Alles Wissenswerte, nichts Unwissendes.
Wie ein Pumpangriff funktioniert
AIT missbraucht jedes Web- oder App-Formular, das auf Anfrage eine SMS versendet – Registrierung, Anmeldung, Telefonverifizierung, „Code erneut senden“. Betrüger programmieren Bots, die diese SMS tausend- oder millionenfach anfordern und dabei Telefonnummern in ihren Kontrollbereichen oder solche, die über einen Komplizen in der Zustellungskette laufen (einen Aggregator oder einen Terminierungsbetreiber, der eine Umsatzbeteiligung erhält), ins Visier nehmen. Jede vom Anbieter der Marke versendete Nachricht generiert eine fällige Terminierungsgebühr, die teilweise an den Betrüger fließt.
- Einstiegspunkt: jeder nicht authentifizierte „Sende mir eine SMS“-Endpunkt (OTP, Verifizierung, erneutes Senden).
- Bots generieren Massenanfragen an von Betrügern kontrollierte oder miteinander kollaborierende Nummernkreise.
- Absprachen zur Umsatzbeteiligung in der Lieferkette wandeln das Volumen in Auszahlungen um.
- Die Marke zahlt; kein echter Nutzer erhält jemals einen Mehrwert.
Die Ökonomie des Betrugs – warum AIT ein Unternehmen ist
AIT ist ein Betrug mit Umsatzbeteiligung. Er funktioniert nur, wenn jemand in der Terminierungskette – ein unseriöser Aggregator oder ein Betreiber, der ein Auge zudrückt – die überhöhte Terminierungsgebühr mit demjenigen teilt, der den Datenverkehr erzeugt. Teure internationale Rufnummernbereiche sind besonders attraktiv, da jede aufgeblähte Nachricht eine höhere Gebühr zur Aufteilung mit sich bringt. Graue Routen bieten sich als natürlicher Kanal an, da genehmigte, direkt zum Betreiber führende Routen überwacht und abgerechnet werden.
- Erfordert Absprachen in der abschließenden Kette, um eine Monetarisierung zu ermöglichen.
- Bei teuren Zieladressen maximiert sich der Anteil des Betrügers pro Nachricht.
- Graue Routen sind der bevorzugte, aber schwerer zu vereinbarende Verbindungsweg.
- Industrialisierung – Juniper Research schätzte den Anteil bekannter AIT-Lösungen im Jahr 2023 auf etwa 18 % des internationalen A2P-SMS-Volumens.
Was es die Branche kostet
Die Schätzungen variieren je nach Umfang, daher sollten Quellen sorgfältig zitiert werden. Juniper Research (veröffentlicht im März 2024 in Zusammenarbeit mit VOX Solutions) bezifferte die weltweiten Kosten von AIT und SMS-Müll für Unternehmen im Jahr 2023 auf rund 8,5 Milliarden US-Dollar und prognostizierte einen Anstieg auf etwa 23,4 Milliarden US-Dollar bis 2027. Zum Vergleich: Die CFCA Global Fraud Loss Survey 2023 schätzte den gesamten Telekommunikationsbetrug auf etwa 38,95 Milliarden US-Dollar.
- Juniper Research: Kosten für Unternehmen in Höhe von ca. 8,5 Mrd. USD im Jahr 2023; ca. 23,4 Mrd. USD bis 2027.
- CFCA 2023: Telekommunikationsbetrug insgesamt ~38,95 Mrd. USD.
- Ordnen Sie jeder Zahl ihre Quelle und ihr Jahr zu – die Anwendungsbereiche sind unterschiedlich.
Erkennungssignale – wie man erkennt, ob man gepumpt wird
AIT hinterlässt einen deutlichen Fingerabdruck, da der Datenverkehr auf Gebühren und nicht auf Nutzer ausgerichtet ist. Am deutlichsten zeigt sich dies an einem sprunghaften Anstieg von OTP-/Verifizierungsanfragen, die nicht zu Anmeldungen, Logins oder anderen Folgeaktivitäten führen – hohes Sendevolumen, aber kaum Interaktion. Die manipulierten Nummern existieren oft nicht im Netzwerk, sodass Zustellbestätigungen mit fehlenden Teilnehmercodes zurückkommen. Die Analyse des Verhältnisses von Sende- zu Konversionsrate nach Zielort ist oft die aufschlussreichste Kennzahl.
- Anstieg der OTP-Anfragen ohne Registrierungs-/Anmeldekonversion.
- Der Verkehr konzentrierte sich plötzlich auf ungewöhnliche Länder oder Zahlenbereiche.
- Automatisierungsbedingte Tageszeit- und Ausbruchsmuster.
- Niedrige DLR-Erfolgsrate (Abwesenheitscodes für Teilnehmer) auf den gepumpten Strecken.
Absenderseitige Abwehrmechanismen – was die Marke kontrolliert
Da AIT am eigenen Endpunkt der Marke beginnt, befindet sich dort die erste Verteidigungslinie. Begrenzen Sie die Anrufrate und fügen Sie CAPTCHA oder Bot-Erkennung für OTP-Endpunkte hinzu. Wenden Sie Geo- und Geschwindigkeitskontrollen an – blockieren oder hinterfragen Sie Verifizierungsanfragen an Ziele, die Sie nicht bedienen. Validieren Sie die Zielrufnummer vor dem Senden mit HLR Lookup; manipulierte Nummern schlagen häufig fehl. Verlagern Sie risikoreiche Datenströme nach Möglichkeit auf Authentifizierungs-Apps oder die stille Netzwerkverifizierung, wodurch manipulierte SMS vollständig vermieden werden.
- Ratenbegrenzung plus CAPTCHA/Bot-Erkennung an OTP-Endpunkten.
- Geografische/Geschwindigkeitsbeschränkungen; Blockieren Sie Ziele, die Sie nicht bedienen.
- HLR-Vorvalidierung und Nummernkreis-Sperrlisten.
- Hochriskante Datenflüsse sollten auf Flash-Call- oder stille Netzwerkverifizierung umgestellt werden.
Netzwerkseitige Verteidigungsmechanismen – was der Betreiber und die Firewall kontrollieren
Netzwerkseitig decken eine SMS-Firewall und die Routenüberwachung Schwachstellen auf, die der Marke entgehen. Die Firewall erkennt ungewöhnlich hohe Konzentrationen von OTP-Anfragen und Anomalien bei den Zieladressen und kann verdächtige Datenströme drosseln oder blockieren. Gleichzeitig deckt die Routenabstimmung die Grauzonenrouten und die teuren Frequenzbereiche auf, auf die AIT angewiesen ist. Der Betrieb über genehmigte, direkt an den Betreiber gerichtete Routen anstelle von Grauzonenrouten unterbindet den bevorzugten Kommunikationsweg der Betrüger und liefert präzise, vom Endgerät bestätigte Zustellbestätigungen, wodurch das Aufspüren von Betrugsversuchen erleichtert wird.
- Anomalieerkennung auf Firewall-Ebene bei OTP- und Zielmustern.
- Routenabgleich mit oberirdischen grauen Routen und Hochkostenbereichen.
- Die bedienerdirekte Routenführung beseitigt die Graurouten, auf die AIT angewiesen ist.
- Präzise DLRs machen aufgepumpten, nie abgelesenen Verkehr sichtbar.
Wie BroadNet hilft
BroadNets OTP-Produkt (/products/myotp) bietet standardmäßig aktivierten AIT-Schutz: Ratenbegrenzung pro MSISDN, IP-Adresse und Gerät; HLR-Vorvalidierung; automatische Sperrung von MCC/MNC-Bereichen ohne erfolgreiche Zustellungen in Ihrem Konto; und ein AIT-Erkennungsmodell, das auf kundenübergreifenden Angriffsmustern basiert. In Kombination mit dem betreiberseitigen Direktrouting wird der Bereich, in dem manipulierter Datenverkehr verborgen und monetarisiert werden kann, deutlich eingeschränkt.
- Standardmäßig wird die Datenrate pro MSISDN, IP-Adresse und Gerät begrenzt.
- HLR-Vorvalidierung + automatische Sperrung von Bereichen ohne Zustellung.
- AIT-Erkennungsmodell für kundenübergreifende Muster.
- Direkte Routenplanung durch den Betreiber + ehrliche DLRs zur Aufdeckung von gepumptem Verkehr.
AIT-Abwehrmechanismen: Senderseitig vs. netzwerkseitig
| Absenderseitig (die Marke) | Netzseitig (Netzbetreiber / Firewall) | |
|---|---|---|
| Ratenbegrenzung + CAPTCHA auf OTP-Endpunkten | — | |
| Geo-/Frequenz- + Nummernbereichs-Sperrlisten | ||
| HLR-Vorvalidierung vor dem Senden | — | |
| Firewall-Anomalieerkennung + Drosselung | — | |
| Direktes Routing zum Netzbetreiber + ehrliche DLRs | — | |
| Flow weg von SMS verlagern (Authenticator / Silent Verification) | — |