# Ägypten eKYC und OTP: Die CBE-Regeln für die digitale Finanzidentität und ihre Bedeutung für die SMS-Verifizierung

> Am 23. August 2026 hat die Zentralbank von Ägypten Regeln für ihre Plattform für die digitale Finanzidentität zur Fernöffnung von Konten erlassen. Diese legen SMS OTP als Methode fest, mit der eine Bank nachweist, dass ein Kunde seine Nummer besitzt – während ältere CBE-Wallet-Regeln SMS als zweiten Faktor für Hochrisiko-Aktionen ausschließen. Was die einzelnen Regeln besagen und wie man OTP für Ägypten gestaltet.

- Kanonische URL: https://www.broadnet.me/de/blog/egypt-cbe-ekyc-otp-2026
- Sprache: de
- Zuletzt aktualisiert: 2026-10-20
- Herausgeber: BroadNet (https://www.broadnet.me)

- Veröffentlicht: 2026-10-10
- Autor: BroadNet Regulatory Affairs

Am 23. August 2026 hat die Zentralbank von Ägypten (CBE) die „Regulations Governing the Services of the Digital Financial Identity Platform“ erlassen, das Regelwerk für die Eröffnung von Bankkonten und die Fernverifizierung von Kunden (eKYC). Für die SMS-Verifizierung ist die Kernvorgabe kurz: Eine Bank, die Kunden über ihre eigene App verifiziert, muss bestätigen, dass die Mobilfunknummer dem Kunden gehört und sich in seinem Besitz befindet, indem sie eine Textnachricht mit einem Einmalpasswort (OTP) sendet. Ältere CBE-Wallet-Regeln, die weiterhin gültig sind, besagen, dass SMS den zweiten Faktor für Hochrisiko-Aktionen nicht liefern darf. Dieser Leitfaden erläutert die einzelnen Regeln und zeigt auf, wie BroadNet vorschlägt, dass ägyptische Banken, Wallets und Fintechs ihre OTP darauf aufbauen.

> Dieser Leitfaden fasst die öffentlichen Regulierungstexte mit Stand vom 10. Oktober 2026 zusammen. Es handelt sich um allgemeine Informationen, nicht um Rechtsberatung – bestätigen Sie Ihre Verpflichtungen bei der Zentralbank von Ägypten, der NTRA, der PDPC oder Ihrem Rechtsbeistand, bevor Sie sich auf diese Informationen verlassen.

## Wichtigste Erkenntnisse

- Der CBE-Rat hat die Regulierungen für die digitale Finanzidentität (DFI) am 17. Juni 2026 genehmigt; ein Rundschreiben vom 23. August 2026 hat diese an die Banken übermittelt. Sie gelten für alle Banken in Ägypten, lizenzierte Unternehmen, die der Plattform beitreten können, sowie für CBE-autorisierte Bankagenten.
- Eine Bank, die Kunden in ihrer eigenen App verifiziert, muss den Besitz der Mobilfunknummer „durch das Senden einer Textnachricht mit einem Einmalpasswort (OTP)“ prüfen und anschließend ein DFI-Zertifikat an das Gerät binden.
- Die Plattform authentifiziert über vier Mechanismen: das gerätegebundene DFI-Zertifikat, OTP, eine sechsstellige globale PIN und Biometrie.
- Sie kann eine handschriftliche Unterschrift bei nicht-finanziellen Transaktionen ersetzen; für die Authentifizierung finanzieller Transaktionen ist eine separate CBE-Genehmigung erforderlich.
- Die Mobilzahlungsregeln der CBE (April 2021) erfordern zwei Faktoren für Hochrisiko-Wallet-Aktionen und besagen, dass OTPs für diese nicht automatisch und direkt durch SMS oder per E-Mail versendet werden dürfen. SMS bleibt der vorgesehene Kanal für Benachrichtigungen.
- Gemäß PDPC fallen die vom CBE und den von ihm beaufsichtigten Unternehmen gehaltenen Daten nicht unter das Datenschutzgesetz, mit Ausnahme von Geldtransferunternehmen und Wechselstuben.

## Was hat die Zentralbank von Ägypten im August 2026 herausgegeben?

Die Veröffentlichung des CBE vom 23. August 2026 besagt, dass dessen Vorstand „die Vorschriften für die Dienste der Digital Financial Identity (DFI) Plattform zur Identifizierung von Bankkunden und zur elektronischen Verifizierung ihrer Identität (eKYC)“ genehmigt hat; das begleitende Rundschreiben hält die Vorstandsgenehmigung vom 17. Juni 2026 fest. Gouverneur Hassan Abdalla erklärte, dass die Plattform es den Bürgern ermöglicht, Konten zu eröffnen und Bankprodukte über digitale Kanäle zu beziehen, ohne eine Filiale besuchen zu müssen, wobei die elektronische Annahme von Bedingungen und die elektronische Authentifizierung „als Alternative zu handschriftlichen Unterschriften“ dienen.

Die Regeln umfassen eKYC (Identifizierung, Verifizierung und Identitätsaktualisierungen), die elektronische Authentifizierung von Transaktionen, Zahlungs- und Übertragungsaufträgen sowie die Annahme von Bedingungen und den Austausch der DFI eines Kunden zwischen den Teilnehmern. Die Plattform wird in Ägypten von der Digital Financial Identity Company, „Haweya“, betrieben, die nationale Identitätsdaten über vertrauenswürdige Quellen wie die Civil Status Organization ausliest, ergänzt durch NFC-Chip-Auslesung und Liveness-Detection. Das Rundschreiben vom August besagt, dass die Anti-Geldwäsche-Einheit (EMLCU) die elektronischen Identifizierungsverfahren festlegen wird; ein CBE Rundschreiben vom 28. September 2026 besagt, dass die EMLCU deren erste Ausgabe in diesem Monat genehmigt hat. Keiner dieser Texte legt eine separate Compliance-Frist fest.

## Wo erscheint SMS OTP in den DFI-Vorschriften?

| Klausel (DFI-Vorschriften) | Inhalt | Bedeutung für OTP |
|---|---|---|
| 4, Zweiter, 2.1 | Eine Bank, die ihre eigenen Apps nutzt, muss durch ein SMS mit einem OTP verifizieren, dass die Mobilfunknummer dem Kunden gehört und sich in seinem Besitz befindet. | SMS OTP ist die Prüfung des Besitzes beim Onboarding – sie muss das hinterlegte Ziel zuerst erreichen |
| 4, Zweitens, 2.2 | Anschließend wird das DFI-Zertifikat ausgestellt und mit dem Gerät und den Apps des Kunden verknüpft | Routine-Logins basieren auf dem verknüpften Gerät; SMS dient als Kanal für die Wiederherstellung und erneute Verknüpfung |
| 5, Punkt 7.2 | Haweya bietet vier Mechanismen: DFI-Zertifikat auf derselben App und demselben Gerät, OTP, globale PIN, Biometrie | OTP ist einer von vier Faktoren, nicht das gesamte Modell |
| 4, Erstens, 7 | Benachrichtigen Sie den Kunden über mehr als einen Weg, dass die Erstellung von DFI abgeschlossen ist | Kombinieren Sie eine SMS-Bestätigung mit einer Benachrichtigung in der App oder per E-Mail |
| 4, Fifth, 1 | Überwachen Sie wiederholte fehlgeschlagene Logins und fehlerhafte Authentifizierungsversuche in kurzer Zeit; kontaktieren Sie den Kunden umgehend | Protokollieren Sie jeden OTP-Versuch und lassen Sie sich bei Häufungen von Fehlversuchen alarmieren |

Auch die umgebenden Kontrollen sind streng: Root- und Jailbreak-Erkennung sowie Certificate Pinning in der App, Meldung von Vorfällen an die CBE innerhalb von sechs Stunden, 48 Stunden Vorankündigung für geplante Ausfälle und — vor dem Launch — Penetrationstests, ein SOC 2 Type 1 Bericht (Type 2 innerhalb von sechs Monaten) sowie eine Datenschutz-Folgenabschätzung.

## Ist SMS OTP ausreichend für Zahlungen in Ägypten?

Nicht für jede Aktion. Die Mobile Payment Services Regulations der CBE (dritte Ausgabe, April 2021) definieren Hochrisikoaktivitäten, zu denen Zahlungsaufträge an mehrere Begünstigte gleichzeitig, Aufträge, die vom Übertragungslimit ausgenommen sind, sowie Änderungen von Kontaktdaten gehören. Für diese müssen Banken zwei Mittel kombinieren und dürfen Einmalpasswörter nicht „automatisch und direkt“ per SMS oder E-Mail vergeben; OTPs von Token-Geräten oder Apps müssen mindestens sechs Zeichen lang und höchstens 90 Sekunden gültig sein. Andere Transaktionen werden mit einer PIN von mindestens sechs Ziffern erneut authentifiziert, wobei maximal fünf Fehlversuche vor einer Sperrung zulässig sind. SMS hat dennoch eine klar definierte Aufgabe: Banken müssen Wallet-Nutzer über Transaktionen und Hochrisikoaktivitäten per SMS oder E-Mail benachrichtigen, sofern sie sich nicht abgemeldet haben, und ein Zahlungsauftrag darf nicht durch SMS erstellt werden, obwohl SMS diesen bestätigen kann.

Die Regeln des Instant Payment Network (IPN) vom Oktober 2021 erfordern zwei Faktoren für jede IPN-Zahlung: eine feste Bindung des Telefons (Geräte-Fingerabdruck plus Nummer) und eine sechsstellige IPN-PIN, wobei OTPs nur innerhalb der sicheren Bibliothek des Netzwerks verarbeitet werden dürfen. Banken müssen Kunden über Transaktionen „per Textnachricht oder durch jede andere zugelassene Methode“ informieren. Die Card-Tokenization-Regeln der CBE vom März 2023 ermöglichen eine SMS OTP für das bei der Bank registrierte Telefon als eine Möglichkeit, den Karteninhaber zu verifizieren.

| Moment im Prozess | Rolle von SMS in den CBE-Texten | Quelle |
|---|---|---|
| eKYC-Onboarding in der eigenen App der Bank | Erforderlich: SMS OTP als Nachweis über den Besitz der Nummer | DFI-Regulierungen 2026, 4-Second-2.1 |
| Eröffnung eines Wallets für Bestandskunden | Die Bank muss den Besitz oder die Inhaberschaft der Nummer bestätigen | Regeln für mobiles Bezahlen 2021, 3-3-20 |
| Hinzufügen einer Karte zu einem Device-Wallet | SMS OTP an das registrierte Telefon ist ein beispielhaftes Verfahren | Tokenisierungsregeln 2023, 3-2-5 |
| Hochriskante Wallet-Aktion | Zwei Faktoren; OTP wird nicht automatisch und direkt durch SMS oder per E-Mail versendet | Mobile-Payment-Regeln 2021, 3-4-5-1 |
| IPN Zahlung | Gerätebindung + IPN PIN | IPN Regeln 2021, 4-7 bis 4-9 |
| Transaktionsbenachrichtigungen | SMS als Kanal benannt | Mobile-Payment-Regeln 3-6-8; IPN Regeln 3-1-9 |

SMS verifiziert die Nummer, bindet das Gerät und hält den Kunden auf dem Laufenden; die stärksten Maßnahmen basieren auf dem Gerät plus einer PIN oder Biometrie. Wir vergleichen die VAE, Indien und die Philippinen in [Ist SMS OTP verboten?](https://www.broadnet.me/blog/sms-otp-bank-regulation-uae-india-philippines-2026).

## Was bedeuten die NTRA Regeln für OTP Nachrichten nach Ägypten?

Die nationale Telekommunikations-Regulierungsbehörde (NTRA) lizenziert Bulk-SMS im Rahmen ihres Regelwerks für mobile Mehrwertdienste, unter dem die Kategorie „Bulk SMS (One-to-One)“ definiert ist, in die die OTP fallen. Lizenznehmer müssen in jeder Nachricht den Namen des sendenden Unternehmens angeben, dem ein NTRA-Code vorangestellt ist; sie müssen den NTRA vor Vertragsabschluss über den Namen und die Absenderkennung jedes Kunden informieren; sicherstellen, dass der Absender in Ägypten ansässig ist; und internationale Nachrichten nicht ohne die vorherige schriftliche Genehmigung des NTRA nach Ägypten routen. Daher benötigt ein OTP einer Bank eine registrierte Absenderkennung, die den Namen der Bank trägt und über einen lizenzierten lokalen Kanal versendet wird.

Die Seite des BroadNet zur [Abdeckung in Ägypten](https://www.broadnet.me/coverage/egypt) listet lizenzierte Terminierung mit direkten Anbindungen an Vodafone Egypt, Orange Egypt, e& Egypt und WE sowie die Registrierung der Absenderkennung innerhalb von 7–14 Werktagen auf; die Unterlagen finden Sie in unserem [Leitfaden für die ägyptische A2P SMS](https://www.broadnet.me/blog/egypt-a2p-sms-sender-id-pdpl-guide-2026) und unter [Absenderkennung-Registrierung in Ägypten](https://www.broadnet.me/answers/sender-id-registration-egypt-ntra). Auf der Betreiberseite betreibt [e& Egypt](https://www.broadnet.me/customers/case-studies/e-egypt) die A2P-Firewall von BroadNet gegen Grey Routes. Die Wallet-Regeln des NTRA legen fest, dass jede Nummer nur eine Wallet eröffnen kann und keine Transaktion ohne die PIN des Kunden abgeschlossen werden kann, sodass die Telefonnummer die Wallet-Identität darstellt — prüfen Sie auf SIM-Swaps und wiederverwendete Nummern ([Nummernverifizierung und SIM-Swap-APIs](https://www.broadnet.me/blog/number-verify-sim-swap-api-middle-east)).

## Wie behandelt das ägyptische Datenschutzgesetz den OTP-Verkehr?

Das Gesetz Nr. 151 von 2020 hat nun Durchführungsverordnungen, die das Zentrum für den Schutz personenbezogener Daten (PDPC) als Durchführungsverordnung Nr. 816 von 2025 anführt. Die PDPC listet unter den Ausnahmen „personenbezogene Daten, die von der Zentralbank von Ägypten und von Unternehmen unter ihrer Aufsicht und Kontrolle gehalten werden, mit Ausnahme von Geldtransferunternehmen und Wechselstuben“ auf; daher folgen Banken den CBE-Datenschutzregeln wie den DFI-Kontrollen; ob ein Fintech unter diese Ausnahme fällt, ist eine Frage für die Rechtsberatung. Sofern das Gesetz Anwendung findet, ist die vertragliche Notwendigkeit eine rechtmäßige Grundlage — die Eignung für einen Code, den der Nutzer angefordert hat — während Marketing eine ausdrückliche Einwilligung, eine kostenlose Abmeldung und möglicherweise eine E-Marketing-Lizenz erfordert. Verstöße müssen dem PDPC innerhalb von 72 Stunden gemeldet werden, und Übermittlungen ins Ausland benötigen eine PDPC-Lizenz oder -Genehmigung; fragen Sie Anbieter daher, wo die Nachrichtenprotokolle gespeichert sind ([Datenresidenz](https://www.broadnet.me/security/data-residency)).

## Wie sollten ägyptische Banken und Wallets OTP gestalten?

Empfehlungen von BroadNet zur Einhaltung dieser Regeln:

1. Verwenden Sie SMS OTP für die Prüfung des Besitzes beim Onboarding und binden Sie dann das Gerät; bewahren Sie SMS für die Wiederherstellung und das erneute Binden auf.
2. Verwenden Sie bei Hochrisiko-Wallet-Aktionen einen In-App- oder Token-Code plus einen zweiten Faktor und senden Sie dann eine SMS-Warnung.
3. Registrieren Sie eine dedizierte OTP-Absenderkennung unter Ihrem Markennamen, getrennt vom Marketing, über lizenzierte lokale Routen.
4. Setzen Sie den Code an den Anfang. Arabisch verwendet UCS-2, daher enthält ein SMS 70 Zeichen, nicht 160 ([Encoding-Leitfaden](https://www.broadnet.me/blog/sms-encoding-segmentation-gsm7-ucs2)); fügen Sie die [Autofill](https://www.broadnet.me/blog/sms-otp-autofill-android-ios-web-guide)-Zeile hinzu.
5. Nutzen Sie kurze Ablaufzeiten, begrenzte Versuche und vollständige Protokolle über Versendungen, Zustellungsbestätigungen und Verifizierungen — die DFI-Regeln erfordern die Überwachung fehlgeschlagener Authentifizierungen.
6. Wenn innerhalb Ihres Zeitfensters keine Zustellungsbestätigung eintrifft, führen Sie einen erneuten Versuch über eine andere Route durch und bieten Sie dann [Voice OTP](https://www.broadnet.me/products/voice) an; senden Sie niemals endlos erneut.
7. Prüfen Sie auf SIM-Swaps, bevor Sie an eine kürzlich geänderte Nummer senden ([SIM-Swap-Betrug](https://www.broadnet.me/blog/sim-swap-fraud-sms-otp-defense)).
8. Speisen Sie OTP-Metriken in Betrugs- und Incident-Prozesse ein ([Bank OTP-Monitoring-Playbook](https://www.broadnet.me/blog/bank-otp-delivery-monitoring-fraud-playbook)).

Die [OTP](https://www.broadnet.me/products/otp) von BroadNet API deckt dieses Muster ab: SMS mit automatischem Voice-Fallback, wenn keine Zustellungsbestätigung zurückkehrt, zielspezifische Handhabung der Absenderkennung und Zustellungsbestätigungen bei jedem Versuch. Die Listenpreise für Ägypten beginnen bei $0.028 pro SMS auf e& Egypt (Etisalat Misr), $0.030 bei Vodafone Egypt, $0.032 bei Orange Egypt und $0.035 bei WE ([SMS-Preisgestaltung in Ägypten](https://www.broadnet.me/pricing/sms/egypt)); für Anbieterfragen siehe [besten SMS-Anbieter in Ägypten](https://www.broadnet.me/compare/best-sms-provider-egypt).

> BroadNet betreibt seit 2003 Messaging auf Carrier-Niveau mit über 1.000 direkten Netzbetreiber-Anbindungen, einem SLA von 99,99 % und SOC 2 Typ II. Fordern Sie Testzugang an und ein Ingenieur wird innerhalb eines Werktages antworten; die Integration dauert in der Regel 2–5 Werktage, wobei die Genehmigung der Absenderkennung parallel erfolgt.

## Häufig gestellte Fragen

### Was ist die CBE Digital Financial Identity Plattform?

Die von CBE zugelassene Plattform zur Erstellung der digitalen Finanzidentität eines Kunden und zur elektronischen Verifizierung von Kunden (eKYC), betrieben in Ägypten durch die Digital Financial Identity Company, Haweya. Ihre Regeln wurden in einem CBE-Zirkular vom 23. August 2026 veröffentlicht.

### Erfordern die CBE eKYC-Regeln SMS OTP?

Ja, in einem Fall: Eine Bank, die die Identität in ihren eigenen Apps verifiziert, muss den Besitz der Mobilfunknummer mittels eines SMS OTP bestätigen, bevor sie ein DFI-Zertifikat mit dem Gerät verknüpft. OTP ist zudem einer der vier Authentifizierungsmechanismen der Plattform.

### Wer muss die DFI-Vorschriften einhalten?

Alle in Ägypten tätigen Banken, lizenzierte Unternehmen, die zur Teilnahme an der Plattform berechtigt sind, sowie CBE-autorisierte Bankvertreter. Diese Regeln stellen eine Mindestanforderung dar, die zusätzlich zu den elektronischen Bankenregeln, AML/CFT- und operationellen Risikoregeln der CBE gilt.

### Kann die DFI-Plattform Zahlungen authentifizieren?

Banken können sie für nicht-finanzielle Transaktionen anstelle einer handschriftlichen Unterschrift nutzen. Die Authentifizierung finanzieller Transaktionen erfordert eine zusätzliche CBE-Genehmigung sowie die Einhaltung ihrer elektronischen Authentifizierungskontrollen.

### Dürfen Mobile Wallets in Ägypten SMS OTP für Überweisungen nutzen?

Nicht für Hochrisiko-Aktionen wie die gleichzeitige Zahlung an mehrere Begünstigte: Die Mobile-Payment-Regeln von 2021 erfordern zwei Faktoren und untersagen das automatische und direkte Versenden dieser OTPs per SMS oder E-Mail. Andere Transaktionen nutzen eine PIN, und SMS übernimmt die Benachrichtigungen.

### Gilt die PDPL Ägyptens auch für die OTP-Daten der Banken?

Gemäß der PDPC liegen die von der CBE und den von ihr beaufsichtigten Unternehmen gehaltenen Daten außerhalb der PDPL, mit Ausnahme von Geldtransferunternehmen und Wechselstuben. Letztere sowie Unternehmen außerhalb der CBE-Aufsicht fallen unter das Gesetz.

### Benötigen OTP-Nachrichten nach Ägypten eine registrierte Absenderkennung?

Ja. Das NTRA-Framework schreibt vor, dass der Name des Absenders in jeder Nachricht enthalten sein muss und die Absenderkennung der NTRA gemeldet werden muss, bevor ein Vertrag mit einem Kunden abgeschlossen wird.

### Können internationale Routen OTPs nach Ägypten zustellen?

Nicht ohne Genehmigung: NTRA-Lizenznehmer dürfen internationale Nachrichten nicht ohne die vorherige schriftliche Genehmigung der NTRA nach Ägypten bringen. Nutzen Sie einen Anbieter, der über lizenzierte lokale Kanäle terminiert.

Wir haben alle unten aufgeführten Texte am 10. Oktober 2026 auf der Website der Regulierungsbehörde gelesen; rein arabische Texte wurden auf Arabisch gelesen. Siehe unsere [Redaktionsstandards](https://www.broadnet.me/about/editorial-standards) und die [Ägyptischen SMS-Vorschriften](https://www.broadnet.me/regulations/egypt).

## Quellen

- CBE — Pressemitteilung zu den eKYC-Vorschriften, 23. August 2026: [cbe.org.eg](https://www.cbe.org.eg/en/news-publications/news/2026/08/24/09/40/ekyc-2026).
- CBE — Seite zur digitalen finanziellen Identität, aktualisiert am 23. August 2026: [cbe.org.eg](https://www.cbe.org.eg/en/payment-systems-and-services/digital-financial-identity).
- CBE — DFI-Vorschriften, englischer Text: [cbe.org.eg](https://www.cbe.org.eg/-/media/project/cbe/page-content/rich-text/payment-system/digital-financial-identity/ekyc-regulations---english--.pdf).
- CBE — Rundschreiben vom 23. August 2026 zu den DFI-Regeln (Arabisch): [cbe.org.eg](https://www.cbe.org.eg/-/media/project/cbe/listing/circulars/2026/august/circular-dated-23-august-2026--regarding-the-rules-of-digital-financial-identity-system-for-the-ekyc.pdf).
- CBE — Rundschreiben vom 28. September 2026 zu KYC für Bankkunden (Arabisch), Liste der Rundschreiben: [cbe.org.eg](https://www.cbe.org.eg/en/laws-regulations/regulations/circulars).
- CBE — Regeln für mobile Zahlungsdienste, 3. Ausgabe, April 2021 (Arabisch): [cbe.org.eg](https://www.cbe.org.eg/-/media/project/cbe/listing/circulars/payments-regulations/3rd-version-mobile-wallet-april21.pdf).
- CBE — Regeln für das Instant Payment Network, Oktober 2021: [cbe.org.eg](https://www.cbe.org.eg/-/media/project/cbe/listing/circulars/payments-regulations/ipn-services-regulations_en.pdf).
- CBE — Rundschreiben zur Kartentokenisierung, 8. März 2023 (Arabisch): [cbe.org.eg](https://www.cbe.org.eg/-/media/project/cbe/listing/circulars/payments-regulations/circular-dated-8-march-2023-regarding-payment-cards-tokenization-on-electronic-devices-applications.pdf).
- NTRA — Rahmenbedingungen für mobile Mehrwertdienste ([tra.gov.eg](https://www.tra.gov.eg/en/the-regulatory-framework-for-the-provision-of-mobile-value-added-services/), [PDF](https://www.tra.gov.eg/wp-content/uploads/2023/11/VAS-Value-added-Service-Framework.pdf)) und regulatorische Regeln für Mobile Wallets ([tra.gov.eg](https://www.tra.gov.eg/en/mobile-wallets-regulatory-rules/)), abgerufen am 10. Oktober 2026.
- PDPC — FAQs zum Gesetz Nr. 151 von 2020 und zur Durchführungsverordnung Nr. 816 von 2025, abgerufen am 10. Oktober 2026: [portal.pdpc.gov.eg](https://portal.pdpc.gov.eg/faq).