OTP-Nachrichten-Generator für SMS und WhatsApp

Was eine gute OTP-SMS-Vorlage enthält

Eine Bestätigungsnachricht hat genau eine Aufgabe: den richtigen Code schnell an die richtige Person zu bringen, ohne Missbrauch zu erleichtern. Die meisten Nutzer lesen den Code in der Benachrichtigung auf dem Sperrbildschirm, die nur etwa die erste Zeile zeigt. Setzen Sie den Code deshalb an den Anfang oder möglichst weit nach vorn und machen Sie die Marke deutlich, damit klar ist, welcher Dienst ihn sendet.

Die Länge beeinflusst Kosten und Zuverlässigkeit. Eine GSM-7-SMS fasst 160 Zeichen, geteilt 153 pro Teil. Ein einziges Zeichen außerhalb des GSM-7-Alphabets (ein arabischer Buchstabe, ein Emoji, ein typografisches Anführungszeichen oder ein Gedankenstrich) stellt die ganze Nachricht auf UCS-2 um: 70 Zeichen bzw. 67 pro Teil. Die deutschen Umlaute ä, ö, ü und ß gehören dagegen zum GSM-7-Alphabet. Eine zweiteilige OTP kostet doppelt so viel. Der Generator zeigt Kodierung und Segmentanzahl jeder Variante an.

• Code zuerst: „482913 ist Ihr Acme-Code“ steht in der Vorschau der Benachrichtigung.
• Markenname: zeigt, welcher Dienst den Code sendet, und erschwert Phishing.
• Gültigkeit: „Gültig für 5 Minuten“ setzt eine klare Erwartung und begrenzt Missbrauch.
• Warnhinweis: „Geben Sie diesen Code an niemanden weiter, auch nicht an unsere Mitarbeiter.“
• Keine Links: Netzbetreiber filtern OTPs mit URLs häufig, und Links gewöhnen Nutzer an Phishing.

Android-Autofill: das SMS-Retriever-Format

Mit der SMS Retriever API von Google kann eine Android-App die Bestätigungs-SMS ohne SMS-Berechtigung und ohne Eingabe lesen. Laut Google-Dokumentation darf die Nachricht höchstens 140 Byte lang sein, muss den Einmalcode enthalten und einen 11-stelligen Hash-String, der die App identifiziert. 140 Byte entsprechen 160 GSM-7- oder 70 UCS-2-Zeichen, die Nachricht muss also in eine einzige SMS passen.

Der Hash besteht aus den ersten 11 Zeichen eines Base64-kodierten SHA-256-Hashes aus Paketname und Signaturzertifikat. Googles Beispiel setzt ihn in eine eigene Zeile am Ende: „Your ExampleApp code is: 123ABC78“, eine Leerzeile, dann „FA+9qCX9VSu“. Berechnen Sie ihn aus dem Produktions-Keystore und hinterlegen Sie ihn fest auf dem Server; Google rät davon ab, auf dem Client berechnete Hashes zu verwenden. Ältere Fassungen der Dokumentation verlangten, dass die Nachricht mit „<#>“ beginnt. Die aktuelle Seite nennt dieses Präfix nicht mehr; es schadet nicht, kostet aber 4 Zeichen. Wenn Sie das Nachrichtenformat nicht steuern können, ist die SMS User Consent API die Alternative: Der Nutzer erlaubt mit einem Tipp das Lesen genau dieser Nachricht.

iPhone und Web: domaingebundene Codes

iOS und macOS erkennen Codes in eingehenden SMS und schlagen sie über der Tastatur vor, wenn das Feld als Einmalcode gekennzeichnet ist: textContentType = .oneTimeCode in einer nativen App oder autocomplete="one-time-code" bei einem HTML-Feld, wie in der Entwicklerdokumentation von Apple beschrieben. Seit iOS 14 und macOS Big Sur unterstützt Safari zudem ursprungsgebundene Einmalcodes nach der WICG-Spezifikation „Origin-bound one-time codes delivered via SMS“.

In diesem Format lautet die letzte Zeile „@example.com #747723“: die Domain mit vorangestelltem @, genau ein Leerzeichen, dann der Code mit vorangestelltem #. Ein optionaler dritter Wert, „@embedded.example“, nennt eine eingebettete Website. Lesbarer Text darf vor der letzten Zeile stehen, Text zwischen den Werten macht sie jedoch ungültig. AutoFill bietet den Code dann nur auf dieser Domain oder in damit verknüpften Apps an, was Phishing deutlich erschwert. Der Generator erstellt auch eine kombinierte Nachricht mit Android-Hash und Domain-Zeile, die bei lateinischer Schrift in 140 Byte passt. Auf Arabisch senden Sie die Android- und iOS-Formate getrennt.

WhatsApp-Authentifizierungsvorlagen: was Sie ändern können

WhatsApp schreibt für Einmalpasswörter eine Authentifizierungsvorlage vor, deren Text Meta festlegt. Auf Englisch lautet er „<code> is your verification code.“ Sie können Metas Sicherheitshinweis („For your security, do not share this code.“) und eine Ablauf-Fußzeile („This code expires in <N> minutes.“) ergänzen, wobei code_expiration_minutes zwischen 1 und 90 liegt. Jede Sprachversion nutzt Metas feste Übersetzung. URLs, Medien und Emojis werden nicht unterstützt.

Den Button wählen Sie selbst. „Code kopieren“ funktioniert überall. One-Tap-Autofill öffnet Ihre Android-App mit dem Code und benötigt Paketnamen, Signatur-Hash und einen Handshake. Zero-Tap (nur Android) hat keinen Button: WhatsApp übergibt den Code direkt an Ihre App. Ab iOS 26 bieten Tastaturvorschläge den Code aus der Benachrichtigung an, ohne Integration. Der Code darf bis zu 15 Zeichen lang sein und steht zweimal in der Sendeanfrage: als Body-Parameter und als Button-Parameter (sub_type „url“). Der Text des Kopieren-Buttons ist auf 25 Zeichen begrenzt. Setzen Sie message_send_ttl_seconds, damit veraltete Codes nicht verspätet zugestellt werden. Über die Cloud API gehen diese Nachrichten nur an das Hauptgerät des Nutzers.

Sicherheits-Checkliste und Fallback-Strategie

Die Nachricht ist der einfache Teil; Betrug und Kostenexplosionen entstehen meist durch schwache Regeln drumherum. Die folgenden Punkte sind verbreitete Empfehlungen, keine gesetzlichen Vorgaben. Passen Sie die Werte an Ihr Risiko an.

Stellen Sie die Zustellung als Kaskade auf: zuerst WhatsApp, wenn der Nutzer es hat, nach kurzer Wartezeit (etwa 30 bis 60 Sekunden ohne Zustellbericht) SMS und als letzte Option ein Sprachanruf, der den Code vorliest, für Festnetz und schlechte Abdeckung. In den Golfstaaten gilt OTP als Transaktionsverkehr, Werbevorgaben wie das „AD-“-Präfix in den VAE greifen daher nicht. Die Absenderkennung muss aber meist registriert sein. Prüfen Sie vor dem Start die lokalen Regeln.

• 6 Ziffern sind üblich; erzeugen Sie Codes mit einem kryptografisch sicheren Zufallsgenerator.
• Kurze Gültigkeit (5 bis 10 Minuten), Einmalnutzung und nur einen Hash des Codes speichern.
• Sendungen pro Nummer und IP begrenzen, Wartezeit vor erneutem Senden erzwingen und nach etwa 5 Fehlversuchen sperren.
• SMS-Pumping (künstlich aufgeblähter Traffic) verhindern, indem Sie nur die Zielländer freigeben, die Sie bedienen.
• Den Code nie in einen Link oder eine URL packen und Nutzer nie bitten, ihn einem Mitarbeiter vorzulesen.