MS-Pumping – auch bekannt als künstlich aufgeblähter Datenverkehr (AIT) – ist eine Betrugsmasche, bei der Bots massenhaft SMS mit Einmalpasswörtern und Verifizierungsanforderungen an Nummernblöcke senden, die von einem Komplizen kontrolliert werden. Dieser kassiert einen Teil der Abschlussgebühr. Mobilfunkanbieter und Unternehmen bekämpfen dies durch Ratenbegrenzung, Telefonnummernvalidierung und eine KI-gestützte SMS-Firewall.
Wie SMS-Pumpen und AIT tatsächlich funktionieren
Jedes öffentliche Anmeldeformular, jede OTP-Anfrage und jeder „Code erneut senden“-Button ist eine Möglichkeit für Unternehmen, für den SMS-Versand zu bezahlen. Bei einem automatisierten IT-Angriff (AIT) führt ein Betrüger diese Aktion tausendfach aus und leitet den Datenverkehr an Zielrufnummernbereiche weiter, die er selbst oder ein mit ihm zusammenarbeitender Betreiber kontrolliert. Der Code wird dabei nie von einem Menschen gelesen. Die Bestätigungsnachricht ist das eigentliche Produkt, und das Unternehmen, dem das Formular gehört, bezahlt für jede einzelne.
Laut einer vom Mobile Ecosystem Forum veröffentlichten Analyse der Messaging-Branche machen OTP- und Verifizierungsnachrichten rund 89 % des internationalen A2P-Verkehrs aus – genau deshalb stellen Einmalpasswörter die primäre Angriffsfläche für betrügerische Machenschaften dar. Das Formular ist universell, der Versand kostenpflichtig und die Auszahlung erfolgt automatisch.
Die Ökonomie: Warum Pumpen existiert
AIT ist ein Umsatzbeteiligungsmodell, das als Datenverkehr getarnt ist. Ein betrügerischer oder mitwirkender Betreiber erhält A2P-Terminierungsgebühren für Nachrichten, die in seinen Bereichen landen; der Betrüger, der den Datenverkehr generiert, erhält einen Anteil. Da die Gebühr pro Nachricht erhoben wird und der Betrug keine legitimen Zustellkosten verursacht, liegt der Anreiz allein im Datenvolumen. Die folgende Tabelle zeigt, wer an jedem einzelnen Knotenpunkt profitiert.
| Party | Rolle beim Angriff | Anreiz |
|---|---|---|
| Betrüger / Bot-Betreiber | Automatisiert OTP-Auslöser für die Formulare eines Ziels | Umsatzbeteiligung an den Terminierungsgebühren |
| Absprechender/unberechenbarer Betreiber | Beendet den künstlichen Verkehr auf seinen Teststrecken. | Überhöhte A2P-Terminierungseinnahmen |
| Unternehmen (das Opfer) | Ist Inhaber des Anmelde- oder OTP-Formulars, das missbraucht wird? | Keine – zahlt für jede betrügerische Sendung |
| Legitime Transit-Netzbetreiber | Leiten den Verkehr in gutem Glauben weiter | Übliche Transitgebühren, Reputationsrisiko |
Die Zahlen verdeutlichen die Dringlichkeit. Juniper Research prognostiziert, dass die weltweiten Verluste durch SMS-Betrug im Jahr 2026 rund 71 Milliarden US-Dollar erreichen werden. Der Schaden durch automatisierte Internetbetrugsoperationen (AIT) erreichte seinen Höhepunkt schätzungsweise im Jahr 2023 bei etwa 2,1 Milliarden US-Dollar und ist seitdem rückläufig, da die Erkennungsmethoden ausgereifter sind. Dieser rückläufige Trend ist jedoch eine Folge der implementierten Kontrollmaßnahmen und nicht etwa eines nachlassenden Interesses der Angreifer.
Detektionssignale, die einen Pumpvorgang aufdecken
AIT ähnelt nicht menschlichem Verhalten, und genau darin liegt seine Schwäche. Eine Firewall oder ein Betrugserkennungssystem, das die richtigen Signale überwacht, trennt echte Nutzer schnell von einer Bot-Farm.
- Zusammenbruch der Konversionsrate – ein plötzlicher Anstieg der OTP-Sendungen bei einer nahezu Nullrate an tatsächlich eingegebenen oder validierten Codes.
- Zielkonzentration – Konzentration des Datenverkehrs auf wenige Nummernkreise, Vorwahlen oder einen einzelnen ausländischen Betreiber, der keinen geschäftlichen Grund hat, Ihr Verifizierungsvolumen zu sehen.
- Maschinell regelmäßige Zeitsteuerung – zu gleichmäßige Intervalle zwischen Anfragen oder Anfragen, die eher dem Zeitplan eines Bots als den tageszeitlichen Mustern des Menschen entsprechen.
- Neue Reichweite – Verifizierungsverkehr landet plötzlich in Bereichen, die Ihr Produkt zuvor noch nie auf legitime Weise erreicht hat.
- Kosten-pro-Konversion-Drift – die Kennzahl, die alles miteinander verbindet: Ihre Ausgaben pro erfolgreicher Verifizierung steigen sprunghaft an, während die Anzahl der erfolgreichen Verifizierungen konstant bleibt.
Wie man es stoppt: ein mehrschichtiges Verteidigungssystem
Eine einzelne Kontrollmaßnahme ist nicht ausreichend. Das Pumpen wird gestoppt, indem unternehmensweite Hygienemaßnahmen zusätzlich zu den netzwerkweiten Kontrollmechanismen des Betreibers implementiert werden.
- Begrenzen Sie die Anfragerate im Formular und in der API – pro IP-Adresse, pro Gerät, pro Konto und pro Zielbereich. Begrenzen Sie die Anzahl der OTP-Wiederholungen und fügen Sie einen exponentiellen Backoff hinzu, damit ein einzelner Akteur keine unbegrenzten Anfragen senden kann.
- Prüfen Sie die Nummer, bevor Sie sie senden – verwenden Sie eine Live-Nummernabfrage / HLR-Prüfung, um ungültige, nicht zugewiesene oder risikoreiche Nummernkreise auszusortieren, bevor sie zu einer abrechnungsfähigen Nachricht werden.
- Füge eine Abfrage für verdächtige Anmeldungen hinzu – eine einfache Bot-Prüfung des Formulars beseitigt die Automatisierung, auf die AIT angewiesen ist.
- Setzen Sie eine SMS-Firewall auf Betreiberseite ein – siehe BroadNets SMS-Firewall, die jede Übermittlung anhand der Reputation der Absender-ID, der Routenreputation und Verhaltensbaselines bewertet.
- Führen Sie eine kontinuierliche Betrugserkennung mittels maschinellen Lernens durch – die Anti-Fraud-SMS-Modelle von BroadNet korrelieren Durchsatz, Inhaltsähnlichkeit und Empfängerüberschneidungen über Absender und Routen hinweg, um adaptive Angriffe zu erkennen, die statische Regeln übersehen.
Juniper Research prognostiziert, dass der Anteil legaler A2P-Transaktionen am inländischen A2P-Verkehr von 80,6 % im Jahr 2024 auf 86,5 % im Jahr 2029 steigen wird – eine direkte Folge von Firewalls und Registrierungsstellen, die illegalen und betrügerischen Datenverkehr aus den Netzwerken verdrängen. Durch die Überwachung der Verbindungen verringert sich das Risiko von illegalem Datenverkehr.
Was Unternehmen diese Woche tun können
Sie müssen kein Betreiber sein, um sich zu schützen. Modellieren Sie zunächst Ihr Risiko: Nutzen Sie den OTP-Kostenrechner, um die Kosten einer plötzlichen Traffic-Spitze im Verhältnis zu Ihrem aktuellen Volumen zu ermitteln. Reduzieren Sie anschließend die Wiederholungslimits und fügen Sie eine Nummernvalidierung vor dem Versand hinzu. Wenn Sie Verifizierungscodes versenden, leiten Sie diese über einen Anbieter, der Firewall und Betrugsbewertung integriert – BroadNets OTP-Zustellung wendet beides an, bevor eine Nachricht die Plattform verlässt. Wenn Sie das Konzept kurz und bündig verstehen möchten, ist unsere Antwort auf die Frage Was ist AIT? eine gute Einführung, die Sie intern weitergeben können.
Häufig gestellte Fragen
Worin besteht der Unterschied zwischen SMS-Pumpen und AIT?
Sie beschreiben denselben Betrug. „SMS-Pumping“ betont die Vorgehensweise – das Automatisieren von OTP- oder Verifizierungsnachrichten, um das abrechnungsfähige Volumen künstlich zu erhöhen. „Künstlich aufgeblähter Datenverkehr (AIT)“ ist der Branchenbegriff für den daraus resultierenden Datenverkehr. In der Praxis werden die Begriffe synonym verwendet und bezeichnen botgenerierte Verifizierungsnachrichten, deren einziger Zweck darin besteht, Terminierungsgebühren zu generieren.
Warum sind Einmalpasswörter das Hauptziel von AIT?
Da OTP- und Verifizierungsnachrichten etwa 89 % des internationalen A2P-Verkehrs ausmachen (Mobile Ecosystem Forum), ist das OTP-Formular der häufigste kostenpflichtige Auslöser, den ein Fremder ohne Authentifizierung erreichen kann. Ein öffentlicher „Code senden“-Button ermöglicht es einem Angreifer, kostenpflichtige Nachrichten auf Abruf zu generieren – genau das, was ein Pumping-Schema benötigt.
Kann eine alleinige Ratenbegrenzung das massenhafte Versenden von SMS verhindern?
Es hilft, ist aber nicht ausreichend. Ratenbegrenzung bremst einzelne Akteure aus, doch verteilte Angriffe verteilen Anfragen über viele IPs, Geräte und Konten, um die pro Quelle geltenden Obergrenzen einzuhalten. Um AIT zuverlässig zu stoppen, sind neben Ratenbegrenzung auch Nummernvalidierung, eine netzwerkseitige Firewall und Verhaltensbetrugsbewertung erforderlich, die die Aktivitäten über verschiedene Quellen hinweg korrelieren.
Wird der AIT-Betrug im Jahr 2026 besser oder schlechter?
Die AIT-spezifischen Verluste sind seit ihrem Höchststand von rund 2,1 Milliarden US-Dollar im Jahr 2023 (Juniper Research) rückläufig, da Firewalls und Register immer häufiger eingesetzt werden. Die gesamten Verluste durch SMS-Betrug werden jedoch im Jahr 2026 voraussichtlich immer noch bei fast 71 Milliarden US-Dollar liegen. Das Problem lässt sich dort eindämmen, wo Kontrollmechanismen eingesetzt werden, und bleibt dort kostspielig, wo dies nicht der Fall ist.
Referenzen
- Juniper Research – Forschung zu Betrug und Sicherheit in der Telekommunikationsbranche: juniperresearch.com
- Mobile Ecosystem Forum – A2P-Messaging und Betrugsmeldungen: mobileecosystemforum.com
- GSMA – Ressourcen zu Messaging-Sicherheit und A2P-Betrug: gsma.com