OTP & Rufnummernverifizierung

Ein Einmalpasswort (One-Time Password, OTP) ist ein Code, der für einen einzelnen Login oder eine einzelne Transaktion gültig ist. Es ist der zweite Faktor der Zwei-Faktor-Authentifizierung: etwas, das der Nutzer erhält und das die Kontrolle über eine Telefonnummer oder einen Authenticator belegt — zusätzlich zu einem Passwort, das er kennt.

OTPs sind die Nachrichten mit dem höchsten Risiko, die die meisten Unternehmen versenden. Ein verspäteter oder fehlender Code bedeutet einen fehlgeschlagenen Login, eine abgebrochene Registrierung oder einen verlorenen Verkauf. Deshalb wird OTP-Verkehr als eigene Klasse mit engen Latenzbudgets und kurzen Gültigkeitsfenstern behandelt.

Rufnummernverifizierung ist die verwandte Aufgabe, nachzuweisen, dass ein Nutzer tatsächlich die Kontrolle über eine bestimmte Telefonnummer hat — die Grundlage für Kontosicherheit, Betrugsreduzierung und saubere Kontaktdaten.

HOTP (RFC 4226) erzeugt einen Code aus einem gemeinsamen Geheimnis und einem Zähler mittels HMAC. Bei jeder Nutzung erhöht sich der Zähler, sodass sich Codes nicht wiederholen. Es liegt ereignisbasierten Token zugrunde.

TOTP (RFC 6238) ersetzt den Zähler durch die aktuelle Zeit, unterteilt in feste Schritte (üblicherweise 30 Sekunden), sodass beide Seiten denselben Code aus demselben Geheimnis und derselben Uhrzeit ableiten. Dies nutzen Authenticator-Apps, und es funktioniert offline, da keine Nachricht zugestellt werden muss.

Bei per SMS zugestellten OTPs ist der Code meist ein kurzer, zufälliger numerischer Wert, der serverseitig erzeugt, an die Sitzung oder das Gerät gebunden und nach der ersten Nutzung oder einem Timeout ungültig wird. Sechs Ziffern sind der übliche Standard und wiegen Benutzerfreundlichkeit gegen Erratungsresistenz ab.

SMS ist der Standardkanal für OTPs wegen seiner universellen Reichweite, aber nicht der einzige. Voice-OTP liest den Code laut vor und hilft in Märkten mit schlechter SMS-Zustellbarkeit oder für Barrierefreiheit. WhatsApp und RCS können Codes dort reichhaltig zustellen, wo der Nutzer erreichbar ist.

Flash-Call-Verifizierung ist eine kosteneffiziente Alternative: Die Plattform tätigt einen Anruf, den die App erkennt und automatisch abweist, wodurch die Nummer anhand der letzten Ziffern der anrufenden Nummer verifiziert wird, ohne dass der Nutzer abhebt. Sie entfernt sowohl die SMS-Kosten als auch die manuelle Code-Eingabe vollständig.

Eine Kanal-Waterfall kombiniert diese: Versuchen Sie zunächst Kanal eins, und wenn die Zustellung nicht innerhalb weniger Sekunden bestätigt wird, eskalieren Sie zum nächsten. Die Waterfall muss zeitlich begrenzt sein und darf nicht denselben Code gleichzeitig über zwei Kanäle senden, was Kosten und Betrugsrisiko verdoppelt.

Gut gestaltete OTP-Nachrichten konvertieren besser. Halten Sie den Text minimal, markenkonform und konsistent, damit er Inhaltsfilter passiert, und unterstützen Sie Plattform-Autofill-Konventionen — etwa das ursprungsgebundene Einmalcode-Format in der letzten Zeile —, damit der Code automatisch eingetragen wird.

Platzieren Sie den Code niemals in einem anklickbaren Link, der phishing-anfällig sein könnte; halten Sie ihn nur zum Kopieren oder Abtippen. Lokalisieren Sie den umgebenden Text, während Code und Marken-Token stabil bleiben, damit Autofill und Nutzererkennung weiterhin funktionieren.

Messen Sie die End-to-End-Latenz bis zum Mobiltelefon (von der Übermittlung bis zum DLR), nicht nur die Zeit bis zur Übermittlungsannahme, und setzen Sie eine kurze Gültigkeitsdauer, damit ein verzögerter Code abläuft, statt veraltet einzutreffen. Lösen Sie den Fallback bei einem fehlenden DLR innerhalb Ihres Latenzbudgets aus, nicht nur bei einem expliziten Fehler.

Künstlich aufgeblähter Verkehr (Artificially Inflated Traffic, AIT), auch SMS-Pumping genannt, ist Betrug, bei dem Angreifer echt aussehende OTP-Sendungen an Nummern auslösen, die sie selbst kontrollieren, wodurch Ihre Rechnung aufgebläht wird, ohne dass ein realer Nutzer dahintersteht. Dies ist der Bereich mit dem höchsten ROI zur Abwehr für die meisten Versender.

Die zentralen Kontrollen sind Ratenbegrenzungen — je Telefonnummer, je IP, je Gerätefingerabdruck, je Konto — sowie eine Obergrenze für erneute Sendungen je Sitzung und zusätzliche Reibung (eine Challenge oder ein CAPTCHA), wenn die Geschwindigkeit aus einer Quelle sprunghaft ansteigt.

Beobachten Sie die Konversionsrate je Zielland: gepumpter Verkehr zeigt eine Flut von Anfragen mit nahezu keiner Code-Eingabe, und ein plötzlicher Anstieg in einem ungewöhnlichen Länderbereich ist die klassische Signatur. Die Validierung von Nummern mit einem HLR-/Nummern-Intelligence-Lookup vor dem Versand weist ungültige und risikoreiche Nummern von vornherein zurück.