SMS-Verifizierung: Wie sicher ist sie noch?
SMS-Codes sind der Standard, um Telefonnummern zu verifizieren und Anmeldungen mit zweitem Faktor abzusichern. Das US-Standardinstitut NIST stuft sie trotzdem nur noch als eingeschränkt geeignet ein. Dieser Leitfaden zeigt, wo SMS-Codes verloren gehen, wofür SMS noch reicht und wann Sie etwas Stärkeres brauchen.
- Fünf Wege, wie ein SMS-Code verloren geht
- Wofür SMS noch reicht
- Wo Reverse OTP hilft und wo nicht
Christian Schätzlein, Gründer und Entwickler von Sendity
3 Min. Lesezeit
Wo ein SMS-Code verloren geht
Angriffe auf SMS-Codes im Überblick
-
Phishing Code auf falscher Seite eingegeben Nutzer
Häufig Betrifft jedes Code-Verfahren, nicht nur SMS.
-
SIM-Swap Neue SIM auf Ihre Nummer Anbieter
Gezielt Über den Kundendienst des Anbieters erschlichen; danach landet jede SMS beim Angreifer.
-
Malware Eine App liest SMS mit Gerät
Gezielt Vor allem Android-Apps mit SMS-Berechtigung.
-
SS7 Im Mobilfunknetz umgeleitet Netz
Selten Braucht Zugang zum Signalnetz der Netzbetreiber. 2017 gegen deutsche Bankkonten eingesetzt.
-
Pumping Bots lösen teure SMS aus Kosten
Häufig Keine Daten in Gefahr, aber Ihr Budget.
Anmelden per Nachricht. Ohne Formular, ohne Code.
Sendity ist ein Anmelde-Widget für Ihre Website. Statt ein Formular auszufüllen, schicken Ihre Besucher eine kurze Nachricht per WhatsApp oder E-Mail. Sendity prüft, von wem sie stammt, und übergibt Ihrer Seite den Namen und die verifizierte Telefonnummer oder E-Mail-Adresse.
So funktioniert Sendity →-
Eine Nachricht statt Formular Besucher tippen in WhatsApp oder ihrem E-Mail-Programm auf „Senden“. Nichts abtippen, keine Bestätigungsmail anklicken.
-
Verifiziert durch die Nachricht selbst Der Kontakt stammt vom Absender der Nachricht. Tippfehler und erfundene Adressen landen gar nicht erst in Ihrer Liste.
-
Bezahlt wird pro verifiziertem Kontakt Sie starten mit 1.000 Credits geschenkt, ohne Kreditkarte. Danach Prepaid-Pakete, ohne Abo.
Ob SMS sicher genug ist, hängt weniger an der SMS als daran, was der Code schützt.
Zwei verschiedene Aufgaben
Einen Kontakt zu verifizieren zeigt, dass eine Nummer existiert und gerade beim Nutzer ist. Mit einem Code anmelden oder ein Konto wiederherstellen gewährt Zugang. Ein gestohlener Code ist im ersten Fall ärgerlich, im zweiten eine Kontoübernahme.
Die Angriffswege
Phishing ist mit Abstand am häufigsten: Der Nutzer tippt den Code auf einer falschen Seite ein. SIM-Swap und Schadsoftware sind gezielte Angriffe. Abfangen im Signalnetz (SS7) ist selten, aber belegt.
Wofür SMS reicht
Einen Kontakt bei der Anmeldung prüfen, für Newsletter, Gewinnspiel oder Rückruf: Ein Angreifer gewinnt hier wenig. Für Kontowiederherstellung und Zahlungen sollte SMS nicht der einzige Faktor sein.
Wo Reverse OTP hilft
Beim Reverse OTP sendet der Nutzer den Code, den Ihre Seite zeigt. Kein Code ist zum Nutzer unterwegs, unterwegs lässt sich also nichts abfangen, und Bots können keine Nachrichten pumpen. Die Nummer stammt vom Absender.
Wo es nicht hilft
Eine falsche Seite kann einen echten Code zeigen und den Nutzer dazu bringen, ihn zu senden. Ein SIM-Swap kann ein WhatsApp-Konto umziehen, wenn die Verifizierung in zwei Schritten nicht aktiv ist. Und der SMS-Ausweichweg hat die Schwächen der SMS, dazu je nach Route fälschbare Absender.
Das Verfahren nach dem Einsatz wählen.
Drei Fragen statt einer Regel für alles.
Was schaltet der Code frei?
Einen Listeneintrag, ein Konto oder Geld. Je mehr er freischaltet, desto weniger reicht SMS allein.
Kontakt verifizieren
SMS, WhatsApp oder Reverse OTP funktionieren. Reverse OTP verursacht keine Kosten durch Bots.
Konto schützen
Bieten Sie Passkeys an und lassen Sie SMS nicht allein ein Passwort zurücksetzen.
Ausgehender SMS-Code oder Reverse OTP?
Welchen Angriffen jedes Verfahren ausgesetzt ist, mit WhatsApp als Kanal.
| Aspect | Ausgehender SMS-Code | Mit Sendity |
|---|---|---|
| Abfangen unterwegs | Möglich über SS7 oder Schadsoftware | Kein Code ist zum Nutzer unterwegs |
| SIM-Swap | Angreifer erhält jeden Code | Nur ohne WhatsApp-Verifizierung in zwei Schritten |
| Phishing | Code auf falscher Seite eingegeben | Falsche Seite kann echten Code zeigen |
| Pumping | Jede Anfrage kostet eine SMS | Nichts zu pumpen: Sie verschicken nichts |
Was bei jedem Verfahren hilft.
Drei Einstellungen, die Codes schwerer missbrauchbar machen, egal in welche Richtung sie gehen.
Kurze Gültigkeit
Wenige Minuten und an eine Anfrage gebunden, damit ein gestohlener Code schnell verfällt.
Limits pro Nummer und IP-Adresse
Wenige Versuche pro Nummer und IP-Adresse bremsen Raten und Massenanfragen.
Wiederherstellung nicht nur per SMS
Ein Passwort-Reset allein per SMS-Code macht aus einem SIM-Swap eine Kontoübernahme.
In wenigen Minuten auf Ihrer Seite.
Sendity läuft als kompaktes Widget auf Ihrer Seite. Wählen Sie den Weg, der zu Ihrer Website passt.
SMS-Sicherheit: häufige Fragen.
Ist WhatsApp sicherer als SMS?
Unterwegs ja: Nachrichten sind verschlüsselt und im Mobilfunknetz nicht lesbar. Das Konto hängt aber weiter an der Telefonnummer, deshalb ist die Verifizierung in zwei Schritten wichtig.
Sollte ich die SMS-Anmeldung mit zweitem Faktor abschaffen?
SMS als zweiter Faktor ist besser als keiner. Bieten Sie Passkeys zusätzlich an und stellen Sie Nutzer schrittweise um.
Was meint NIST mit eingeschränkt?
In der Richtlinie SP 800-63B gelten Codes über das Telefonnetz als eingeschränkter Faktor: erlaubt, aber Dienste sollen das Risiko erklären und eine Alternative anbieten.
Ist der SMS-Ausweichweg bei Sendity unsicher?
Er ist so schwach wie SMS, und je nach Route lässt sich der Absender fälschen. Deshalb schalten Sie ihn pro Kampagne frei und lassen ihn dort aus, wo eine Verifizierung etwas Wertvolles freischaltet.
Weiterlesen.
Fachlich geprüft im von Christian Schätzlein.
Telefonnummern verifizieren, ohne einen Code zu verschicken.
Probieren Sie die Live-Demo auf Ihrem Handy aus, in zehn Sekunden sind Sie durch.