OTP-SMS-Kosten senken: 9 Maßnahmen, die wirken

Maßnahme 2: Ratenlimits über mehrere Dimensionen setzen

Begrenzen Sie Codes pro Telefonnummer, pro IP und Netzwerk, pro Gerät und pro Sitzung, jeweils mit kurzen und langen Zeitfenstern. Ein Limit auf nur einer Dimension wird umgangen, indem diese Dimension gewechselt wird.

Eine Ausgangsrichtlinie zum Anpassen:

• Eine kleine Zahl von Codes pro Nummer und Stunde, mit zunehmender Wartezeit zwischen Wiederholungen.
• Eine feste Tagesobergrenze pro Nummer.
• Eine Obergrenze pro Gerät und pro IP, die für nicht authentifizierte Abläufe niedriger liegt.
• Ein separates Limit für Fehlversuche. NIST SP 800-63B legt fest, dass die Erzeugung eines neuen Geheimnisses den Zähler der Fehlversuche nicht zurücksetzen darf.

Maßnahme 3: Zielländer per Allowlist begrenzen

Aktivieren Sie nur die Länder, in denen Sie echte Nutzer haben. Neue Länder erfordern eine geschäftliche Anfrage. Blockieren oder hinterfragen Sie innerhalb aktivierter Länder Präfixe mit Angriffsmustern und validieren Sie Nummern bei Abläufen mit hohem Volumen vor dem Versand mit einer Nummernabfrage.

Maßnahme 4: Ausgaben-Sicherungen einbauen

Setzen Sie stündliche und tägliche Ausgabenobergrenzen je Land und je Endpunkt und pausieren Sie ein Zielland automatisch, wenn das Volumen ein Vielfaches des normalen Niveaus überschreitet, und alarmieren Sie eine Person zur Prüfung. Das begrenzt die Rechnung bei jedem Angriff, der die früheren Schichten passiert.

Maßnahme 5: WhatsApp-Authentifizierungsvorlagen vor SMS anbieten

Für Nutzer mit WhatsApp ist eine Authentifizierungsvorlage oft der günstigere Weg, und das SMS-Terminierungsentgelt-Modell, das Pumping antreibt, gilt für sie nicht. Vergleichen Sie die Kanäle für Ihre eigenen Länder, bevor Sie das annehmen.

Fakten aus Metas Dokumentation:

• Authentifizierungsvorlagen verwenden voreingestellten Text mit einem Code, einer optionalen Sicherheitsempfehlung und einer optionalen Ablauf-Fußzeile von 1 bis 90 Minuten. Sie gehören zu Metas Kategorie Authentifizierung.
• Die Schaltflächenoptionen sind „Code kopieren“, One-Tap-Autofill und Zero-Tap unter Android. Ab iOS 26 können Tastaturvorschläge den Code erkennen; frühere iOS-Versionen sollten „Code kopieren“ nutzen.
• Meta berechnet Authentifizierungsnachrichten pro zugestellter Nachricht zum Preis für den Markt des Empfängers, mit monatlichen Mengenstaffeln je Markt. Für Authentifizierung gibt es kein monatliches Freikontingent, und einige Märkte haben einen eigenen internationalen Authentifizierungspreis. Prüfen Sie Ihre Länder daher in Metas aktueller Preisliste.

Unser Leitfaden WhatsApp-OTP vs. SMS-OTP zeigt, wie Sie die Vorlagen erstellen und versenden.

Maßnahme 6: Die Kanalreihenfolge pro Nutzer wählen, nicht pro Unternehmen

Die günstigste Reihenfolge ist die, die dem Kanal entspricht, auf dem der Nutzer den Code tatsächlich empfangen kann. Ordnen Sie die Kanäle nach den niedrigsten Kosten, die der Nutzer voraussichtlich nutzen kann, und wechseln Sie nach kurzer Wartezeit zum Fallback.

Voice-OTP ist ebenfalls als letzte Option verfügbar, der Preis ist bei unserem Team auf Anfrage erhältlich. Bauen Sie die Reihenfolge in Kanal-Fallback-Regeln und behalten Sie über alle Kanäle einen einzigen Code bei.

Maßnahme 7: Das Fallback-Timing so abstimmen, dass Sie nicht doppelt zahlen

Senden Sie den Fallback erst, wenn eine Zustellbestätigung innerhalb eines kurzen Timeouts, gemessen in Sekunden, ausbleibt. Wurde die WhatsApp-Nachricht zugestellt, senden Sie keine SMS; wurde sie nicht zugestellt, berechnet Meta sie nicht. Höchstens ein Fallback, und in beiden derselbe Code.

Maßnahme 8: Seltener und intelligenter verifizieren

Jede Verifizierung, auf die Sie sicher verzichten, ist eine eingesparte Nachricht. Verlangen Sie einen Code bei der Registrierung, auf neuen Geräten, nach einer Passwortänderung und bei Aktionen mit hohem Wert. Nutzen Sie bei erkannten Geräten mit gültiger Sitzung stattdessen ein Token für gemerkte Geräte oder einen Passkey. Behalten Sie Risikoprüfungen bei (unmögliche Reisen, neue SIM), damit der Verzicht auf den Code keine Kontoübernahme ermöglicht.

NIST SP 800-63B-4 schränkt die Nutzung des öffentlichen Telefonnetzes für die Out-of-Band-Verifizierung ein und verlangt von Verifizierern, alternative Authentifikator-Typen bereitzuhalten. Weniger Abhängigkeit von SMS entspricht daher auch den Sicherheitsleitlinien, nicht nur den Kosten.

Maßnahme 9: Wiederholungen durch bessere Zustellung und UX verringern

Wiederholungen sind bezahlte Nachrichten. Verringern Sie sie so:

1. Liefern Sie über Direktrouten mit Zustellberichten, damit langsame oder stille Routen auffallen. Siehe Grey Route vs. Direktroute bei SMS.
2. Halten Sie die SMS auf einem Segment, damit sie nie geteilt wird. Eine deutsche Code-Nachricht wie Najm Code: 482915. Gültig 5 Minuten. Niemals weitergeben. hat 57 Zeichen in GSM-7 (160 pro Segment); Umlaute wie ü gehören zu GSM-7. Die arabische Fassung رمز نجم: 482915 صالح 5 دقائق. لا تشاركه مع أحد. hat 47 Zeichen in Unicode (70 pro Segment). Prüfen Sie jede Variante im SMS-Zeichenzähler.
3. Unterstützen Sie Autofill, etwa über das Codeformat und One-Tap- oder „Code kopieren“-Schaltflächen, damit sich der Nutzer nicht vertippt.
4. Setzen Sie die Gültigkeit so lang, dass echte Nutzer sie einhalten. NIST verlangt, dass Out-of-Band-Geheimnisse innerhalb von 10 Minuten ablaufen; setzen Sie sie nicht so kurz an, dass Nutzer erneut anfordern müssen.
5. Klären Sie Beschwerden mit der Fehlersuche bei nicht erhaltenem OTP.

Was sollten Sie jeden Monat messen?

Messen Sie ein kleines Dashboard je Land und Ablauf und prüfen Sie es während der Umstellung wöchentlich.

Welche Fehler sollten Sie vermeiden?

• Den Preis pro Nachricht optimieren, während Betrug und Wiederholungen die Rechnung bestimmen.
• Ganze Länder sperren nach einem Angriff, statt vorab eine Allowlist zu führen; das schadet echten Nutzern im Ausland.
• SMS und WhatsApp gleichzeitig senden, „zur Sicherheit“, was die Kosten verdoppelt.
• Sehr kurze Gültigkeit setzen, die wiederholte Anfragen verursacht.
• Annehmen, dass WhatsApp alle erreicht. Behalten Sie SMS als Fallback und messen Sie die Erreichbarkeit.
• Die Verifizierung ohne Risikoprüfung abschaffen, was ein Kostenproblem gegen ein Kontoübernahme-Problem tauscht.

So unterstützt Sie OmniChannels.ai

OmniChannels.ai, betrieben von BroadNet Technologies, sendet OTPs per SMS über direkte Betreiberanbindung und über WhatsApp-Authentifizierungsvorlagen (One-Tap, Zero-Tap und Code kopieren), mit konfigurierbarem Kanal-Fallback und normalisierten Zustell-Webhooks für Ihr eigenes Kostenreporting. Zustellberichte lassen sich filtern und als CSV exportieren. Die REST-API und SMPP decken die Integration ab. Sprechen Sie mit dem Team über Ihre Länder und Volumen und sehen Sie sich die WhatsApp-Preisseiten und die SMS-Preise nach Land für veröffentlichte Listenpreise an.