Alles Wissenswerte, nichts Unwissendes.
So funktioniert die Rufnummernverifizierung
Der klassische Ablauf: Ihre App fordert einen Einmalpasscode an, die Plattform generiert ihn und übermittelt ihn über einen Kanal (SMS, Anruf, WhatsApp) an die angegebene Nummer. Der Nutzer gibt ihn zurück, um den Besitz der Nummer zu bestätigen. Neuere Methoden verzichten komplett auf den Code: Die Flash-Anrufverifizierung liest den Passcode aus der Anrufer-ID eines nicht angenommenen Anrufs, und die stille Netzwerkauthentifizierung verifiziert die SIM-Karte unbemerkt während einer Datenverbindung beim Mobilfunkanbieter. Siehe /products/otp, /products/myotp und /answers/what-is-otp.
Die Verifizierungsmethoden
SMS-OTP (weltweit verfügbar, am weitesten verbreitet); Sprach-OTP (erreicht Festnetzanschlüsse und Gebiete mit eingeschränkter SMS-Abdeckung, wird vorgelesen); WhatsApp-OTP (umfassend, kostengünstig, sofern die App installiert ist); Flash-Anruf (schnell, kostengünstig, keine Nachrichtenübertragung, Android-kompatibel); und stille Netzwerkauthentifizierung (keine Benutzerfreundlichkeit, höchster Schutz vor Abhören). Ein zuverlässiger Verifizierungsdienst wechselt je nach Land und Zustellungsergebnis zwischen den Authentifizierungsmethoden. Siehe /answers/what-is-2fa und /answers/what-is-flash-call-verification.
Stille Netzwerkauthentifizierung und GSMA Open Gateway
Die stille Netzwerkauthentifizierung (SNA) öffnet eine Datenverbindung, die der Mobilfunkbetreiber anhand der SIM-Karte authentifiziert und so den Besitz der Nummer bestätigt. Der Nutzer muss nichts eingeben, und Angreifer können keine Daten abfangen oder ausspähen. SNA wird über das GSMA Open Gateway und die CAMARA Number Verification API bereitgestellt und ist die einfachste und sicherste Option, sofern Netzabdeckung vorhanden ist. Siehe /answers/silent-network-authentication und /answers/gsma-open-gateway.
Das Betrugsproblem: AIT- und SMS-Pumping
Der OTP-Verkehr ist das Hauptziel von künstlich aufgeblähtem SMS-Verkehr (AIT), auch SMS-Pumping genannt: Betrüger verschicken massenhaft OTPs an Premium-Nummernbereiche, um Profit zu machen und Ihr Verifizierungsbudget zu erschöpfen. Zu den Schutzmaßnahmen gehören die HLR-/Nummernbereichsvalidierung vor dem Versand, Ratenbegrenzungen pro Nummer und IP-Adresse sowie die Umstellung risikoreicher Regionen auf Flash-Anrufe oder stille Authentifizierung. Siehe /answers/what-is-ait und /answers/what-is-sms-pumping.
Vorteile und Wahl einer Methode
Die Rufnummernverifizierung verhindert Kontoübernahmen, Bot-Anmeldungen und Zahlungsbetrug und stellt gleichzeitig sicher, dass es sich um einen erreichbaren, echten Kunden handelt. Wählen Sie je nach Markt: SMS für flächendeckende Reichweite, stille Authentifizierung oder Flash-Anruf zur Kosten- und Aufwandsreduzierung (sofern abgedeckt), Sprachanruf als Ausweichlösung und validieren Sie Rufnummern immer zuerst, um AIT zu verhindern. Die Verifizierungslösung von BroadNet unterstützt alle diese Optionen. Siehe /products/hlr-lookup und /operators/flash-call.
Welche Methode zur Nummernverifizierung ist am sichersten?
Die stille Netzwerkauthentifizierung bietet die höchste Sicherheit: Da die SIM-Karte über die Datenebene mit dem Mobilfunkanbieter abgeglichen wird, gibt es keinen Code, der für Phishing, Abfangen über SS7 oder Social Engineering zur Manipulation der Nutzerdaten genutzt werden könnte. Flash Call ist die nächstbeste Methode. Einfache SMS-OTP ist zwar am weitesten verbreitet, aber auch am anfälligsten für Angriffe. Daher sollte sie mit Rufnummernvalidierung und Ratenbegrenzung kombiniert werden. Die praktikable Lösung ist eine Richtlinie, die je nach Risiko und Abdeckung zwischen verschiedenen Methoden wechselt. Siehe /answers/what-is-2fa.