Ansichten: 6
Zusammenfassung – Zwischen explodierenden Telekomkosten und dem Risiko verschlechterter Nutzererfahrung erfordert die Abwehr von SMS-Pumping eine Kombination aus Früherkennung, Tiefenverteidigung und alternativen Authentifizierungsoptionen. Es gilt, in Echtzeit Schwellenwerte für Volumen und Kosten zu setzen, adaptive Kontrollen (Geoblocking, Velocity-Limits, leichtes CAPTCHA) sowie operative Dashboards mit Runbooks bereitzustellen, um binnen Minuten zu reagieren. OTP sollten diversifiziert werden (E-Mail, TOTP, Magic Links, FIDO2) und die vertragliche Governance (Preisdeckel, MCC-Blockierung) gestärkt werden, um das Risiko kontinuierlich zu steuern, ohne die Conversion zu beeinträchtigen.
Lösung: einen Drei-Phasen-Ansatz (Erkennen, Blockieren, Ersetzen) mit Observability und optimierten Verträgen umsetzen.
SMS-Pumping-Angriffe nutzen die Versandmechanismen von Einmalpasswörtern, um über Provisionsbeteiligungen mit Netzbetreibern unrechtmäßige Einnahmen zu erzielen und gleichzeitig die Telekomkosten in die Höhe zu treiben. Die Herausforderung für Produkt-, Sicherheits- und Growth-Teams besteht darin, Budgetschutz und Nutzererlebnis in Einklang zu bringen.
In diesem Artikel erläutern wir einen dreistufigen Ansatz – erkennen, blockieren, ersetzen –, mit dem sich 80 bis 95 % der betrugsbedingten Kosten für Einmalpasswörter reduzieren lassen, ohne die Conversion zu beeinträchtigen. Wir beginnen mit der Identifizierung schwacher Signale und der Definition von Alarmgrenzen, widmen uns dann mehrschichtigen Abwehrmechanismen, Observability und Interventionsplänen und schließen mit Authentifizierungsalternativen und vertraglicher Governance ab.
Angriff erkennen und Alarmgrenzen setzen
Das Geschäftsmodell hinter SMS-Pumping zu verstehen ist essenziell, um legitime Nutzung von massiver Betrugsaktivität zu unterscheiden. Echtzeit-Alerts zu Kosten und Volumen ermöglichen Gegenmaßnahmen, bevor das Budget aufgebraucht ist.
SMS-Pumping basiert auf einer Umsatzbeteiligung („Rev-Share“) zwischen dem Aggregator und den Mobilfunknetzbetreibern für jedes versendete Einmalpasswort. Betrüger nutzen dabei wenig überwachte SMS-Routen, vervielfachen die Anfragen und kassieren sowohl für den Versand als auch für die Antwort Provisionen, wobei sie mitunter Tausende SMS pro Minute generieren.
Um solchen Missbrauch zu erkennen, sollten die Versand- und Erfolgsvolumina von Einmalpasswörtern nach Land, ASN und Route überwacht werden. Ein plötzlicher Anstieg der Versendungen aus einer ungewöhnlichen Region oder eine anormale Erhöhung der Fehlerrate deutet häufig auf automatisierte Pumping-Versuche hin.
Ein Finanzdienstleister stellte jüngst fest, dass bei einem seiner zugelassenen Anbieter die Zahl der Einmalpasswort-Sendungen in weniger als zehn Minuten in Richtung Westafrika um das Doppelte gestiegen war. Die Analyse zeigte, dass nach Regions-/Zielgruppenkonfiguration ausgelöste Volumen- und Kostenalarme die Transaktionen stoppten, bevor das Budget ausgeschöpft war – und das ganz ohne Auswirkungen auf reguläre Kunden.
Tiefe Verteidigung und Wahrung der UX
Leichte, adaptive Kontrollen gestapelt begrenzen Betrug und erhalten gleichzeitig einen reibungslosen Ablauf für legitime Nutzer. Jede Barriere muss nach Risikoprofil kalibriert und per A/B-Tests gemessen werden.
Selektives Geo-Blocking auf Basis von Allowlist und Denylist nach Ländern ist eine erste Schutzebene. Einmalpasswort-Sendungen können auf die geografischen Regionen beschränkt werden, in denen das normale Geschäft des Unternehmens stattfindet, während verdächtige Versuche auf strengere Mechanismen umgeleitet werden.
Geschwindigkeitsbegrenzungen pro IP-Adresse, Gerät oder Account sind essenziell, um massenhafte Skriptangriffe zu verhindern. Die Integration eines adaptiven CAPTCHA, etwa reCAPTCHA v3, das sich am Risikoscore orientiert, sowie eines leichten Proof-of-Work (kleine kryptografische Rechenaufgabe) stärken die Abwehr, ohne systematisch Reibungspunkte zu erzeugen.
Schließlich gehören ein Kontingent für Einmalpasswörter pro gleitendem Zeitfenster und die Validierung der Telefonnummernformate zur ergänzenden Schutzschicht. Eingebaute Schutzlösungen bei den Providern, wie Verify Fraud Guard, und automatische Abschaltmechanismen (Circuit Breaker) pro Destination erhöhen die Resilienz zusätzlich.
Ein E-Commerce-Anbieter implementierte eine mehrschichtige Strategie mit wöchentlichen Kontingenten, Formatprüfung und adaptiven CAPTCHA. Die Betrugsfälle gingen um 90 % zurück, während die Conversion-Rate stabil blieb – ein Beleg für die Wirksamkeit der gestuften Abwehr.
Edana: Strategischer Digitalpartner in der Schweiz
Wir begleiten Unternehmen und Organisationen bei ihrer digitalen Transformation.
Erhöhte Observability und operative Verfahren
Dashboard-Lösungen, die sich auf zentrale KPIs konzentrieren, ermöglichen Echtzeit-Einblicke in Kosten und Performance von Einmalpasswörtern. Granulare Protokollierung und Incident-Runbooks sichern eine schnelle Reaktion auf Abweichungen.
Es ist entscheidend, Dashboards zu etablieren, die Kosten pro Registrierung, Erfolgsraten und Anzahl der Einmalpasswort-Anfragen anzeigen. Diese Kennzahlen, unterteilt nach Land, Netzbetreiber und Route, bieten unmittelbare Transparenz über die Ausgabenverteilung und das Aufspüren anomaler Muster.
Detailliertes Logging, das automatisch MCC/MNC (Ländercode und Netzkennung), Geräte-Fingerabdruck und Nutzerprofil erfasst, erleichtert die Korrelation von Ereignissen. In Kombination mit Anomalie-Erkennungswerkzeugen löst diese Protokollierung Alarme aus, sobald vordefinierte Schwellen überschritten werden.
Incident-Runbooks definieren klare Abläufe: die Anomalie mithilfe zielgerichteter Blockaden eindämmen, verstärkte Schutzmaßnahmen aktivieren, Logs analysieren und einen strukturierten Post-Mortem-Prozess durchführen. Jeder Schritt enthält benannte Verantwortliche und eine vorgegebene Zeitspanne zur Gewährleistung der operativen Schlagkraft.
Ein Gesundheitsdienstleister erlebte einen Pumping-Peak auf seinem Patientenportal. Dank Echtzeit-Dashboards und eines bereits validierten Runbooks isolierte das Team die betrügerische Route in weniger als fünfzehn Minuten und setzte gezielte Blockierregeln um – ohne merkliche Unterbrechung des Dienstes.
Authentifizierung stärken und Governance etablieren
Die Diversifizierung der Authentifizierungsverfahren nach Risikoniveau verringert die Abhängigkeit von SMS und minimiert das Risiko von Pumping. Ein klarer Vertragsrahmen mit den Aggregatoren sichert fixe Tarife und Alarmschwellen.
Einmalpasswörter per E-Mail, TOTP-Codes über dedizierte Apps und Magic Links bieten weniger exponierte Alternativen. Für Nutzer mit hohem Risiko können FIDO2-Schlüssel oder WebAuthn/Passkeys vorgeschlagen werden, während Standardfälle von einem vereinfachten Fallback-Prozess profitieren.
Es empfiehlt sich, für jede neue Option A/B-Tests durchzuführen, um Auswirkungen auf Conversion und Betrug zu messen. Dieser empirische Ansatz erlaubt es, den Mix der Authentifizierungsverfahren anzupassen und das Sicherheits-Conversion-Verhältnis zu optimieren.
Auf Governance-Seite sollten SMS-Aggregator-Verträge Preisdeckel, Versandlimits nach MCC/MNC und automatische Blockadeoptionen enthalten. Eine dokumentierte Anti-Fraud-Policy sowie Schulungen für Support- und Vertriebsteams gewährleisten ein einheitliches Verständnis der Abläufe und eine konsistente Umsetzung der Regeln.
Ein mittelständisches B2B-Unternehmen verhandelte seine SMS-Provider-Verträge neu und sicherte sich eine MCC-Blockade sowie Budgetalarme. Diese Governance-Maßnahmen führten zu einer Reduktion von zwei Dritteln der betrügerischen Anfragen, indem Routen automatisch angepasst wurden – ganz ohne manuellen Eingriff.
Setzen Sie auf eine dreistufige Strategie gegen SMS-Pumping
Durch die Kombination von Früherkennung schwacher Signale, tiefer Verteidigung unter Wahrung der UX und kontextuell angepassten Authentifizierungsalternativen lassen sich die SMS-Pumping-Kosten deutlich senken. Feingliedrige Observability und klare Runbooks sorgen für eine schnelle Incident-Response, während eine stringente Vertragsgovernance die dauerhafte Kontrolle sicherstellt.
Unsere Open-Source- und modulare Expertise steht Ihnen zur Verfügung, um diese Checkliste auf Ihren fachlichen Kontext zuzuschneiden, gemeinsam einen 30/60/90-Tage-Plan zu erstellen und Ihre Einmalpasswort-Prozesse ohne Kompromisse bei der Conversion abzusichern.
Besprechen Sie Ihre Herausforderungen mit einem Edana-Experten
