Europas Fintech-Regelwerk bewegt sich an vielen Fronten, die Zahlungsregeln selbst bleiben Entwürfe

Die digitalpolitische Nachrichtenlage in Europa wurde am Dienstag von Dingen bestimmt, die streng genommen keine Zahlungen sind. Frankreichs Bull und Schwarz Digits, die IT-Sparte der Schwarz Group, zu der Lidl und Kaufland gehören, teilten am Dienstag mit, sie hätten eine Absichtserklärung vereinbart. Ziel ist ein europäischer KI- und Cloud-Stack von den Servern bis zur Software. Vorgestellt wurde der Deal auf dem Digitalgipfel der Bundesregierung 2026 in Berlin, wie The Next Web berichtet.

Die beiden Firmen rückten Souveränität in den Mittelpunkt. Schwarz Digits steuert seine STACKIT-Cloud bei. Bull bringt KI- und Hochleistungsrechnen ein. Die Server sollen im Bull-Werk in Angers in Frankreich gebaut werden, mit direkter Flüssigkeitskühlung.

Nichts davon ist eine Zahlungsregel. Aber es ist dieselbe politische Strömung, die die europäische Fintech-Politik seit zwei Jahren prägt. Erst die Infrastruktur im eigenen Land bauen, dann die Regeln darum schreiben.

Was sich tatsächlich bewegt und was noch Entwurf ist

Speziell für Zahlungen ist das jüngste Dokument im Umlauf kein Gesetz. FinTech Futures berichtete am Montag, dass geklonte Websites in den EU-Entwurf der Zahlungsregeln Eingang gefunden haben. Kaum jemand hat es bemerkt. Das ist ein Entwurf, kein endgültiger Text. Was für die Firmen praktisch gilt, hängt davon ab, was die Verhandlungen übersteht.

Dieselbe Vorsicht gilt für den digitalen Euro. FinTech Futures berichtete am Montag, die Europäische Zentralbank habe die Netzwerkdienstleister für den geplanten digitalen Euro benannt. Das ist ein Beschaffungsschritt, kein Start. Auf der Sibos 2026 zeigte FF News eine Sitzung mit Mayte Arráez González von der EZB zum digitalen Euro. Es bleibt ein Projekt mit einem Zeitplan, kein Produkt mit Nutzern.

Der Abstand zwischen diesen beiden Arten von Geschichten ist wichtig. Ankündigungen zu KI-Clouds und zur Infrastruktur der Zentralbanken bekommen die Schlagzeilen. Die Regeln, die entscheiden, ob ein Zahlungsunternehmen grenzüberschreitend arbeiten darf, laufen durch Konsultationen und Trilog. Sie bewegen sich langsam und meist außerhalb des Blickfelds.

Die Sicherheitsgeschichte, die tatsächlich ankam

Der konkreteste europäische Technikvorfall der Woche war kein Strategiepapier. Am Montag meldeten Supermärkte in Belgien, Estland, Irland, Finnland, Luxemburg, den Niederlanden und Schweden Probleme mit Kühlsystemen, die Temperaturen stiegen teils bis auf 50C, wie The Guardian berichtet. Mehrere Unternehmen bestätigten, gehackt worden zu sein.

CNBC berichtete, bei Ahold Delhaize seien Dutzende Delhaize-Filialen in Belgien und Luxemburg betroffen gewesen, Lebensmittel mussten entsorgt werden. Colruyt Group teilte mit, fünf Spar-Filialen seien Ziel gewesen. Carrefour sagte der BBC, 15 seiner belgischen Filialen seien angegriffen worden. Intermarché erklärte, 15 seiner 153 belgischen Filialen seien getroffen worden. IKEA meldete einen Vorfall, der zwischen Sonntag und Montag Kühlschränke und Gefriertruhen in der Filiale Mons in Belgien betraf.

Die Europäische Kommission steht in direktem Kontakt mit den nationalen Behörden. Sie berief am Dienstagmorgen eine Sitzung der EU-Taskforce der Organe mit ENISA, Europol und den zuständigen Kommissionsdiensten ein, sagte ein Sprecher zu CNBC.

In Großbritannien teilte das National Cyber Security Centre mit, es arbeite mit den betroffenen Unternehmen. Paul Chichester, der Direktor für Operationen des Zentrums, sprach am Dienstag beim Start des Jahresberichts des NCSC. "Wir kennen diese Vorfälle im Vereinigten Königreich, und selbstverständlich arbeiten wir mit den betroffenen Organisationen. Wir werden das weiter beobachten." Die British Association of Independent Meat Suppliers sagte der BBC, einige ihrer mehr als 300 Mitglieder seien betroffen.

"Es gibt so viele Schwachstellen da draußen, die … man könnte sagen, darauf warten, ausgenutzt zu werden", sagte NCSC-Chef Richard Horne und beschrieb die Kühlschrankangriffe als "Ausläufer" einer größeren Bedrohung.

The Hacker News berichtete am Dienstag ebenfalls über die zweite Welle der Kühlangriffe. Forscher von Lupovis sagten dem Guardian, sie hätten zwischen dem 20. Oktober und dem 30. Oktober 256 versuchte Angriffe aus 91 verschiedenen Quellen registriert. Die Angriffe trafen Honeypots, die Danfoss-Kühlregler nachahmten, und nutzten überwiegend die werkseitigen Standardzugangsdaten.

Wohin das Geld fließt

Das Kapital bewegt sich zumindest noch. Die wöchentliche Übersicht von Tech.eu, veröffentlicht am Montag, zählte in der Vorwoche mehr als 60 europäische Technikfinanzierungen mit einem Volumen von über 1,3 Milliarden Euro. Auf KI entfielen 815,6 Millionen Euro, auf Healthtech 121,1 Millionen Euro und auf Fintech 104,1 Millionen Euro. Großbritannien führte mit 1 Milliarde Euro, gefolgt von der Schweiz mit 74,4 Millionen Euro und Spanien mit 59,5 Millionen Euro.

Auf der Fondsseite berichtete TechCrunch am Dienstag, Yvonne Bajela habe für ihre Firma Evertrue einen überzeichneten Fund I über 17 Millionen Dollar geschlossen. Sie war zuvor bei LocalGlobe und Impact X Capital Partners. Der Fonds konzentriert sich auf Frühphaseninvestitionen in Großbritannien und Europa, mit einer durchschnittlichen Scheckgröße von rund 350.000 Pfund. Er will in drei Jahren mindestens 20 Unternehmen finanzieren. Sie sagte, der Fonds habe fünf institutionelle Geldgeber, darunter die British Business Bank. Laut PitchBook-Daten bis Ende September hätten aufstrebende britische Fondsmanager 7,4 Milliarden Dollar eingesammelt, bereits mehr als die 6,2 Milliarden Dollar im gesamten Jahr 2025.

Auch kleinere Schecks werden noch geschrieben. Tech.eu berichtete am Dienstag, das portugiesische Start-up Granter habe 1,6 Millionen Euro eingesammelt. 3XP Global führte die Runde über seinen Impact Innovation Fund unter der staatlichen Entwicklungsbank Portugals, Banco Português de Fomento. Celtis Venture Partners, Gateway Ventures und Deel beteiligten sich, womit die Gesamtfinanzierung auf 2 Millionen Euro steigt. Granters Produkt ist KI-Software, die öffentliche Förderungen findet und Anträge darauf erstellt. Das sagt einiges darüber, wie stark europäische Technik inzwischen von der Navigation durch Subventionen lebt.

Das Souveränitätsargument in eigenen Worten

Den politischen Rahmen für all das steckte Berlin offen ab. Mistral-CEO Arthur Mensch sagte POLITICO in einem am Montag veröffentlichten Interview, Europa drohe eine "komplette Falle". Diese Falle entstehe, wenn sich Europa auf industrielle KI konzentriere und die Frontier-Modelle den USA und China überlasse.

"Die Vorstellung, dass wir irgendetwas Bedeutendes bauen können, ohne die Grundlage davon zu besitzen, also die Reasoning-Modelle, die Gehirne, die die Fabriken betreiben und helfen können, bessere Systeme zu entwerfen … ist meiner Meinung nach eine komplette Falle", sagte Mensch.

Seine Äußerungen fielen, als die Bundesregierung am Montag Pläne vorstellte, Deutschland bis 2030 zu einer "souveränen KI-Nation" zu machen, mit mindestens drei europäischen Frontier-KI-Laboren. Mensch begrüßte den Ehrgeiz, sagte aber: "Eine nationale Strategie für KI gibt es nicht. Es muss eine europäische Strategie für KI sein." Er hat auch ein kommerzielles Gegenargument. POLITICO berichtete, die deutsche Suchmaschine Ecosia habe die Modelle von Mistral nicht mehr genutzt, nachdem sie zu dem Schluss gekommen sei, dass sie ihren Bedarf nicht deckten. Ihr CEO sagte, der Wechsel zu chinesischen Modellen habe die Kosten halbiert und die Leistung verbessert.

POLITICO berichtete am Samstag außerdem, Brüssel plane, die nächste Technikrevolution mit einem Quantengesetz zu gewinnen. Das erinnert daran, dass die Antwort der EU auf eine verlorene Technologierennbahn bisher war, für die nächste zu legislieren.

Regeln, die mit einem Datum kommen

Manche europäischen Technikregeln haben feste Fristen, und Firmen täten gut daran, sie zu lesen. Electrek berichtete am Montag, dass ab dem 18. Februar 2027 neue E-Bike-Akkus, die in der EU verkauft werden, einen digitalen Batteriepass benötigen, der per QR-Code abrufbar ist, nach der EU-Batterieverordnung von 2023. Der Pass kann Hersteller, Chemie, Kapazität, Ladezyklen, CO2-Fußabdruck und Materialdaten enthalten. Was ein normaler Käufer sieht, hängt von der Berechtigungsstufe ab.

CleanTechnica berichtete am Montag unter Berufung auf Transport & Environment über den im Juli 2026 veröffentlichten Vorschlag zur Überprüfung des EU-Emissionshandelssystems. Er sei nicht geeignet, Investitionen in saubere Kraftstoffe in der Luftfahrt und der Schifffahrt zu stützen. CleanTechnica plädierte dafür, 50% der nationalen ETS-Einnahmen für die Dekarbonisierungsförderung zu reservieren.

Zahlungsunternehmen haben ihren eigenen Termindruck. FinTech Weekly merkte am 28. Oktober an, dass Verification of Payee ein Jahr alt ist und Instant Payments Europa noch immer auf die Probe stellen. Das ist eine direktere Zusammenfassung der Lage als jedes Konsultationspapier.

Der Querschluss

Zusammengenommen beschreiben die Nachrichten der Woche eine europäische Technikpolitik, die laut über Infrastruktur spricht und leise über die operativen Regeln, die Firmen brauchen. Die Absichtserklärung von Bull und Schwarz Digits, die deutsche Souveränitätsstrategie und die Warnungen von Mensch sind alles Argumente darüber, wem der Stack gehört. Die Klausel zu geklonten Websites, die Beschaffung für den digitalen Euro und die Erfahrungen mit Verification of Payee drehen sich darum, ob die Infrastruktur funktioniert.

Für Fintechs entscheidet die zweite Kategorie über das Geschäft. Eine Entwurfsregel zu geklonten Websites kann Onboarding und Haftung verändern. Eine Anbieterliste für den digitalen Euro kann die Schienen verändern. Ein Verification-of-Payee-Regime, das sich nach einem Jahr noch einspielt, kann Betrugskosten und Konversionsraten verändern.

Und die Kühlschrankangriffe erinnern daran, dass die Sicherheitsschicht darunter nicht theoretisch ist. Alte Technik, die mit Standardpasswörtern am Internet hängt, wie The Guardian im vergangenen Monat über die französischen Vorfälle berichtete, ist dieselbe Art von Problem. Zahlungssysteme geben Millionen aus, um sie zu vermeiden.

Das nächste echte Signal kommt aus Brüssel, nicht aus Berlin. Solange der Text der Zahlungsregeln nicht feststeht und veröffentlicht ist, lesen Fintechs Entwürfe und beobachten Bekanntmachungen zu Beschaffungen. Das ist ein schlechter Ersatz für ein Regelwerk, aber im Moment ist es das, was es gibt.