--- title: "Voice-OTP und Flash Call: wann Sie per Anruf verifizieren" description: "Voice-OTP und Flash-Call-Verifizierung erklärt: Funktionsweise, wann Sprache SMS oder WhatsApp schlägt, Betrugsschutz, Fallback-Design, UX-Texte und Kosten." canonical: "https://omnichannels.ai/de/blog/voice-otp-guide/" language: "de" updated: "2026-10-10" publisher: "BroadNet Technologies" brand: "OmniChannels.ai" category: "omnichannel" primaryQuery: "voice otp" keywords: ["Voice OTP", "Flash Call Verifizierung", "OTP per Anruf", "SMS zu Voice Fallback", "Voice OTP Arabisch", "IRSF Betrug", "OTP Fallback Kaskade", "Text-to-Speech OTP"] published: "2026-10-10" author: "OmniChannels.ai Editorial Team" reviewer: "BroadNet Messaging Solutions Team" readingMinutes: 15 answer: "Voice-OTP ruft den Nutzer an und liest per Text-to-Speech einen Einmalcode vor, in der Sprache des Nutzers und in der Regel zweimal. Flash Call verifiziert eine Nummer über einen kurzen verpassten Anruf, dessen Anrufer-ID den Code enthält. Setzen Sie Sprache ein, wenn die Nummer ein Festnetzanschluss ist, der Nutzer Audio statt Text braucht oder WhatsApp und SMS nicht zugestellt wurden. Schützen Sie den Kanal mit Zielland-Kontrollen, Rate Limits und kurzen Gesprächsdauern." takeaways: ["Voice-OTP liest einen Einmalcode in einem Telefonanruf vor und erreicht damit Festnetzanschlüsse und Nutzer, die keine Textnachricht lesen können, was SMS und WhatsApp nicht leisten.", "Flash Call verifiziert eine Nummer über einen verpassten Anruf, dessen Anrufer-ID den Code enthält; manche Netzbetreiber schränken diesen Traffic ein oder bepreisen ihn gesondert, daher muss die Verfügbarkeit je Land bestätigt werden.", "NIST SP 800-63B stuft Einmalcodes, die über das Telefonnetz per SMS oder Anruf zugestellt werden, wegen des Risikos von SIM-Swap und Abfangen als eingeschränkten Authentifikator ein.", "Die Sprachverifizierung ist ein Ziel für International Revenue Share Fraud; Allowlists für Zielländer, Rate Limits pro Nummer und pro IP sowie maximale Gesprächsdauern sind daher unverzichtbar.", "Eine sinnvolle Fallback-Reihenfolge für viele Consumer-Apps ist WhatsApp, dann SMS, dann Voice, wobei jede Stufe durch ein fehlendes Zustell- oder Verifizierungssignal ausgelöst wird, nicht allein durch einen festen Timer."] faq: - q: "Was ist Voice-OTP?" a: "Voice-OTP ist ein Einmalpasswort, das in einem automatisierten Telefonanruf übermittelt wird. Die Plattform ruft die Nummer des Nutzers an, eine Text-to-Speech-Stimme liest die Ziffern vor, normalerweise zweimal, und bietet per Tastendruck eine Wiederholung an. Das funktioniert auf Mobil- und Festnetzanschlüssen, braucht weder Datenverbindung noch App und hilft Nutzern, denen gesprochene Ziffern leichter fallen als das Lesen einer Textnachricht." - q: "Wie funktioniert die Flash-Call-Verifizierung?" a: "Bei der Flash-Call-Verifizierung wird die Nummer des Nutzers sehr kurz angerufen und aufgelegt, bevor jemand abnimmt. Der Code steckt in der Anrufer-ID, typischerweise in deren letzten Ziffern. Unter Android kann eine App mit der passenden Berechtigung den eingehenden Anruf automatisch auslesen; ansonsten tippt der Nutzer die Ziffern des verpassten Anrufs ein. Es wird kein Audio abgespielt, und der Nutzer muss nicht abnehmen." - q: "Ist Voice-OTP sicherer als SMS-OTP?" a: "Nicht grundsätzlich. Beide laufen über das Telefonnetz, und NIST SP 800-63B behandelt beide als eingeschränkte Authentifikatoren, weil eine Nummer portiert, per SIM-Swap übernommen oder umgeleitet werden kann. Voice bringt ein eigenes Risiko mit: Landet ein Anruf auf der Mailbox, wird der Code dort womöglich gespeichert. Nutzen Sie Voice für Reichweite und Barrierefreiheit und behalten Sie stärkere Verfahren wie Passkeys oder Authenticator-Apps für risikoreiche Aktionen vor." - q: "Ist Flash Call überall erlaubt?" a: "Nein. Manche Netzbetreiber sehen Flash Calls als Weg, die Kosten für A2P-SMS zu umgehen, und haben sie blockiert, besondere Terminierungsentgelte eingeführt oder vorgeschrieben, dass sie über bestimmte Routen laufen. Regeln und Haltung der Netzbetreiber unterscheiden sich je Land und ändern sich mit der Zeit. Klären Sie mit Ihrem Anbieter, welche Ziele Flash Call unterstützen, bevor Sie einen Ablauf darauf aufbauen." - q: "Kann Voice-OTP auf Arabisch zugestellt werden?" a: "Ja. Text-to-Speech-Engines mit Arabisch-Unterstützung können Einleitung und Ziffern auf Arabisch vorlesen, und die Sprache lässt sich anhand der App-Einstellung oder des Kontoprofils wählen. Halten Sie den arabischen Text kurz und testen Sie, wie Zahlen vorgelesen werden, denn Reihenfolge und Aussprache mehrstelliger Zahlen unterscheiden sich vom Englischen. Wird der Code Ziffer für Ziffer gelesen, lassen sich die meisten Probleme vermeiden." - q: "Wie wird Voice-OTP im Vergleich zu SMS bepreist?" a: "SMS und WhatsApp werden in der Regel pro Nachricht berechnet, Voice dagegen meist nach Gesprächsdauer, oft pro Minute oder in Takten, und die Tarife schwanken stark nach Zielland und danach, ob es sich um eine Mobil- oder Festnetznummer handelt. Flash Calls werden normalerweise pro Anrufversuch berechnet. Weil Voice pro Verifizierung teurer sein kann, nutzen die meisten Teams es als Fallback statt als ersten Kanal." sources: - title: "NIST SP 800-63B: Authentication and Authenticator Management" url: "https://pages.nist.gov/800-63-4/sp800-63b.html" - title: "OWASP Multifactor Authentication Cheat Sheet" url: "https://cheatsheetseries.owasp.org/cheatsheets/Multifactor_Authentication_Cheat_Sheet.html" - title: "ITU-T E.156: Guidelines for ITU-T action on reported misuse of E.164 number resources" url: "https://www.itu.int/rec/T-REC-E.156" - title: "W3C Speech Synthesis Markup Language (SSML) Version 1.1" url: "https://www.w3.org/TR/speech-synthesis11/" - title: "W3C Web Content Accessibility Guidelines (WCAG) 2.2" url: "https://www.w3.org/TR/WCAG22/" --- # Voice-OTP und Flash Call: wann Sie per Anruf verifizieren Canonical: https://omnichannels.ai/de/blog/voice-otp-guide/ Language: de Publisher: OmniChannels.ai by BroadNet Technologies Dieser Leitfaden richtet sich an Produktmanager, Entwickler und Fraud-Teams, die Telefonnummern verifizieren oder Einmalpasswörter (OTPs) versenden und wissen wollen, wo Voice ins Bild passt. Er erklärt, wie Voice-OTP und Flash Call funktionieren, wann sie SMS und WhatsApp überlegen sind, wie Sie sie gegen Betrug absichern und wie Sie eine Fallback-Reihenfolge aufbauen, die Abschlussrate, Kosten und Risiko ausbalanciert. ## Was ist Voice-OTP und wie funktioniert es? Voice-OTP ist ein Einmalpasswort, das in einem automatisierten Telefonanruf übermittelt wird: Die Plattform ruft den Nutzer an, und eine Text-to-Speech-Stimme (TTS) liest den Code vor. Es erreicht jede Nummer, die Anrufe empfangen kann, auch Festnetzanschlüsse, und braucht weder App noch Datenverbindung. Ein typischer Voice-OTP-Anruf läuft in fünf Schritten ab: 1. **Ihr Backend erzeugt den Code**, speichert einen Hash davon mit Ablaufzeit und fordert den Anruf über Ihren Anbieter an. 2. **Die Plattform tätigt den Anruf** von einer vereinbarten Anrufer-ID, idealerweise einer, die in jedem Land wiedererkennbar und einheitlich für Ihre Marke ist. 3. **Nach dem Abnehmen läuft eine kurze Begrüßung**, zum Beispiel „Hier ist Hala Pay mit Ihrem Bestätigungscode.“ 4. **Der Code wird Ziffer für Ziffer vorgelesen**, mit einer Pause zwischen den Ziffern, und mindestens einmal wiederholt. 5. **Dem Nutzer wird eine Wiederholung angeboten**, etwa „Drücken Sie die 1, um den Code erneut zu hören“, dann endet der Anruf. Das Anrufergebnis (angenommen, besetzt, keine Antwort, fehlgeschlagen, Dauer) wird an Ihre Systeme zurückgemeldet. ### Wie sollte der Code vorgelesen werden? Lesen Sie jede Ziffer einzeln und langsam vor. „Vier, sieben, eins, neun, null, zwei“ lässt sich viel leichter mitschreiben als „vierhunderteinundsiebzigtausendneunhundertzwei“. Die meisten TTS-Engines akzeptieren die Speech Synthesis Markup Language (SSML), den W3C-Standard, mit dem Sie Text als einzelne Zeichen kennzeichnen, Pausen einfügen und das Sprechtempo steuern können. Nutzen Sie ihn, statt sich auf die Standardinterpretation einer Zahl durch die Engine zu verlassen. Bewährte Praxis für den gesprochenen Text: - **Halten Sie die Begrüßung unter wenigen Sekunden.** Die Nutzer warten mit Stift oder Tastatur; jeder zusätzliche Satz verzögert den Code. - **Sprechen Sie den Code mindestens zweimal**, mit einer kurzen Pause zwischen den Wiederholungen, und bieten Sie dann eine Wiederholung per Tastendruck an. - **Gruppieren Sie Ziffern nur, wenn es hilft.** Sechs Ziffern, als zwei Dreiergruppen gelesen („vier sieben eins … neun null zwei“), lassen sich leichter merken. - **Bitten Sie den Nutzer nie, den Code während des Anrufs zu sagen oder einzutippen.** Ein Verifizierungsanruf übermittelt einen Code; er sollte niemals einen abfragen. So unterscheidet sich Ihr Ablauf klar von Social-Engineering-Maschen. ### Wie wählen Sie die Sprache, auch Arabisch? Wählen Sie die Sprache anhand des stärksten verfügbaren Signals, in dieser Reihenfolge: die in Ihrer App gewählte Sprache, das Kontoprofil, dann die Ländervorwahl der Nummer. Eine saudische Nummer bedeutet nicht, dass der Nutzer Arabisch bevorzugt, und ein Expat in Dubai möchte vielleicht Hindi, Urdu, Tagalog oder Englisch; eine gespeicherte Präferenz schlägt also jede Vermutung. Für arabisches Voice-OTP gilt: - **Nutzen Sie eine für Arabisch entwickelte TTS-Stimme** und testen Sie sie mit Muttersprachlern. Hocharabisch ist für eine kurze, formelle Nachricht wie diese die sicherste Wahl. - **Lesen Sie die Ziffern einzeln vor.** Im gesprochenen Arabisch stehen bei vielen Zahlen die Einer vor den Zehnern, sodass ein als ganze Zahl gelesener Code leicht falsch verstanden wird. Einzelne Ziffern beseitigen diese Mehrdeutigkeit. - **Erwägen Sie einen zweisprachigen Anruf** in Märkten mit gemischter Bevölkerung: eine kurze arabische Begrüßung und der Code, dann „Für Englisch drücken Sie die 2“. Halten Sie es kurz; ein zweisprachiges Menü verlängert jeden Anruf um Sekunden. - **Halten Sie den Markennamen wiedererkennbar.** Wird Ihre Marke üblicherweise in lateinischer Schrift geschrieben, prüfen Sie, wie die TTS-Stimme sie in arabischer Schrift ausspricht. Unser Leitfaden zu [arabischer Kundenkommunikation](/de/blog/arabic-customer-messaging-best-practices/) behandelt Dialektwahl und zweisprachiges Design ausführlicher. ## Wie funktioniert die Flash-Call-Verifizierung? Bei der Flash-Call-Verifizierung wird die Nummer des Nutzers sehr kurz angerufen und die Verbindung getrennt, bevor jemand abnimmt. Der Code ist die Anrufer-ID selbst, meist deren letzte Ziffern; es wird also nichts abgespielt und nichts muss angenommen werden. Der Code kann auf zwei Wegen in Ihre App gelangen: - **Automatisch:** Unter Android kann eine App mit der entsprechenden Berechtigung für Anrufliste oder Telefonstatus den eingehenden Anruf erkennen und die Nummer abgleichen, ohne dass der Nutzer etwas tun muss. Es gelten die Berechtigungsrichtlinien der Plattform, und viele Apps verzichten darauf, diese Berechtigungen anzufordern. - **Manuell:** Der Nutzer sieht einen verpassten Anruf und tippt die letzten Ziffern in Ihre App ein. Das funktioniert auf jedem Telefon, auch auf iPhones, die Apps keinen Zugriff auf die Anrufliste erlauben. ### Wo liegen die Grenzen von Flash Call? Flash Call ist schnell und hängt nicht von SMS-Routen ab, hat aber echte Einschränkungen: - **Die Haltung der Netzbetreiber ist unterschiedlich.** Manche Netzbetreiber sehen Flash Calls als Möglichkeit, Nutzer zu verifizieren, ohne für A2P-SMS zu zahlen. In einigen Ländern haben sie Flash Calls blockiert, spezielle Terminierungsentgelte eingeführt oder bestimmte Routen vorgeschrieben. Die Richtlinien ändern sich; lassen Sie sich die Unterstützung je Land von Ihrem Anbieter bestätigen und prüfen Sie sie regelmäßig nach. - **Die Anrufer-ID muss unverändert ankommen.** Auf manchen internationalen Routen kann die Anrufer-ID verändert oder ersetzt werden, was den Code unbrauchbar macht. Hochwertige Routen mit zuverlässiger Übermittlung der Anrufer-ID sind Voraussetzung. - **Ohne Erklärung verunsichert es Nutzer.** Ein verpasster Anruf von einer unbekannten internationalen Nummer sieht aus wie die „Wangiri“-Rückrufmasche. Sagen Sie dem Nutzer vor dem Anruf, was ihn erwartet, und fordern Sie ihn nie auf, die Nummer zurückzurufen. - **Es verifiziert den Besitz einer Nummer, nicht die Identität.** Wie jedes Verfahren über das Telefonnetz wird es durch SIM-Swap und Rufumleitung geschwächt. ## Wann ist Voice besser als SMS oder WhatsApp? Voice ist der bessere Kanal, wenn Text den Nutzer nicht erreicht oder er ihn nicht lesen kann. In den meisten anderen Fällen sind WhatsApp oder SMS günstiger und schneller; deshalb steht Voice in einer Fallback-Reihenfolge meist weiter hinten. | Situation | Bester erster Kanal | Warum Voice hilft | |---|---|---| | Nutzer registriert einen Festnetzanschluss (etwa privat oder im Büro) | Voice-OTP | Festnetzanschlüsse können weder SMS noch WhatsApp empfangen; NIST SP 800-63B beschreibt ausdrücklich den Anruf auf einer Festnetzleitung mit Ansage des Codes | | SMS nach kurzem Timeout nicht zugestellt | Voice-OTP als Fallback | Nutzt einen anderen Netzweg als die fehlgeschlagene SMS-Route | | Nutzer mit Sehbehinderung oder geringer Lesekompetenz | Voice als Wahlmöglichkeit anbieten | Gesprochene Ziffern ersparen das Lesen einer Benachrichtigung | | Nutzer im Roaming oder in einem Gebiet mit schwacher SMS-Zustellung | WhatsApp bei verfügbarer Datenverbindung, sonst Voice | Anrufe kommen womöglich durch, wo eine SMS-Route versagt | | Android-App verifiziert die Nummer des eigenen Geräts | Flash Call, wo Netzbetreiber es erlauben | Kein Code zum Eintippen, sofern die Berechtigung für die Anrufliste erteilt ist | | Zahlung mit hohem Betrag oder Kontowiederherstellung | Stärkerer Faktor, nicht Voice | Zustellung über das Telefonnetz ist ein eingeschränkter Authentifikator | ### Barrierefreiheit ist Pflicht, nicht Kür Nutzer mit Sehbehinderung, Legasthenie oder geringer Lesekompetenz kommen mit einem gesprochenen Code womöglich besser zurecht als mit einer Textbenachrichtigung, Nutzer mit Hörverlust dagegen schlechter mit einem Anruf. NIST SP 800-63B weist darauf hin, dass per Sprache übermittelte Codes für Menschen mit Hörproblemen schwer verständlich sein können, und verlangt, dass allen Teilnehmern Alternativen zur Verfügung stehen. Die praktische Antwort ist Wahlfreiheit: Zeigen Sie „Stattdessen anrufen“ und „Per SMS senden“ nebeneinander an und halten Sie das Eingabefeld für den Code im Sinne von WCAG 2.2 mit Screenreadern bedienbar. ### Wo liegen die Sicherheitsgrenzen von Voice-OTP? Voice-OTP und SMS-OTP teilen dieselbe Schwäche: Sie belegen die Kontrolle über eine Telefonnummer, und Nummern können portiert, per SIM-Swap übernommen oder umgeleitet werden. NIST SP 800-63B stuft die Out-of-Band-Authentifizierung über das öffentliche Telefonnetz, per SMS oder Anruf, als „eingeschränkten“ Authentifikator ein. Organisationen, die sie nutzen, müssen das Risiko bewerten, Nutzer aussagekräftig informieren und uneingeschränkte Alternativen anbieten. Das OWASP Multifactor Authentication Cheat Sheet geht weiter und rät für Anwendungen, die sensible personenbezogene Daten verarbeiten oder ein finanzielles Risiko tragen, von SMS und Telefonanrufen ab. Voice hat zudem eine spezifische Schwäche: die **Mailbox**. Wird ein unbeantworteter OTP-Anruf auf die Mailbox umgeleitet, kann der Code in einem Postfach aufgezeichnet werden, das mit einer schwachen oder voreingestellten PIN geschützt ist. Nutzen Sie eine Anrufbeantwortererkennung, um den Anruf ohne Vorlesen des Codes zu beenden, wenn eine Maschine abnimmt, und werten Sie „Mailbox“ als fehlgeschlagene Zustellung, die einen anderen Kanal auslösen kann. ## Wie missbrauchen Angreifer die Sprachverifizierung? Die Sprachverifizierung ist ein Ziel für Traffic Pumping, genauer für International Revenue Share Fraud (IRSF). Ein Angreifer löst Verifizierungsanrufe an Rufnummernbereiche aus, bei denen er selbst oder ein Partner in der Anrufkette einen Anteil an den Terminierungserlösen erhält. Sie bezahlen jeden Anruf. So sieht der Angriff meist aus: - **Anfragewellen** von Skripten an Nummern in Zielländern, aus denen Ihre echten Nutzer selten kommen. - **Fortlaufende oder gemusterte Nummern** innerhalb desselben Bereichs. - **Anrufe, die angenommen und offen gehalten werden**, so lange Ihr Ablauf es erlaubt, denn längere Anrufe bringen mehr ein. - **Anfragen, die nie verifiziert werden.** Der Angreifer hat kein Interesse am Code. Die ITU-T-Empfehlung E.156 legt fest, wie die ITU mit gemeldetem Missbrauch internationaler Nummernressourcen umgeht; das Problem ist also auf Standardebene anerkannt. Ihr Budget schützt das allerdings nicht, das tun nur Ihre eigenen Kontrollen. Für SMS gelten dieselben Muster, wie unser [Leitfaden zu SMS-Pumping](/de/blog/sms-pumping-fraud-prevention/) beschreibt. ### Checkliste zur Betrugsabwehr bei Voice-OTP 1. **Zielländer per Allowlist freigeben.** Aktivieren Sie die Sprachverifizierung nur für Länder, in denen Sie echte Nutzer haben, und prüfen Sie die Liste quartalsweise. 2. **Premium- und Hochrisikobereiche sperren.** Fragen Sie Ihren Anbieter, welche Nummernbereiche standardmäßig gesperrt sind, und ergänzen Sie eigene. 3. **Gesprächsdauer begrenzen.** Ein Voice-OTP-Anruf braucht deutlich weniger als eine Minute. Legen Sie auf, nachdem der Code wiederholt wurde, und setzen Sie ein hartes Maximum. 4. **Rate Limits in mehreren Dimensionen:** pro Telefonnummer, pro Gerät, pro IP-Adresse, pro Konto und pro Zielland, dazu eine globale Ausgabenobergrenze, die Voice bei Überschreitung pausiert. 5. **Einen vorherigen fehlgeschlagenen Schritt voraussetzen.** Bieten Sie Voice in einem Fallback-Ablauf nur an, nachdem SMS oder WhatsApp für dieselbe Session versucht wurde; das erhöht die Kosten für den Angreifer. 6. **Die Anfrage absichern.** Nutzen Sie Bot-Erkennung oder eine Challenge, bevor überhaupt eine Verifizierung versendet wird, nicht erst vor Voice. 7. **Die Konversionsrate beobachten.** Verifizierte Sessions geteilt durch getätigte Anrufe, je Land. Eine sinkende Quote in einem Land ist das früheste Signal für Pumping. 8. **Bei Wiederholungen NIST folgen.** NIST SP 800-63B verlangt eine Begrenzung fehlgeschlagener Versuche und legt fest, dass das Erzeugen eines neuen Codes den Zähler fehlgeschlagener Versuche nicht zurücksetzen darf. Wenden Sie denselben Gedanken auf erneute Sendungen an: Ein neuer Anruf ist kein Neuanfang. ## Wie gestalten Sie eine Fallback-Kaskade aus WhatsApp, SMS und Voice? Eine Fallback-Kaskade versucht zuerst den günstigsten geeigneten Kanal und geht erst weiter, wenn belegt ist, dass der vorherige Versuch gescheitert ist. Für viele Consumer-Apps in den Golfstaaten und anderen Märkten mit starker WhatsApp-Nutzung ist WhatsApp, dann SMS, dann Voice eine praxistaugliche Reihenfolge. | Stufe | Kanal | Weiter, wenn | Hinweise | |---|---|---|---| | 1 | WhatsApp-Authentifizierungsvorlage | Kein Zustellstatus innerhalb eines kurzen Timeouts oder die Nummer ist nicht bei WhatsApp | Copy-Code, One-Tap oder Zero-Tap; siehe unseren [Leitfaden zu OTP-Nachrichten](/de/blog/otp-authentication-messages-guide/) | | 2 | SMS von einer registrierten Absenderkennung (Sender-ID) | Kein Zustellbericht innerhalb eines kurzen Timeouts oder der Nutzer tippt auf „Nicht erhalten?“ | Universelle Reichweite bei Mobilnummern | | 3 | Voice-OTP-Anruf | SMS fehlgeschlagen oder der Nutzer wählt „Anrufen“ | Auch erste Wahl bei Festnetzanschlüssen | | Stopp | Ein anderes Verfahren anbieten | Anruf nicht angenommen oder Verifizierung weiterhin nicht abgeschlossen | Supportkontakt, E-Mail oder ein stärkerer Faktor | ### Schritte zum Aufbau der Kaskade 1. **Klassifizieren Sie zuerst die Nummer.** Zeigen eine Nummernabfrage oder Ihre eigenen Daten, dass es sich um einen Festnetzanschluss handelt, springen Sie direkt zu Voice. Unser [Leitfaden zum HLR-Lookup](/de/blog/hlr-lookup-number-validation/) erklärt, was solche Abfragen verraten. 2. **Verwenden Sie einen Code pro Session oder rotieren Sie bewusst.** Nutzen Sie denselben Code innerhalb seines Gültigkeitsfensters über alle Kanäle, oder machen Sie den alten Code ungültig, wenn ein neuer gesendet wird. Lassen Sie nie mehrere gültige Codes gleichzeitig aktiv. 3. **Lösen Sie über Signale aus, nicht nur über Timer.** Zustellstatus, Antworten wie „nicht bei WhatsApp“ und Nutzeraktionen sind bessere Auslöser als eine feste Wartezeit. Behalten Sie einen kurzen Timeout als Absicherung. 4. **Lassen Sie den Nutzer vorspringen.** Zeigen Sie nach einem kurzen Countdown „Per SMS senden“ und „Stattdessen anrufen“ an. Nutzer merken selbst, wenn ihre Nachrichten nicht ankommen. 5. **Begrenzen Sie die Zahl der Stufen.** Drei Kanäle mit je einem Versuch reichen in der Regel. Weitere Wiederholungen nützen vor allem Angreifern. 6. **Protokollieren Sie jeden Versuch** mit Kanal, Status, Kosten und Ergebnis, damit Sie die Abschlussrate nach Land und Kanal vergleichen können. 7. **Halten Sie das Gültigkeitsfenster ehrlich.** NIST SP 800-63B verlangt, dass eine Out-of-Band-Authentifizierung innerhalb von 10 Minuten abgeschlossen wird. Viele Teams wählen für Logins und Zahlungen ein kürzeres Fenster. ## Was sollten Bildschirm und Anruf sagen? Gute UX-Texte bereiten den Nutzer auf das Kommende vor. Das ist bei Voice und Flash Call am wichtigsten, denn ein unerwarteter Anruf wirkt verdächtig. **Vor einem Voice-OTP-Anruf (Bildschirm):** „Wir rufen jetzt +971 5X XXX XX12 an und lesen Ihnen Ihren 6-stelligen Code vor. Halten Sie etwas zum Schreiben bereit.“ **Während des Anrufs (gesprochen):** „Hier ist Hala Pay. Ihr Bestätigungscode lautet: 4, 7, 1, 9, 0, 2. Noch einmal: 4, 7, 1, 9, 0, 2. Hala Pay wird Sie niemals bitten, diesen Code weiterzugeben. Drücken Sie die 1 für eine Wiederholung.“ **Vor einem Flash Call (Bildschirm):** „Sie erhalten gleich einen kurzen verpassten Anruf. Geben Sie die letzten 4 Ziffern der anrufenden Nummer ein. Sie müssen weder abnehmen noch zurückrufen.“ Regeln für Texte, die in allen Sprachen gelten: - **Zeigen Sie die maskierte Nummer** an, die Sie anrufen, damit Nutzer einen Tippfehler bemerken. - **Nennen Sie die Marke zuerst** im gesprochenen Text. - **Fügen Sie einen Hinweis zur Geheimhaltung ein**, in der Sprache des Nutzers. - **Sagen Sie, was nicht zu tun ist**: nicht abnehmen (Flash Call), nicht zurückrufen, nichts drücken außer zur Wiederholung. - **Übersetzen Sie muttersprachlich**, nicht Wort für Wort, und nehmen Sie die arabische Version mit Muttersprachlern auf oder testen Sie sie mit ihnen. ## Was kostet die Sprachverifizierung? Voice und Messaging folgen unterschiedlichen Preismodellen; vergleichen Sie daher die Kosten pro abgeschlossener Verifizierung statt pro Versuch. | Verfahren | Übliche Abrechnungsgrundlage | Was die Kosten treibt | |---|---|---| | WhatsApp-Authentifizierungsvorlage | Pro zugestellter Nachricht, nach Empfängermarkt | Metas Authentifizierungstarif für den Markt plus Anbietergebühren | | SMS-OTP | Pro Nachricht (pro Segment) | Zielland, Netzbetreiber, Route und Nachrichtenlänge | | Voice-OTP | Nach Gesprächsdauer, oft pro Minute oder in festen Takten | Zielland, Mobil- oder Festnetz, Gesprächslänge, minimaler Abrechnungstakt | | Flash Call | Pro Anrufversuch | Zielland und ob Netzbetreiber Sonderentgelte erheben | Daraus ergeben sich drei praktische Punkte. Halten Sie Voice-Anrufe kurz, denn die Dauer treibt die Kosten. Nutzen Sie Voice als Fallback, damit Sie Voice-Tarife nur dort zahlen, wo günstigere Kanäle versagt haben. Und messen Sie die Kosten pro verifiziertem Nutzer je Land, denn ein günstiger Kanal, der nicht zustellt, wird durch verlorene Registrierungen teuer. Unverbindliche Listenpreise für alle Kanäle liefert unser [Kostenrechner](/de/pricing/estimator/); die endgültigen Kosten bestätigt das Angebot. ## Praxisbeispiel: eine Payment-App aus Riad „Hala Pay“ (fiktiv), eine Payment-App mit Nutzern in Saudi-Arabien, den VAE und Ägypten, stellt fest, dass Registrierungen bei der Telefonverifizierung hängen bleiben, wenn Nutzer kein WhatsApp haben oder sich in Gebieten mit langsamer SMS-Zustellung befinden. - **Kaskade:** zuerst WhatsApp mit Copy-Code; SMS von einer registrierten Absenderkennung, wenn WhatsApp nicht innerhalb eines kurzen Timeouts zugestellt wird; ein Voice-OTP-Anruf, wenn die SMS nicht zugestellt wird oder der Nutzer auf „Anrufen“ tippt. - **Sprache:** Die Sprache des Anrufs folgt der Spracheinstellung der App. Arabische Anrufe nutzen eine arabische TTS-Stimme, die einzelne Ziffern vorliest; Englisch wird per Tastendruck angeboten. - **Betrugsabwehr:** Voice ist nur für die drei Märkte aktiviert, Premiumbereiche sind gesperrt, Anrufe enden nach zwei Ansagen und einer optionalen Wiederholung, und eine tägliche Ausgabenobergrenze für Voice pausiert die Stufe und alarmiert das Fraud-Team. - **Mailbox:** Eine Anrufbeantwortererkennung beendet Anrufe ohne Ansage des Codes, wenn eine Mailbox abnimmt. - **Risikoreiche Aktionen:** Das Hinzufügen eines neuen Zahlungsempfängers erfordert eine In-App-Bestätigung auf dem registrierten Gerät statt eines Codes über das Telefonnetz. - **Auswertung:** Jede Woche vergleicht das Team verifizierte Registrierungen pro Versuch und Kosten pro verifiziertem Nutzer nach Land und Kanal und passt die Timeouts an. ## Welche Fehler passieren häufig bei Voice-OTP und Flash Call? - **Den Code als ganze Zahl vorlesen** statt Ziffer für Ziffer. - **Lange Begrüßungen**, die den Code verzögern und abrechenbare Sekunden hinzufügen. - **Codes auf der Mailbox hinterlassen**, weil keine Anrufbeantwortererkennung genutzt wurde. - **Voice für jedes Land aktivieren** und IRSF erst auf der Rechnung entdecken. - **Unbegrenzte erneute Sendungen** oder das Zurücksetzen der Versuchszähler bei jedem neuen Code. - **Ohne Vorwarnung anrufen**, sodass der Nutzer eine unbekannte Nummer ignoriert. - **Annehmen, dass Flash Call überall funktioniert**, ohne die Unterstützung der Netzbetreiber zu bestätigen. - **Voice-OTP als starke Authentifizierung behandeln** für Zahlungen oder Kontowiederherstellung. - **Festnetzanschlüsse ignorieren**, sodass Nutzer, die einen registrieren, sich nie verifizieren können. - **Grenzen:** Richtlinien der Netzbetreiber, Regeln zur Anrufer-ID und Vorgaben der Regulierungsbehörden unterscheiden sich je Land und ändern sich. Dieser Leitfaden beschreibt die Praxis und ist keine Rechtsberatung; klären Sie den aktuellen Stand mit Ihrem Anbieter und der zuständigen Regulierungsbehörde, bevor Sie in einem neuen Markt starten. ## So unterstützt OmniChannels.ai OmniChannels.ai kombiniert [Voice](/de/channels/voice/) mit WhatsApp-Authentifizierungsvorlagen und SMS für [OTP und Benachrichtigungen](/de/solutions/otp-notifications/). Voice umfasst Voice-OTP, Flash Call, SMS-zu-Voice-Fallback und Text-to-Speech einschließlich Arabisch und wird von unserem Account-Team für Ihre Nummern, Länder und Anrufabläufe bereitgestellt, nicht über öffentliche REST-Endpunkte. Der Channel-Fallback wird je Anwendungsfall konfiguriert, und Zustellstatus werden in einem einheitlichen Webhook-Format normalisiert. Voice wird mit BroadNet Technologies bereitgestellt, deren Callcenter-Software [DialerBee](https://dialerbee.com) zudem eine Anrufbeantwortererkennung bietet. Wie Voice bereitgestellt wird, zeigt unser [Voice-Entwicklerleitfaden](/developers/voice/).