OTP per WhatsApp und SMS: Sicherheit, Zustellung, Betrug

Dieser Leitfaden richtet sich an Produktmanager, Entwickler und Sicherheitsteams, die Einmalpasswörter (OTPs) für Registrierung, Login, Zahlungen oder Kontowiederherstellung versenden. Er zeigt, wie WhatsApp-Authentifizierungsvorlagen funktionieren, wie Sie Codes per SMS zustellen, wie Sie einen Fallback gestalten und wie Sie OTP-Betrug wie SMS-Pumping stoppen, ohne echte Nutzer auszubremsen.

Was macht eine gute OTP-Nachricht aus?

Eine gute OTP-Nachricht kommt innerhalb von Sekunden an, lässt sich leicht eingeben, kann nicht wiederverwendet werden und ist klar als Ihre erkennbar. Alles Weitere in diesem Leitfaden dient diesen vier Eigenschaften.

• Schnell: Zustellung beim ersten Versuch innerhalb von Sekunden.
• Einfach: Autofill oder Kopieren, wo immer möglich; kein Suchen im Text.
• Sicher: kurzlebig, einmalig verwendbar, mindestens sechs Stellen, mit dem Hinweis „Nicht weitergeben“.
• Vertrauenswürdig: ein verifizierter Unternehmensname auf WhatsApp oder eine registrierte Absenderkennung bei SMS.

Wie funktionieren WhatsApp-Authentifizierungsvorlagen?

WhatsApp verlangt für Einmalpasscodes eine Authentifizierungsvorlage. Der Text wird von Meta vorgegeben, zum Beispiel „123456 ist Ihr Bestätigungscode“, mit einem optionalen Sicherheitshinweis („Geben Sie diesen Code zu Ihrer Sicherheit nicht weiter“) und einer optionalen Ablaufzeile im Footer. Laut Metas Dokumentation dürfen Authentifizierungsvorlagen keine URLs, Medien oder Emojis enthalten, und Parameter sind auf 15 Zeichen begrenzt.

Sie wählen eine von drei Zustellarten:

Zwei weitere Punkte aus Metas Dokumentation sind wissenswert:

• Sicherheit für verknüpfte Geräte ist in der Cloud API standardmäßig aktiv: Codes gehen nur an das primäre Gerät des Nutzers und werden auf verknüpften Geräten maskiert.
• iOS-Autofill: Meta gibt an, dass ab dem 15. Juni 2026 unter iOS 26 und höher die Tastaturvorschläge OTP-Autofill aus der WhatsApp-Benachrichtigung anbieten, ohne dass eine Integration nötig ist.

Wenn Sie Codes über eine Marketing- oder Utility-Vorlage senden, kann Meta diese Vorlage zur Ablehnung vormerken, und diese Entscheidung lässt sich nicht anfechten. Lesen Sie dazu unseren Leitfaden zu den WhatsApp-Vorlagenkategorien.

Wie sollten OTPs per SMS versendet werden?

SMS bleibt der universelle Kanal: Es funktioniert ohne Datenverbindung und ohne App. So machen Sie es zuverlässig:

1. Verwenden Sie eine registrierte transaktionale Absenderkennung in Märkten mit Registrierungspflicht, etwa den VAE und Saudi-Arabien, und halten Sie Marketing davon fern. Siehe unseren Leitfaden zur Registrierung der Absenderkennung.
2. Beschränken Sie die Nachricht auf ein Segment. Setzen Sie den Code an den Anfang, nennen Sie die Marke, geben Sie die Gültigkeit an und fügen Sie eine Warnung hinzu: „123456 ist Ihr Najm-Code. 5 Minuten gültig. Niemals weitergeben.“ Arabischer Text nutzt Unicode, daher passen weniger Zeichen in ein Segment.
3. Unterstützen Sie SMS-Autofill unter Android (Format der SMS Retriever API) und iOS (Feld für Einmalcodes), damit Nutzer den Code nicht tippen müssen.
4. Leiten Sie über hochwertige Verbindungen, die Zustellberichte liefern, damit Fallback und Monitoring echte Signale haben.

NIST SP 800-63B stuft OTPs über das öffentliche Telefonnetz (SMS und Sprache) wegen SIM-Swap, Rufnummernportierung und Abfangrisiken als eingeschränkten Authentifikator ein und empfiehlt, vor dem Versand Risikoindikatoren wie einen SIM-Wechsel zu prüfen. Kombinieren Sie bei hochwertigen Aktionen SMS-OTP mit weiteren Signalen oder bieten Sie stärkere Faktoren wie Passkeys an.

Wie gestalten Sie OTP-Zustellung und Fallback?

Senden Sie einmal auf dem besten Kanal, warten Sie kurz auf den Zustellbericht und weichen Sie einmalig aus. Unkontrollierte Wiederholungen sind der Punkt, an dem Kosten und Betrug explodieren.

1. Wählen Sie den Primärkanal pro Nutzer: WhatsApp für Nutzer, die sich zuvor über WhatsApp verifiziert oder ihn gewählt haben; sonst SMS.
2. Erzeugen Sie einen Code pro Verifizierungssitzung, mit kurzem Gültigkeitsfenster und einmaliger Annahme.
3. Warten Sie den Status „zugestellt“ ab, mit einem kurzen Timeout in Sekunden statt Minuten.
4. Weichen Sie einmalig auf den anderen Kanal aus, wenn nicht zugestellt wurde; dabei kann derselbe Code verwendet oder der erste ungültig gemacht werden.
5. Bieten Sie ein vom Nutzer ausgelöstes erneutes Senden mit sichtbarem Countdown an, statt automatischer Wiederholungen.
6. Begrenzen Sie erneutes Senden und Versuche pro Rufnummer, Gerät und Sitzung.
7. Protokollieren Sie Kanal, Status, Latenz und Verifizierungsergebnis für jeden Versand.

Wie verhindern Sie SMS-Pumping und OTP-Betrug?

SMS-Pumping, auch Artificially Inflated Traffic (AIT) genannt, entsteht, wenn Bots OTPs an Rufnummernbereiche anfordern, in denen jemand an der Terminierung des Verkehrs verdient. Sie zahlen für jede Nachricht; kein echter Nutzer verifiziert sich je. Die Prävention ist mehrschichtig.

Checkliste der Kontrollen

• Länderfreigaben: OTP-Ziele nur in Ländern erlauben, in denen Sie Kunden haben; neue Länder nur nach Prüfung freischalten.
• Ratenbegrenzung pro Rufnummer, IP-Adresse, Gerät, Sitzung und Nummernpräfix.
• Bot-Schutz (Challenge oder Risikobewertung) vor der OTP-Anfrage, nicht danach.
• Conversion-Monitoring: Alarm, wenn die Verifizierungs-Conversion für ein Land oder Präfix stark sinkt.
• Nummernvalidierung: fehlerhafte, fortlaufende oder offensichtlich ungültige Nummern ablehnen.
• Ausgabenwarnungen und Tageslimits pro Zielland.
• Exponentielles Back-off beim erneuten Senden und keine unbegrenzten automatischen Wiederholungen.
• WhatsApp bevorzugen für Nutzer, die es verwenden, da Authentifizierungsvorlagen an ein WhatsApp-Konto gebunden sind und nicht an eine Premium-SMS-Terminierung.
• Incident-Runbook: wer ein Land oder Präfix sperren darf und wie schnell.

Schützen Sie auch die Nutzer: Fragen Sie den Code niemals in einem Anruf oder Chat ab, weisen Sie in der Nachricht darauf hin und verlangen Sie eine erneute Authentifizierung, wenn sich Rufnummer oder SIM-Karte ändern.

Praxisbeispiel: eine Lieferdienst-App in Katar

„Rafeeq Delivery“ (fiktiv) verifiziert neue Nutzer und bestätigt hochwertige Bestellungen.

• Android-Nutzer erhalten eine WhatsApp-Authentifizierungsvorlage mit One-Tap-Autofill; iOS- und Web-Nutzer erhalten Copy-Code.
• Fallback: Wird die WhatsApp-Zustellung nicht innerhalb eines kurzen Timeouts bestätigt, geht derselbe Code einmalig per SMS von einer registrierten transaktionalen Absenderkennung.
• Limits: drei Code-Anfragen pro Rufnummer und Stunde, ein Limit pro Gerät und IP sowie OTP-Ziele, die auf die GCC-Länder beschränkt sind, in denen die App betrieben wird.
• Monitoring: In einer Nacht steigen die OTP-Anfragen an ein Präfix außerhalb des GCC sprunghaft an, bei nahezu null Verifizierungen. Die Länderfreigaben blockieren sie automatisch; der Vorfall kostet nichts, weil das Land nie aktiviert war.
• Ergebnis: Das Team verfolgt wöchentlich die Kosten pro erfolgreicher Verifizierung und die Verifizierungs-Conversion pro Kanal und passt den Primärkanal je Markt an.

Häufige Fehler und Grenzen

• Marketing- oder Utility-Vorlagen für OTPs auf WhatsApp zu verwenden.
• Langlebige oder wiederverwendbare Codes oder Codes, die nach Ausgabe eines neuen Codes gültig bleiben.
• Unbegrenztes erneutes Senden, das Pumping begünstigt und Nutzer verärgert.
• Keine Länderbeschränkung bei Registrierungs-OTPs.
• Werbetext in OTP-SMS, wodurch die Absenderkennung gesperrt werden kann.
• OTP als einzigen Faktor bei Aktionen mit hohem Risiko zu behandeln.
• Kostenänderungen zu ignorieren. Meta berechnet zugestellte Authentifizierungsvorlagen nach Empfängermarkt; prüfen Sie die aktuellen Preise in der Preisliste von Meta.

Wie OmniChannels.ai Sie unterstützt

OmniChannels.ai unterstützt WhatsApp-Authentifizierungsvorlagen mit One-Tap-, Zero-Tap- und Copy-Code-OTP sowie Utility- und Marketing-Vorlagen, jeweils mit Telefonvorschau und Nachverfolgung der Freigabe. SMS werden über die Netzbetreiberanbindung von BroadNet Technologies zugestellt, und Sprach-OTP erreicht Nutzer, die keine Textnachrichten empfangen können. So kombinieren Sie WhatsApp, SMS und Voice für OTP mit einem pro Anwendungsfall konfigurierten Kanal-Fallback. Zustellberichte mit Zusammenfassungs- und erweiterter Ansicht, Filtern und CSV-Export helfen Ihnen, die Zustellung je Kanal zu überwachen. OTP-Versand und Zustell-Webhooks sind in der öffentlichen REST-API dokumentiert.