Eine SMS-Firewall auf Anwendungsebene, die vor Ihrem SMSC (SMS Center) geschaltet ist und jede eingehende Nachricht in Echtzeit prüft – inklusive Inhaltsfilterung, Absenderauthentifizierung, Ratenbegrenzung, intelligentem Routing und KI-gestütztem Betrugsschutz. Blockieren Sie Spam, Phishing und unautorisierten Datenverkehr, bevor dieser Ihr Kernsystem erreicht, inklusive integrierter Umsatzsicherung.
Wir senden auch A2P-Datenverkehr. Dieser durchläuft Ihre Firewall nach denselben Regeln wie jeder andere Absender, und Ihr Team ist für die Entscheidungen verantwortlich. Wie die Firewall unseren Datenverkehr behandelt
BroadNet verkauft Enterprise-Messaging und die Firewalls, die es filtern. Die erste Frage eines Netzbetreibers ist daher berechtigt: Was macht die Firewall mit dem eigenen Traffic von BroadNet? Die Antwort steckt in der Arbeitsweise jeder Installation.
„Dass derselbe Anbieter unseren Geschäftskunden ihr CPaaS verkauft, ist der Grund, warum die Zahlen tatsächlich mit den Berichten übereinstimmen.“
Der Enterprise-Traffic von BroadNet erreicht Ihre Teilnehmer über dieselbe Firewall und nach denselben Regeln wie der jedes anderen Aggregators und Absenders. Eine Ausnahme für den Anbieter gibt es nicht.
Ihre Teams für Betrugsbekämpfung und Revenue Assurance besitzen die Regeln. Jede Änderung ist versioniert und braucht eine zweite Freigabe (Vier-Augen-Prinzip), und Whitelists für Fehlalarme steuert der Betreiber. Jede Entscheidung trifft Ihr Netz, und die Daten bleiben Ihre.
Jede Entscheidung wird mit der ausgelösten Regel protokolliert und lässt sich als CSV, JSON oder PDF für Streitfälle mit Partnern und Anfragen der Regulierungsbehörde exportieren. Ein Streitfall um BroadNet-Traffic wird anhand derselben Protokolle geklärt wie jeder andere.
Die Regelkategorien folgen GSMA FS.11 und FS.19. Ihr Team und Ihre Regulierungsbehörde prüfen die Firewall also an einem veröffentlichten Branchenrahmen, nicht an der privaten Taxonomie eines Anbieters.
Die Firewall arbeitet transparent zwischen Ihren Interconnect-Partnern und Ihrem SMSC. Jede eingehende A2P- und P2P-Nachricht wird geprüft, bewertet und entschieden, bevor sie das Kernnetz erreicht – in Signalisierungsgeschwindigkeit und unter Beibehaltung der Nachrichtenreihenfolge.
Der MO- und A2P-Datenverkehr gelangt über SMPP-Bindungen und SS7-Verbindungen von Interconnect-Partnern in das SMSC und STP.
Inline-Prüfung von TPDU, Absender-ID, Inhalt, UDH und Signalursprung. Risikobewertung pro Nachricht von 0 bis 1,0 in Sub-Millisekunden.
Die Regeln stimmen überein: Punktzahl, Route, Partner, Marke. Urteil: bestehen · Quarantäne · Sperren · Protokollieren.
Sauberer Datenverkehr wird an das bestehende SMSC des Betreibers weitergeleitet. Keine Neuanordnung, keine Duplikate.
Der Abonnent erhält ausschließlich legitime, abgerechnete Nachrichten. Quarantänisierter Datenverkehr wird zum internationalen A2P-Tarif wieder angeboten.
Der MO- und A2P-Datenverkehr gelangt über SMPP-Bindungen und SS7-Verbindungen von Interconnect-Partnern in das SMSC und STP.
Inline-Prüfung von TPDU, Absender-ID, Inhalt, UDH und Signalursprung. Risikobewertung pro Nachricht von 0 bis 1,0 in Sub-Millisekunden.
Die Regeln stimmen überein: Punktzahl, Route, Partner, Marke. Urteil: bestehen · Quarantäne · Sperren · Protokollieren.
Sauberer Datenverkehr wird an das bestehende SMSC des Betreibers weitergeleitet. Keine Neuanordnung, keine Duplikate.
Der Abonnent erhält ausschließlich legitime, abgerechnete Nachrichten. Quarantänisierter Datenverkehr wird zum internationalen A2P-Tarif wieder angeboten.
Fähigkeiten
KI-gestützte Inhaltsfilterung, Absenderauthentifizierung, Ratenbegrenzung, intelligentes Routing und ML-gestützter Betrugsschutz – alle Kontrollfunktionen, die ein Netzbetreiber benötigt, laufen in Echtzeit direkt im SMSC.
Prüfen Sie jede MAP-, SMPP- und HTTP-Übermittlung am SMSC und am Signalisierungsrand. Dekodieren Sie TPDU, Absender-ID, Inhalt, Kodierung und UDH-Header – ohne die Nachrichtenreihenfolge zu verändern.
Risikobewertung einzelner Nachrichten, trainiert mit gekennzeichnetem Datenverkehr von echten Tier-1-Netzbetreibern. Erkennt neuartige Spam-Muster, Phishing-Kits und Umgehungsstrategien noch Stunden nach deren Auftreten.
Verhaltensbasierte Fingerabdrücke hinsichtlich Geschwindigkeit, IMSI-Fluktuation, Empfängerdiversität, Signalursprung und Inhaltshomogenität. Identifizieren Sie SIM-Farmen, bevor sie Ihre Terminierungsraten beeinträchtigen.
Kryptografische und registerbasierte Validierung jedes alphanumerischen Absenders. Erkennung von Markenfälschungen im Namen von Banken, Behörden und Telekommunikationsunternehmen, bevor die SMS den Empfänger erreicht.
Routenvalidierung anhand kommerzieller Vereinbarungen. SS7-Ursprünge, SMPP-Konten und Quell-IPs werden mit der Liste der monetarisierten Partner des Betreibers abgeglichen. Umgehungsverkehr wird verworfen oder zur Monetarisierung unter Quarantäne gestellt.
Native Integration mit nationalen und betreiberinternen Sender-ID-Registern. Durchsetzung der Registrierung von Urkundeninhabern pro Jurisdiktion, Automatisierung des Marken-Onboardings und Erstellung von aufsichtsrechtlich einwandfreien Prüfprotokollen.
Bedrohungsabdeckung
| Angriffsvektor | Firewall-Steuerung | Ergebnis |
|---|---|---|
| Graue Route & SIM-Farm A2P Umgehung | Routenvalidierung anhand kommerzieller Vereinbarungen sowie SIM-Box-Fingerprinting hinsichtlich Geschwindigkeit, IMSI-Churn und Inhaltshomogenität. | Umgehungsverkehr wird abgebrochen oder zur Monetarisierung unter Quarantäne gestellt – zum Leitungstarif. |
| Sender-ID -Spoofing und Markenimitation | Registry-gestützte Validierung jedes alphanumerischen Absenders anhand des Betreiber- und nationalen sender-ID Registers. | Die Nachahmung von Bank-, Regierungs- und Telekommunikationsunternehmen wird blockiert, bevor sie den Teilnehmer erreicht. |
| Smishing- und Phishing-Inhalte | Detaillierte Paketprüfung von TPDU, Inhalt, Kodierung und URLs, bewertet durch die selbstlernende ML-Betrugserkennungs-Engine. | Schädliche Inhalte und Links werden gemäß den Richtlinien unter Quarantäne gestellt, während saubere A2P Datenströme unberührt bleiben. |
| Nicht registrierte / außerhalb des Zuständigkeitsbereichs liegende Absender | Durchsetzung nationaler und betreiberinterner sender-ID Register je nach Gerichtsbarkeit. | Nur registrierte Originatoren werden zugelassen; die übrigen werden für die Registrierung mit einem aufsichtsrechtlich vorzeigbaren Protokoll zurückgehalten. |
| SS7 -injizierte & Off-Net-Einsendungen | SS7 MAP Ursprungs-Zulassungsliste wurde mit der Liste der monetarisierten Partner abgeglichen. | SS7 -Ursprünge außerhalb der Vereinbarung werden erkannt und verworfen, bevor sie den Kern erreichen. |
| Spamfluten und Durchsatzspitzen | Geschwindigkeitskategorien pro Route und Risikobewertung pro Nachricht. | Überlastungen wurden frühzeitig gedrosselt; legitimer Datenverkehr und Nachrichtenreihenfolge blieben erhalten. |
3-Säulen-Regelwerk
Die Anwendungsschicht benötigt Protokolldurchsetzung, Geschäftsrichtlinien und verhaltensbasierte Anpassung in derselben Engine. Alle drei Säulen bilden einen einzigen Entscheidungspfad – mit einer zusätzlichen Latenz von unter 10 ms pro Nachricht.
Durchsetzung auf Protokollebene. MAP-Operationen zulassen/verweigern (granulare Steuerung von MAP_MT_FORWARD_SM vs. MAP_SEND_ROUTING_INFO), OPC/DPC-Punktcode-Filterung, Steuerung globaler Titel, MCC/MNC-Bedingungen pro Partner. Jede fehlerhafte Signalisierungseinheit wird beim Dekodieren verworfen.
Geschäftspolitik in Form von Daten. Routenwahl gemäß Partnervereinbarung, Produktklassenregeln (OTP, Transaktionen, Werbeaktionen), Monetarisierung des Bypass-Traffics über vereinbarte A2P-Kanäle. Die Firewall setzt den Vertrag durch, nicht nur die Spezifikation.
Verhaltensbasierte Durchsetzung. TPS-Schwellenwerte, Erkennung von Lastspitzen, tageszeitliche Fenster, Geschwindigkeit pro Ursprungs-GT- oder SMPP-Konto. Die dynamische Ebene erfasst, was statische Regeln nicht erfassen können – neu auftretende Kampagnen, neue SIM-Box-Farmen, plötzliche Roaming-Anomalien.
Anti-Verkehrserzeugung · ATG
Die Anti-Traffic-Generierung ist die kontinuierlich lernende Schicht, die die Firewall vor Grauroutenbetreibern schützt. Die Modelle werden anhand der eigenen Ground-Truth-Daten des Betreibers trainiert, kombiniert mit anonymisierten Signalen aus der umfassenderen BroadNet-Prüfebene. Die Heuristiken sind für Menschen lesbar, sodass das Betrugsteam jede Signatur prüfen, markieren oder ablehnen kann.
Anhaltende Geschwindigkeiten im Subsekundenbereich aus einem kleinen MSISDN-Pool, charakteristisch für Rotationsmuster von SIM-Banken. Schwellenwert und Burstform werden pro Route gelernt.
Hohe Shannon-Entropie über die Ziel-MSISDNs gepaart mit niedriger Entropie über den Inhalt – der kanonische SIM-Box-Footprint.
Wiederkehrende Inhalte mit wechselnden Absendern, alphanumerische Absender, die sich nie registriert haben, Absenderformate, die nicht mit der erkennbaren geografischen Lage übereinstimmen.
Diskrepanz zwischen der angegebenen Ursprungs-GT, MCC/MNC und dem SCCP-Pfad, den die Nachricht tatsächlich ins Netzwerk genommen hat.
Inhalts- und Identitätskontrollen
Drei Kontrollmechanismen, die zusammen die Lücke zwischen „die Nachricht ist technisch gültig“ und „die Nachricht sollte einen Abonnenten erreichen dürfen“ schließen.
Registrierte Unternehmen übermitteln genehmigte Absenderkennungen und Nachrichtenvorlagen. Der eingehende Datenverkehr wird mit der Whitelist abgeglichen – genehmigte Absender mit genehmigten Vorlagen werden problemlos weitergeleitet; unbekannte Absender werden strenger geprüft. Sprach- und Unicode-Unterstützung, einschließlich komplexer Schriftsysteme, wird gewährleistet.
Jede URL wird extrahiert, normalisiert und anhand eines Live-Reputationsfeeds für bekannte Phishing-Kits, Malware-Verbreiter und neu registrierte, ähnliche Domains bewertet. Verdächtige Links lassen die gesamte Nachricht ungelesen übertragen, bevor der Abonnent sie sieht.
Kontospezifische Authentifizierung, Durchsatzbegrenzungen, zulässige Inhaltsklassen, zulässige Absender-ID-Präfixe und zulässige Zielbereiche – diese werden beim Binden und bei jeder Übermittlung erneut durchgesetzt. SMPP-Konten sind vollwertige Richtlinienobjekte und nicht nur Anmeldeinformationen.
Produktionsmaßstab
Die Kapazitätsgrenze, mit der die Plattform heute tatsächlich arbeitet – über die Betreiber hinweg, die ihre A2P-, P2P- und Roaming-SMS über die Inspektionsebene von BroadNet leiten.
Inspektionskapazität pro Cluster, über SMPP und SS7 hinweg.
Betreibernetze mit der BroadNet-Firewall in MENA, Afrika und Asien.
Netzbetreiber-Reichweite, die die globale Bedrohungsanalyse-Basis speist.
Dashboard für wiedererlangte Einnahmen
Jede blockierte, unter Quarantäne gestellte oder erneut abgerechnete Nachricht wird einer Route, einem Partner, einem Absender oder einer Signatur zugeordnet. Die Ansicht der wiederhergestellten Einnahmen befindet sich neben der Schutzansicht – so lesen die Finanz-, RA- und Sicherheitsteams dieselbe Datenquelle, aufgeschlüsselt nach Route und Signaturklasse.
Warum eine einzige Plattform
Die Aufteilung des Betrugsschutzes von der A2P-Monetarisierung auf zwei verschiedene Systeme führt zu doppelten Umsatzverlusten – einmal durch illegale Machenschaften und ein weiteres Mal durch Integrationsgebühren. BroadNet hingegen führt Erkennung, Richtliniendurchsetzung und Umsatzrückgewinnung auf derselben Plattform mit demselben Prüfprotokoll und demselben Betreiber-Dashboard durch.
Vom Projektstart bis hin zur produktionsreifen Durchsetzungsebene – inklusive passiver Spiegelung als Basis, Optimierung der Regelpakete anhand des eigenen Datenverkehrs des Betreibers und dem Workflow von Entwickler und Prüfer, der die erste Inline-Regel fördert. Derselbe Weg, den jede Tier-1-Implementierung beschritten hat.
Wie Betreiber einsetzen
Keine abrupten Umstellungen. Jede Phase ist an die Zustimmung des Netzbetreibers und messbare Nachweise geknüpft – so wird neue Inline-Technik in den Netzen der Mobilfunkanbieter tatsächlich eingeführt.
Bereitstellung im passiven Spiegelmodus am SMSC und SS7-Edge. Prüfung des gesamten eingehenden A2P- und P2P-Verkehrs ohne Zustellrisiko. Erste Betrugs-Baseline in 7 Tagen verfügbar.
Die maschinelle Risikobewertung pro Nachricht ist jetzt verfügbar. Absender-ID, Route, Inhalt, Verhalten und bisherige Reputation werden zu einem einzigen Risikowert zusammengefasst. Betreiber können die Schwellenwerte für jede Route individuell anpassen.
Die Durchsetzung der Maßnahmen erfolgt pro Route, pro Partner und pro Absender-ID. Graue Routen, SIM-Boxen und gefälschte Marken werden auf der Zielseite nicht mehr unterstützt. Das Kundenerlebnis verbessert sich sofort.
Der unter Quarantäne stehende Bypass-Verkehr wird den Absendern zum kommerziellen A2P-Tarif angeboten. Internationale A2P-Einnahmen, die zuvor durch Graurouten verloren gingen, fließen wieder in die Gewinn- und Verlustrechnung des Betreibers zurück.
Politik & Integration
Deklarative YAML-Regelsätze, eine API zur Bewertung pro Nachricht und eine SS7 MAP-Zulassungsliste, die Ihre STP-Ingenieure erkennen werden – versionskontrolliert, von Maker-Checkern gefördert, standardmäßig protokolliert.
# /etc/broadnet/firewall/rules.d/grey-route.yaml# Drop SMPP traffic from non-commercial partnersrule: block_unauthorized_smpp match: bind_system_id: !in [partners.commercial.list] source_ip: !in [partners.allowlist.cidrs] action: quarantine bill_at: a2p_international_rate rule: smpp_simbox_velocity match: msisdn_velocity: "> 12/min" recipient_unique: "> 80% in 5m" content_homology: "> 0.92" action: block notify: fraud-ops@operator.tld rule: spoofed_bank_senders match: sender_id: !registered_in [tdra.sender_registry] content: matches /OTP|verification|password/i action: drop audit: regulator_report.csvKonformität und Zertifizierung
Assoziiertes GSMA-Mitglied. Die Firewall-Kontrollen sind an den GSMA -Richtlinien für Messaging- und Signalisierungssicherheit ( FS-series ) ausgerichtet.
Entspricht dem Verhaltenskodex für SMS-Sender-ID und den MEF-Richtlinien für Vertrauen in der Unternehmenskommunikation.
Betrieben auf einer ISO 27001-zertifizierten Infrastruktur mit SOC 2 Typ II Kontrollen, DSGVO-konformer Datenresidenz und vollständigem Audit-Trail.
Ja. Die Auswertungs-Engine unterscheidet P2P- von A2P-Transaktionen anhand einer Kombination aus Quellbindung, Signalursprung, Sender-ID-Format und Verhaltensmuster. Die Falsch-Positiv-Rate für P2P-Transaktionen unserer Tier-1-Implementierungen liegt unter 0,002 % der geprüften Transaktionsmaterialien – deutlich innerhalb der Toleranzgrenzen der Aufsichtsbehörden in den Zuständigkeitsbereichen von TDRA, CRA und NTRA. Wir stellen die Falsch-Positiv-Rate pro Bucket im Betreiber-Dashboard zur Verfügung, sodass die Zulassungsteams sie wöchentlich überprüfen können.
Alle drei. Wir beginnen fast immer mit dem Spiegelmodus und einem passiven Tap am SMSC- und SS7-Edge für 7–21 Tage. Dies bietet den Betrugs- und RA-Teams eine saubere Ausgangsbasis ohne Zustellrisiko. Sobald die Durchsetzungsschwellenwerte vereinbart sind, schalten dieselben Knoten auf Inline-Betrieb mit Carrier-Grade-Verfügbarkeit um. Hybridbetrieb ist üblich für SMSC-Umgebungen verschiedener Hersteller: Inline-Betrieb auf den modernen Tier-1-Frontends, Spiegelbetrieb hinter älteren SMSC-Systemen.
Wir agieren transparent vor dem SMSC über Standard-SMPP 3.4/5.0 und hinter dem STP für SS7. Wir haben Integrationen mit allen führenden Tier-1-SMSC-Anbietern und mehreren Eigenentwicklungen realisiert. Es sind keine Änderungen an der SMSC-Konfiguration erforderlich – die Firewall verhält sich als weiterer SMPP-Partner im Upstream und erhält die Nachrichtenreihenfolge, die DLR-Weiterleitung und die CDR-Semantik aufrecht.
Das Betrugsmodell wird täglich anhand der vom Betreiber bereitgestellten, gekennzeichneten Daten (z. B. Streitigkeiten mit Regulierungsbehörden, Beschwerdewarteschlangen, Mitteilungen der Regulierungsbehörde) und anonymisierter Signale aus dem globalen Datenfeed von BroadNet neu trainiert. Kritische Signaturen (z. B. neu entdeckte Phishing-Kits, neue Zugriffsmuster von SIM-Boxen) werden innerhalb weniger Minuten von unserem Betrugsbekämpfungsteam in Dubai als wichtige Regeln bereitgestellt. Betreiber können jede Modellversion über das Dashboard festlegen oder blockieren.
Ja. Als assoziiertes GSMA-Mitglied richten wir uns nach den geltenden GSMA Sicherheitsrichtlinien. Die Firewall wird mit den Testpaketen IR.71, IR.81 und IR.82 ausgeliefert, sodass Ihr Sicherheitsteam nach jeder Regeländerung Regressionstests durchführen kann. Die Kategorisierung in Kategorie 1, 2 und 3 erfolgt pro Verbindung und pro Bindung. Die Richtlinien-Engine setzt die GSMA empfohlene Vorgehensweise pro Kategorie durch – einschließlich der von mehreren Regulierungsbehörden im Nahen Osten und Nordafrika geforderten stillen Paketverwerfungen (Kategorie 3 ) mit Audit-Trail.
Die Abrechnung erfolgt pro geprüfter Nachricht, gestaffelt nach monatlichem Volumen, ohne Gebühren pro Bindung oder Verknüpfung. Es fällt eine einmalige Integrationsgebühr an, sowie eine geringe jährliche Wartungsgebühr, die Signaturaktualisierungen, das Betrugsbekämpfungsteam und vierteljährliche Architekturprüfungen abdeckt. Die meisten Tier-1-Implementierungen amortisieren sich bereits im ersten Quartal nach Einführung der Durchsetzungsmaßnahmen allein durch die wiederhergestellten A2P-Einnahmen.
Jeder Bescheid wird in einem manipulationssicheren Protokoll festgehalten, das für den aufsichtsrechtlichen Zeitraum des Betreibers (in der Regel 12–84 Monate) aufbewahrt wird. Das Berichtsmodul enthält Vorlagen für TDRA (VAE), CST (Saudi-Arabien), CRA (Katar), TRA (Oman), TRA (Bahrain), NTRA (Ägypten), TRC (Jordanien), ARPT (Algerien), ANRT (Marokko) und INT-T (Tunesien). Quartalsberichte können als CSV-, XML- oder signiertes PDF exportiert werden.
Ja. Die Schwellenwerte sind hierarchisch strukturiert: Betreiberstandard → Route → Partner → Marke → Absender-ID. Das Dashboard zeigt den jeweils gültigen Schwellenwert an und ermöglicht Ihrem RA-Team, einen neuen Schwellenwert anhand des Datenverkehrs der letzten 30 Tage per A/B-Test zu ermitteln, bevor er in Produktion geht. Die Freigabe erfolgt über einen Prüf- und Umsetzungsprozess mit vollständiger Protokollierung.
Benötigen Sie ein Architekturbriefing oder eine Arbeitssitzung mit unseren Carrier-Ingenieuren? SMS-Firewall-Bewertung buchen
Netzwerkinterne SMS und SS7 Firewalls unterbinden Graurouten und Betrug mit Leitungsgeschwindigkeit, während der legitime Datenverkehr unberührt bleibt.
Eine 30-minütige Arbeitssitzung mit den Ingenieuren, die diese Ausrüstung bei Tier-1-Betreibern einsetzen. Bringen Sie Ihren Streckenplan und die Gewinn- und Verlustrechnung des letzten Quartals (A2P) mit – wir zeigen Ihnen, wo das Problem liegt.
Beobachten Sie, wie die Firewall anhand von Beispieldatenverkehr entscheidet.
Smishing, SMS Pumping, Absender-Spoofing und eine Umgehung der Grauzone: Urteil, Grund, Latenz und Maßnahmen aus Sicht des Netzbetreibers und des Unternehmens.
Ressourcen
Datenblatt SMS-Firewall
Vertiefen Sie die Konzepte hinter diesem Produkt.