies.
PayPal Skandal: Was Ende August 2025 wirklich geschah
Die Abfolge ist in den öffentlich zitierten Stellungnahmen relativ klar: Ende August 2025 kam es im SEPA-Lastschriftumfeld zu Unregelmäßigkeiten, nachdem bei PayPal Sicherheitssysteme zur Prüfung eingereichter Lastschriften ausgefallen waren. Der NDR beschreibt, dass Banken daraufhin kurzfristig per PayPal eingereichte Lastschriften in Milliardenhöhe stoppten, um Kundinnen und Kunden zu schützen (NDR zu den Vorfällen und Fristen).
Die Reaktion war keine einzelne Maßnahme einer Bank, sondern ein zeitweiser Block auf Infrastrukturebene: Die Verbraucherzentrale schreibt, dass unter anderem die Bayerische Landesbank, die Hessische Landesbank und die DZ Bank zeitweise sämtliche PayPal-Transaktionen stoppten (Verbraucherzentrale zum Zahlungsstopp und betroffenen Instituten). In derselben Einordnung nennt die Verbraucherzentrale eine Schätzung, nach der mehr als zehn Milliarden Euro eingefroren gewesen sein könnten. Diese Zahl ist als Schätzung gekennzeichnet und hängt davon ab, welche Transaktionsarten und Zeitfenster in die Berechnung einbezogen wurden.
Zum offiziellen Wording der Bankenverbände: Der Deutsche Sparkassen- und Giroverband erklärte laut tagesschau.de, es habe „unberechtigte Lastschriften von PayPal gegenüber verschiedenen Kreditinstituten“ gegeben (tagesschau.de zum DSGV-Zitat und den Lastschriften). Außerdem wird dort der DSGV mit der Aussage zitiert, die Vorfälle hätten erhebliche Auswirkungen auf den Zahlungsverkehr in ganz Europa und insbesondere in Deutschland gehabt.
Auch die Deutsche Kreditwirtschaft bestätigte laut tagesschau.de Unregelmäßigkeiten im Zahlungsverkehr im Zusammenhang mit nicht berechtigten Lastschriften von PayPal (tagesschau.de zur Einordnung der Deutschen Kreditwirtschaft). PayPal selbst sprach in der Berichterstattung von einer vorübergehenden Serviceunterbrechung, die Transaktionen von Bankpartnern und möglicherweise deren Kundschaft beeinträchtigt habe. An dieser Stelle beginnt die eigentliche Kontroverse: Banken beschrieben ein Risiko für den Zahlungsverkehr, PayPal rahmte es als Störung mit begrenzter Reichweite.
Technischer Hintergrund: Wie es zum Sicherheitsausfall kam

Der Kernpunkt ist nicht „PayPal war kurz offline“, sondern der Ausfall von Sicherheitssystemen, die eingereichte Lastschriften prüfen sollten. In einem SEPA-Lastschriftprozess reichen Zahlungsempfänger Lastschriften ein, Banken verarbeiten diese nach formalen und risikobasierten Prüfungen. Fallen Prüfmechanismen aus, steigt die Wahrscheinlichkeit, dass nicht berechtigte Lastschriften in die Verarbeitung gelangen oder dass Banken aus Vorsicht pauschal blockieren.
Für die Einordnung ist die Unterscheidung zwischen autorisierten und nicht autorisierten Lastschriften zentral. Autorisiert bedeutet, dass ein gültiges Mandat vorliegt oder eine wirksame Zustimmung zur Abbuchung erteilt wurde. Nicht autorisiert bedeutet, dass Kontoinhaberinnen und Kontoinhaber die Abbuchung nicht freigegeben haben oder dass ein Mandat nicht besteht. Im SEPA-Rahmen ist das nicht nur ein juristischer Unterschied, sondern ein operatives Risiko: Bei gehäuften Hinweisen auf unberechtigte Lastschriften müssen Institute schnell verhindern, dass Kundengelder massenhaft abfließen, weil Rückabwicklungen Folgekosten verursachen und Konten kurzfristig ins Minus drücken können.
Die Verbandsaussagen deuten auf ein Ereignis hin, das über einzelne Fehlbuchungen hinausging. Der DSGV sprach laut tagesschau.de von erheblichen Auswirkungen auf den Zahlungsverkehr in Europa, besonders in Deutschland (tagesschau.de zur Reichweite laut DSGV). Die Deutsche Kreditwirtschaft bestätigte Unregelmäßigkeiten im Zusammenhang mit nicht berechtigten Lastschriften (tagesschau.de zur Bestätigung durch die Deutsche Kreditwirtschaft).
PayPals Darstellung war enger gefasst: Laut tagesschau.de sprach PayPal von einer „vorübergehenden Serviceunterbrechung“, die bestimmte Transaktionen der Bankpartner und möglicherweise deren Kunden beeinträchtigt habe (tagesschau.de zur PayPal-Stellungnahme). Zusätzlich berichtete tagesschau.de über einen Hinweis auf der PayPal-Hilfeseite, wonach es am Wochenende zu einer Dienstunterbrechung gekommen sei und sich Transaktionen für eine kleine Anzahl von Konten verzögerten; dieser Punkt ist als Medienwiedergabe eines Hilfehinweises weniger belastbar als eine förmliche Pressemitteilung und sollte als Kontext gelesen werden (tagesschau.de zum Hinweis auf der PayPal-Hilfeseite).
Auswirkungen auf Verbraucher und Händler
Für Verbraucherinnen und Verbraucher zeigten sich die Folgen an drei Stellen: Zahlungen wurden verzögert, einzelne Transaktionen konnten vorübergehend nicht ausgeführt werden, und es entstand Unsicherheit, ob Abbuchungen korrekt waren. Der Hinweis, dass sich Transaktionen für eine kleine Anzahl von Konten verzögerten, wird in der tagesschau-Berichterstattung mit Verweis auf die PayPal-Hilfeseite beschrieben (tagesschau.de zu Verzögerungen einzelner Konten). Wer in diesem Zeitraum Rechnungen per Lastschrift begleichen wollte, konnte je nach Bankrouting mit Rückläufern oder Wartestellungen konfrontiert sein.
Bei Händlerkonten ist die Mechanik direkter: Wenn Lastschriften gestoppt werden, fehlen Zahlungseingänge, obwohl Ware möglicherweise schon ausgeliefert wurde oder Leistungen bereits erbracht sind. Das ist besonders relevant für Geschäftsmodelle mit knapper Liquidität und kurzen Umschlagszeiten. Ein eintägiger bis mehrtägiger Verzug kann reichen, um automatische Lagerbestellungen oder Versandlabels zu blockieren, weil Zahlungsdienstleister-Auszahlungen typischerweise nicht in Echtzeit erfolgen, sondern in Abrechnungsfenstern laufen. Eine konkrete Lehre aus dem PayPal-Zahlungsstopp in Deutschland lautet deshalb: Händler sollten die eigenen Zahlungsarten so gestalten, dass ein einzelner Zahlungsdienstleister nicht den gesamten Checkout dominiert.
Der Zeitraum lässt sich aus den Quellen nur als „Ende August 2025“ und „am Wochenende“ beziehungsweise „am Montag“ ableiten, je nach zitiertem Akteur. Für Betroffene ist der operative Umgang wichtiger als die minutengenaue Dauer: Kontoauszüge prüfen, offene Händlerrechnungen mit Fälligkeitsdatum abgleichen und bei Rücklastschriften dokumentieren, welche Bestellung betroffen war. Wer bei Marktplätzen verkauft, sollte zusätzlich die Auszahlungsberichte speichern, weil diese später als Nachweis dienen können, falls es zu Differenzen zwischen Bestellstatus und tatsächlichem Zahlungseingang kommt.
Regulierung und Zuständigkeiten: Warum nicht die BaFin eingriff

Viele Betroffene fragten nach der Rolle deutscher Aufsicht, doch bei PayPal greift in der Regel nicht die BaFin, sondern die Behörden am europäischen Sitz. PayPal bietet seine Dienste in der EU über eine in Luxemburg zugelassene Einheit an, damit liegt die Hauptzuständigkeit bei den luxemburgischen Aufsichtsbehörden (insbesondere der Finanzaufsicht in Luxemburg) und nicht bei der deutschen Bundesanstalt für Finanzdienstleistungsaufsicht. Die BaFin kann zwar Hinweise aufnehmen oder im Rahmen europäischer Kooperationen eingebunden sein, sie ist aber nicht die primäre Aufsicht, wenn ein Institut sein „Passporting“ aus einem anderen EU-Land heraus nutzt.
Für Verbraucher bedeutet das nicht, dass sie schutzlos sind. Der rechtliche Schutz bei unautorisierten Abbuchungen ist in der EU weitgehend harmonisiert, das Bundesfinanzministerium verweist in seinen Informationen zum Zahlungsverkehr auf die europäischen Vorgaben, nach denen Zahler bei nicht autorisierten Zahlungsvorgängen Anspruch auf Erstattung haben (siehe BMF-Übersicht zum Thema Zahlungsdienste und Erstattungsansprüche: bundesfinanzministerium.de). Die konkrete Durchsetzung läuft jedoch häufig zuerst über die Hausbank und erst danach über Aufsicht oder Gerichte.
Ein Vergleich mit anderen Fällen zeigt das Muster: Bei Skandalen oder Systemproblemen von Unternehmen mit ausländischem Regulierungssitz wird die öffentliche Erwartung oft an deutsche Stellen adressiert, obwohl die formale Zuständigkeit im Ausland liegt. Diese grenzüberschreitende Konstruktion ist im EU-Binnenmarkt normal, sie erschwert aber die schnelle, sichtbare Intervention aus deutscher Perspektive, weil Kommunikation und Maßnahmen primär über die „Home“-Aufsicht des Sitzlandes laufen.
Verbraucherrechte: SEPA-Lastschriften rückgängig machen
Wer im Umfeld des Zahlungsstopps Abbuchungen entdeckt, sollte die SEPA-Regeln kennen, sie sind für Verbraucher relativ klar. Bei autorisierten SEPA-Lastschriften (also grundsätzlich erteiltem Mandat) kann man innerhalb von acht Wochen ab Belastungsdatum ohne Angabe von Gründen eine Erstattung über die Bank verlangen. Bei nicht autorisierten Abbuchungen gilt eine deutlich längere Frist: Bis zu 13 Monate nach Belastung kann der Zahler reklamieren, wenn keine wirksame Autorisierung vorlag.
Praktisch geht man am besten strukturiert vor. Schritt 1: Kontoauszug prüfen und die fragliche Buchung mit Datum, Betrag, Gläubiger-ID und Mandatsreferenz notieren. Schritt 2: Bei der Bank (Filiale, Hotline oder Onlinebanking) die „Rückgabe einer SEPA-Lastschrift“ beziehungsweise „Erstattung“ anstoßen. Viele Banken bieten dafür direkt im Umsatz einen Button oder ein Formular. Schritt 3: Unterlagen bereithalten, etwa Screenshots aus dem PayPal-Konto, E-Mail-Bestätigungen, Bestellnummern, sowie eine kurze schriftliche Darstellung, warum die Buchung unberechtigt ist oder warum man die Erstattung ohne Begründung verlangt (bei Acht-Wochen-Fällen reicht der Antrag).
Komplizierter wird es, wenn Bank, PayPal und Kunde unterschiedlich bewerten, ob eine Autorisierung vorlag, etwa bei gespeichertem Mandat, missverständlicher Zustimmung im Checkout oder strittigen Kontozugriffen. Dann bleibt die Bank in der Pflicht, die Reklamation nach den Zahlungsdienste-Regeln zu bearbeiten, PayPal kann Nachweise zur Autorisierung liefern, und der Kunde sollte konsequent dokumentieren, weshalb er keine wirksame Zustimmung sieht. Bei fortdauerndem Streit helfen schriftliche Fristsetzung, Beschwerdeverfahren der Bank und gegebenenfalls rechtliche Beratung.
Phishing und Betrugsmaschen nach der Panne

Nach öffentlich bekannt gewordenen Störungen nutzen Kriminelle oft die Verunsicherung aus, so auch nach dem PayPal-Ausfall. Typisch sind E-Mails und SMS, die behaupten, ein „Sicherheitsproblem“ habe zu einer Sperre geführt, eine „Rückbuchung“ müsse bestätigt werden oder das Konto sei wegen „ungewöhnlicher Aktivität“ eingeschränkt. Häufig wird Zeitdruck aufgebaut: Nur wer sofort handle, könne Gebühren vermeiden oder eine angebliche Abbuchung stoppen.
Warnzeichen gefälschter PayPal-Nachrichten lassen sich meist an mehreren Punkten erkennen. Der Absender wirkt offiziell, ist aber eine fremde Domain oder eine kryptische Adresse, teils mit Zahlendrehern. Die Ansprache ist unpersönlich („Sehr geehrter Kunde“), die Sprache enthält ungewöhnliche Formulierungen, Rechtschreibfehler oder Drohszenarien („letzte Mahnung“, „Konto wird dauerhaft geschlossen“). Links führen nicht zu paypal.com, sondern zu ähnlich aussehenden Domains, verkürzten URLs oder Subdomains, die nichts mit PayPal zu tun haben. Auch Anhänge, angebliche „PDF-Rechnungen“ oder „Sicherheitsberichte“, sind ein hohes Risiko.
Wer reagiert und Daten eingegeben hat, sollte sofort handeln: Passwort im echten PayPal-Konto ändern (am besten ein neues, einzigartiges Passwort), Zwei-Faktor-Authentifizierung aktivieren und alle verknüpften E-Mail-Adressen, Telefonnummern sowie Bankverbindungen im Konto prüfen. Danach verdächtige Sitzungen und Geräte abmelden, Zahlungsquellen kontrollieren und bei unklaren Abbuchungen umgehend die Bank kontaktieren (Rückbuchung anstoßen, Karte sperren, falls nötig). Zusätzlich empfiehlt sich, den Vorfall PayPal zu melden, Phishing-SMS beim Mobilfunkanbieter zu melden und die eigene E-Mail-Sicherheit (Postfach-Passwort, 2FA) zu erhöhen, weil Angreifer oft mehrere Konten gleichzeitig übernehmen wollen.
Risikomanagement und GRC-Lehren aus dem Ausfall
Der PayPal-Ausfall machte mehrere typische Schwachstellen sichtbar, die in Governance-, Risk- und Compliance-Programmen (GRC) oft unterschätzt werden. Erstens deutet vieles auf einen Single Point of Failure in sicherheitsrelevanten Systemen hin: Wenn zentrale Komponenten wie Fraud-Detection, Authentifizierung, Risiko-Scoring oder interne Freigabeprozesse gestört sind, kann das aus Compliance-Sicht zwar konsequent sein (lieber blockieren als falsche Zahlungen zulassen), operativ führt es jedoch zu einem faktischen Stillstand. Zweitens wird das Thema Redundanz greifbar: Resilienz erfordert nicht nur skalierbare Infrastruktur, sondern auch fehlertolerante Sicherheits- und Autorisierungsketten, inklusive Notfallverfahren, abgesicherten Degradationsmodi und klaren Rollback-Prozessen.
Für Unternehmen und Händler lautet die zentrale Lehre: Abhängigkeiten aktiv reduzieren. Praktisch heißt das Multi-Provider-Strategien mit mindestens einem alternativen PSP, Kartenakzeptanz über verschiedene Acquirer, sowie zusätzliche Verfahren wie SEPA-Lastschrift oder Sofortüberweisung, je nach Zielmarkt. Wichtig ist nicht nur, mehrere Optionen „anzubieten“, sondern sie regelmäßig zu testen: Monitoring, automatische Umschaltung (Routing), definierte Schwellwerte für Failover, abgestimmte Checkout-Kommunikation und ein Backup-Plan für manuelle Zahlungsabwicklung im Kundenservice. Auch Vertrags- und Compliance-Aspekte gehören dazu, etwa SLA, Incident-Reporting, Datenverarbeitungsverträge und klare Verantwortlichkeiten im Notfall.
Langfristig kann ein solcher Vorfall PayPals Reputation im europäischen Zahlungsverkehr belasten, vor allem bei Händlern, die Verfügbarkeit als Umsatzfaktor messen. Kurzfristige Vertrauensverluste führen häufig zu mehr Diversifikation, mittelfristig steigt der Druck auf PayPal, Transparenz, Resilienz und Störungsprozesse nachweisbar zu verbessern, um Marktposition und Partnerbeziehungen zu stabilisieren.
Einordnung: Skandal, Panne oder systemisches Risiko?
Ob der Vorfall als Skandal wahrgenommen wird, hängt stark von der Transparenz ab. Maßgeblich sind dabei drei Punkte: Wie schnell eine öffentliche Stellungnahme erfolgte, wie konkret Ursachen und Umfang beschrieben wurden (statt allgemeiner Formulierungen), und ob Betroffene handlungsorientierte Informationen erhielten, etwa zu Statusseiten, erwarteter Dauer, Workarounds, sowie klaren Regeln für Erstattungen und Dispute. Eine Kommunikationsstrategie, die zu spät oder zu vage ist, verstärkt Unsicherheit, erhöht Supportlast und schafft Raum für Gerüchte und Betrugsversuche.
Im Vergleich zu früheren Zahlungsausfällen und IT-Pannen bei Finanzdienstleistern ist die Einordnung meist eine Frage von Ausmaß, Dauer und Schadenshöhe. Kurzzeitige Störungen im Minutenbereich sind im Zahlungsverkehr nicht ungewöhnlich, mehrstündige Ausfälle in Kernfunktionen treffen jedoch direkt Checkout, Abos, Marktplatztransaktionen und Peer-to-Peer-Zahlungen. Selbst ohne direkte Vermögensschäden können Folgekosten erheblich sein: abgebrochene Warenkörbe, operative Mehrarbeit, Chargebacks, Vertragsstrafen, Reputationsschäden und erhöhte Betrugsaktivität.
In der Bewertung als einmaliger technischer Fehler oder Hinweis auf strukturelle Schwächen liegt die entscheidende Frage: War die Störung eine isolierte Fehlkonfiguration oder zeigt sie, dass Sicherheitsmechanismen, Redundanz und Notfallbetrieb zu eng gekoppelt sind. Je mehr ein einzelner Anbieter als kritische Infrastruktur für viele Händler fungiert, desto eher wird aus einer Panne ein systemisches Risiko, das nur durch Diversifikation, bessere Interoperabilität und strengere Resilienzanforderungen im Markt entschärft wird.
Häufig gestellte Fragen
Wie konnte ein Ausfall bei PayPal dazu führen, dass deutsche Banken Lastschriften stoppten?
Ende August 2025 fielen bei PayPal zentrale Sicherheitssysteme zur Prüfung eingereichter SEPA-Lastschriften aus. Mehrere Institute wie die Bayerische Landesbank, die Hessische Landesbank und die DZ Bank setzten daraufhin proaktiv Lastschriften aus, um Kundinnen und Kunden vor unberechtigten Abbuchungen zu schützen. Die Banken sahen die Maßnahme als Schutz gegen potenziell unautorisierte Vorgänge. Dadurch entstanden temporäre Blockaden im Zahlungsverkehr.
Was bedeutet die Schätzung von „über zehn Milliarden Euro“ für betroffene Kunden und Händler?
Die Verbraucherzentrale schätzte, dass mehr als zehn Milliarden Euro vorübergehend eingefroren gewesen sein könnten. Für Verbraucherinnen und Verbraucher führte das zu Verzögerungen bei Rückbuchungen und bei Händlern zu abgebrochenen Bestellungen sowie Liquiditätsengpässen. Die Summe zeigt das Ausmaß des Störungsereignisses für den deutschen Zahlungsverkehr. Konkrete einzelne Vermögensschäden wurden in der Berichterstattung als Folge möglicher, aber nicht immer dokumentierter Fälle genannt.
Warum lag die Aufsicht laut Angaben nicht bei der BaFin?
PayPals Europasitz befindet sich in Luxemburg, weshalb die zuständigen Aufsichtsbehörden dort die Federführung haben. Das Bundesfinanzministerium verwies deshalb auf EU-Regeln und die luxemburgische Aufsicht. Die BaFin war nicht automatisch die primäre Aufsichtsinstanz wegen des Sitzlandprinzips. Zuständigkeitsfragen beeinflussen, welche nationalen Behörden unmittelbar an Maßnahmen beteiligt sind.
Welche Fristen gelten für Rückbuchungen von SEPA-Lastschriften in diesem Fall?
Bei autorisierten SEPA-Lastschriften können Bankkundinnen und Bankkunden innerhalb von acht Wochen ohne Angabe von Gründen zurückbuchen. Bei nicht autorisierten Abbuchungen gilt eine längere Frist von 13 Monaten für Rückforderungsansprüche. Diese Fristen wurden in der Berichterstattung als praktikable Schutzmechanismen hervorgehoben. Betroffene sollten den Zeitraum im Blick behalten und rechtzeitig bei ihrer Bank reklamieren.
Haben Betrüger die PayPal-Panne für Phishing ausgenutzt?
Nach dem Ausfall stieg laut dem Artikel die Gefahr für Phishing- und Betrugsmaschen. Unklare Kommunikation und verzögerte Statusmeldungen schufen Raum für Betrugsversuche per E-Mail und Telefon. Verbraucherinnen und Verbraucher wurden daher zu besonderer Vorsicht und zur Prüfung offizieller Statusseiten geraten. PayPal- und Bankkunden sollten keine sensiblen Daten an unbekannte Kontakte weitergeben.
Welche praktischen Schritte sollten Händler jetzt ergreifen?
Händler sollten ihre Checkout- und Abonnementprozesse auf Ausfallresilienz prüfen und alternative Zahlungsmethoden anbieten. Die Empfehlung im Text lautete, Diversifikation und bessere Interoperabilität zu fördern, um systemische Risiken zu reduzieren. Zudem helfen klare Kommunikationskanäle und dokumentierte Erstattungsregeln, Kundenvertrauen zu bewahren. Proaktive Abstimmung mit Zahlungsdienstleistern kann Betriebsunterbrechungen minimieren.
Wann ist ein Vorfall wie dieser ein systemisches Risiko und nicht nur eine Panne?
Das wird nach Ausmaß, Dauer und Schadenshöhe bewertet, wie im Artikel ausgeführt. Wenn ein Anbieter viele Händler zentral bedient und Redundanzen fehlen, kann eine technische Störung schnell systemweite Auswirkungen haben. Fehlt eine saubere Trennung von Sicherheitsfunktionen und Notfallbetrieb, steigt die Wahrscheinlichkeit für ein systemisches Risiko. Maßnahmen wie Resilienzanforderungen und Interoperabilität können das Risiko reduzieren.