SMS OTP Sicherheitsstandards 2026: Was NIST, PSD2, PCI DSS und Zentralbanken tatsächlich verlangen

SMS Einmalpasswörter sind in den wichtigsten Standards im Jahr 2026 eingeschränkt, aber nicht verboten. NIST SP 800-63B-4 (Juli 2025) stuft SMS und Sprachcodes als „eingeschränkten“ Authentifikator ein, der bei AAL2 noch zulässig ist, sofern der Anbieter eine Alternative anbietet und das Risiko erläutert, jedoch nicht bei AAL3. Gemäß PSD2 akzeptiert die Europäische Bankenaufsicht ein SMS OTP als Besitzelement. PCI DSS 4.0.1 erfordert replay-resistente, nicht umgehbare MFA, ohne SMS explizit zu nennen. Indiens RBI hat SMS OTP ab dem 1. April 2026 ausdrücklich beibehalten. Die tatsächlichen Einschränkungen sind enger gefasst: Banken in Singapur, Hongkong, Malaysia, den VAE und den Philippinen haben Logins oder Hochrisiko-Transaktionen auf App- oder gerätegebundene Authentifizierung umgestellt. Jede unten aufgeführte Anforderung verlinkt auf ihre Quelle.

Die Regeln im Überblick

NIST SP 800-63B-4: eingeschränkt, nicht verboten

NIST hat im Juli 2025 die finale SP 800-63B-4 veröffentlicht, die 800-63-3 ablöst. Einmalcodes, die über das öffentliche Telefonnetz (SMS oder Voice) gesendet werden, werden als **eingeschränkter Authentifikator** behandelt (Abschnitt 3.2.9). Ein Anbieter, der einen solchen nutzt, muss mindestens eine nicht eingeschränkte Alternative anbieten, die Nutzer sinnvoll über die Risiken informieren, diese in seiner Risikobewertung berücksichtigen und einen Migrationsplan vorhalten; falls die vertrauenswürdige Partei das Risiko als unannehmbar einstuft, darf dieser nicht verwendet werden.

• **Sicherheitsstufen:** Out-of-Band-Codes sind bei AAL2 zulässig, in Kombination mit einem Passwort oder einer Biometrie, jedoch nicht bei AAL3, da dort phishing-resistente kryptografische Authentifikatoren erforderlich sind. AAL2-Prüfer müssen mindestens eine phishing-resistente Option anbieten.
• **Code-Regeln:** mindestens 6 Ziffern aus einem zugelassenen Zufallsgenerator, nur einmalig verwendbar und maximal 10 Minuten gültig; Sperrung nach maximal 100 aufeinanderfolgenden Fehlversuchen.
• **Risikosignale:** Vor dem Versenden eines Codes sollten Verifizierer auf Device-Swap, SIM-Wechsel und Rufnummernmitnahme prüfen (ein „Soll“- statt eines „Muss“-Kriteriums).
• **E-Mail** darf nicht als Out-of-Band-Authenticator verwendet werden.

Für Prüfungen von SIM-Wechseln und Rufnummernmitnahmen siehe Number Verify and SIM Swap APIs und SIM swap fraud defence.

CISA: gerichtet an hochgradig zielgerichtete Personen

Die Mobile Communications Best Practice Guidance von CISA vom 18. Dezember 2024 besagt: „Verwenden Sie SMS nicht als zweiten Faktor zur Authentifizierung“, da SMS nicht verschlüsselt ist und „nicht phishing-resistent ist und daher keine starke Authentifizierung für Konten von hochgradig zielgerichteten Personen darstellt“. Die Zielgruppe sind hochrangige Regierungs- und politische Persönlichkeiten; es wird FIDO als einzige phishing-resistente Methode empfohlen. Es handelt sich um eine Leitlinie, nicht um eine verbindliche Regel für Consumer-Services.

EU: PSD2 akzeptiert SMS OTP; PSD3 ist noch kein Gesetz

Die regulatorischen technischen Standards für die starke Kundenauthentifizierung (Delegierte Verordnung (EU) 2018/389), die seit dem 14. September 2019 gelten, setzen den Standard für jeden Einmalcode, der bei Zahlungen verwendet wird:

• **Artikel 4:** Der Authentifizierungscode wird nur einmal akzeptiert und kann nicht gefälscht werden; maximal 5 aufeinanderfolgende Fehlversuche vor einer Sperrung; maximal 5 Minuten Inaktivität nach dem Login.
• **Artikel 5 (Dynamic Linking):** Dem Zahler werden der Betrag und der Zahlungsempfänger angezeigt, und der Code ist spezifisch für diese Transaktion; jede Änderung macht den Code ungültig.
• **Artikel 7:** Besitz-Elemente müssen Maßnahmen gegen unbefugte Nutzung und Replikation enthalten.
• **Artikel 9:** Elemente müssen unabhängig sein; bei einem Mehrzweckgerät wie einem Telefon sind eine getrennte sichere Ausführung und eine Manipulationserkennung erforderlich.

Die EBA bestätigte in Q&A 2018_4039, dass ein SMS OTP ein Besitz-Element sein kann, sofern es gegen Replikation geschützt ist, und ihr Gutachten vom Juni 2019 führt OTP via SMS als gültiges Besitz-Element auf. PSD3 und die Zahlungsdiensterichtlinie haben im November 2025 eine politische Einigung erzielt, warten jedoch bis zum 22. Oktober 2026 noch auf die endgültige Verabschiedung und Veröffentlichung; im vereinbarten Text haben wir keine Bestimmung gefunden, die auf SMS OTP abzielt.

PCI DSS 4.0.1: SMS wird nicht genannt

PCI DSS 4.0.1 erfordert eine Multi-Faktor-Authentifizierung für sämtliche Zugriffe auf die Umgebung der Karteninhaberdaten (Anforderung 8.4.2) und legt fest, wie die MFA funktionieren muss (8.5.1): resistent gegen Replay-Angriffe, nicht ohne eine dokumentierte, zeitlich begrenzte Ausnahme zu umgehen, unter Verwendung von mindestens zwei verschiedenen Faktortypen, wobei jeder Faktor erfolgreich abgeschlossen werden muss. Beides wurde am 31. März 2025 verbindlich. Der Standard verbietet SMS nicht (gemeldeter Wortlaut; der Standard selbst ist lizenzgebunden); das MFA-Informationssupplement der PCI SSC merkt lediglich die frühere Warnung der NIST bezüglich SMS an.

Regulierungsbehörden im asiatisch-pazifischen Raum

• **Singapur:** Die MAS und die Association of Banks in Singapore gaben am 9. Juli 2024 bekannt, dass große Privatbanken OTPs für den Login innerhalb von drei Monaten für Kunden, die einen digitalen Token besitzen, schrittweise abschaffen werden (MAS Veröffentlichung). Kunden mit physischen Token waren nicht betroffen.
• **Hongkong (Banken):** Das Rundschreiben der HKMA vom 14. April 2025 sieht ein gebundenes Gerät als Standard vor, anstelle von SMS OTP, für den Login und Hochrisiko-Transaktionen, mit Zielvorgaben in Q3 und Q4 2025. SMS OTP bleibt für Kunden ohne App oder für Kunden, die sich aktiv anmelden (Opt-in), möglich (HKMA Rundschreiben).
• **Hongkong (Broker und Virtual-Asset-Plattformen):** Das SFC Rundschreiben 26EC35 vom 9. Juli 2026 verbietet OTPs für den Client-Login und das Device-Binding zugunsten von Passkeys oder gebundenen Geräten bis zum 8. Juli 2027.
• **Malaysia:** Die Bank Negara Malaysia forderte Finanzinstitute auf, von SMS OTP zu einer sichereren Authentifizierung überzugehen, wie am 26. September 2022 bekannt gegeben wurde (BNM).
• **Indien:** Die RBI-Richtlinien für Authentifizierungsmechanismen bei digitalen Zahlungstransaktionen aus dem Jahr 2025 schreiben ab dem 1. April 2026 eine Zwei-Faktor-Authentifizierung mit einem dynamischen Element vor; die RBI gab an, dass der Rahmen „keine Einstellung von SMS-basierten OTP fordert" (RBI).
• **Philippinen:** Das BSP-Rundschreiben 1213, das im Mai 2025 unterzeichnet wurde, schränkt abfangbare Authentifizierungen wie SMS OTP für größere Institutionen ein, schreibt biometrische, verhaltensbasierte oder passwortlose Methoden für Hochrisikotransaktionen vor und verbietet Links sowie QR-Codes in SMS, wobei die Compliance bis Juni 2026 erfolgen muss (BSP).

Der Golf

In den VAE haben Banken ihre Kunden zwischen dem 25. Juli 2025 und dem 31. März 2026 gemäß Berichten über die Mitteilung der Zentralbank von SMS und E-Mail-OTP auf In-App-Authentifizierung umgestellt; es war kein öffentlicher CBUAE-Text verfügbar. Nicht-Banken-Absender in den VAE nutzen SMS OTP weiterhin in großem Umfang. Siehe SMS OTP nach dem Bankenverbot und den Zeitplan für die A2P-Messaging-Regulierung.

Häufige Missverständnisse

• **"NIST hat SMS verboten."** Nein. SMS ist ein eingeschränkter Authentifikator, der bei AAL2 unter bestimmten Bedingungen zulässig ist und nur bei AAL3 ausgeschlossen wird.
• **"PSD2 verbietet SMS OTP."** Nein. Die EBA akzeptiert dies als Besitzelement; die harten Anforderungen sind das Dynamic Linking und der Schutz gegen Replikation.
• **"PCI DSS 4.0 verbietet SMS MFA."** Nein. Es erfordert eine replay-resistente, nicht umgehbare MFA und nennt SMS nicht explizit.
• **"CISA hat allen geraten, SMS nicht mehr zu verwenden."** Übertrieben. Die Richtlinien richten sich gegen hochgradig gezielte Angriffe auf Regierungsmitglieder und politische Persönlichkeiten.
• **"PSD3 ist bereits Gesetz."** Nicht zum Stand vom 22. Oktober 2026.
• **"Indien stellt SMS OTP schrittweise ein."** Nein. Die RBI hat die Einstellung explizit nicht gefordert.
• **"Singapur hat SMS OTP verboten."** Präziser: Bank-Logins für Kunden mit einem digitalen Token.

Eine Checkliste für SMS OTP, die diese Standards erfüllt

1. 1Generieren Sie Codes mit mindestens 6 Ziffern aus einem kryptografisch sicheren Zufallsgenerator; akzeptieren Sie jeden Code nur einmal; lassen Sie sie innerhalb von 10 Minuten ablaufen (5 Minuten sind bei Zahlungen üblich).
2. 2Versuchsbeschränkung: PSD2 blockiert nach 5 aufeinanderfolgenden Fehlversuchen; NIST erlaubt maximal 100, bevor eine Sperrung erfolgt.
3. 3Bei Zahlungen in der EU müssen Betrag und Zahlungsempfänger in der Nachricht angezeigt werden, wobei der Code fest mit diesen verknüpft werden muss (Dynamic Linking).
4. 4Prüfen Sie Signale zu SIM-Änderungen und zur Rufnummernmitnahme, bevor Sie einen Code an eine Hochrisiko-Sitzung senden.
5. 5Bieten Sie mindestens eine stärkere Alternative an (App-Push, Passkey, FIDO) und behalten Sie SMS als Fallback- und Wiederherstellungskanal bei.
6. 6Halten Sie den OTP-Traffic rein transaktional: Keine Links oder Angebote in der Code-Nachricht; dies hält sie zudem außerhalb von Marketing-Ruhezeiten und Link-Sperren.
7. 7Versenden Sie über direkte, überwachte Netzbetreiber-Routen, die durch eine SMS-Firewall geschützt sind, damit Codes nicht abgefangen, verzögert oder manipuliert werden.

BroadNets OTP API liefert Codes über mehr als 1.000 direkte Verbindungen zu Netzbetreibern mit Multichannel-Fallback; siehe Multichannel-OTP-Verifizierung, von SMS OTP bis hin zu Passkeys und für Netzbetreiber SMS-Firewall und SS7-Schutz.

Häufig gestellte Fragen

Ist SMS OTP im Jahr 2026 noch zulässig?

Ja, in den meisten Standards. NIST SP 800-63B-4 stuft es als eingeschränkt, aber zulässig bei AAL2 ein; PSD2 akzeptiert es als Besitz-Element, PCI DSS verbietet es nicht und Indiens RBI hat es beibehalten. Einige Regulierungsbehörden, darunter Singapurs MAS, Hongkongs HKMA und die der Philippinen BSP, haben Bank-Logins oder Hochrisiko-Transaktionen auf stärkere Methoden umgestellt.

Hat NIST die SMS-Zwei-Faktor-Authentifizierung verboten?

Nein. NIST SP 800-63B-4 (Juli 2025) bezeichnet SMS und Sprachcodes als eingeschränkte Authentifikatoren: Anbieter müssen eine nicht eingeschränkte Alternative anbieten, das Risiko erläutern und bewerten. SMS ist bei AAL2 zulässig, aber nicht bei AAL3, welches phishing-resistente Authentifikatoren erfordert.

Ist SMS OTP PSD2 konform?

Das ist möglich. Die Q&A 2018_4039 von EBA akzeptiert ein SMS OTP als Besitz-Element, sofern es gegen Replikation geschützt ist; bei Zahlungen muss der Code gemäß Artikel 5 der RTS zur starken Kundenauthentisierung dynamisch mit dem Betrag und dem Zahlungsempfänger verknüpft sein.

Erlaubt PCI DSS 4.0 SMS für MFA?

PCI DSS 4.0.1 nennt oder verbietet SMS nicht. Die Anforderungen 8.4.2 und 8.5.1, die seit dem 31. März 2025 verbindlich sind, schreiben MFA für alle Zugriffe auf die Umgebung der Karteninhaberdaten vor, die gegen Replay-Angriffe resistent ist, nicht umgangen werden kann und mindestens zwei verschiedene Faktortypen verwendet.

Wie lange sollte ein SMS OTP gültig sein?

Unter NIST SP 800-63B-4 nicht mehr als 10 Minuten, wobei jeder Code nur einmal verwendet werden darf. Viele Zahlungsprozesse nutzen 5 Minuten oder weniger, entsprechend dem Inaktivitätslimit von PSD2.

Welche Länder schränken SMS OTP für das Bankwesen ein?

Singapur (Bank-Login für Kunden mit digitalem Token, ab 2024), Hongkong (standardmäßig gebundene Geräte für Bank-Logins und Hochrisikotransaktionen im Jahr 2025; Broker bis Juli 2027), Malaysia (Migration seit 2022 erforderlich), die VAE (Bank-OTP wird laut Berichten bis März 2026 in die App integriert) und die Philippinen (Hochrisikotransaktionen bei großen Institutionen bis Juni 2026).

Ist PSD3 bereits in Kraft?

Nicht zum Stand 22. Oktober 2026. PSD3 und die Zahlungsdienstleistungsverordnung haben im November 2025 eine politische Einigung erzielt und warten nun auf die endgültige Verabschiedung und Veröffentlichung im Amtsblatt.

Was ist der sicherste Weg, um ein OTP per SMS zu versenden?

Verwenden Sie Einmalcodes mit mindestens 6 Zufallsziffern, die innerhalb von Minuten ablaufen, begrenzen Sie die Versuche, prüfen Sie SIM-Swap- und Portierungssignale auf riskante Sitzungen, verzichten Sie in der Nachricht auf Links und nutzen Sie die Zustellung über direkte Netzbetreiber-Routen, die durch eine SMS-Firewall geschützt sind, während zusätzlich eine noch sicherere Methode angeboten wird.