Kurze Antwort: Nutzen Sie zuerst die App-Kanäle und behalten Sie SMS als Sicherheitsnetz. Ein Telegram-Code kostet über die offizielle Gateway API von Telegram 0,01 $ pro zugestellter Nachricht. Eine WhatsApp-Authentifizierungsnachricht wird nur bei Zustellung zum jeweiligen Tarif von Meta für das Land des Nutzers berechnet. SMS erreicht jede Mobilfunknummer, mit oder ohne App, und dient somit als Fallback, der die Registrierung abschließt, wenn die anderen beiden Kanäle nicht funktionieren. Keiner der drei Kanäle ist absolut phishing-sicher, daher ist der Sicherheitsaufwand für alle gleich: Rate-Limits, kurze Gültigkeitsdauer der Codes und Nummernabfragen. BroadNet OTP und unsere Schwestermarke MyOTP.App versenden Codes über diese Kanäle über eine einzige API.
Fakten geprüft am 23. Oktober 2026 in der Gateway-Dokumentation und den Bedingungen von Telegram, der WhatsApp-Preisgestaltung und der Authentifizierungs-Template-Dokumentation von Meta, NIST SP 800-63B-4, dem Internet Crime Complaint Center des FBI, Google und der Apple-Entwicklerdokumentation sowie myotp.app. Preise und Regeln können sich ändern; prüfen Sie daher die verlinkte Quelle, bevor Sie einen Vertrag unterzeichnen.
| Frage | SMS OTP | WhatsApp OTP | Telegram OTP |
|---|---|---|---|
| Wie der Code ankommt | Als Textnachricht über das Mobilfunknetz | Als Authentifizierungsvorlage in der WhatsApp-App | Als Nachricht in der Telegram-App, optional signiert durch Ihren verifizierten Telegram-Kanal |
| Benötigt der Nutzer eine App? | Nein, jedes Mobiltelefon funktioniert | Ja, ein WhatsApp-Konto unter dieser Nummer | Ja, ein Telegram-Konto unter dieser Nummer |
| Wie die Abrechnung erfolgt | Pro an das Netzwerk gesendeter Nachricht, zum jeweiligen Tarif für das Land und den Netzbetreiber | Pro zugestellter Nachricht, zum Meta-Authentifizierungstarif für das Land des Nutzers | 0,01 $ pro zugestelltem Code, weltweit einheitlich |
| Code-Autovervollständigung | Android SMS Retriever API; iOS- und Web-Einmalpasswort-Autovervollständigung | Code kopieren, Ein-Tap-Autovervollständigung und Zero-Tap-Buttons | Der Nutzer liest oder kopiert den Code in Telegram |
| Einstellbare Code-Gültigkeitsdauer | Durch Ihr eigenes System festgelegt | 1 bis 90 Minuten | 30 bis 3.600 Sekunden |
| Hauptbetrugsrisiko | SMS Pumping und SIM Swap | Account-Übernahme des WhatsApp-Kontos | Account-Übernahme des Telegram-Kontos |
Wie funktioniert der jeweilige OTP-Kanal?
Alle drei Kanäle liefern das Gleiche: einen kurzen Code, der beweist, dass der Nutzer die Kontrolle über eine Telefonnummer hat. Der Unterschied liegt im Übertragungsweg. SMS OTP wird von Ihrer Plattform zum Mobilfunknetzbetreiber des Nutzers gesendet und landet in der Nachrichten-App des Telefons. Es ist keine Internetverbindung, keine App und kein Konto erforderlich, weshalb dieser Weg weiterhin die größte Reichweite hat. WhatsApp OTP ist eine Nachricht, die über die WhatsApp Business-Plattform unter Verwendung einer genehmigten Vorlage in der Authentifizierungskategorie von Meta gesendet wird. Telegram OTP wird über die Gateway API von Telegram gesendet und kommt in der Telegram-App auf dem mit dieser Telefonnummer registrierten Konto an.
WhatsApp Authentifizierungsvorlagen
Meta erlaubt in Authentifizierungsvorlagen nur einen fest vorgegebenen Wortlaut: den Code, eine optionale Sicherheitszeile („Geben Sie diesen Code zu Ihrer Sicherheit nicht weiter.“) und einen optionalen Hinweis zur Gültigkeitsdauer. Sie können keinen Marketingtext hinzufügen. Jede Vorlage enthält eine von drei Schaltflächen. Eine „Code kopieren“-Schaltfläche kopiert den Code in die Zwischenablage. Eine „One-Tap Autofill“-Schaltfläche überträgt den Code direkt in Ihre Android-App, und Meta bezeichnet dies als „die bevorzugte Lösung“. Eine „Zero-Tap“-Vorlage, die nur auf Android verfügbar ist, ermöglicht es Ihrer App, den Code zu empfangen, ohne dass der Nutzer die App verlassen muss. Die Gültigkeitsdauer des Codes kann zwischen 1 und 90 Minuten eingestellt werden (Meta, Authentifizierungsvorlagen).
Gateway API von Telegram
Die Gateway API von Telegram ist der offizielle Weg für Unternehmen, Verifizierungscodes an Telegram-Nutzer zu senden. Sie rufen sendVerificationMessage mit der Telefonnummer des Nutzers auf, und Telegram generiert entweder einen Code mit 4 bis 8 Ziffern oder sendet einen von Ihnen bereitgestellten Code. Der Code ist 30 bis 3.600 Sekunden lang gültig. Zustellberichte (gesendet, zugestellt, gelesen, abgelaufen oder widerrufen) werden an eine von Ihnen angegebene HTTPS-Callback-Adresse übermittelt. Sie können Nachrichten auch durch einen verifizierten Telegram-Kanal signieren lassen, der Ihnen gehört, damit Nutzer Ihre Marke sehen. Vor dem Senden teilt Ihnen checkSendAbility mit, ob die Nummer überhaupt einen Code empfangen kann. Eine positive Prüfung wird als eine Nachricht berechnet, und der darauf folgende Versand ist dann kostenlos. Eine negative Prüfung ist kostenlos (Telegram, Gateway API Referenz).
Was kostet der jeweilige Kanal?
Die drei Kanäle werden unterschiedlich abgerechnet. Vergleichen Sie daher die Kosten pro abgeschlossener Verifizierung und nicht den Preis pro Nachricht.
- Telegram: Die Produktseite von Telegram gibt 0,01 $ pro zugestelltem Code an, mit automatischen Rückerstattungen für Codes, die nicht innerhalb der von Ihnen festgelegten Laufzeit zugestellt werden. Sie zahlen mit Prepaid-Guthaben, und Telegram gibt an, dass Zahlungen in TON akzeptiert werden. In den Bedingungen heißt es, dass Kreditkäufe endgültig sind und Gebühren ansonsten mit dem Versand einer Nachricht endgültig anfallen, lesen Sie also beide Seiten, bevor Sie Ihr Budget planen (Telegram, Gateway-Bedingungen).
- WhatsApp: Meta berechnet seit dem 1. Juli 2025 pro zugestellter Nachricht. Der Tarif hängt von der Vorlagenkategorie und der Ländervorwahl der Nummer des Nutzers ab, wobei monatliche Volumenschwellen den Authentifizierungstarif senken, je mehr Sie versenden. Die von Meta am 1. Oktober 2026 eingeführte Service-Nachrichten-Gebühr gilt nicht für Authentifizierungsvorlagen (Meta, Preisgestaltung).
- WhatsApp für Absender mit Sitz im Ausland: Wenn Ihr Unternehmen in einem anderen Land als der Nutzer ansässig ist und in einem rollierenden Zeitraum von 30 Tagen mehr als 750.000 Nachrichten außerhalb des Kundenservice-Fensters an Nutzer in diesem Markt sendet, wendet Meta einen höheren internationalen Authentifizierungstarif an. Seit dem 1. Oktober 2026 umfasst dies 18 Märkte, darunter Saudi-Arabien, die VAE, Ägypten, den Irak, Kuwait und Oman (Meta, internationale Authentifizierungstarife).
- SMS: Sie zahlen pro an das Netzwerk übermittelter Nachricht zum Tarif des Ziellandes und des Netzbetreibers. Die Preise variieren zwischen den Ländern stark, prüfen Sie daher die OTP-Preisseite und die länderspezifischen SMS-Tarife für die von Ihnen bedienten Märkte.
Das folgende Rechenbeispiel ist hypothetisch. Es verwendet gerundete Preise, um die Arithmetik zu veranschaulichen, nicht reale Tarife für ein bestimmtes Land: SMS mit 0,040 $ pro Nachricht, WhatsApp mit 0,0135 $ pro zugestellter Nachricht (die WhatsApp-Listenpreise von BroadNet) und Telegram mit 0,01 $ pro zugestelltem Code. Jede Strategie versendet 1.000 Codes, und jeder Nutzer, den der App-Kanal nicht erreichen kann, erhält stattdessen eine SMS.
| Strategie (hypothetisch) | Codes, die über den App-Kanal versendet werden | Codes, die über SMS versendet werden | Gesamtkosten für 1.000 Nutzer |
|---|---|---|---|
| Nur SMS | 0 | 1.000 × 0,040 $ = 40,00 $ | 40,00 $ |
| WhatsApp zuerst, 60 % Zustellung innerhalb von WhatsApp | 600 × 0,0135 $ = 8,10 $ | 400 × 0,040 $ = 16,00 $ | 24,10 $ |
| Telegram zuerst, 50 % der Nummern erreichbar innerhalb von Telegram | 500 × 0,01 $ = 5,00 $ | 500 × 0,040 $ = 20,00 $ | 25,00 $ |
Zwei Faktoren entscheiden über das tatsächliche Ergebnis: der Anteil Ihrer Nutzer, die in jedem Land über die jeweilige App erreichbar sind, und wie schnell Sie auf SMS umsteigen. Unser Kostenleitfaden WhatsApp- vs. SMS-OTP liefert die Break-Even-Formel für jedes Land, und der OTP-Kostenschätzer berechnet die Zahlen basierend auf Ihren eigenen Volumina.
Welcher Kanal liefert zuverlässiger?
SMS erreicht die meisten Menschen, da lediglich eine aktive Mobilfunknummer erforderlich ist, wobei die Zustellung von der Route abhängt. Codes, die über direkte Netzbetreiber-Verbindungen mit einer registrierten Absenderkennung gesendet werden, kommen schnell an und senden eine Zustellbestätigung; Codes über Grey Routes können ohne Vorwarnung gefiltert werden. WhatsApp und Telegram werden über das Internet zugestellt und funktionieren daher auch über WLAN, wenn der Nutzer beispielsweise im Ausland kein Mobilfunksignal hat. Die Zustellung schlägt fehl, wenn der Nutzer kein Konto unter dieser Nummer hat, die App gelöscht hat oder offline ist, bis der Code abläuft.
Deshalb ist der Zustellstatus wichtiger als der Kanal selbst. Meta meldet gesendete, zugestellte und gelesene WhatsApp-Nachrichten, und Telegram übermittelt dieselbe Art von Status an Ihre Callback-Adresse. Nutzen Sie diese Signale, um zu entscheiden, wann Sie die SMS senden, anstatt darauf zu warten, dass der Nutzer einen neuen Code anfordert.
Welcher Kanal ist am sichersten?
Kein OTP-Kanal ist resistent gegen Phishing: Wenn eine gefälschte Website einen Nutzer dazu verleitet, den Code einzugeben, kann der Angreifer diesen verwenden. Die Unterschiede liegen darin, wie ein Angreifer den Code abfangen kann.
- SMS und SIM-Swapping. Ein Angreifer, der einen Netzbetreiber dazu überredet, die Nummer des Opfers auf eine neue SIM-Karte zu übertragen, erhält die Textnachrichten des Opfers. Das Internet Crime Complaint Center des FBI verzeichnete im Jahr 2021 1.611 Beschwerden über SIM-Swaps mit bereinigten Verlusten von mehr als 68 Millionen US-Dollar (FBI IC3). Das US National Institute of Standards and Technology klassifiziert OTP über das Telefonnetz als „eingeschränkten“ Authentifikator: Dienste dürfen ihn zwar noch verwenden, müssen den Nutzern jedoch eine nicht eingeschränkte Alternative anbieten und die Risiken erläutern (NIST SP 800-63B-4).
- WhatsApp und Telegram. Codes werden innerhalb der App und nicht über das Mobilfunknetz übertragen, sodass ein SIM-Swap allein keine bestehende Sitzung gefährdet. Das Risiko verlagert sich auf das App-Konto selbst: Wenn ein Angreifer das WhatsApp- oder Telegram-Konto des Nutzers registriert oder übernimmt, gehen die Codes an den Angreifer. Ermutigen Sie Ihre Nutzer, die Zwei-Faktor-Authentifizierung zu aktivieren, die beide Apps anbieten.
- Autofill reduziert Phishing auf jedem Kanal. Die SMS Retriever API von Android liest einen Code, der den 11-stelligen Hash Ihrer App enthält, und die domänengebundenen Codes von Apple enden mit einer Zeile wie „@example.com #123456“, sodass der Code nur auf Ihrer echten Website oder in Ihrer App vorgeschlagen wird (Google, Apple). Die One-Tap- und Zero-Tap-Buttons von WhatsApp bieten innerhalb Ihrer Android-App denselben Vorteil.
Fügen Sie bei hochsensiblen Aktionen, wie etwa der Änderung eines Auszahlungskontos, eine Prüfung hinzu, die nicht allein auf dem Code basiert. NIST empfiehlt die Analyse von Risikosignalen wie einer kürzlichen SIM-Änderung oder einer Rufnummernportierung, bevor Sie einen Code versenden. Unsere Leitfäden zu SIM-Swap-Betrug und OTP-Sicherheitsstandards erläutern diese Kontrollmechanismen im Detail.
Was ist mit SMS-Pumping-Betrug?
SMS-Pumping, auch als künstlich aufgeblähter Traffic bezeichnet, tritt auf, wenn Bots Ihr Anmeldeformular mit Nummern füllen, die ein Betrüger kontrolliert – oft in teuren Zielgebieten. Mit jedem von Ihnen versendeten Code erhält der Betrüger einen Anteil an der Terminierungsgebühr. App-Kanäle verändern dieses Bild: WhatsApp- und Telegram-Gebühren werden an Meta und Telegram gezahlt, weshalb dieses Auszahlungsmodell dort nicht funktioniert, und checkSendAbility von Telegram zeigt an, ob es sich bei einer Nummer um ein echtes Telegram-Konto handelt, bevor Sie den Versand bezahlen. Aber jeder versendete Code kostet dennoch Geld, sodass ein Bot Ihre Rechnung trotzdem in die Höhe treiben kann. Behalten Sie die gleichen Kontrollen für jeden Kanal bei: Ratenbegrenzungen pro Nummer, pro IP-Adresse und pro Land, eine Bot-Herausforderung im Formular, die Nummernbestätigung mittels eines HLR-Lookups sowie Warnmeldungen, wenn der Traffic in ein Land plötzlich ansteigt. Unser SMS-Pumping-Leitfaden erklärt den Angriff im Detail.
Wie baut man ein Fallback-System auf, das niemals doppelt zahlt?
- Wählen Sie den ersten Kanal pro Land. Beginnen Sie mit dem Kanal, den die meisten Ihrer Nutzer in diesem Land nutzen, bei den niedrigsten Kosten pro abgeschlossener Verifizierung. Wenn WhatsApp teurer ist als eine lokale SMS, beginnen Sie mit SMS.
- Prüfen Sie vor dem Senden. Rufen Sie bei Telegram checkSendAbility auf und übergeben Sie dessen Request-ID an den Versand, damit die Prüfung und die Nachricht zusammen nur eine Gebühr verursachen. Bei WhatsApp fallen Meta-Gebühren nur für zugestellte Nachrichten an, sodass der erste Versuch mit WhatsApp für Nutzer ohne WhatsApp-Konto nichts kostet.
- Warten Sie auf den Zustellstatus, nicht auf einen festen Timer. Wenn der App-Kanal innerhalb eines von Ihnen festgelegten kurzen Zeitfensters (z. B. 10 bis 20 Sekunden) nicht „zugestellt“ meldet, senden Sie die SMS.
- Verwenden Sie einen Code über alle Kanäle hinweg. Senden Sie denselben Code mit derselben Gültigkeitsdauer über den Fallback-Kanal, damit sowohl eine verspätete WhatsApp- als auch eine Telegram-Nachricht sowie die SMS funktionieren und der Nutzer nicht durch zwei verschiedene Codes verwirrt wird.
- Stoppen Sie den anderen Kanal, sobald der Code verwendet wurde. Telegram ermöglicht es Ihnen, eine Nachricht zu widerrufen, die noch nicht zugestellt wurde, obwohl widerrufene Codes nicht erstattet werden. Markieren Sie den Code in Ihrem eigenen System als verwendet, damit er nicht doppelt eingegeben werden kann.
- Bieten Sie Voice als letzten Schritt an. Für Nutzer, die keine Textnachrichten empfangen können, liest ein Voice-OTP-Anruf den Code laut vor.
Wie passen MyOTP und BroadNet OTP ins Bild?
MyOTP.App ist die Self-Service-OTP-API der BroadNet Group. Laut myotp.app werden Codes über SMS, WhatsApp und Telegram mit einem einzigen API-Schlüssel und einem Guthaben versendet, wobei der Kanal bei jeder Anfrage über ein einzelnes Feld gewählt werden kann. Telegram-Codes werden über die Telegram Gateway API versendet und können automatisch auf SMS zurückgreifen, wenn der Nutzer Telegram nicht nutzt. Die Preisseite von MyOTP führt einen Starter-Tarif für 20 $ pro Monat und einen Business-Tarif für 25 $ pro Monat auf; das Überprüfen eines Codes ist kostenlos. Erfahren Sie mehr auf unserer MyOTP-Produktseite.
BroadNet OTP ist der Enterprise-Service für Absender mit hohem Volumen. Er versendet SMS über direkte Netzbetreiber-Verbindungen und bietet automatischen Fallback, Nummernbestätigung sowie Betrugskontrollen wie Ratenbegrenzungen pro Nummer und pro IP-Adresse. Für WhatsApp-Codes ist BroadNet ein offizieller Meta Business Solution Provider, und unsere WhatsApp Business API verwaltet Authentifizierungsvorlagen und deren Genehmigung.
Häufig gestellte Fragen
Ist WhatsApp OTP günstiger als SMS OTP?
Oft, aber nicht überall. Meta berechnet pro zugestellter Authentifizierungsnachricht einen für jedes Land festgelegten Satz, während die Preise von SMS je nach Land und Netzbetreiber variieren. Vergleichen Sie die beiden Tarife für den jeweiligen Markt und berücksichtigen Sie dabei die Kosten für den Versand einer SMS an Nutzer, die die WhatsApp-Nachricht nicht erhalten.
Wie viel kostet Telegram OTP?
Die Gateway API von Telegram kostet 0,01 $ pro zugestelltem Code, und zwar in jedem Land gleich, zahlbar über Prepaid-Guthaben. Eine Prüfung der Erreichbarkeit wird nur berechnet, wenn die Nummer Codes empfangen kann; der darauf folgende Versand ist dann kostenlos. In der Dokumentation von Telegram heißt es, dass Codes, die nicht innerhalb ihrer Gültigkeitsdauer zugestellt werden, automatisch erstattet werden.
Ist die Gateway API von Telegram offiziell?
Ja. Telegram veröffentlicht und betreibt die Gateway API selbst unter core.telegram.org/gateway. Codes kommen direkt in der Telegram-App an, und Sie können diese von einem verifizierten Telegram-Kanal, der Ihnen gehört, signieren lassen, damit die Nutzer Ihre Marke sehen.
Ist SMS OTP unter den NIST-Richtlinien noch zulässig?
Ja. NIST SP 800-63B-4, veröffentlicht im Juli 2025, stuft OTP über das Telefonnetz als eingeschränkten Authentifikator ein. Ein Dienst, der diesen nutzt, muss mindestens eine nicht eingeschränkte Alternative anbieten, die Nutzer über die Risiken informieren und einen Plan für eine Zukunft erstellen, in der dies möglicherweise nicht mehr zulässig ist.
Kann WhatsApp OTP den Code automatisch ausfüllen?
Ja, auf Android. Mit One-Tap-Autofill wird der Code mit nur einem Fingertipp in Ihre App übertragen, und Zero-Tap-Vorlagen liefern ihn ohne jegliche Interaktion an Ihre App. Laut der Dokumentation von Meta können iOS 26 und neuere Versionen auf dem iPhone den Code direkt über die Tastatur vorschlagen; für ältere iOS-Versionen nutzen Sie die Schaltfläche „Code kopieren“.
Was passiert, wenn der Nutzer weder WhatsApp noch Telegram besitzt?
Die Nachricht kann nicht zugestellt werden; senden Sie den Code in diesem Fall stattdessen per SMS. Die checkSendAbility von Telegram zeigt Ihnen im Voraus an, ob die Nummer einen Code empfangen kann – ohne zusätzliche Kosten, falls dies nicht möglich ist. Bei WhatsApp werden nicht zugestellte Nachrichten nicht berechnet, sodass Sie sofort auf SMS umschalten können, sobald kein Zustellbericht eintrifft.
Verhindern WhatsApp- und Telegram-OTP SMS-Pumping?
Sie eliminieren die Terminierungsgebühren-Auszahlungen, die das Pumping auf SMS antreiben, machen Sie jedoch nicht immun. Bots können weiterhin Codes für echte Konten anfordern und Ihre Kosten in die Höhe treiben, und auch Ihr SMS-Fallback kann Ziel von Angriffen werden. Setzen Sie Rate-Limits, Bot-Challenges und Länder-Warnungen für jeden Kanal konsequent ein.
Welchen OTP-Kanal sollte eine Bank nutzen?
Banken benötigen in der Regel die größte Reichweite und einen lückenlosen Audit-Trail. Daher bleibt SMS über direkte Netzbetreiber-Routen der Basis-Kanal, wobei WhatsApp eine Option darstellt, falls Kunden dies bevorzugen. Prüfen Sie zuerst die Vorschriften Ihrer Zentralbank: Einige Regulierungsbehörden verlangen zusätzliche Faktoren für Zahlungen; unser Leitfaden zu den OTP-Regeln für Banken deckt mehrere Märkte ab.
Quellen
- Telegram, Gateway API Übersicht, API Referenz und Nutzungsbedingungen, abgerufen am 23. Oktober 2026.
- Meta für Entwickler, Authentifizierungs-Templates, Preise und internationale Authentifizierungs-Tarife, abgerufen am 23. Oktober 2026.
- NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, Juli 2025.
- FBI Internet Crime Complaint Center, Public Service Announcement zu SIM Swapping, 8. Februar 2022.
- Google, SMS Retriever API: Erstellung einer Verifizierungsnachricht; Apple, Aktivierung von AutoFill für domänengebundene SMS-Codes, abgerufen am 23. Oktober 2026.
- MyOTP.App, Startseite, Preise und Telegram OTP, abgerufen am 23. Oktober 2026.
Möchten Sie die Verifizierungskosten senken, ohne die Reichweite zu verlieren? Sprechen Sie mit BroadNet über OTP über SMS und WhatsApp mit automatischem Fallback, oder starten Sie auf MyOTP.App, um Ihre ersten Codes noch heute über SMS, WhatsApp und Telegram zu versenden.