m SMS OTPs in Indonesien zuverlässig zu versenden, benötigen Sie eine registrierte alphanumerische Absenderkennung – lokal bekannt als SMS-Masking – auf den Routen der jeweiligen Mobilfunkbetreiber, Vorlagen in Bahasa Indonesia sowie einen Verifizierungsprozess, der für einen Markt ausgelegt ist, in dem die Regulierungsbehörde aktiv gegen Rufnummernbetrug vorgeht. Seit Januar 2026 schreibt die Verordnung Nr. 7 von 2026 des Ministeriums für Kommunikation und digitale Angelegenheiten (Komdigi) Gesichtserkennungsprüfungen anhand von Bevölkerungsdaten für neue SIM-Registrierungen vor und begrenzt Prepaid-Nummern auf drei pro Identität und Netzbetreiber.
Dieser Leitfaden behandelt die Registrierung der Absenderkennung, die Auswirkungen der neuen SIM-Regeln auf das OTP-Risiko, das Datenschutzgesetz, das Ihre Teilnehmerdaten regelt, und wie Sie die Kosten pro verifiziertem Nutzer unter Kontrolle halten. Zuletzt geprüft: 26. September 2026.
Wichtigste Erkenntnisse
- Absendernamen (SMS-Masking) für A2P-Traffic werden über die Routen der Netzbetreiber registriert; planen Sie fünf bis zehn Werktage ein.
- Die Komdigi-Verordnung Nr. 7 von 2026, unterzeichnet am 19. Januar 2026, erfordert NIK sowie eine Gesichtserkennungs-Validierung für die Registrierung von Mobilfunkteilnehmern.
- Netzbetreiber dürfen pro Identität und Netzbetreiber nicht mehr als drei Prepaid-Nummern registrieren, mit engen Ausnahmen für IoT, Tests und bestimmte Organisationen.
- Teilnehmer können missbräuchlich für Straftaten verwendete Nummern über das Beschwerdeportal des Ministeriums melden; die Netzbetreiber müssen Nummern, deren Missbrauch nachgewiesen wurde, entziehen.
- Personenbezogene Daten in Ihrem Messaging-Stack unterliegen dem Gesetz Nr. 27 von 2022 (UU PDP), dessen zweijährige Anpassungsfrist im Oktober 2024 endete.
- Das günstigste OTP ist dasjenige, das beim ersten Mal ankommt: registrierte Absendernamen, kurze Vorlagen und ein Fallback-Kanal reduzieren Wiederholungsversuche.
Wie registriere ich eine SMS Absenderkennung (Masking) in Indonesien?
In Indonesien wird ein markengeschützter alphanumerischer Absender meist als „Masking“-Absender bezeichnet, im Gegensatz zu einer numerischen Langnummer. Für A2P-Traffic wird der Absendername über die Routen der Netzbetreiber registriert — Telkomsel, Indosat Ooredoo Hutchison, XL Axiata und Smartfren (im April 2025 zu XLSMART fusioniert) im Netzwerk von BroadNet — anstatt pro Nachricht frei gewählt werden zu können. Die praktischen Schritte:
- Wählen Sie einen Absendernamen, der Ihre Marke eindeutig identifiziert, und prüfen Sie diesen in unserem Absenderkennung-Validator.
- Beschreiben Sie den Anwendungsfall — OTP, transaktionale Benachrichtigungen oder Promotionen — da die Netzbetreiber prüfen, wofür der Name verwendet wird.
- Stellen Sie Unternehmensunterlagen bereit, die die Marke mit Ihrer Organisation verknüpfen; die genaue Liste variiert je nach Netzbetreiber, bitte bestätigen Sie dies beim Onboarding.
- Übermitteln Sie denselben Namen bei jedem Netzbetreiber, den Sie erreichen möchten; ein in einem Netzwerk genehmigter Name wird nicht automatisch auf ein anderes übertragen.
- Planen Sie fünf bis zehn Werktage ein, wie auf der Indonesien-Coverage-Seite angegeben, und testen Sie den Versand bei jedem Netzbetreiber vor dem Launch.
Wir raten von generischen Namen wie INFO, OTP oder VERIFY ab. Diese können nicht einer Marke zugeordnet werden, sie sind genau das, was Scammer imitieren, und sie erschweren es Kunden, dem Code zu vertrauen. Für einen umfassenderen Überblick über Absendertypen lesen Sie was eine Absenderkennung ist und Absenderkennung-Spoofing.
Was ändert die Komdigi-Verordnung Nr. 7 von 2026?
Die Verordnung Nr. 7 des Ministers für Kommunikation und digitale Angelegenheiten von 2026 über die Registrierung von Telekommunikationskunden über Mobilfunknetze ersetzt die Registrierungsartikel der Telekommunikationsverordnung von 2021. Sie wurde am 19. Januar 2026 in Jakarta unterzeichnet und tritt mit ihrer Verkündung in Kraft. Die erklärten Ziele sind valide Bevölkerungsdaten für die SIM-Registrierung sowie das Know-Your-Customer-Prinzip für Mobilfunkabonnenten.
| Regel | Geltungsbereich | In Kraft seit | Quelle |
|---|---|---|---|
| Registrierung validiert mit NIK und biometrischen Bevölkerungsdaten (Gesichtserkennung) | Mobilfunkbetreiber und Neukunden | Mit Verkündung, Januar 2026 | Permen Komdigi 7/2026 |
| Die Selbstregistrierung über die App oder Website des Netzbetreibers muss die Nummer mittels eines Autorisierungscodes nachweisen, der als OTP per SMS, E-Mail oder USSD versendet werden kann. | Prepaid-Selbstregistrierung | Nach Bekanntmachung | Art. 7 |
| Nicht mehr als 3 Prepaid-Nummern pro Identität und Netzbetreiber (Ausnahmen: M2M/IoT, Testzwecke, bestimmte Organisationen — über die Verkaufsstellen der Netzbetreiber) | Mobilfunkbetreiber | Nach Bekanntmachung | Art. 14 |
| Für missbräuchlich genutzte Nummern im Zusammenhang mit Straftaten kann über das Portal des Ministeriums Meldung erstattet werden; Netzbetreiber müssen Nummern, deren Missbrauch nachgewiesen wurde, entziehen | Abonnenten und Netzbetreiber | Nach Bekanntmachung | Art. 17 |
| Netzbetreiber müssen mindestens eine ISO 27001-Zertifizierung für Teilnehmerdaten vorweisen | Mobilfunkbetreiber | Mit Inkrafttreten | Art. 13(5) |
| Netzbetreiber passen die Selbstregistrierung innerhalb von 6 Monaten an; früher registrierte Nummern bleiben gültig | Mobilfunkbetreiber und bestehende Teilnehmer | Übergang bis Mitte 2026 | Art. 32 |
| Personenbezogene Daten werden rechtmäßig verarbeitet, wobei die Einwilligung die primäre Grundlage bildet; Verantwortliche hatten 2 Jahre Zeit zur Umsetzung | Jedes Unternehmen, das indonesische Teilnehmerdaten hält | In Kraft getreten am 17. Okt. 2022 | UU No. 27 of 2022 (PDP), Art. 74 |
Was bedeutet die biometrische SIM-Registrierung für OTP?
SMS-OTP beweist, dass jemand eine Telefonnummer kontrolliert. Die Schwachstelle war bisher immer die Frage, wie leicht diese Nummer erlangt oder übernommen werden konnte: eine SIM, die unter einer fremden Identität registriert wurde, oder eine neue SIM, die in großen Mengen für Scam-Kampagnen gekauft wurde. Gesichtserkennung zur Validierung, eine Obergrenze von drei Nummern pro Identität und Netzbetreiber sowie ein formeller Weg zum Widerruf missbrauchter Nummern erschweren dies nun.
Dies macht SMS OTP nicht risikofrei. SIM-Swap und Social Engineering zielen auf die Person ab, nicht auf die Registrierung. Halten Sie OTP-Nachrichten kurz und eindeutig ("Geben Sie diesen Code nicht weiter"), binden Sie Codes an eine Sitzung, begrenzen Sie die Anzahl der erneuten Sendeversuche und kombinieren Sie hochsensible Aktionen mit einem Signal, das nicht allein von der SMS abhängt. Unsere OTP Best Practices und der Beitrag zur SIM-Swap-Abwehr bieten tiefergehende Informationen.
Was unternimmt Komdigi gegen SMS-Scams?
Das bisher klarste Instrument der Regulierungsbehörde ist die Verordnung Nr. 7 von 2026 selbst: identitätsgeprüfte Registrierung, weniger Wegwerfnummern und die Verpflichtung für Netzbetreiber, Nummern zu widerrufen, wenn sich durch Meldungen über das Beschwerdeportal des Ministeriums herausstellt, dass diese für Straftaten genutzt werden. Für Absender hat dies praktische Konsequenzen: Netzbetreiber haben jedes Interesse daran, nicht registrierte, generische oder täuschend ähnliche Absenderkennungen genau zu prüfen. Ein sauberer, registrierter Markenname ist somit Teil der Zustellbarkeit, nicht nur der Compliance.
Warum sind OTPs nach Indonesien teuer, und wie lässt sich der Preis senken?
Der Preis für eine einzelne SMS ist nur ein Teil der Kosten. Was Sie tatsächlich bezahlen, sind die Kosten pro verifiziertem Nutzer: der Preis pro Nachricht multipliziert mit der Anzahl der Nachrichten, die für einen erfolgreichen Login benötigt werden. Jede nicht zugestellte Nachricht, jeder erneute Sendeversuch und jeder Nutzer, der aufgibt, erhöht diese Kosten. Deshalb ergeben sich die größten Einsparungen meist durch die Zustellung und das Design, nicht durch die Senkung des Preises pro Nachricht.
| Hebel | Warum es wichtig ist | Empfohlene Maßnahmen |
|---|---|---|
| Registrierter Absendername | Nicht registrierte oder generische Absender werden häufiger gefiltert oder als unzuverlässig eingestuft | Registrieren Sie pro Anwendungsfall einen Markennamen bei jedem Netzbetreiber |
| Template-Länge und Kodierung | Nicht-GSM-Zeichen erzwingen UCS-2 und können die Anzahl der Segmente verdoppeln | Halten Sie OTPs kurz; prüfen Sie diese im GSM-7 / Unicode-Checker |
| Resend-Richtlinie | Aggressive Wiederholungsversuche erhöhen Kosten und Betrugsrisiko | Warten Sie vor dem ersten Wiederholungsversuch; begrenzen Sie die Versuche pro Sitzung |
| Kanalmix | Nutzer mit WhatsApp können sich dort verifizieren; Voice OTP hilft dort, wo SMS scheitert | Route pro Nutzer mit automatischem Fallback auf SMS |
| Messung | Sie zahlen die Kosten pro verifiziertem Nutzer, nicht pro Nachricht | Modellieren Sie dies im OTP Kostenrechner |
Die aktuellen Preise pro Nachricht finden Sie auf der Preisseite für SMS nach Indonesien und der WhatsApp-Preisseite. MyOTP übernimmt das Routing, das Fallback sowie die Betrugsprüfung in einer einzigen API, sodass das Verschieben eines Teils Ihres Volumens auf einen anderen Kanal nicht bedeutet, dass Sie Ihren Login-Flow neu aufbauen müssen.
Ist WhatsApp-Authentifizierung günstiger als SMS OTP in Indonesien?
Gelegentlich, und nur für Nutzer, die WhatsApp besitzen. Die Preise für Authentifizierungs-Templates werden von Meta pro Markt festgelegt und ändern sich im Laufe der Zeit; vergleichen Sie daher die aktuellen Preislisten anstatt mit Werten aus dem Vorjahr. Der größere Vorteil liegt meist in der Conversion: Ein Code, der in einer App ankommt, die der Nutzer bereits geöffnet hat, wird tendenziell schneller eingegeben. Nutzen Sie SMS als universellen Fallback, da nicht jeder Nutzer WhatsApp auf dem zu verifizierenden Telefon installiert hat.
Was erfordert UU PDP für SMS-Daten?
Das Gesetz Nr. 27 von 2022 zum Schutz personenbezogener Daten (UU PDP) trat am 17. Oktober 2022 in Kraft und räumte den Verantwortlichen zwei Jahre Zeit zur Anpassung ein. Es regelt, wie Sie Telefonnummern, Namen und Nachrichtenprotokolle in Ihrem Messaging-Stack erfassen und verarbeiten. Die Einwilligung ist eine der wesentlichen Rechtsgrundlagen, die betroffenen Personen haben Rechte an ihren Daten, und es gibt Regeln für Übermittlungen sowie den Umgang mit Datenschutzverletzungen. Erheben Sie nur die Daten, die für die Verifizierung notwendig sind, legen Sie Aufbewahrungsfristen für Nachrichtenprotokolle fest und stellen Sie sicher, dass Ihre Providerverträge die Verarbeitung in Ihrem Auftrag abdecken.
Compliance-Checkliste für OTP und SMS nach Indonesien
- Registrieren Sie einen markenspezifischen Absendernamen bei jedem benötigten Netzbetreiber, separat für OTP und für Werbezwecke.
- Erstellen Sie OTP-Templates in Bahasa Indonesia und Englisch, die kurz genug für ein einzelnes Segment sind.
- Fügen Sie niemals Werbeinhalte zu einer OTP- oder Transaktionsnachricht hinzu.
- Legen Sie eine Resend-Policy mit einer Wartezeit vor dem ersten Versuch und einer Begrenzung pro Sitzung fest.
- Fügen Sie einen Fallback-Kanal hinzu (WhatsApp-Authentifizierung oder Voice-OTP) und messen Sie die Kosten pro verifiziertem Nutzer.
- Gleichen Sie Ihre Verarbeitung personenbezogener Daten mit dem UU PDP ab: Rechtsgrundlage, Aufbewahrung, Auftragsverarbeitungsverträge.
- Überprüfen Sie Hochrisiko-Abläufe auf SIM-Swap-Exponierung; verlassen Sie sich bei der Kontowiederherstellung oder bei großen Überweisungen nicht allein auf SMS.
Wie BroadNet den Traffic in Indonesien abwickelt
BroadNet terminiert direkt in Telkomsel, Indosat Ooredoo Hutchison, XL Axiata und Smartfren (im April 2025 zu XLSMART fusioniert) mit der Registrierung der Absenderkennung über die Routen der Netzbetreiber und unterstützt Bahasa Indonesia sowie Englisch gleichwertig. Der Leitfaden zur indonesischen Regulierung deckt das umfassendere Regelwerk ab.
Häufig gestellte Fragen
Wie registriere ich eine SMS Absenderkennung (Masking) in Indonesien?
Über die Routen der Mobilfunkbetreiber. Sie wählen einen markenspezifischen Namen, beschreiben den Anwendungsfall, stellen Unternehmensunterlagen bereit und übermitteln denselben Namen an jeden Netzbetreiber, den Sie erreichen möchten. Planen Sie fünf bis zehn Werktage ein und testen Sie in jedem Netzwerk vor dem Launch.
Warum sind OTP-Nachrichten nach Indonesien teuer?
Weil Sie den Preis pro verifiziertem Nutzer zahlen, nicht pro Nachricht. Nicht zugestellte Codes, erneute Zustellversuche und abgebrochene Logins vervielfachen die Kosten. Registrierte Absendernamen, kurze Ein-Segment-Vorlagen, eine sinnvolle Resend-Policy und ein Fallback-Kanal sparen in der Regel mehr, als die Rate pro Nachricht zu verhandeln.
Ist die WhatsApp-Authentifizierung in Indonesien günstiger als SMS OTP?
Für Nutzer, die WhatsApp besitzen, kann dies der Fall sein, aber Meta legt die Authentifizierungspreise pro Markt fest und ändert diese, daher sollten Sie die aktuellen Preislisten vergleichen. Behalten Sie SMS als Fallback bei, da nicht jeder Nutzer WhatsApp auf der Nummer besitzt, die er gerade verifiziert.
Sind generische Absendernamen in Indonesien zulässig?
Die Netzbetreiber prüfen Absendernamen im Hinblick auf die Marke und den Anwendungsfall. Wir raten von generischen Namen wie INFO oder OTP ab. Diese können nicht einer Marke zugeordnet werden, werden häufig von Scammern imitiert und verringern das Kundenvertrauen in den Code.
Benötigt jede Marke oder jeder Anwendungsfall eine eigene Absenderregistrierung?
Registrieren Sie jeden Markennamen separat und trennen Sie OTP von Werbe-Traffic durch separate Registrierungen. Diese Trennung schützt Ihren Verifizierungstrafik, falls eine Marketingkampagne Beschwerden auslöst, und entspricht der Vorgehensweise der Netzbetreiber bei der Prüfung von Anwendungsfällen.
Was ist die Komdigi Verordnung Nr. 7 von 2026?
Dabei handelt es sich um die Verordnung des Ministeriums für Kommunikation und digitale Angelegenheiten zur Registrierung von Mobilfunkabonnenten, die am 19. Januar 2026 unterzeichnet wurde. Sie schreibt NIK plus eine Gesichtserkennung vor, begrenzt Prepaid-Nummern auf drei pro Identität und Netzbetreiber, und verpflichtet die Netzbetreiber, Nummern zu sperren, wenn nachgewiesen wird, dass sie für Straftaten missbraucht wurden.
Was bedeutet die biometrische SIM-Registrierung für SMS OTP?
Sie erschwert es, Nummern unter einer fremden Identität oder in großen Mengen zu erhalten, was die Verbindung zwischen einer Nummer und einer realen Person stärkt. Sie verhindert jedoch keinen SIM-Swap oder Social Engineering; halten Sie daher Warnhinweise zum Nicht-Teilen von Daten, Session-Binding und Limits für den erneuten Versand aufrecht.
Was verlangt UU PDP für SMS-Daten?
Das Gesetz Nr. 27 von 2022 erfordert eine Rechtsgrundlage, in der Regel die Einwilligung, für die Verarbeitung personenbezogener Daten wie Telefonnummern, räumt Einzelpersonen Rechte an ihren Daten ein und legt Regeln für Übermittlungen und Datenschutzverletzungen fest. Die zweijährige Anpassungsfrist endete im Oktober 2024, sodass das Gesetz nun in vollem Umfang gilt.
Quellen
- Peraturan Menteri Komunikasi dan Digital Nomor 7 Tahun 2026 — JDIH Kemkomdigi — abgerufen am 26. Sep 2026
- Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi — JDIH Kemkomdigi — abgerufen am 26. Sep 2026
- Kementerian Komunikasi dan Digital (Komdigi) — abgerufen am 26. Sep 2026