Definition
Ein Einmalpasswort (OTP, One-time Password) ist ein kurzer Code, der für genau einen Login oder eine Transaktion gilt, meist nur wenige Minuten lang. Unternehmen versenden ihn per SMS, WhatsApp, Sprachanruf oder E-Mail oder lassen ihn in einer Authenticator-App erzeugen, um zu prüfen, ob der Nutzer Zugriff auf eine Nummer, ein Postfach oder ein Gerät hat.
OTPs werden entweder von einem Algorithmus erzeugt, den beide Seiten teilen (HOTP, RFC 4226, zählerbasiert; TOTP, RFC 6238, zeitbasiert, wie in Authenticator-Apps), oder von einem Server zufällig generiert und über einen Messaging-Kanal zugestellt. Bei OTPs über Messaging speichert der Server einen Hash des Codes zusammen mit Ablaufzeit und Versuchszähler.
Bewährte Praxis: 4–8 Ziffern, kurze Gültigkeit, eine Begrenzung für Fehlversuche, eine Wartezeit vor dem erneuten Senden und keine Wiederverwendung. Halten Sie die Nachricht kurz, platzieren Sie den Code weit vorne, nennen Sie die Marke und warnen Sie davor, den Code weiterzugeben. Nehmen Sie niemals Werbeinhalte in eine OTP-Nachricht auf.
Die Kanalwahl spielt eine Rolle. SMS erreicht nahezu jedes Telefon; WhatsApp-Authentifizierungsvorlagen unterstützen Copy-Code, One-Tap und Zero-Tap-Autofill auf Android; Voice-OTP erreicht Festnetzanschlüsse und Nutzer, die keinen Bildschirm lesen können. Viele Unternehmen setzen auf Channel-Fallback, etwa zuerst WhatsApp, dann SMS, dann Sprachanruf.
OTP-Endpunkte sind ein beliebtes Ziel für SMS Pumping (künstliche Aufblähung des Traffics). Begrenzen Sie die Rate pro Telefonnummer, IP und Gerät, sperren Sie Zielländer, die Sie nicht bedienen, und überwachen Sie den Anteil der Codes, die tatsächlich eingegeben werden.
OmniChannels.ai versendet OTPs per SMS, über WhatsApp-Authentifizierungsvorlagen (One-Tap, Zero-Tap und Copy-Code) und per Sprachanruf.
Beispiel
482917 ist Ihr Acme-Bestätigungscode. Er läuft in 5 Minuten ab. Geben Sie ihn an niemanden weiter.