--- title: "OTP-SMS-Kosten senken: 9 Maßnahmen, die wirken" description: "OTP-SMS-Kosten senken: SMS-Pumping und unnötige Sendungen stoppen, WhatsApp-Authentifizierung vor SMS nutzen und Kosten je verifiziertem Nutzer messen." canonical: "https://omnichannels.ai/de/blog/otp-cost-reduction-strategies/" language: "de" updated: "2026-11-06" publisher: "BroadNet Technologies" brand: "OmniChannels.ai" category: "sms" primaryQuery: "otp sms kosten senken" keywords: ["otp kosten senken", "otp sms kosten", "kosten pro verifiziertem nutzer", "whatsapp authentifizierungsvorlage kosten", "otp fallback reihenfolge", "sms pumping kosten", "otp rate limiting", "sms verifizierung kosten senken"] published: "2026-11-06" author: "OmniChannels.ai Editorial Team" reviewer: "BroadNet Messaging Solutions Team" readingMinutes: 10 answer: "OTP-Kosten entstehen durch betrügerische Anfragen (SMS-Pumping), unnötige Wiederholungen, Sendungen in Länder, die Sie nicht bedienen, und die Verifizierung bereits vertrauenswürdiger Nutzer. Senken Sie sie, indem Sie den Versand hinter Bot- und Ratenkontrollen schalten, Zielländer per Allowlist begrenzen, Wiederholungen eindämmen, WhatsApp-Authentifizierungsvorlagen vor SMS anbieten, bei erkannten Geräten auf Verifizierung verzichten und die Kosten pro verifiziertem Nutzer statt pro Nachricht messen." takeaways: ["Entscheidend ist die Kennzahl Kosten pro verifiziertem Nutzer: die gesamten OTP-Ausgaben geteilt durch die Nutzer, die die Verifizierung tatsächlich abgeschlossen haben. Kosten pro Nachricht verbergen Betrug, Wiederholungen und Abbrüche.", "Die günstigste Nachricht ist die, die Sie nie senden. Bot-Prüfungen, Ratenlimits pro Nummer und Gerät sowie eine Zielland-Allowlist entfernen bezahlte Sendungen, die kein echter Nutzer angefordert hat.", "WhatsApp-Authentifizierungsvorlagen werden pro zugestellter Nachricht nach Metas Preis für den Markt des Empfängers berechnet; nicht zugestellte Nachrichten werden nicht berechnet. Vergleichen Sie beide Kanäle anhand Ihres eigenen Preisindex und Ihrer Konversionsdaten, nicht anhand einer allgemeinen Regel.", "Die Kanalreihenfolge ist eine Kosten- und eine Konversionsentscheidung: Probieren Sie den günstigeren Kanal nur dort zuerst, wo der Nutzer ihn wahrscheinlich hat, und wechseln Sie nach einem kurzen Timeout ohne Zustellbestätigung zum Fallback.", "NIST SP 800-63B stuft die Out-of-Band-Verifizierung über das Telefonnetz als eingeschränkt ein und verlangt, Alternativen anzubieten; ein Multikanal-Design ist daher auch bessere Sicherheitspraxis."] faq: - q: "Wie kann ich die Kosten für OTP-SMS senken?" a: "Stoppen Sie bezahlte Sendungen, die niemand braucht: Setzen Sie Bot-Prüfungen und Ratenlimits an jeden Endpunkt, der einen Code versendet, aktivieren Sie nur die Länder, die Sie bedienen, und begrenzen Sie Wiederholungen. Verlagern Sie die verbleibenden Sendungen dann auf den für jeden Nutzer günstigeren Kanal, etwa eine WhatsApp-Authentifizierungsvorlage mit SMS als Fallback. Messen Sie monatlich die Kosten pro verifiziertem Nutzer, um zu sehen, ob die Änderungen wirken." - q: "Welchen Anteil meiner OTP-Rechnung macht Betrug aus?" a: "Das hängt davon ab, wie offen Ihre Endpunkte sind, und einen verlässlichen öffentlichen Durchschnitt gibt es nicht, also messen Sie selbst. Vergleichen Sie gesendete mit eingegebenen Codes je Land und Nummernpräfix. Eine Lücke, die in einem Zielland auftritt, während echte Registrierungen konstant bleiben, ist die Signatur von Pumping. Mit unserem SMS-Pumping-Betrugsrechner schätzen Sie die Verschwendung anhand Ihrer eigenen Zahlen." - q: "Ist WhatsApp-OTP günstiger als SMS-OTP?" a: "Das kann sein, hängt aber vom Zielland ab, denn Meta berechnet Authentifizierungsvorlagen pro zugestellter Nachricht zu einem Preis nach dem Markt des Empfängers und mit monatlichen Mengenstaffeln, während SMS-Preise je nach Land und Netzbetreiber variieren. Vergleichen Sie beide in unserem Preisindex für Ihre Länder und beziehen Sie das Fallback-Volumen ein, denn Nutzer ohne WhatsApp brauchen weiterhin SMS." - q: "Welche OTP-Länge und Gültigkeit ist am günstigsten und trotzdem sicher?" a: "Länge und Gültigkeit sind Sicherheitseinstellungen, keine Kostenhebel. NIST SP 800-63B verlangt Out-of-Band-Geheimnisse mit mindestens sechs Dezimalstellen und einer Gültigkeit von höchstens 10 Minuten. Kürzere Gültigkeit senkt das Replay-Risiko, kann aber mehr Wiederholungen auslösen, die Geld kosten. Wählen Sie also das kürzeste Zeitfenster, das echte Nutzer bequem einhalten." - q: "Soll ich jede Anmeldung mit einem OTP verifizieren?" a: "Nicht unbedingt. Verifizieren Sie bei der Registrierung, bei riskanten Ereignissen wie einem neuen Gerät oder geändertem Passwort und bei Aktionen mit hohem Wert. Bei erkannten Geräten mit gültiger Sitzung verzichten Sie auf den Code oder nutzen einen Passkey oder eine App-basierte Prüfung. Jede vermiedene Verifizierung spart eine Nachricht und nimmt Reibung heraus, sofern Ihre Risikokontrollen Kontoübernahmen weiterhin erkennen." - q: "Verdoppelt ein Fallback von WhatsApp auf SMS die Kosten?" a: "Nur wenn beide Nachrichten zugestellt werden. Meta berechnet Authentifizierungsnachrichten bei Zustellung, eine WhatsApp-Nachricht, die nie ankommt, kostet also nichts. Warten Sie auf eine Zustellbestätigung oder ein kurzes Timeout, bevor Sie die SMS senden, senden Sie höchstens einen Fallback und verwenden Sie denselben Code, damit der Nutzer nicht zwischen zwei Codes wählen muss." sources: - title: "WhatsApp Business Platform pricing, Meta for Developers" url: "https://developers.facebook.com/documentation/business-messaging/whatsapp/pricing" - title: "Authentication templates, WhatsApp Business Platform, Meta for Developers" url: "https://developers.facebook.com/docs/whatsapp/business-management-api/authentication-templates" - title: "NIST SP 800-63B-4: Authentication and Authenticator Management" url: "https://pages.nist.gov/800-63-4/sp800-63b.html" - title: "Resource Hijacking: SMS Pumping (T1496.003), MITRE ATT&CK" url: "https://attack.mitre.org/techniques/T1496/003/" --- # OTP-SMS-Kosten senken: 9 Maßnahmen, die wirken Canonical: https://omnichannels.ai/de/blog/otp-cost-reduction-strategies/ Language: de Publisher: OmniChannels.ai by BroadNet Technologies Dieser Leitfaden richtet sich an Produkt-, Engineering- und Betrugsteams, die in großem Umfang für Einmalpasswörter (OTPs) zahlen und ihre Rechnung senken wollen, ohne die Registrierungskonversion zu beeinträchtigen. Er gliedert die OTP-Ausgaben in die Stellen, an denen Geld verloren geht, nennt neun Maßnahmen in der Reihenfolge, in der wir sie anwenden würden, und zeigt, wie Sie messen, ob sie gewirkt haben. Preise nennen wir hier nicht; für Zahlen nutzen Sie Ihren Vertrag und die verlinkten Preisseiten. ## Wohin fließen die OTP-Ausgaben tatsächlich? Die OTP-Ausgaben fließen an vier Stellen: echte Erstsendungen, Wiederholungen und Neuversuche, Verkehr in Zielländer, die Sie nicht wirklich bedienen, und betrügerische Anfragen. Nur die erste ist notwendig, bei den übrigen liegen die Einsparungen. | Kostenposten | Was es ist | Woran Sie es erkennen | Typischer Hebel | |---|---|---|---| | Echte Erstsendungen | Ein Code für jede reale Nutzeraktion | Gesendete Codes, die in einer verifizierten Aktion enden | Günstigerer Kanal, Verzicht wenn nicht nötig | | Wiederholungen und Neuversuche | Nutzer hat den Code nicht erhalten oder nicht eingegeben | Sendungen pro verifiziertem Nutzer über 1,0 | Schnellere Zustellung, bessere UX, Fallback-Timing | | Nicht bediente Zielländer | Codes in Länder ohne echte Kunden | Volumen je Land im Vergleich zu Kunden je Land | Zielland-Allowlist | | Betrug (SMS-Pumping) | Bots lösen Codes an Nummern aus, an denen der Angreifer verdient | Gesendete, aber nie eingegebene Codes nach Präfix | Bot-Prüfungen, Ratenlimits, Ausgabenobergrenzen | Der erste Schritt ist daher die Messung. Ziehen Sie einen Monat an Sendungen je Land und vergleichen Sie sie mit den eingegebenen Codes. Unser [SMS-Pumping-Betrugsrechner](/de/tools/sms-pumping-fraud-calculator/) macht aus Ihrem eigenen Anfragevolumen, Ihrer Konversion und Ihrem Preis eine Schätzung der verschwendeten Ausgaben. ## Was sind die Kosten pro verifiziertem Nutzer und wie berechnet man sie? Die Kosten pro verifiziertem Nutzer sind die gesamten OTP-Ausgaben eines Zeitraums geteilt durch die Zahl der Nutzer, die die Verifizierung in diesem Zeitraum abgeschlossen haben. Es ist die einzige OTP-Kostenzahl, die Betrug, Wiederholungen und abgebrochene Versuche enthält. **Kosten pro verifiziertem Nutzer = (gesendete SMS × SMS-Kosten + zugestellte WhatsApp-Nachrichten × WhatsApp-Kosten + weitere Kanäle) ÷ Nutzer, die einen gültigen Code eingegeben haben** Verfolgen Sie sie je Land und je Ablauf (Registrierung, Anmeldung, Zahlung). Zwei Begleitquoten erklären ihre Bewegungen: - **Sendungen pro verifiziertem Nutzer** = gesendete Nachrichten ÷ verifizierte Nutzer. Über 1,0 bedeutet Wiederholungen, Abbrüche oder Betrug. - **Verifizierungskonversion** = eingegebene Codes ÷ gesendete Codes. Ein Rückgang in einem Land ist das erste Anzeichen für Pumping. ## Praxisbeispiel: Eine App im Stil eines Fahrdienstes „Najm Go“, eine fiktive App, verifiziert 170.000 Nutzer im Monat. Vor den Änderungen geht jeder Code per SMS, wobei s die Kosten einer SMS sind. Danach beginnen 70 Prozent der Verifizierungen auf WhatsApp, wobei w die Kosten einer zugestellten WhatsApp-Authentifizierungsnachricht sind. Die Zahlen sind veranschaulichend, keine Benchmarks. | | Vorher | Nachher | |---|---|---| | Verifizierte Nutzer | 170.000 | 170.000 | | Erstsendungen per SMS | 170.000 | 51.000 | | Erstsendungen per WhatsApp | 0 | 119.000 | | Wiederholungen und Neuversuche | 28.000 SMS | 10.000 SMS und 7.000 WhatsApp | | Bezahlte gepumpte Anfragen | 40.000 SMS | 4.000 SMS | | SMS gesamt | 238.000 | 65.000 | | WhatsApp gesamt | 0 | 126.000 | | Kosten pro verifiziertem Nutzer | 1,40 s | 0,38 s + 0,74 w | Der Fall „nachher“ ist günstiger, sobald 0,74 w kleiner als 1,02 s ist, also sobald w unter etwa dem 1,4-Fachen von s liegt. Selbst wenn die WhatsApp-Nachricht in einem Land mehr kosten würde als eine SMS, kann die Einsparung bei Betrug und Wiederholungen den gesamten Ablauf also immer noch günstiger machen. Ersetzen Sie s und w durch Ihre Vertragspreise und den Meta-Preis für Ihren Markt; der [Preisindex](/data/messaging-price-index/) und der [Kostenschätzer](/de/pricing/estimator/) zeigen das Verhältnis je Land. ## Maßnahme 1: Bots stoppen, bevor eine SMS versendet wird Schalten Sie vor jeden Endpunkt, der einen Code versendet, eine Bot-Herausforderung oder einen Risikoscore, denn eine Nachricht, die Sie nie senden, ist kostenlos. Dazu gehören Registrierung, Anmeldung, Passwort-Reset, „Link per SMS senden“ und Empfehlungsformulare. MITRE ATT&CK führt SMS-Pumping als Technik T1496.003 und beschreibt damit Angreifer, die große Mengen an Nachrichten an Nummern auslösen, die sie kontrollieren. Bot-Abwehr ist die erste Verteidigungslinie dagegen. Verlangen Sie außerdem, dass die Anfrage aus einer gültigen Sitzung oder einer attestierten App-Installation stammt. Unser [Leitfaden zur Prävention von SMS-Pumping-Betrug](/de/blog/sms-pumping-fraud-prevention/) behandelt die Schichten ausführlich. ## Maßnahme 2: Ratenlimits über mehrere Dimensionen setzen Begrenzen Sie Codes pro Telefonnummer, pro IP und Netzwerk, pro Gerät und pro Sitzung, jeweils mit kurzen und langen Zeitfenstern. Ein Limit auf nur einer Dimension wird umgangen, indem diese Dimension gewechselt wird. Eine Ausgangsrichtlinie zum Anpassen: - Eine kleine Zahl von Codes pro Nummer und Stunde, mit zunehmender Wartezeit zwischen Wiederholungen. - Eine feste Tagesobergrenze pro Nummer. - Eine Obergrenze pro Gerät und pro IP, die für nicht authentifizierte Abläufe niedriger liegt. - Ein separates Limit für Fehlversuche. NIST SP 800-63B legt fest, dass die Erzeugung eines neuen Geheimnisses den Zähler der Fehlversuche nicht zurücksetzen darf. ## Maßnahme 3: Zielländer per Allowlist begrenzen Aktivieren Sie nur die Länder, in denen Sie echte Nutzer haben. Neue Länder erfordern eine geschäftliche Anfrage. Blockieren oder hinterfragen Sie innerhalb aktivierter Länder Präfixe mit Angriffsmustern und validieren Sie Nummern bei Abläufen mit hohem Volumen vor dem Versand mit einer [Nummernabfrage](/de/blog/hlr-lookup-number-validation/). ## Maßnahme 4: Ausgaben-Sicherungen einbauen Setzen Sie stündliche und tägliche Ausgabenobergrenzen je Land und je Endpunkt und pausieren Sie ein Zielland automatisch, wenn das Volumen ein Vielfaches des normalen Niveaus überschreitet, und alarmieren Sie eine Person zur Prüfung. Das begrenzt die Rechnung bei jedem Angriff, der die früheren Schichten passiert. ## Maßnahme 5: WhatsApp-Authentifizierungsvorlagen vor SMS anbieten Für Nutzer mit WhatsApp ist eine Authentifizierungsvorlage oft der günstigere Weg, und das SMS-Terminierungsentgelt-Modell, das Pumping antreibt, gilt für sie nicht. Vergleichen Sie die Kanäle für Ihre eigenen Länder, bevor Sie das annehmen. Fakten aus Metas Dokumentation: - Authentifizierungsvorlagen verwenden voreingestellten Text mit einem Code, einer optionalen Sicherheitsempfehlung und einer optionalen Ablauf-Fußzeile von 1 bis 90 Minuten. Sie gehören zu Metas Kategorie **Authentifizierung**. - Die Schaltflächenoptionen sind „Code kopieren“, One-Tap-Autofill und Zero-Tap unter Android. Ab iOS 26 können Tastaturvorschläge den Code erkennen; frühere iOS-Versionen sollten „Code kopieren“ nutzen. - Meta berechnet Authentifizierungsnachrichten pro zugestellter Nachricht zum Preis für den Markt des Empfängers, mit monatlichen Mengenstaffeln je Markt. Für Authentifizierung gibt es kein monatliches Freikontingent, und einige Märkte haben einen eigenen internationalen Authentifizierungspreis. Prüfen Sie Ihre Länder daher in Metas aktueller Preisliste. Unser Leitfaden [WhatsApp-OTP vs. SMS-OTP](/de/blog/whatsapp-otp-vs-sms-otp/) zeigt, wie Sie die Vorlagen erstellen und versenden. ## Maßnahme 6: Die Kanalreihenfolge pro Nutzer wählen, nicht pro Unternehmen Die günstigste Reihenfolge ist die, die dem Kanal entspricht, auf dem der Nutzer den Code tatsächlich empfangen kann. Ordnen Sie die Kanäle nach den niedrigsten Kosten, die der Nutzer voraussichtlich nutzen kann, und wechseln Sie nach kurzer Wartezeit zum Fallback. | Signal | Empfohlener erster Kanal | Fallback | |---|---|---| | Wiederkehrender Nutzer, der früher über WhatsApp verifiziert hat | WhatsApp-Authentifizierungsvorlage | SMS | | Neuer Nutzer, Land mit hoher WhatsApp-Nutzung in Ihrem Bestand | WhatsApp, wenn der Nutzer eine über WhatsApp erreichbare Nummer angegeben hat | SMS | | Neuer Nutzer, kein Kanalverlauf | SMS | WhatsApp oder Sprachanruf auf Wunsch | | Riskante Anfrage (neues Gerät, geänderte Nummer) | Der Kanal, der bereits mit dem Konto verknüpft ist | Stärkere Prüfung, nicht ein weiterer Code | Voice-OTP ist ebenfalls als letzte Option verfügbar, der Preis ist bei unserem Team auf Anfrage erhältlich. Bauen Sie die Reihenfolge in [Kanal-Fallback](/de/blog/channel-fallback-strategy/)-Regeln und behalten Sie über alle Kanäle einen einzigen Code bei. ## Maßnahme 7: Das Fallback-Timing so abstimmen, dass Sie nicht doppelt zahlen Senden Sie den Fallback erst, wenn eine Zustellbestätigung innerhalb eines kurzen Timeouts, gemessen in Sekunden, ausbleibt. Wurde die WhatsApp-Nachricht zugestellt, senden Sie keine SMS; wurde sie nicht zugestellt, berechnet Meta sie nicht. Höchstens ein Fallback, und in beiden derselbe Code. ## Maßnahme 8: Seltener und intelligenter verifizieren Jede Verifizierung, auf die Sie sicher verzichten, ist eine eingesparte Nachricht. Verlangen Sie einen Code bei der Registrierung, auf neuen Geräten, nach einer Passwortänderung und bei Aktionen mit hohem Wert. Nutzen Sie bei erkannten Geräten mit gültiger Sitzung stattdessen ein Token für gemerkte Geräte oder einen Passkey. Behalten Sie Risikoprüfungen bei (unmögliche Reisen, neue SIM), damit der Verzicht auf den Code keine Kontoübernahme ermöglicht. NIST SP 800-63B-4 schränkt die Nutzung des öffentlichen Telefonnetzes für die Out-of-Band-Verifizierung ein und verlangt von Verifizierern, alternative Authentifikator-Typen bereitzuhalten. Weniger Abhängigkeit von SMS entspricht daher auch den Sicherheitsleitlinien, nicht nur den Kosten. ## Maßnahme 9: Wiederholungen durch bessere Zustellung und UX verringern Wiederholungen sind bezahlte Nachrichten. Verringern Sie sie so: 1. Liefern Sie über Direktrouten mit Zustellberichten, damit langsame oder stille Routen auffallen. Siehe [Grey Route vs. Direktroute bei SMS](/de/blog/grey-route-vs-direct-route-sms/). 2. Halten Sie die SMS auf einem Segment, damit sie nie geteilt wird. Eine deutsche Code-Nachricht wie `Najm Code: 482915. Gültig 5 Minuten. Niemals weitergeben.` hat 57 Zeichen in GSM-7 (160 pro Segment); Umlaute wie ü gehören zu GSM-7. Die arabische Fassung `رمز نجم: 482915 صالح 5 دقائق. لا تشاركه مع أحد.` hat 47 Zeichen in Unicode (70 pro Segment). Prüfen Sie jede Variante im [SMS-Zeichenzähler](/de/tools/sms-character-counter/). 3. Unterstützen Sie Autofill, etwa über das Codeformat und One-Tap- oder „Code kopieren“-Schaltflächen, damit sich der Nutzer nicht vertippt. 4. Setzen Sie die Gültigkeit so lang, dass echte Nutzer sie einhalten. NIST verlangt, dass Out-of-Band-Geheimnisse innerhalb von 10 Minuten ablaufen; setzen Sie sie nicht so kurz an, dass Nutzer erneut anfordern müssen. 5. Klären Sie Beschwerden mit der [Fehlersuche bei nicht erhaltenem OTP](/de/blog/otp-not-received-troubleshooting/). ## Was sollten Sie jeden Monat messen? Messen Sie ein kleines Dashboard je Land und Ablauf und prüfen Sie es während der Umstellung wöchentlich. | Kennzahl | Formel | Gesunde Richtung | |---|---|---| | Kosten pro verifiziertem Nutzer | Ausgaben ÷ verifizierte Nutzer | Sinkend | | Verifizierungskonversion | Eingegebene Codes ÷ gesendete Codes | Steigend, stabil je Land | | Sendungen pro verifiziertem Nutzer | Nachrichten ÷ verifizierte Nutzer | Richtung 1,0 | | WhatsApp-Anteil an Erstsendungen | WhatsApp-Erstsendungen ÷ alle Erstsendungen | Steigend, wo erreichbar | | Fallback-Quote | Fallbacks ÷ WhatsApp-Versuche | Stabil; ein Sprung deutet auf Zustellprobleme | | Blockierte Anfragen | Von Kontrollen gestoppte Anfragen | Spitzen zeigen Angriffe | ## Welche Fehler sollten Sie vermeiden? - **Den Preis pro Nachricht optimieren**, während Betrug und Wiederholungen die Rechnung bestimmen. - **Ganze Länder sperren** nach einem Angriff, statt vorab eine Allowlist zu führen; das schadet echten Nutzern im Ausland. - **SMS und WhatsApp gleichzeitig senden**, „zur Sicherheit“, was die Kosten verdoppelt. - **Sehr kurze Gültigkeit setzen**, die wiederholte Anfragen verursacht. - **Annehmen, dass WhatsApp alle erreicht.** Behalten Sie SMS als Fallback und messen Sie die Erreichbarkeit. - **Die Verifizierung ohne Risikoprüfung abschaffen**, was ein Kostenproblem gegen ein Kontoübernahme-Problem tauscht. ## So unterstützt Sie OmniChannels.ai OmniChannels.ai, betrieben von BroadNet Technologies, sendet OTPs per SMS über direkte Betreiberanbindung und über WhatsApp-Authentifizierungsvorlagen (One-Tap, Zero-Tap und Code kopieren), mit konfigurierbarem Kanal-Fallback und normalisierten Zustell-Webhooks für Ihr eigenes Kostenreporting. Zustellberichte lassen sich filtern und als CSV exportieren. Die [REST-API und SMPP](/de/developers/) decken die Integration ab. Sprechen Sie mit dem Team über Ihre Länder und Volumen und sehen Sie sich die [WhatsApp-Preisseiten](/de/whatsapp-pricing/) und die [SMS-Preise nach Land](/de/sms-pricing/) für veröffentlichte Listenpreise an.