Ist SMS OTP verboten? Was die Bankenvorschriften in den VAE, Indien und den Philippinen im Jahr 2026 tatsächlich verlangen

Nein — SMS OTP ist in den VAE, Indien oder den Philippinen nicht verboten. Die VAE-Banken wurden von der Zentralbank angewiesen, SMS und E-Mail-Einmalpasswörter aus der Kundenauthentifizierung schrittweise auslaufen zu lassen (der Auslauf begann am 25. Juli 2025). Indiens RBI behielt SMS OTP als zulässigen Faktor unter den technologie-neutralen Zwei-Faktor-Regeln bei, die seit dem 1. April 2026 in Kraft sind, und die BSP der Philippinen verpflichtet größere Banken ab etwa dem 25. Juni 2026 dazu, abfangbare OTPs zu begrenzen.

Wichtigste Erkenntnisse

• VAE: Das Auslaufen gilt für Banken, die ihre eigenen Kunden authentifizieren, und verlagert die Freigabe in die mobile App der Bank. Die Mitteilung der Zentralbank selbst wurde nicht veröffentlicht; die Daten stammen aus Pressemeldungen (Gulf News, Khaleej Times, 24. Juli 2025).
• Indien: Die RBI Authentication Mechanisms Directions, 2025 schreiben ab dem 1. April 2026 zwei unterschiedliche Faktoren für digitale Zahlungen vor, wobei für alles außer Card-Present-Zahlungen mindestens ein dynamischer Faktor erforderlich ist. SMS OTP bleibt zulässig.
• Philippinen: Das BSP Circular No. 1213 (unterzeichnet am 30. Mai 2025) weist von BSP beaufsichtigte Institutionen an, OTPs per SMS und E-Mail zu begrenzen, und verpflichtet Institutionen mit hohem Volumen, innerhalb eines Jahres nach dem Inkrafttreten des Rundschreibens Biometrie, passwortlose oder adaptive Authentifizierung einzuführen.
• Nicht-Banken — E-Commerce, Lieferdienste, Reisebranche, SaaS, staatliche Portale — werden von keinem der drei Instrumente erfasst. SMS OTP bleibt ein normaler Weg, um eine Telefonnummer zu verifizieren oder sich einzuloggen.
• SMS spielt im Bankwesen weiterhin eine regulierte Rolle: Das BSP-Rundschreiben listet SMS als Kanal für Echtzeit-Transaktionsbenachrichtigungen auf, und das SAMA-Regelwerk in Saudi-Arabien schreibt sofortige SMS-Benachrichtigungen für Kontotransaktionen vor.

Ist SMS OTP in den VAE verboten?

Nein. Was in den VAE geschah, ist eine Änderung im Bankensektor, kein nationales Verbot. Am 24. Juli 2025 berichtete Gulf News, dass „Banken in den VAE am Freitag, den 25. Juli, damit beginnen werden, Einmalpasswörter (OTPs), die per SMS und E-Mail versendet werden, schrittweise auslaufen zu lassen“, wobei die Kunden auf eine „Authentifizierung via App“-Funktion in der Smart-Application ihrer Bank umsteigen. Khaleej Times berichtete am selben Tag, dass dieser Schritt „Anweisungen der Zentralbank der VAE folgt und phasenweise umgesetzt wird“. Gulf News beschrieb die vollständige Einstellung von SMS und E-Mail-OTPs als bis März 2026 vorgeschrieben.

Für alle, die auf dieser Grundlage Richtlinien erstellen, sind zwei Vorsichtsmaßnahmen wichtig. Erstens hat die Central Bank of the UAE (CBUAE) die Mitteilung selbst noch nicht veröffentlicht; die Nummer und der genaue Wortlaut, die online kursieren, stammen aus Blogs von Drittanbietern und sollten daher als unbestätigt betrachtet werden. Zweitens beziehen sich alle öffentlichen Berichte auf Banken, die die Transaktionen und Logins ihrer eigenen Kunden authentifizieren. Keiner dieser Berichte weitet die Änderung auf andere Unternehmen aus, die SMS-Codes verwenden, um eine Telefonnummer zu verifizieren, eine Lieferung zu bestätigen oder einen Benutzer anzumelden.

In der Praxis genehmigen Kunden von UAE-Banken Kartenzahlungen und sensible Aktionen nun innerhalb der Bank-App, typischerweise mittels der Biometrie des Telefons oder einer App-PIN. Für den breiteren regulatorischen Kontext – Absenderkennung, Werbezeitfenster und Einwilligung – siehe unsere Seite zu den UAE SMS-Regulierungen.

Verbietet RBI SMS OTP ab April 2026?

Nein. Die Reserve Bank of India (Authentication Mechanisms for Digital Payment Transactions) Directions, 2025 wurden am 25. September 2025 erlassen und gelten für „alle Payment System Providers und Payment System Participants, einschließlich Banken und Nicht-Banken-Einheiten“, die bis zum 1. April 2026 die Anforderungen erfüllen mussten. Die Kernregel lautet: „Alle digitalen Zahlungstransaktionen müssen durch mindestens zwei unterschiedliche Authentifizierungsfaktoren authentifiziert werden“, und für alles andere als Card-Present-Transaktionen gilt: „mindestens einer der Authentifizierungsfaktoren muss dynamisch erstellt oder nachgewiesen werden“.

Die Richtlinien legen Prinzipien fest, anstatt eine bestimmte Technologie zu benennen. Die RBI stellt fest, dass, obwohl kein spezifischer Faktor vorgeschrieben wurde, das Ökosystem „primär SMS-basierte Einmalpasswörter (OTP) als zusätzlichen Faktor übernommen hat“ – und nichts im Text spricht dies entgegen. Was sich ändert, ist die Verantwortlichkeit: „Sollten aus Transaktionen, die ohne Einhaltung dieser Richtlinien durchgeführt wurden, Verluste entstehen, hat der Emittent dem Kunden den Verlust in voller Höhe zu ersetzen.“ Emittenten können zusätzlich zu den zwei Faktoren risikobasierte Prüfungen zu Standort, Verhalten oder Geräteattributen einführen.

Ein weiteres Datum ist nun aktuell: Kartenaussteller müssen bis zum 1. Oktober 2026 einen Mechanismus implementieren, um nicht wiederkehrende grenzüberschreitende Card-not-present-Transaktionen zu validieren, die von einem ausländischen Händler oder Acquirer initiiert wurden. Für indische Messaging-Regeln – DLT-Registrierung, Header und Vorlagen – siehe Indien SMS-Regulierungen.

Was fordert das BSP Circular No. 1213 auf den Philippinen?

Das BSP Circular No. 1213, Series of 2025 wurde vom Monetary Board am 22. Mai 2025 genehmigt, am 30. Mai 2025 unterzeichnet und am 10. Juni 2025 veröffentlicht. Es tritt 15 Kalendertage nach der Veröffentlichung in Kraft, und von der BSP beaufsichtigte Finanzinstitute (BSFIs) müssen die Anforderungen „innerhalb eines (1) Jahres nach dem Inkrafttreten“ erfüllen – was etwa auf den 25. Juni 2026 fällt. Das Rundschreiben nennt selbst kein Kalenderdatum; einige Pressemeldungen nennen den 30. Juni, aber die Ein-Jahres-Regel deutet auf den 25. Juni hin.

Die entscheidende Passage ist eine Einschränkung, kein Verbot: BSFIs „sollten die Verwendung von Authentifizierungsmechanismen einschränken, die an Dritte, die nicht an der Transaktion beteiligt sind, weitergegeben oder von diesen abgefangen werden können“, wobei OTPs via SMS und E-Mail als Beispiel genannt wird. Institutionen, die „komplexe elektronische Produkte und Dienstleistungen anbieten und hohe aggregierte Online-Transaktionswerte handhaben“ – ein durchschnittlicher monatlicher Transaktionswert von mindestens PHP 75.000.000 in den letzten sechs Monaten – müssen eine starke Authentifizierung einführen: Biometrie (Fingerabdruck, Gesicht oder Stimme), Verhaltensbiometrie, passwortlose Authentifizierung wie FIDO-Schlüssel oder Hardware-Token oder adaptive Authentifizierung, ergänzt durch starkes Device Fingerprinting.

Das Rundschreiben behält auch SMS im Blick. OTP-Nachrichten, die weiterhin versendet werden, „sollten mit ausreichenden Transaktionsdetails personalisiert sein“, Echtzeit-Benachrichtigungen können „über sichere Kanäle wie mobile Apps, Messaging-Apps, E-Mail oder SMS“ erfolgen, und BSFIs dürfen keine anklickbaren Links oder QR-Codes per E-Mail, Messaging-App oder SMS versenden, es sei denn, der Kunde hat dies angefordert, der Link dient nur der Information oder er führt nicht zu einer Seite, die zur Eingabe von Anmeldedaten auffordert. Länderkontext: Philippinen SMS-Regulierungen.

Die drei Regeln im Vergleich

Wer fällt in den Anwendungsbereich – und wer nicht?

Der am häufigsten gemachte Fehler besteht in der Annahme, dass eine Regel zur Bankenauthentifizierung für jedes Unternehmen gilt, das einen Code versendet. Das ist nicht der Fall. Der Anwendungsbereich wird dadurch festgelegt, wen die Regulierungsbehörde beaufsichtigt.

• In den VAE im Anwendungsbereich: lizenzierte Banken, die Kunden-Logins und Transaktionen authentifizieren (laut Pressemeldungen).
• In Indien im Anwendungsbereich: jeder Anbieter und Teilnehmer von Zahlungssystemen – Banken, Kartenherausgeber, Wallets und andere Nicht-Bank-Zahlungsdienstleister – für digitale Zahlungstransaktionen.
• Im Anwendungsbereich der Philippinen: von BSP beaufsichtigte Finanzinstitute; die Liste für starke Authentifizierung gilt für jene, die die Schwelle von PHP 75 Millionen pro Monat überschreiten.
• Nicht im Anwendungsbereich der drei: E-Commerce-Logins und Kontowiederherstellungen, Ride-Hailing- und Lieferbestätigungen, Reisebuchungen, SaaS-Registrierungen, Marktplätze und Gaming – es sei denn, das Unternehmen selbst ist ein reguliertes Zahlungsunternehmen.
• Nicht im Anwendungsbereich: Telefonnummern-Verifizierung bei der Registrierung, wenn der Zweck darin besteht, den Besitz einer Nummer nachzuweisen, anstatt eine Zahlung zu autorisieren.

Was ersetzt SMS OTP für Bankkunden?

Die Alternativen verfolgen eine gemeinsame Idee: Die Autorisierung wird an das Gerät oder den Körper des Kunden gebunden und nicht an einen Code, der einem Betrüger vorgelesen oder nach einem SIM-Swap abgefangen werden kann.

• In-App-Freigabe: eine Push-Benachrichtigung an die eigene App der Bank, bestätigt durch Biometrie oder eine App-PIN – der Weg, den Banken in den VAE eingeschlagen haben.
• Biometrie und Verhaltensbiometrie: explizit genannt in BSP Circular 1213.
• Passwortlose Authentifizierung und Passkeys: auf FIDO basierende Schlüssel, die auf dem Gerät gespeichert werden; siehe unseren Leitfaden von SMS OTP zu Passkeys.
• Netzwerkbasierte Prüfungen: Silent Network Authentication und SIM-Swap-Signale verifizieren die Nummer über den Betreiber; siehe Silent Network Authentication vs. SMS OTP.
• Adaptive (risikobasierte) Authentifizierung: Step-up-Authentifizierung nur dann, wenn Gerät, Standort oder Verhalten ungewöhnlich erscheinen – in Indien zulässig und auf den Philippinen aufgeführt.

Warum SMS auch im Jahr 2026 unverzichtbar bleibt

Die Ablösung von SMS bei der Bankenauthentifizierung bedeutet nicht das Ende von SMS im Bankwesen. Die zuständigen Regulierungsbehörden führen SMS weiterhin als Kanal für Benachrichtigungen, und für Zahlungen außerhalb der App bleibt es der universellste Weg, um eine Telefonnummer zu erreichen, für die keine App installiert wurde.

• Transaktionsbenachrichtigungen: Das BSP-Rundschreiben führt SMS als einen der Echtzeit-Benachrichtigungskanäle auf, und SAMA schreibt sofortige SMS-Benachrichtigungen für Kontotransaktionen vor.
• Telefonnummern-Verifizierung bei der Registrierung und bei der Änderung der Nummer, idealerweise kombiniert mit einem SIM-Swap-Check.
• Login und Wiederherstellung für Nicht-Banken-Apps, bei denen SMS oft der einzige Faktor ist, den jeder Nutzer empfangen kann.
• Indien: SMS OTP als einer der zwei Faktoren, sofern der andere Faktor davon abweicht.
• Fallback: Wenn ein Push- oder In-App-Kanal fehlschlägt, kann ein Multichannel-Verifizierungsdienst auf WhatsApp, Voice oder SMS zurückgreifen, sofern die regulatorischen Vorgaben dies zulassen.

Checkliste für Banken und Zahlungsdienstleister

1. 1Erfassen Sie alle Prozesse, die derzeit einen Code versenden – Login, Hinzufügen von Begünstigten, Card-Not-Present-Zahlungen, Limitänderungen, Gerätewechsel – und kennzeichnen Sie, welche regulatorische Regelung jeweils gilt.
2. 2Verlagern Sie Hochrisiko-Freigaben auf gerätegebundene Methoden (In-App-Push mit Biometrie, Passkeys) und dokumentieren Sie den zweiten Faktor für Indien.
3. 3Personalisieren Sie jede noch so kleine OTP, die Sie versenden, mit Transaktionsdetails (Händler, Betrag), wie es BSP verlangt, und fügen Sie niemals einen anklickbaren Link hinzu.
4. 4Integrieren Sie Risikosignale — SIM-Swap, Geräteänderung, Geschwindigkeit — bevor Sie einem Besitzfaktor vertrauen.
5. 5Nutzen Sie SMS für Echtzeit-Transaktionsbenachrichtigungen und überwachen Sie die Zustellung; lesen Sie dazu unser Playbook zur Zustellungsüberwachung für die Bank-OTP.
6. 6Dokumentieren Sie Ihre Entscheidung pro Markt zusammen mit dem Prüfdatum, damit Auditoren nachvollziehen können, warum jeder Prozess die jeweilige Methode verwendet.

Checkliste für Nicht-Banken-Apps

1. 1Bestätigen Sie, dass Sie kein reguliertes Zahlungsunternehmen sind; falls doch, gilt die Banken-Checkliste für Ihre Zahlungsströme.
2. 2Nutzen Sie SMS OTP für die Registrierung und Anmeldung und ergänzen Sie WhatsApp oder Voice als Fallback-Kanäle für eine höhere Reichweite und geringere Kosten.
3. 3Prüfen Sie auf kürzlich erfolgte SIM-Swaps vor sensiblen Kontenänderungen.
4. 4Bieten Sie wiederkehrenden Nutzern Passkeys als Option an und behalten Sie SMS zur Wiederherstellung bei.
5. 5Schätzen Sie das Betrugsrisiko jedes Prozesses mit dem OTP Sicherheitsrechner ein.

Häufig gestellte Fragen

Ist SMS OTP in den VAE verboten?

Nein. Die Banken in den VAE wurden von der Zentralbank angewiesen, SMS und E-Mail-OTPs schrittweise aus der Kundenauthentifizierung auslaufen zu lassen – beginnend am 25. Juli 2025 mit einem voraussichtlichen Abschluss im März 2026 – und stattdessen In-App-Authentifizierung zu nutzen. Diese Änderung gilt für Banken, die ihre eigenen Kunden authentifizieren; es handelt sich nicht um ein landesweites Verbot von SMS-Codes für andere Unternehmen.

Gilt die CBUAE-Regelung auch für E-Commerce, BNPL oder Liefer-Apps?

Öffentliche Berichte beschreiben die Richtlinie so, dass sie für Banken gilt. E-Commerce, Lieferdienste oder andere Nicht-Banken-Apps werden nicht erwähnt. Ein vom Zentralbank lizenziertes Zahlungsunternehmen sollte seine eigenen Lizenzverpflichtungen bei der Aufsichtsbehörde prüfen, da der Text der Bekanntmachung noch nicht veröffentlicht wurde.

Was hat SMS OTP für Bankkunden in den VAE ersetzt?

In-App-Authentifizierung. Kunden bestätigen Zahlungen und sensible Aktionen in der mobilen App ihrer Bank, in der Regel mittels Biometrie des Telefons oder einer App-PIN, anstatt einen per SMS oder E-Mail erhaltenen Code einzugeben.

Verbietet RBI SMS OTP ab April 2026?

Nein. Die ab dem 1. April 2026 geltenden RBI-Richtlinien erfordern mindestens zwei unterschiedliche Authentifizierungsfaktoren für digitale Zahlungen, wobei mindestens ein dynamischer Faktor erforderlich ist (außer bei Transaktionen mit physischer Kartennutzung). Sie schreiben keine bestimmte Technologie vor und verbieten auch keine; SMS OTP bleibt ein zulässiger Faktor. Emittenten müssen Kunden für Verluste aus nicht konformen Transaktionen vollumfänglich entschädigen.

Was ist das BSP Circular No. 1213?

Dabei handelt es sich um das Rundschreiben der Bangko Sentral ng Pilipinas, das am 30. Mai 2025 unterzeichnet wurde und die Standards für Authentifizierung und Betrugsprävention für von BSP beaufsichtigte Finanzinstitute aktualisiert. Es schreibt vor, abfangbare Authentifizierungsverfahren wie SMS und E-Mail-OTPs zu begrenzen, und verpflichtet Institute mit hohem Transaktionsvolumen, innerhalb eines Jahres nach dem Inkrafttreten – etwa um den 25. Juni 2026 – Biometrie, passwortlose oder adaptive Authentifizierung einzuführen.

Kann SMS OTP weiterhin zur Verifizierung einer Telefonnummer verwendet werden?

Ja. Keine der drei Regeln untersagt die Verwendung eines SMS-Codes, um bei der Registrierung oder bei einer Telefonnummernänderung nachzuweisen, dass ein Nutzer die Kontrolle über eine Nummer besitzt. Die Kombination dieser Prüfung mit einer SIM-Swap-Abfrage erschwert Missbrauch erheblich.

Verbietet das SAMA in Saudi-Arabien SMS OTP?

Stand 26. September 2026 haben wir keine offizielle SAMA-Anordnung zur schrittweisen Abschaffung von SMS OTP gefunden. Das Regelwerk von SAMA schreibt jedoch vor, dass Banken sofortige SMS-Benachrichtigungen für Kontotransaktionen senden müssen. Behauptungen über eine SAMA-Frist, die online kursieren, sind reine Spekulation, bis SAMA eine solche veröffentlicht.

Was sollte eine Bank verwenden, wenn die App nicht verfügbar ist?

Das hängt von der jeweiligen Aufsichtsbehörde ab: Das philippinische Rundschreiben schränkt SMS OTP eher ein, als es zu verbieten, und Indien erlaubt es als einen von zwei unterschiedlichen Faktoren. Entwickeln Sie eine dokumentierte Fallback-Lösung für den jeweiligen Markt – zum Beispiel eine zweite, an das Gerät gebundene Methode oder einen unterstützten Kanal – und stimmen Sie diese mit Ihrer Aufsichtsbehörde ab, bevor Sie SMS als Fallback nutzen.

Quellen

• Reserve Bank of India — Authentication Mechanisms for Digital Payment Transactions Directions, 2025, 25. September 2025: rbi.org.in (abgerufen am 26. September 2026).
• Bangko Sentral ng Pilipinas — Circular No. 1213, Series of 2025, unterzeichnet am 30. Mai 2025: bsp.gov.ph (abgerufen am 26. September 2026).
• Gulf News — "Banken in den VAE stellen den Versand von OTPs via SMS und E-Mail ab dem 25. Juli ein", 24. Juli 2025: gulfnews.com.
• Khaleej Times — Banken in den VAE werden OTPs ab dem 25. Juli schrittweise auslaufen lassen, 24. Juli 2025: khaleejtimes.com.
• Saudi Central Bank (SAMA) Rulebook — Instant-Benachrichtigungsdienst für SMS: rulebook.sama.gov.sa (abgerufen am 26. September 2026).