So funktioniert SMS-Verifizierung

Schritt für Schritt: Was passiert, wenn Sie auf „Code senden“ tippen

1. 01Die App prüft Format und Land der Nummer und führt oft eine Abfrage zu Leitungstyp und Reputation durch.
2. 02Ihr Server erzeugt ein zufälliges Einmalpasswort (OTP), meist 4 bis 8 Ziffern, und speichert es — oder einen Hash davon — mit einer Ablaufzeit.
3. 03Der Server übergibt die Nachricht an einen SMS-Dienstleister, der sie über die Netze der Betreiber zum aktuellen Netzbetreiber der Nummer leitet.
4. 04Der Netzbetreiber stellt die SMS an das Handy oder den Anschluss zu, der zur Nummer gehört.
5. 05Sie tippen den Code in die App, die ihn mit dem gespeicherten Wert vergleicht und prüft, ob er abgelaufen oder schon verwendet ist.
6. 06Stimmt er, gilt die Nummer als verifiziert und wird mit Ihrem Konto verknüpft.

A2P-SMS, Absenderkennungen und Kurzwahlnummern

Bestätigungs-SMS sind A2P-Nachrichten (Application-to-Person), also von Software statt von einem Menschen verschickt. Sie laufen über Routen, die Netzbetreiber anders behandeln als normale SMS zwischen Personen — oft mit Registrierungspflichten und Spamfiltern.

Was im Absenderfeld steht, hängt vom Land ab. Das kann eine alphanumerische Absenderkennung mit bis zu 11 Zeichen sein, etwa der Markenname; eine fünf- oder sechsstellige Kurzwahlnummer; eine gebührenfreie Nummer; oder eine ganz normale Rufnummer. In den USA etwa müssen Unternehmen, die von gewöhnlichen 10-stelligen Nummern SMS verschicken, diese für den Anwendungsversand registrieren — nicht registrierter Verkehr wird zunehmend gefiltert.

Alphanumerische Absenderkennung

Markenname mit bis zu 11 Zeichen; außerhalb Nordamerikas verbreitet

Kurzwahlnummer

5- bis 6-stellige Nummer für Massenversand

Lange Rufnummer

Eine normale Telefonnummer als Absender

OTP-Länge

Meist 4–8 Ziffern

Übliche OTP-Gültigkeit

Einige Minuten, häufig 5–10

Ablauf von Codes, neue Versuche und Sprachanruf

Codes sind bewusst kurzlebig. Ein Code, der nach Minuten abläuft und nur einmal nutzbar ist, lässt sich kaum wiederverwenden, selbst wenn ihn jemand später sieht. Die meisten Apps begrenzen außerdem die Zahl der Fehlversuche und wie oft Sie einen neuen Code anfordern dürfen — deshalb kann hektisches Nachfordern Sie stundenlang aussperren.

Kommt die SMS nicht an, bieten viele Apps stattdessen einen Sprachanruf an: Ein automatisches System ruft die Nummer an und liest den Code vor. Da ein Anruf einen anderen Weg nimmt als eine A2P-Nachricht, klappt er oft, wenn SMS-Filter oder Zustellverzögerungen das Problem sind.

Warum Apps Ihre Telefonnummer wollen

• Schutz vor Missbrauch: Eine Telefonnummer ist schwerer massenhaft zu beschaffen als eine E-Mail-Adresse, das verteuert Spam und Fake-Konten.
• Ein Konto pro Person: Messenger und Marktplätze nutzen die Nummer als eindeutige Identität.
• Kontowiederherstellung: Wenn Sie Ihr Passwort vergessen, beweist ein Code an Ihre Nummer, dass Sie es sind.
• Sicherheitswarnungen und Zwei-Faktor-Authentifizierung bei neuen Logins und sensiblen Änderungen.
• Kontaktsuche in Messengern, bei der Freunde Sie über Ihre Nummer finden.

Wie Apps prüfen, welche Art Nummer Sie eingegeben haben

Bevor sie Geld für eine SMS ausgeben, schlagen viele Apps die Nummer nach. Leitungstyp-Datenbanken melden, ob eine Nummer Mobil, Festnetz oder VoIP ist, welcher Netzbetreiber sie aktuell versorgt (unter Berücksichtigung der Rufnummernmitnahme) und manchmal Risikosignale, etwa wie oft sie bei Registrierungen aufgetaucht ist.

Die Regeln unterscheiden sich. Manche Apps akzeptieren jede gültige Nummer; viele sperren VoIP- und Festnetznummern für die Verifizierung; manche beschränken auch, aus welchen Ländern man sich registrieren kann. Deshalb kann dieselbe Code-Anfrage bei einer Nummer klappen und bei einer anderen stillschweigend scheitern. Eine echte Mobilnummer im offiziellen Mobilfunkformat des Landes besteht die Leitungstyp-Prüfung, die die meisten Apps anwenden.

Wie sicher ist die SMS-Verifizierung?

SMS-Codes belegen gut, dass Sie eine Nummer kontrollieren, und stoppen massenhaften Missbrauch. Als zweiter Faktor für wertvolle Konten haben sie bekannte Schwächen.

• SIM-Swap: Ein Angreifer überredet einen Netzbetreiber, Ihre Nummer auf seine SIM zu übertragen, und empfängt dann Ihre Codes.
• Neuvergabe von Nummern: Geben Sie eine Nummer auf, kann der nächste Inhaber Codes für Konten erhalten, die noch mit ihr verknüpft sind.
• Phishing: Gefälschte Seiten bitten Sie, den gerade erhaltenen Code einzugeben, und nutzen ihn dann selbst.
• Abfangen: SMS sind nicht Ende-zu-Ende-verschlüsselt und können über Schwachstellen in veralteter Telekom-Signalisierung offengelegt werden.

Authenticator-Apps vs. SMS-Codes

Woher der Code kommt

SMS: vom Dienst über das Telefonnetz gesendet. Authenticator: auf Ihrem Gerät erzeugt

Braucht Empfang oder eine Nummer

SMS: ja. Authenticator: nein

SIM-Swap-Risiko

SMS: ja. Authenticator: nein

Phishing-Risiko

Beide sind angreifbar; Hardware-Sicherheitsschlüssel widerstehen am besten

Wo es verlangt wird

Viele Registrierungen und Banken verlangen weiterhin SMS; Authenticatoren sind optionale 2FA

Bewährte Praxis bei der SMS-Verifizierung

• Nutzen Sie eine Nummer, die Sie jahrelang behalten — keine vorübergehende oder geteilte.
• Geben Sie einen Bestätigungscode niemals weiter, auch nicht an angebliche Support-Mitarbeiter.
• Richten Sie bei Ihrem Netzbetreiber, wo möglich, eine PIN oder eine Portierungssperre ein, um das SIM-Swap-Risiko zu senken.
• Wechseln Sie für 2FA zu einer Authenticator-App oder einem Sicherheitsschlüssel, wo immer ein Dienst das erlaubt.
• Bewahren Sie Backup-Codes für wichtige Konten an einem sicheren Ort auf.
• Erwägen Sie eine eigene Nummer für Registrierungen, damit Ihre private Nummer privat bleibt.

Eine eigene Nummer mit SMSCreation

1. 01Wählen Sie ein Land — 181 stehen zur Auswahl — und suchen Sie sich eine echte Mobilnummer aus der Liste aus.
2. 02Wählen Sie den Jahrestarif für $1.80 im Monat ($21.60 jährlich abgerechnet) oder eine andere Laufzeit, die an der Kasse angezeigt wird.
3. 03Zahlen Sie mit USDT oder USDC über Tron, Polygon, BNB Smart Chain, Base oder Solana. Für die Registrierung genügt eine E-Mail.
4. 04Geben Sie die Nummer im internationalen Format ein, wenn eine App danach fragt. Codes erscheinen sofort im SMS-Posteingang Ihres Dashboards, und eingehende Anrufe sind unbegrenzt, falls die App einen Code per Anruf anbietet.

Warum sie mit WhatsApp, Facebook, Telegram und Google funktioniert

Apps prüfen mehr als nur die Ziffern: Sie fragen den Leitungstyp und das Länderformat ab und prüfen, ob die Nummer ihren Code tatsächlich empfangen kann. Jede SMSCreation-Nummer ist eine echte Mobilnummer im offiziellen Format ihres Landes — keine VoIP-Leitung —, daher besteht sie diese Prüfungen genauso wie die SIM-Karte in Ihrem Handy.

Und dafür stehen wir mit einer 7-Tage-Ersatzgarantie ein: Funktioniert Ihre Nummer nicht mit WhatsApp, Facebook, Telegram, Google oder einer anderen App, die Sie brauchen, ersetzen wir sie kostenlos durch eine neue Nummer aus demselben Land — oder erstatten Ihnen auf Wunsch 100 %.

• Nicht-VoIP-Nummer, echter Mobilfunk-Leitungstyp — Leitungstyp-Prüfungen sehen eine normale SIM-Nummer, keine VoIP-Leitung
• Offizielles Länderformat mit korrekter Ländervorwahl, Vorwahl und Stellenzahl
• Unbegrenzt eingehende SMS und Anrufe — Codes kommen per SMS oder über die Option „Anrufen“
• Nur für Sie — nie auf öffentlichen SMS-Seiten gelistet, daher weder markiert noch gedrosselt
• Ihre, so lange Sie möchten — erneute Verifizierung und Kontowiederherstellung funktionieren weiter

Wofür sich eine eigene echte Mobilnummer eignet

Eine eigene echte Mobilnummer gibt Ihnen eine stabile, private Leitung für Verifizierungen, die Leitungstyp-Prüfungen besteht und unter Ihrer Kontrolle bleibt. SMSCreation-Nummern enthalten unbegrenzt eingehende SMS und Anrufe, 500 ausgehende SMS und 1.000 ausgehende Minuten pro Monat, ab $1.80 im Monat im Jahrestarif ($21.60 jährlich abgerechnet). Die Nummer bleibt Ihre, solange Sie sie verlängern, und wurde sie für keinen Anruf und keine SMS genutzt, erhalten Sie innerhalb von 7 Tagen nach Aktivierung Ihr Geld vollständig zurück.