Leitfaden zur Verifizierung

SMS-Pumping: erkennen und verhindern.

Bots fordern SMS-Codes an teure Nummern an, und Sie bezahlen jede Nachricht. Dieser Leitfaden zeigt, wie SMS-Pumping funktioniert, woran Sie es im Versandprotokoll erkennen, was hilft und warum ein Code, den Ihre Nutzer Ihnen senden, nicht gepumpt werden kann.

Live-Demo öffnen Kostenlos starten

Wie der Betrug funktioniert
Anzeichen im Versandprotokoll
Verifizieren ohne Versand

Christian Schätzlein, Gründer und Entwickler von Sendity 3 Min. Lesezeit

sms-versandprotokoll

Fortlaufende Nummern, kein Code eingegeben

Ausschnitt aus einem SMS-Versandprotokoll (Beispiel)

GB +44 7700 900021 02:14:01

Code nicht eingegeben Fortlaufende Nummern im Sekundentakt.
GB +44 7700 900022 02:14:01

Code nicht eingegeben
GB +44 7700 900023 02:14:02

Code nicht eingegeben
Intern. +882 16 0000 0412 02:14:02

Code nicht eingegeben Internationales Netz, untypisch für Ihre Zielgruppe.
DE +49 151 •••• 2207 09:30:10

Code eingegeben

Was ist Sendity?

Anmelden per Nachricht. Ohne Formular, ohne Code.

Sendity ist ein Anmelde-Widget für Ihre Website. Statt ein Formular auszufüllen, schicken Ihre Besucher eine kurze Nachricht per WhatsApp oder E-Mail. Sendity prüft, von wem sie stammt, und übergibt Ihrer Seite den Namen und die verifizierte Telefonnummer oder E-Mail-Adresse.

So funktioniert Sendity →

Eine Nachricht statt Formular Besucher tippen in WhatsApp oder ihrem E-Mail-Programm auf „Senden“. Nichts abtippen, keine Bestätigungsmail anklicken.
Verifiziert durch die Nachricht selbst Der Kontakt stammt vom Absender der Nachricht. Tippfehler und erfundene Adressen landen gar nicht erst in Ihrer Liste.
Bezahlt wird pro verifiziertem Kontakt Sie starten mit 1.000 Credits geschenkt, ohne Kreditkarte. Danach Prepaid-Pakete, ohne Abo.

Jedes Formular, das auf Anfrage einen SMS-Code verschickt, ist ein Knopf, der Sie Geld kostet. SMS-Pumping drückt ihn automatisch, tausendfach.

Wer daran verdient

Betrüger kontrollieren Nummernbereiche oder arbeiten mit Anbietern zusammen, bei denen ein Teil der Zustellgebühr an sie zurückfließt. Jede SMS, die Sie dorthin schicken, bringt ihnen Geld. Die Branche nennt das Artificially Inflated Traffic (AIT).

Wie Bots es auslösen

Skripte füllen Anmelde-, Login- oder Passwort-Formulare mit Nummern aus diesen Bereichen und fordern jedes Mal einen Code an. Eingegeben wird der Code nie.

Die Anzeichen

Spitzen in der Nacht, fortlaufende Nummern, Zielländer, die nicht zu Ihrer Zielgruppe passen, und ein sinkender Anteil an Codes, die tatsächlich eingegeben werden.

Was hilft und wo es aufhört

Länder sperren, Limits pro Nummer und IP, ein CAPTCHA und der Betrugsschutz Ihres SMS-Anbieters begrenzen den Schaden. Sie alle filtern Anfragen, aber jede Anfrage, die durchkommt, kostet weiterhin eine SMS.

Die Richtung umdrehen

Beim Reverse OTP zeigt Ihre Seite den Code, und der Nutzer sendet ihn Ihnen per WhatsApp, E-Mail oder SMS. Sie verschicken nichts, also gibt es keine Nachricht, die ein Bot auslösen könnte.

So funktioniert’s

Verifizieren, ohne zu versenden.

So ersetzt Reverse OTP den ausgehenden SMS-Code.

Ihre Seite zeigt einen Code
Kurzlebig und an genau diese Anfrage gebunden. Verschickt wird noch nichts.
Der Nutzer sendet ihn
Per WhatsApp oder E-Mail, die Nachricht ist schon vorbereitet. SMS geht als Ausweichweg.
Sendity prüft den Absender
Ihr Backend erhält die verifizierte Nummer oder Adresse als signiertes Ergebnis.

Im Vergleich

Code verschicken oder Code empfangen?

Die Richtung entscheidet, wer bezahlt und wer Kosten auslösen kann.

Aspect	Ausgehender SMS-Code	Mit Sendity
Wer Kosten auslöst	Jeder, der das Formular ausfüllt	Niemand: Sie verschicken nichts
Fehlversuche	Jede verschickte SMS wird berechnet	Kosten nichts
Ländersperren	Nötig, und sie sperren auch echte Nutzer	Gegen Pumping nicht nötig
Nummerneingabe	Der Nutzer tippt die Nummer	Die Nummer stammt vom Absender

Vorteile

Was der Empfang des Codes ändert.

Was sich ändert, wenn der Nutzer den Code sendet statt Sie.

Nichts zu pumpen

Ohne ausgehende Nachrichten haben Bots keinen Knopf, der Sie Geld kostet.

Kosten nur bei Erfolg

Sie bezahlen pro verifiziertem Kontakt, nicht pro Versuch.

Keine Ländersperren

Echte Nutzer im Ausland werden nicht ausgesperrt, um Ihr SMS-Budget zu schützen.

Einbindung

In wenigen Minuten auf Ihrer Seite.

Sendity läuft als kompaktes Widget auf Ihrer Seite. Wählen Sie den Weg, der zu Ihrer Website passt.

WordPress-Plugin Sendity als Block auf jeder Seite einfügen, ganz ohne Programmierung. Zur Anleitung (Englisch) Laravel-Paket Das signierte Ergebnis mit wenigen Zeilen auf Ihrem Server prüfen. Zur Anleitung (Englisch) Jede andere Website Einen Code-Schnipsel einfügen und das Widget an Ihr Design anpassen. Zur Anleitung (Englisch)

FAQ

SMS-Pumping: häufige Fragen.

Betrifft SMS-Pumping auch kleine Websites?

Ja. Die Skripte suchen jedes Formular, das auf Anfrage eine SMS verschickt. Geringes Volumen heißt nur, dass Sie es später bemerken.

Reicht ein CAPTCHA?

Es stoppt einfache Skripte. Angreifer lösen CAPTCHAs über Dienste oder Menschen. Es senkt das Volumen, beseitigt das Risiko aber nicht.

Was ist mit dem SMS-Ausweichweg beim Reverse OTP?

Dort sendet der Nutzer die SMS vom eigenen Handy und bezahlt sie selbst. Ein Angreifer müsste jede Nachricht selbst bezahlen, es gibt also nichts zu verdienen.

Muss ich meinen Anmeldeablauf umbauen?

Codefeld und SMS-Versand entfallen, das Widget tritt an ihre Stelle. Ihr Backend prüft das signierte Ergebnis, wie in der Entwickler-Doku beschrieben.

Verwandte Seiten

Produkt Telefonnummer verifizieren Sicherheitsprüfungen, SMS-Ausweichweg und Kosten. Produkt Handynummern per WhatsApp verifizieren Verifizierte Nummern, ganz ohne SMS-Codes. Im Detail Sicherheitsmodell Was eine Verifizierung belegt und was nicht. Preise Preise und Guthaben Kostenlos starten, nur verifizierte Anmeldungen bezahlen.

Fachlich geprüft im November 2026 von Christian Schätzlein.

Telefonnummern verifizieren, ohne SMS zu verschicken.

Probieren Sie die Live-Demo auf Ihrem Handy aus, in zehn Sekunden sind Sie durch.

Live-Demo öffnen