OTP-SMS: Zustellung und Betrug
Wo Einmalpasswörter abfließen, was eine Zustellbestätigung aussagen kann und was nicht, und welche Kontrollen und Kennzahlen einen OTP-Ablauf funktionsfähig halten.
Ein Einmalpasswort belegt die Kontrolle über eine Nummer in dem Moment, in dem es eingegeben wird. Es belegt keine Identität, und eine Zustellbestätigung belegt nicht, dass eine Person es gelesen hat. Zustellung, Abfangen, Nummernwiederverwendung und das Formular selbst entscheiden, ob die Prüfung trägt.
Eckdaten
- Ein OTP belegt die Kontrolle über eine Nummer in diesem Moment, nicht die Identität.
- Eine Zustellbestätigung meldet einen Netzstatus, nicht, dass eine Person den Code gelesen hat.
- Nummernwiederverwendung, SIM-Swap, Weiterleitung und Phishing sind die wichtigsten Wege, auf denen ein Code abfließt.
- Ratenbegrenzungen, Absenderregistrierung und Nummernprüfungen verringern Missbrauch; keine davon belegt die Identität.
Auf dieser Seite
Was ein OTP belegt
Ein OTP beantwortet eine einzige Frage: Kann die Person vor Ihnen jetzt gerade eine Nachricht unter dieser Nummer empfangen? Das ist für Kontowiederherstellung und Anmeldung nützlich, weil es die Sitzung an etwas bindet, das der Nutzer kontrolliert. Ein Identitätsnachweis ist es nicht. Die Nummer kann wiederverwendet, auf eine neue SIM übertragen, weitergeleitet oder von jemand anderem im Haushalt gelesen werden.
Die Unterscheidung ist schon in der Entwurfsphase wichtig. Hat die Aktion geringen Wert, ist ein OTP angemessen. Bewegt die Aktion Geld, ändert sie ein Passwort oder fügt sie einen Zahlungsempfänger hinzu, kombinieren Sie den Code mit einer zweiten Prüfung: einer Wartezeit, einer Bestätigung in einer bestehenden Sitzung, einem Rückruf über einen bekannten Kanal oder einer manuellen Prüfung. Der Code ist ein Faktor, nicht die ganze Entscheidung.
Der Pfad und die Stellen, an denen ein Code abfließen kann
- Anwendung
- SMPP-Gateway
- SMSC
- HLR / HSS
- MSC / MME
- Endgerät
- Zustellbestätigung
Textbeschreibung
Die Anwendung übergibt den Code an ein Gateway, die Nachrichtenzentrale ermittelt den Teilnehmer, und die versorgende Vermittlungsstelle stellt an das Endgerät zu. Eine Bestätigung kehrt über dieselbe Kette zurück. Ein Code kann bei der Anwendung, am Endgerät, über die Nummer selbst oder über die Person, die ihn empfängt, abfließen. Der Netzpfad erklärt die Zustellung; er erklärt nicht den Menschen, der den Code weitergibt.
Wo ein OTP abfließt
Ein SIM-Swap überträgt die Nummer auf eine neue Karte. Der Angreifer überzeugt ein Geschäft oder eine Support-Hotline, dass er der Inhaber ist, und der nächste Code geht an die neue SIM. Nummernwiederverwendung hat dieselbe Wirkung ohne Angreifer: Ein Netzbetreiber vergibt eine ruhende Nummer neu, und der neue Inhaber erhält einen Code, der für das alte Konto bestimmt war. Beides sind Gründe zu prüfen, ob eine Nummer kürzlich portiert oder neu vergeben wurde.
Weiterleitung und Voicemail-zu-Text senden die Nachricht in einen anderen Posteingang. Phishing kopiert das Formular und sammelt den Code direkt ein, sodass das Netz nie einen Angriff sieht. Abfangen auf dem Netzpfad ist seltener und liegt außerhalb der Kontrolle der Anwendung; die praktische Antwort ist ein zweiter Faktor, kein längerer Code. Die Definitionen finden Sie im Glossareintrag zu OTP.
Kontrollen, die helfen
Begrenzen Sie, wie oft eine Nummer, eine IP-Adresse und ein Gerät einen Code anfordern können. Verwenden Sie eine kurze Gültigkeit, eine einmalige Verwendung je Code, und binden Sie den Code an die Sitzung, die ihn angefordert hat. Registrieren Sie den Absender und halten Sie den Inhalt schlicht: Ein Code, der nach Werbung aussieht, kann gefiltert werden, und ein gefilterter Code erzeugt ein Support-Ticket, keine Anmeldung.
Prüfen Sie die Nummer, bevor Sie ihr vertrauen. Eine Nummer, die keine SMS empfangen kann, kürzlich portiert wurde oder eine Vorgeschichte von Zurücksetzungen hat, verdient einen zweiten Schritt. Verlangen Sie für Aktionen mit hohem Wert eine bestehende Sitzung oder einen zweiten Kanal. Protokollieren Sie Anforderung, Übergabe, Bestätigung und Code-Eingabe als getrennte Ereignisse, damit Sie ein Zustellproblem von einem Nutzerproblem unterscheiden können.
Gestalten Sie den Code selbst mit derselben Sorgfalt. Erzeugen Sie ihn aus einer kryptografischen Quelle, speichern Sie einen Hash, lassen Sie ihn innerhalb von Minuten ablaufen, erlauben Sie eine erfolgreiche Verwendung und begrenzen Sie die Versuche je Code und je Sitzung. Geben Sie nicht preis, ob die Nummer existiert. Legen Sie den Kontodatensatz vor dem Versand an, damit ein erneuter Versuch kein Konto eröffnen kann, das nie abgeschlossen wird.
Fünf Kennzahlen mit Definitionen
| Kennzahl | Definition | Was sie Ihnen sagt |
|---|---|---|
| Zustellrate | Zustellbestätigungen geteilt durch übergebene Nachrichten | Ob das Netz die Nachricht angenommen hat; nicht, ob eine Person sie gelesen hat |
| Abschlussrate | Eingegebene Codes geteilt durch zugestellte Nachrichten | Ob Nachricht und Formular für den Nutzer funktioniert haben |
| Zustelldauer | Median und 95. Perzentil von der Übergabe bis zur Bestätigung | Ob die Route langsam ist und wie lange ein Nutzer wartet, bevor er erneut sendet |
| Wiederholungsrate | Erneute Sendungen geteilt durch zugestellte Nachrichten | Ob Nutzer zu lange warten, sich vertippen oder die erste Nachricht nie sehen |
| Sperrrate | Von Risikoregeln abgelehnte Anforderungen geteilt durch Versuche | Ob die Regeln zu streng oder zu locker sind oder der Verkehr missbräuchlich ist |
Verfolgen Sie sie nach Markt, Absender und Route. Ein einziger globaler Durchschnitt verdeckt die Route, die versagt.
Den Ablauf messen, nicht den Versand
Ein Versand, der eine Message-ID zurückgibt, ist kein zugestellter Code. Ein zugestellter Code ist keine abgeschlossene Anmeldung. Bauen Sie den Trichter aus den Ereignissen auf, die Sie kontrollieren: Übergabe, Bestätigung, Code-Eingabe, Erfolg. Vergleichen Sie ihn dann mit der Sicht des Anbieters. Eine Lücke zwischen Ihrer Zustellrate und der des Anbieters kann eine Bestätigung sein, die Ihren Handler nie erreicht hat, und nicht eine Nachricht, die das Endgerät nie erreicht hat.
Überprüfen Sie den Ablauf, wenn sich eine Kennzahl bewegt. Sinkt die Abschlussrate bei stabiler Zustellrate, deutet das auf das Formular, den Ablauf des Codes oder den Absender. Sinkt die Zustellrate bei stabiler Übergaberate, deutet das auf die Route, die Nummer oder den Inhaltsfilter. Steigen die erneuten Sendungen, deutet das auf die Zustelldauer. Beheben Sie den Schritt, den die Daten benennen, nicht den Schritt, der sich am leichtesten ändern lässt.
Legen Sie einen Überprüfungstermin für den gesamten Ablauf fest. Nummern wechseln den Inhaber, Routen ändern sich und Vorlagen veralten. Ein Ablauf, der zum Start funktioniert hat, kann sechs Monate später unbemerkt versagen – mit demselben Code und demselben Anbieter.
Prüfen Sie Ihr Wissen
-
Ein Nutzer leitet den Code an einen Freund weiter. Belegt der Code noch die Identität?
Nein. Er belegt, dass die Nummer den Code in diesem Moment empfangen konnte. Jeder, der den Code hat, kann ihn verwenden.
-
Eine Bestätigung meldet „zugestellt“, aber der Nutzer sieht den Code nie. Was prüfen Sie?
Den Zustand des Endgeräts, die Messaging-App und den Spamfilter, den Absender und die Route. Eine Zustellbestätigung gibt den Zustand im Netz wieder, nicht die Anzeige auf dem Endgerät.
-
Warum ist die Abschlussrate aussagekräftiger als die Zustellrate?
Die Zustellung endet am Netz. Der Abschluss umfasst den Nutzer, den Ablauf des Codes und das Formular – dort zeigen sich die meisten Fehler.
Antworten werden auf Wunsch angezeigt. Nichts wird bewertet, gespeichert oder gesendet.
FAQ
Ist ein OTP dasselbe wie eine Zwei-Faktor-Authentifizierung?
Sind längere Codes sicherer?
Kann eine Zustellbestätigung belegen, dass der Nutzer den Code gelesen hat?
Sollten wir automatisch erneut senden?
Was sollten wir protokollieren?
Die Bestätigungen melden „zugestellt“, aber die Nutzer erhalten nichts. Was sollten wir prüfen, bevor wir den Anbieter wechseln?
Begriffe, die Ihnen begegnen
Verwandte Inhalte
- Anbindung über SMPP und HTTP
Bringen Sie eine Testroute in die Produktion, ohne Binds, Fenster oder Zustellberichte zu stören: Bind, Durchsatz, Keep-Alive, Kodierung, Callbacks und Fehlerbehandlung.
- Vorlagenpaket für RFQ und RFP
Feldlisten für Anfragen zu SMS-Großhandel, eSIM und Daten, IoT und China-Konnektivität sowie die Online-Checkliste, die als Angebotsanfrage gesendet wird.
- Musterbericht zum Routentest
Ein anonymisiertes, statisches Muster eines Routentestberichts: was ein Routentest prüft, wie Fehler zu lesen sind und was eine Routenprüfung auslöst.
Verwandte Produkte
In die Praxis umsetzen
Nennen Sie uns den Verkehr, das Ziel und die benötigte Messung; wir antworten mit dem nächsten Schritt.