umber Verification und SIM Swap sind Netzwerk-APIs, die durch das CAMARA-Projekt im Rahmen der GSMA Open Gateway-Initiative standardisiert wurden und es einer Bank oder einer App ermöglichen, dem Mobilfunkbetreiber zwei Dinge zu fragen: Ist diese Telefonnummer tatsächlich diejenige auf dem Gerät des Nutzers, und hat sich ihre SIM vor Kurzem geändert? Stand 26. September 2026 ist der einzige im Nahen Osten bestätigte Start über eine offizielle Quelle Katar, wo Ooredoo Qatar und Vodafone Qatar beide APIs am 26. November 2025 eingeführt haben. BroadNet, das OTP-Verkehr liefert und Mobilfunknetze in der gesamten Region schützt, erklärt, wie die APIs funktionieren und wie man sie mit SMS OTP koppelt.
Wichtigste Erkenntnisse
- Number Verification bestätigt ohne einen SMS-Code, dass die vom Nutzer eingegebene Nummer mit der Nummer des verwendeten Geräts übereinstimmt. Es gibt true oder false zurück.
- SIM Swap teilt Ihnen mit, ob sich die SIM hinter einer Nummer innerhalb eines von Ihnen gewählten Zeitraums (1 bis 2.400 Stunden, Standard 240) geändert hat, oder gibt das Datum der letzten Änderung zurück.
- Katar ist der bestätigte Start im Nahen Osten: Ooredoo Qatar und Vodafone Qatar, beide APIs, kündigten dies am 26. November 2025 bei MWC Doha an.
- Wir konnten kommerzielle Starts in den VAE, Saudi-Arabien, Kuwait, Bahrain, Oman, Jordanien oder Ägypten über eine offizielle Quelle nicht bestätigen. Prüfen Sie dies beim Betreiber, bevor Sie darauf basierend Entwürfe erstellen.
- Number Verification ersetzt nicht überall SMS OTP: Es benötigt die Unterstützung des Betreibers und in seinem Standardablauf eine mobile Datenverbindung. Nutzen Sie es zuerst dort, wo es funktioniert, und greifen Sie auf OTP zurück.
- Das stärkste Muster für Hochrisiko-Aktionen besteht darin, SIM Swap aufzurufen, bevor eine OTP gesendet wird, und die OTP abzulehnen, wenn sich die SIM vor Kurzem geändert hat.
Was sind GSMA Open Gateway und CAMARA?
Die GSMA beschreibt Open Gateway als "ein globales Framework gemeinsamer Netzwerk-APIs, das den Zugang zu Mobilfunkbetreibernetzen vereinfacht" (GSMA Open Gateway). Die API-Definitionen selbst stammen von CAMARA, welche die Ooredoo Qatar-Ankündigung als "ein Open-Source-Projekt der Linux Foundation und ein grundlegender Bestandteil der GSMA Open Gateway-Initiative" beschreibt. Da jeder teilnehmende Betreiber dieselbe Definition implementiert, kann ein Entwickler eine einzige Integration schreiben und diese in Netzwerken, die sie unterstützen, wiederverwenden.
Gemäß derselben Ankündigung (November 2025) umfasst die Initiative mehr als 80 Mobilfunkbetreibergruppen, 292 Netzwerke und über 80 % der mobilen Verbindungen weltweit. Die Mitgliedschaft ist nicht dasselbe wie eine aktive API in einem bestimmten Land, weshalb die untenstehende Verfügbarkeitstabelle nur bestätigte Starts auflistet. Hintergrundinformationen finden Sie in unserer Antwort zu GSMA Open Gateway.
Was bewirkt die Number Verification API?
In der CAMARA-Definition (Version 2.1.0, Release r3.2) verifiziert oder ruft Number Verification "die Mobiltelefonnummer ab, die derzeit vom Netzbetreiber dem SIM im Endgerät des Endnutzers zugewiesen ist". Sie verfügt über zwei Endpunkte:
- /verify vergleicht die Telefonnummer, die der Benutzer Ihnen angegeben hat, im Klartext oder gehasht, mit der mit dem Gerät verknüpften Nummer und antwortet mit true oder false.
- /device-phone-number gibt die Telefonnummer zurück, die der Betreiber mit dem SIM im Gerät verknüpft.
Es funktioniert über die stille Authentifizierung, netzwerkbasiert oder SIM-basiert, "ohne dass eine Benutzerinteraktion erforderlich ist": kein Code zum Empfangen, Lesen oder Eintippen. Beide Endpunkte benötigen einen Three-Legged-Access-Token, der für diesen Benutzer erworben wurde. Im Standard-Flow (OpenID Connect-Autorisierungscode mit prompt=none) muss das Gerät mit dem Mobilfunknetz verbunden sein. Wenn Ihre App einen GSMA TS.43 temporären Token vom Gerät besitzt, besagt die Definition, dass die API über jede Verbindung funktioniert, einschließlich Wi-Fi. Für eine tiefergehende Erklärung lesen Sie unsere Antwort zur stillen Netzwerkauthentifizierung.
Wie funktioniert die SIM Swap API?
Die CAMARA SIM Swap-Definition (Version 2.1.0, Release r3.3) bietet Ihnen zwei Hauptoperationen:
| Operation | Sie senden | Sie erhalten zurück | Verwenden Sie dies, wenn |
|---|---|---|---|
| POST /check | Telefonnummer und maxAge in Stunden (1 bis 2.400; Standard 240) | swapped: wahr oder falsch für diesen Zeitraum | Sie benötigen eine yes/no-Entscheidung vor einer riskanten Aktion |
| POST /retrieve-date | Telefonnummer | latestSimChange: Zeitstempel des letzten SIM-Swaps oder das Aktivierungsdatum, falls es keinen gab | Das Risiko wird danach bewertet, wie aktuell die Änderung war |
In der Produktion sind zwei Details wichtig. Wenn lokale Vorschriften oder die Richtlinien des Betreibers das Speichern der SIM-Historie nicht lange genug erlauben, kann der Betreiber null für das Datum zurückgeben, optional mit einem monitoredPeriod, das angibt, wie viele Tage abgedeckt sind; behandeln Sie dies als "kein Swap innerhalb des überwachten Zeitraums", nicht als "nie getauscht". Und wenn Sie einen maxAge anfordern, der über das hinausgeht, was die Richtlinie des Betreibers erlaubt, müssen Sie mit einem 400 OUT_OF_RANGE-Fehler rechnen. Ein SIM-Swap ist ein häufiger Weg zur Kontoübernahme: Der Betrüger überträgt die Nummer des Opfers auf eine neue SIM und erhält dessen Codes. Unsere Antwort zum SIM-Swap-Betrug erklärt den Angriff.
Wo sind Number Verification und SIM Swap im Nahen Osten aktiv?
Diese Tabelle listet nur Starts auf, die wir zum Stand vom 26. September 2026 bei einem Betreiber oder einer GSMA-Quelle bestätigen konnten.
| Land | Betreiber | APIs | Angekündigt | Quelle |
|---|---|---|---|---|
| Katar | Ooredoo Qatar, Vodafone Qatar | SIM Swap, Number Verification (CAMARA) | 26. November 2025, MWC Doha | Ooredoo Qatar Pressemitteilung |
Die katarischen Betreiber erklärten, dass sie planen, im Jahr 2026 weitere API zur Identitäts- und Betrugsprävention hinzuzufügen. Für die VAE, Saudi-Arabien, Kuwait, Bahrain, Oman, Jordanien und Ägypten konnten wir auf einer offiziellen Betreiber- oder GSMA-Seite, die wir öffnen konnten, keine kommerzielle Einführung dieser beiden API finden. Einige Betreiber in der Region sind Open Gateway beigetreten, aber der Beitritt ist nicht dasselbe wie das kommerzielle Angebot eines API. Fragen Sie den Betreiber oder Ihren Messaging-Anbieter nach dem aktuellen Status, bevor Sie darauf aufbauen. Informationen zu den Messaging-Regeln in Katar finden Sie auf unserer Katar-Regulierungsseite und unserer Katar-Abdeckungsseite.
Kann Number Verify SMS OTP ersetzen?
Nicht für sich allein, und noch nicht in den meisten Teilen der Region. Jede Methode beweist etwas anderes und scheitert auf eine andere Weise.
| SMS OTP | Number Verification | SIM Swap Prüfung | |
|---|---|---|---|
| Was es beweist | Der Benutzer kann eine Nachricht auf dieser Nummer empfangen | Das verwendete Gerät hält den SIM für diese Nummer | Ob sich der SIM hinter der Nummer kürzlich geändert hat |
| Benutzeraufwand | Code lesen und eingeben (oder Autofill) | Keiner | Keiner |
| Benötigt Operator-API-Unterstützung | Nein; funktioniert in jedem Netz | Ja | Ja |
| Verbindung | Jedes Telefon mit Signal | Mobile Daten im Standardfluss; jede Verbindung mit einem TS.43 Token | Keine auf dem Gerät; es handelt sich um eine Server-zu-Server-Prüfung |
| Schwachpunkt | Codes können nach einem SIM Tausch abgefangen oder per Phishing gestohlen werden | Nicht verfügbar, wo der Betreiber es nicht eingeführt hat | Authentifiziert den Benutzer nicht von sich aus |
| Beste Rolle | Universeller Fallback und zweiter Faktor | Erste Wahl, sofern verfügbar | Risikosignal vor jeder OTP bei einer Hochrisiko-Aktion |
Das praktische Design ist eine Kaskade: Versuchen Sie Number Verification, sofern der Operator des Nutzers dies unterstützt, greifen Sie andernfalls auf SMS oder WhatsApp OTP überall sonst zurück und schalten Sie eine SIM Swap-Prüfung vor die OTP bei Hochrisiko-Aktionen. Unsere Beiträge zu stiller Netzwerkauthentifizierung und stille Netzwerkauthentifizierung vs. SMS OTP gehen tiefer auf den ersten Schritt ein.
Wann sollten Sie SIM Swap aufrufen, bevor Sie eine OTP senden?
Vor jeder Aktion, bei der eine gestohlene Nummer einem Betrüger Geld oder Kontrolle verschaffen würde. Ein einfacher Entscheidungsfluss:
- Klassifizieren Sie die Aktion. Geringes Risiko: Routinemäßige Anmeldung auf einem bekannten Gerät. Hohes Risiko: Passwort zurücksetzen, neuer Zahlungsempfänger, Änderung der Telefonnummer oder E-Mail-Adresse, große Überweisung, erste Anmeldung auf einem neuen Gerät.
- Für Hochrisiko-Aktionen, bei denen der Operator dies unterstützt, rufen Sie POST /check mit einer kurzen maxAge auf, die Ihrer Risikopolitik entspricht (zum Beispiel 24 oder 72 Stunden).
- Wenn swapped wahr ist, senden Sie die OTP nicht an diese Nummer. Eskalation: In-App-Bestätigung auf dem registrierten Gerät, ein Rückruf oder eine Filial- oder Videoprüfung.
- Wenn swapped falsch ist, senden Sie die OTP wie gewohnt über SMS oder WhatsApp, mit automatischem Fallback zwischen den Kanälen.
- Wenn die API in diesem Markt nicht verfügbar ist oder null zurückgibt, greifen Sie auf Ihre bestehenden Regeln plus Number Intelligence zurück, wie zum Beispiel eine HLR-Abfrage oder einen Telefonreputations-Score.
- Protokollieren Sie das Prüfergebnis zusammen mit der Transaktion, damit Fraud-Analysten sehen können, warum eine OTP gesendet wurde oder nicht.
Eine OTP beweist, dass jemand Nachrichten auf einer Nummer empfangen kann. Eine SIM Swap-Prüfung sagt Ihnen, ob diese Person wahrscheinlich immer noch der Kunde ist. Bei Hochrisiko-Aktionen wollen Sie beide Antworten.
Wie kombinieren Banken SIM Swap mit OTP?
| Ereignis | Netzwerkprüfung | Wenn die Prüfung eine Warnung auslöst | Andernfalls |
|---|---|---|---|
| Passwort zurücksetzen | SIM Swap /check vor dem Senden des OTP-Resets | Blockieren Sie den OTP; erfordern Sie eine Bestätigung in der App oder in der Filiale | Senden Sie den OTP |
| Neuer Begünstigter oder große Überweisung | SIM Swap /check, kurzer maxAge | Transaktion zur Überprüfung zurückhalten | Senden Sie die Transaktion OTP |
| Onboarding eines neuen Kunden | Number Verification /verify | Rückfall auf SMS OTP | Den OTP-Schritt überspringen |
| Änderung der registrierten Telefonnummer | SIM Swap /retrieve-date auf der alten Nummer | Manuelle Prüfung | Bestätigung auf der alten und der neuen Nummer |
Die BroadNet OTP Plattform liefert die Codes in diesem Ablauf über SMS, WhatsApp und Sprache mit einem Rückfall zwischen ihnen, und MyOTP verpackt es als fertiges Verifizierungsprodukt.
Was kostet das?
Die Preise werden von jedem Betreiber oder seinen Channel-Partnern festgelegt und werden kommerziell vereinbart. Keine der von uns geprüften offiziellen Quellen veröffentlicht eine Preisliste für den Nahen Osten für API, daher geben wir keine an. Wenn Sie Kosten vergleichen, zählen Sie, was die Prüfung einspart sowie was sie kostet: eine SIM Swap-Prüfung vor einem Passwort-Reset-OTP ist ein zusätzlicher API-Aufruf, und eine verhinderte Kontoübernahme ist weitaus mehr wert.
Was bedeuten Netzwerk-APIs für Betreiber?
Für Betreiber verwandeln Number Verification und SIM Swap die Daten, die das Netzwerk bereits hält, in eine kostenpflichtige, auf Einwilligung basierende Dienstleistung für Banken und Apps, und dieselben Betrugsteams, die diese kaufen, kaufen auch A2P-Messaging. BroadNet arbeitet seit 2003 mit Betreibern zusammen, mit über 60 Firewall-Bereitstellungen bei Betreibern; unsere Betreiber-Lösungen und die SMS-Firewall schützen die Messaging-Einnahmen, neben denen diese API liegen.
Häufig gestellte Fragen
Was ist der CAMARA Number Verification API?
Ein standardmäßiger Betreiber-API, der bestätigt, ob die Telefonnummer, die ein Benutzer angegeben hat, mit der Nummer des von ihm verwendeten Geräts übereinstimmt, wobei true oder false zurückgegeben wird, oder die Nummer des Geräts zurückgegeben wird. Er nutzt die stille Netzwerkanmeldung oder eine auf SIM basierende Authentifizierung, sodass kein Code eingegeben werden muss.
Wie funktioniert der SIM Swap API?
Sie senden eine Telefonnummer. Die /check-Operation antwortet für einen Zeitraum, den Sie mit maxAge festlegen (1 bis 2.400 Stunden, Standard 240), mit true oder false; /retrieve-date gibt den Zeitstempel der letzten SIM-Änderung zurück oder das Aktivierungsdatum, falls es keine gab.
Welche Betreiber im Nahen Osten bieten diese APIs an?
Stand 26. September 2026 ist der Start, den wir bei einer offiziellen Quelle bestätigen konnten, Katar: Ooredoo Qatar und Vodafone Qatar haben SIM Swap und Number Verification am 26. November 2025 eingeführt. Prüfen Sie dies bei Betreibern in anderen Ländern, bevor Sie sich auf sie verlassen.
Kann Number Verify SMS OTP ersetzen?
Nur dort, wo der Betreiber des Benutzers dies unterstützt und die Verbindung dies zulässt. Nutzen Sie es zuerst dort, wo es verfügbar ist, und behalten Sie SMS oder WhatsApp OTP überall sonst als Fallback bei.
Funktioniert Number Verification über Wi-Fi?
Im Standardablauf muss das Gerät mit dem Mobilfunknetz verbunden sein. Die CAMARA-Definition besagt, dass es über jede Verbindung funktioniert, einschließlich Wi-Fi, wenn die App einen temporären GSMA TS.43-Token vom Gerät verwendet.
Sollte ich SIM Swap vor jeder OTP überprüfen?
Nein. Verwenden Sie es vor risikoreichen Aktionen wie Passwort-Resets, neuen Zahlungsempfängern, Nummernänderungen und großen Überweisungen. Bei routinemäßigen Logins auf einem bekannten Gerät ändert die zusätzliche Überprüfung selten die Entscheidung.
Was passiert, wenn der Betreiber das SIM-Wechseldatum nicht mitteilen kann?
Es kann null zurückgeben, optional mit einer monitoredPeriod in Tagen. Betrachten Sie dies als keinen Wechsel innerhalb des überwachten Zeitraums und greifen Sie auf Ihre eigenen Risikoregeln zurück.
Was kostet die SIM Swap API?
Die Preise werden von jedem Betreiber oder seinen Channel-Partnern festgelegt. Die offiziellen Quellen, die wir geprüft haben, veröffentlichen keine Preise für den Nahen Osten für API.
Quellen
- Ooredoo Qatar, Katarische Mobilfunkbetreiber führen Anti-Betrug-APIs über die GSMA Open Gateway-Initiative ein, 26. November 2025, abgerufen am 26. September 2026.
- CAMARA, Number Verification API-Definition, Release r3.2, abgerufen am 26. September 2026.
- CAMARA, SIM Swap API-Definition, Release r3.3, abgerufen am 26. September 2026.
- CAMARA Projektseiten, Number Verification und SIM Swap, abgerufen am 26. September 2026.
- GSMA, GSMA Open Gateway, abgerufen am 26. September 2026.