Bevor Sie den Code versenden: Eine Routine zur Vorabprüfung für OTP mit MobileValidate und BroadNet

Bevor Sie ein Einmalpasswort versenden, führen Sie einen Lookup der Nummer durch: Normalisieren Sie diese, prüfen Sie den Leitungstyp sowie den Netzbetreiber und – falls Sie mehr als SMS anbieten – prüfen Sie, über welche Ihrer Kanäle sie empfangen werden kann. Versenden Sie standardmäßig, wenn die Antwort „Mobilfunk“ oder „unbekannt“ lautet; stoppen Sie den Versand oder bieten Sie Voice an, wenn es sich um einen Festnetz- oder gebührenfreien Anschluss handelt, und erhöhen Sie die Sicherheitsbarrieren, wenn das Muster riskant erscheint. Mit MobileValidate, einer BroadNet-Marke im Private Preview, erfolgt die Prüfung über einen einzigen API-Request, und der Code wird anschließend über OTP API oder MyOTP.App von BroadNet mit einem Kanal-Fallback versendet.

Wichtigste Erkenntnisse

• Eine Vorabprüfung kostet lediglich einen Lookup und kann eine Nachricht einsparen, die ohnehin nie ankommen würde, oder eine Nachricht verhindern, die ein Betrugsmuster füttert.
• Der Leitungstyp ist das nützlichste Einzelsignal: Mobilfunk bedeutet „Senden“, Festnetz, gebührenfreie Nummern und Premium-Nummern bedeuten „Stopp“, während VoIP einer genaueren Prüfung unterzogen wird.
• „Unbekannt“ ist kein Fehler: Versenden Sie den Code mit Ihren normalen Rate-Limits. MobileValidate berechnet keine Gebühren für unbekannte Antworten.
• Eine kurze Wartezeit hält den Registrierungsprozess schnell: Setzen Sie die Wartezeit für den Lookup auf wenige Sekunden und behandeln Sie alles, was noch ausstehend ist, als „unbekannt“.
• Kanalprüfungen (zum Beispiel Telegram) helfen dabei, den optimalen Versandkanal für Kunden zu wählen, die für diesen Kanal ihre Einwilligung gegeben haben.
• Die Prüfung unterstützt Ihre Betrugsprävention; sie ersetzt jedoch keine Rate-Limits, das Monitoring oder den Fallback.

Was sollten Sie vor dem Versenden eines OTP prüfen?

Der Carrier-Lookup von MobileValidate erklärt, warum der Leitungstyp entscheidend ist: Eine Festnetz-, gebührenfreie, Premium-Rate-, Shared-Cost- oder UAN-Nummer bedeutet „meistens“, dass die SMS fehlschlagen wird oder unnötige Kosten verursacht. Zudem ist eine Häufung von Anmeldungen über VoIP-Nummern oder einen einzelnen kleinen Netzbetreiber ein typisches Muster bei der Erstellung gefälschter Konten und SMS-Pumping.

Wie funktioniert der Ablauf Schritt für Schritt?

1. 1Wenn der Nutzer eine Nummer eingibt, rufen Sie POST /v1/lookup mit der Nummer und den erforderlichen Prüfungen auf, bevor er auf „Code senden“ klickt – zum Beispiel den Netzbetreiber sowie die App-Kanäle, über die Sie Codes versenden.
2. 2Stellen Sie die Wartezeit auf einige Sekunden ein. Die API wartet standardmäßig bis zu 10 Sekunden (maximal 30) und gibt 202 mit ausstehenden Prüfungen zurück, wenn die Zeit abläuft; behandeln Sie „ausstehend“ als unbekannt.
3. 3Wenden Sie die untenstehende Entscheidungstabelle auf das Ergebnis an.
4. 4Senden Sie den Code über die BroadNet OTP API oder MyOTP.App auf dem gewählten Kanal, mit einem Fallback zwischen den Kanälen.
5. 5Protokollieren Sie das Suchergebnis zusammen mit dem Verifizierungsversuch, damit Sie die Ergebnisse später nachvollziehen können.

1curl https://api.mobilevalidate.com/v1/lookup \
2  -H "Authorization: Bearer $MOBILEVALIDATE_API_KEY" \
3  -H "Content-Type: application/json" \
4  -d '{"numbers": ["+447700900001"], "checks": ["carrier", "telegram"], "wait": 3}'

Jede Prüfung in der Antwort enthält registered (true, false oder null für unbekannt), status, ein Konfidenzniveau und checked_at; die Netzbetreiberprüfung schreibt line_type, carrier und country in die Attribute. Die Nummer +447700900001 ist eine MobileValidate Testnummer: Test-Keys antworten mit festen Daten und werden niemals abgerechnet. Details zur vollständigen Antwort finden Sie unter Echtzeit-Lookups.

Was tun Sie mit dem jeweiligen Ergebnis?

Behalten Sie die Regeln in Ihrer eigenen Policy-Engine, damit Sie diese anpassen können; der Lookup liefert Signale, keine Urteile. Eine VoIP-Nummer kann zu einem echten Kunden gehören, daher ist eine verstärkte Verifizierung (Step-up Verification) in der Regel besser als eine harte Sperre.

Verlangsamt ein Lookup die Anmeldung?

Nur so lange, wie Sie es zulassen. Führen Sie den Lookup aus, während der Nutzer sich noch im Telefonnummer-Feld befindet, begrenzen Sie ihn mit dem Wait-Parameter und behandeln Sie eine ausstehende Antwort als unbekannt, damit der Code niemals verzögert wird. MobileValidate cached Antworten pro Konto innerhalb des Aktualitätsfensters des jeweiligen Dienstes; eine gecachte Antwort ist kostenlos, sodass ein Nutzer, der einen zweiten Code anfordert, keine zweite kostenpflichtige Prüfung auslöst.

Platzieren Sie den Lookup vor dem Versand, nicht vor dem gesamten Anmeldeformular: Falls der Lookup-Dienst nicht erreichbar ist, greift der Versand des Codes mit Ihren normalen Limits.

Wie fügt sich dies in die SMS-Pumping- und Betrugsschutzmaßnahmen ein?

SMS-Pumping (künstlich aufgeblähter Traffic) missbraucht OTP-Formulare, um Nachrichten an Nummern zu senden, an denen der Angreifer einen Anteil an der Gebühr erhält. Eine Prüfung des Leitungstyps und des Netzbetreibers vor dem Versand entfernt Nummern, die niemals eine SMS erhalten sollten, und macht Cluster sichtbar, stellt jedoch nur eine Ebene dar. Behalten Sie Ratenbegrenzungen (Rate Limits) pro Nummer, IP-Adresse und Gerät bei, begrenzen Sie die Versuche pro Sitzung, überwachen Sie die Zielmischung und richten Sie Ausgaben-Alarme ein. Unser Leitfaden zu SMS-Pumping und AIT-Betrug behandelt die weiteren Ebenen, und was SMS-Pumping ist erklärt das Schema kurz gefasst.

MobileValidate bietet keine SIM-Swap-Prüfungen an. Zur Absicherung gegen Account-Takeover-Risiken bei hochsensiblen Aktionen deckt BroadNet die APIs der Netzbetreiber ab im Rahmen von SIM Swap und Number Verify im Nahen Osten.

Wie wählen Sie den OTP-Kanal aus?

Bieten Sie die Kanäle an, denen Ihre Nutzer vertrauen, und protokollieren Sie deren Wahl. MyOTP.App versendet Codes per SMS, WhatsApp oder Telegram über ein einziges Konto mit automatischem Fallback, und die BroadNet OTP API nutzt als Fallback SMS, WhatsApp, Voice und Flash Call. Eine Telegram-Registrierungsprüfung hilft Ihnen dabei, die Telegram-Option nur den Nutzern anzuzeigen, die sie auch empfangen können; SMS bleibt der Fallback, der jede Mobilfunknummer erreicht. Für einen tieferen Vergleich der Kanäle lesen Sie unseren Leitfaden zur Multichannel-OTP-Verifizierung.

Was kostet die Prüfung und ist sie rechtmäßig?

MobileValidate berechnet pro Prüfung und nur für eindeutige Ergebnisse: Unbekannt, nicht unterstütztes Land, Timeout, ungültig und Duplikate sind kostenlos, ebenso wie Cache-Treffer und Test-Keys. Die aktuellen Preise, die sich während der Private Preview ändern können, finden Sie auf der Preisseite. Prüfen Sie nur das, worauf Sie reagieren: Jede zusätzliche Prüfung einer Nummer kann separat in Rechnung gestellt werden.

Die Überprüfung einer Nummer, die der Nutzer gerade zur Code-Zustellung angegeben hat, dient der Betrugsprävention, was die Acceptable-Use-Policy von MobileValidate zulässt. Gemäß GDPR, Erwägungsgrund 47 heißt es: „Die Verarbeitung personenbezogener Daten, die zu Zwecken der Betrugsprävention strikt notwendig ist, stellt auch ein berechtigtes Interesse des betreffenden Verantwortlichen dar“. Andere Gesetze können abweichen, daher bestätigen Sie Ihre Rechtsgrundlage für jeden einzelnen Markt; dies ist eine allgemeine Information und keine Rechtsberatung.

Häufig gestellte Fragen

Warum sollte eine Nummer vor dem Versenden eines OTP geprüft werden?

Um zu verhindern, dass Kosten für Codes entstehen, die nicht ankommen können (z. B. bei Festnetz- oder gebührenfreien Nummern), um Muster im Zusammenhang mit Fake-Registrierungen und SMS-Pumping zu erkennen und um einen Kanal zu wählen, den der Nutzer tatsächlich empfangen kann.

Welche Prüfung ist am wichtigsten?

Leitungstyp. Eine Mobilfunknummer kann den Code empfangen; Festnetz-, gebührenfreie und Premium-Nummern können in der Regel keine SMS empfangen; VoIP-Nummern sollten genauer geprüft werden.

Was passiert, wenn die Abfrage „unbekannt“ zurückgibt?

Senden Sie den Code mit Ihren normalen Ratenbegrenzungen. Unbekannte Antworten werden von MobileValidate nicht berechnet, und eine Blockierung bei unbekannten Ergebnissen würde echte Nutzer beeinträchtigen.

Wird die Abfrage die Registrierung verlangsamen?

Das muss nicht sein. Führen Sie die Abfrage aus, sobald die Nummer eingegeben wird, begrenzen Sie die Laufzeit mit dem Wait-Parameter und behandeln Sie ausstehende Antworten als unbekannt.

Sollte ich VoIP-Nummern blockieren?

Normalerweise nicht pauschal. Nutzen Sie VoIP als Risikosignal für eine zusätzliche Verifizierung, ein niedrigeres Limit für Versuche oder eine manuelle Prüfung.

Prüft MobileValidate auf SIM-Swaps?

Nein. MobileValidate gibt an, dass kein SIM-Swap-Check angeboten wird; dies wird durch die APIs der Netzbetreiber abgedeckt.

Sendet die Prüfung Informationen an den Nutzer?

Nein. Eine MobileValidate-Prüfung versendet niemals eine Nachricht, einen Anruf oder eine E-Mail an die Nummer.

Welche BroadNet-Produkte versenden den Code?

Die BroadNet OTP API mit Fallback über SMS, WhatsApp, Voice und Flash Call sowie MyOTP.App, die per SMS, WhatsApp oder Telegram von einem Konto aus versendet.

Wir haben alle unten aufgeführten Quellen am 27. September 2026 gelesen. Siehe unsere Redaktionsrichtlinien.

Quellen

• MobileValidate — Echtzeit-Abfragen (Anforderungsfelder, Warten, Ergebnisse, Caching), zuletzt aktualisiert am 25. September 2026: mobilevalidate.com/docs/lookups.
• MobileValidate — Netzbetreiber- und Leitungstyp-Abfrage, zuletzt aktualisiert am 25. September 2026: mobilevalidate.com/services/carrier-lookup.
• MobileValidate — Anwendungsfall zur Prävention von OTP- und Registrierungsbetrug, abgerufen am 27. September 2026: mobilevalidate.com/use-cases/otp-and-signup-fraud.
• MobileValidate — Fakten (was nicht angeboten wird, Abrechnung), abgerufen am 27. September 2026: mobilevalidate.com/facts.
• MobileValidate — Nutzungsbedingungen, abgerufen am 27. September 2026: mobilevalidate.com/legal/acceptable-use.
• GDPR Erwägungsgrund 47 (berechtigte Interessen; Betrugsprävention), abgerufen am 27. September 2026: gdpr-info.eu.