SMS-Pumping: Wie der Betrug mit Verifizierungs-SMS funktioniert und was er kostet

Was ist SMS-Pumping?

SMS-Pumping nutzt ein unscheinbares Bauteil aus: das Eingabefeld für die Telefonnummer. Wer dort eine Nummer einträgt, löst beim Betreiber eine SMS aus, meist einen Einmalcode (One-Time Password, OTP) für Registrierung, Login oder Passwort-Reset. So beschreibt es der SMS-Anbieter Twilio in seinem Glossar.

In der Branche heißt das Phänomen auch Artificially Inflated Traffic, kurz AIT: künstlich aufgeblähter Nachrichtenverkehr. Amazon Web Services beschreibt es als Angriff von Bots auf Abläufe, die sofort eine SMS auslösen. Vonage spricht von SMS-Betrug mit Bots und automatisierten Skripten. Bezahlt werden die SMS in jedem Fall, nur braucht niemand den Code.

Wie verdienen die Täter daran?

Für die Zustellung einer SMS in ein fremdes Netz berechnet das Zielnetz ein Entgelt, die Terminierung. Beim SMS-Pumping gehen die Nachrichten an Nummernbereiche eines bestimmten Netzbetreibers. Die Täter erhalten laut Twilio einen Anteil an den erzeugten Erlösen.

Twilio unterscheidet zwei Varianten. Im ersten Fall ist der Netzbetreiber eingeweiht und hat mit den Tätern eine Umsatzbeteiligung vereinbart. Im zweiten Fall wird er unwissentlich ausgenutzt: Kleinere Netzbetreiber werden von größeren für Teilnehmer und Verkehr bezahlt, und genau diesen Verkehr liefern die Täter. Google beschreibt SMS-Missbrauch in seiner Dokumentation zu SMS-Regionen ebenso als Versand über einen Netzbetreiber, mit dem der Angreifer Erlöse teilt.

Sinch schildert eine weitere Spielart: Ein Partner der Täter fängt den aufgeblähten Verkehr ab, ohne ihn an echte Empfänger zuzustellen. Am lohnendsten sind laut Juniper Research internationale Ziele mit hohen Zustellkosten. Die SMS-Firewalls der Netzbetreiber halten solchen Verkehr nach Sinchs Angaben oft nicht auf, weil Einmalcodes nicht als Spam gelten.

Ist das dasselbe wie Toll Fraud?

Verwandt, aber nicht identisch. Twilio verwendet Toll Fraud, auch International Revenue Share Fraud (IRSF), für massenhafte Anrufe, die über eine Anwendung ausgelöst werden. Auch hier bezahlt der Zielnetzbetreiber den Täter über eine Umsatzbeteiligung. Betroffen sind laut Twilio häufig Anwendungen mit Telefonverifizierung oder Zwei-Faktor-Anmeldung.

Bei Anrufen spielen Premium-Nummern eine Rolle, die dem Anrufer einen hohen Minutenpreis berechnen. SMS an Premium- und Informationsdienst-Nummern lässt Twilio dagegen gar nicht zu. Beim SMS-Pumping gehen die Nachrichten laut Twilio an Nummernbereiche von Mobilfunknetzbetreibern.

Welche Fälle sind öffentlich bekannt?

Der bekannteste Fall ist Twitter. Elon Musk erklärte im Februar 2023 auf Twitter, Telefongesellschaften brächten das Unternehmen um 60 Millionen US-Dollar pro Jahr. Gemeint waren gefälschte Zwei-Faktor-SMS, wie Medianama berichtete. Es ist Musks eigene Angabe; eine unabhängige Prüfung ist nicht bekannt.

Dieselbe Summe hatte Musk schon am 20. Dezember 2022 in einem Spaces-Gespräch genannt, ohne Nordamerika gerechnet. Laut Transkript bei Commsrisk ließ er Verbindungen zu Telefongesellschaften kappen, bei denen der Betrugsanteil über zehn Prozent lag. Das betraf nach seinen Worten 390 Telefongesellschaften.

Nach dem 20. März 2023 konnte nur noch, wer Twitter Blue abonniert hatte, SMS für die Zwei-Faktor-Anmeldung nutzen. Das Unternehmen begründete das laut NBC News mit Missbrauch durch „bad actors“.

Auch kleine, öffentlich erreichbare Anwendungen sind betroffen, wie ein Bericht im Entwicklerblog von Twilio vom 6. Oktober 2026 zeigt. Eine Sprach-KI-Demo eines Mitarbeiters wurde am 15. August 2026 rund vier Stunden lang für Auslandsanrufe missbraucht, Schaden 982,08 US-Dollar. Der Autor ordnet das als künstlich aufgeblähten Verkehr ein, konnte aber nicht nachweisen, wer daran verdiente. Es ging um Anrufe, nicht um SMS.

Wie groß ist der Schaden insgesamt?

Gesamtzahlen gibt es nur als Schätzungen von Analysten. Enea und Mobilesquared kamen im Februar 2024 auf 19,8 bis 35,7 Milliarden betrügerische Nachrichten im Jahr 2023. Das entspreche 4,8 Prozent des internationalen Verkehrs. Den betroffenen Marken seien Kosten von 1,16 Milliarden US-Dollar entstanden.

Juniper Research beziffert die Verluste von Unternehmen für 2023 auf 2,1 Milliarden US-Dollar und sieht darin den Höhepunkt. Bis 2029 sollen die Kosten gegenüber 2024 um 55 Prozent sinken. Als Grund nennt Juniper den sinkenden A2P-SMS-Verkehr, also Nachrichten von Anwendungen an Menschen. Er soll weltweit von 1,9 Billionen im Jahr 2023 auf unter 1,5 Billionen bis 2029 fallen.

Wie die Werte zustande kommen, legen die Pressemitteilungen nicht offen; sie messen zudem nicht genau dasselbe. Einig sind sie in der Größenordnung: Es geht weltweit um Milliardenbeträge. Laut Juniper haben gestiegene SMS-Terminierungspreise, teils selbst eine Folge von AIT, Unternehmen dazu gebracht, andere Kanäle zu prüfen.

Twilio verlangt laut Preisliste für eine SMS nach Deutschland 0,112 US-Dollar je Segment, Stand Oktober 2026. Zehntausend einsegmentige SMS kosten damit rund 1.120 US-Dollar, zuzüglich möglicher Carrier-Gebühren. Ziele mit teurerer Zustellung kosten entsprechend mehr.

Wer zahlt die Rechnung?

Nach den Vertragsbedingungen großer SMS-Anbieter trägt in der Regel der Kunde die Kosten, also der Betreiber des Formulars. Die Nutzungsbedingungen von Twilio (Stand 16. Juli 2026) machen den Kunden allein verantwortlich für jede Nutzung unter seinem Konto. Ähnlich regelt es der Kundenvertrag von AWS (Stand 29. Oktober 2026) für alle Aktivitäten unter dem Konto.

Die Messaging-Gebühren fallen nach den AWS Service Terms auch an, wenn die Zustellung scheitert. Das gilt, wenn Gründe außerhalb des Einflusses von AWS sie verhindern, verzögern oder blockieren.

Mit dem Betreiber des Formulars oder dem SMS-Anbieter stehen die Täter in keinem Vertrag. Ihre Vereinbarung besteht, wenn überhaupt, mit einem Netzbetreiber. Ob und gegen wen ein Betreiber in Deutschland Ansprüche durchsetzen kann, hängt vom Einzelfall und den jeweiligen Verträgen ab.

Wie schnell der Schaden wächst, zeigt die OWASP-Liste der häufigsten API-Risiken an einem erdachten Szenario. Ein Skript ruft eine „Passwort vergessen“-Schnittstelle zehntausendfach auf. Das Unternehmen verliert dadurch in Minuten Tausende Dollar.

Woran erkennt man einen Angriff?

Typisch sind wenige, gut messbare Signale:

• Nummernblöcke: Ein plötzlicher Anstieg von SMS an benachbarte Nummern desselben Netzbetreibers (Twilio).
• Fehlende Abschlüsse: Codes werden angefordert, aber Verifizierungen nicht abgeschlossen; die Konversionsrate fällt (Twilio, Sinch).
• Ungewöhnliche Verkehrsmuster: Twilio wertet Abweichungen vom bisherigen Verkehr aus, AWS ein statistisches Risikomodell.
• Ungewohnte Zielländer: Verkehr in Länder, in die bisher kaum gesendet wurde. Täter nutzen laut Twilio auch Länder ohne bisherige Betrugsauffälligkeit.

Was leisten die Gegenmaßnahmen?

Keine Maßnahme schützt allein. Twilio schreibt selbst, kein anbieterseitiger Schutz könne 100 Prozent garantieren; AWS äußert sich ähnlich.

Gegenmaßnahme	Was sie bringt	Grenzen
Länderfreigaben (nur Länder mit eigener Kundschaft)	Sperrt SMS in alle übrigen Länder; von Twilio und Google empfohlen	Wirkt nicht bei Zielen in freigegebenen Ländern
Rate Limits (je Nummer, Nummernbereich, IP-Adresse)	Bremsen Massenanfragen	Verhindern Betrug laut Twilio nicht unbedingt, verlangsamen ihn nur
CAPTCHA und Bot-Erkennung	Halten einfache Skripte auf	Etwas Reibung für echte Anmeldungen; laut Juniper stoppen klassische CAPTCHAs KI-Bots nicht mehr ausreichend
Prüfung des Leitungstyps	Schließt Premium- und Festnetznummern aus	Gepumpte Nummern liegen laut Twilio in Bereichen von Mobilfunknetzbetreibern und bestehen die Prüfung daher womöglich
Überwachung der Konversionsrate	Macht Angriffe an fallenden Abschlüssen sichtbar	Schlägt erst an, wenn SMS schon versendet und bezahlt sind
Betrugserkennung der Anbieter (Twilio, Vonage, AWS, Google)	Bewertet SMS-Anfragen anhand eines Risikomodells und blockiert oder warnt vor dem Versand, je nach Einstellung	Kein vollständiger Schutz, Fehlalarme möglich; Kostenbedingungen je Anbieter verschieden
Ausgabenlimits und Abrechnungsalarme	Deckeln den maximalen Schaden (OWASP-Empfehlung)	Stoppen den Angriff nicht
Verfahren ohne ausgehende SMS (Reverse OTP, Netzbetreiber-Prüfung per Number Verification)	Der Betreiber verschickt keine SMS; es entsteht kein Zustellentgelt, an dem Täter mitverdienen könnten	Reverse OTP verlangt, dass die Person selbst eine Nachricht sendet; Number Verification setzt eine Verbindung über das Mobilfunk-Datennetz voraus

Die Betrugserkennung der Anbieter unterscheidet sich im Detail und in den Kosten. Twilio analysiert aktuellen und historischen Verkehr; für SMS in die USA und nach Kanada ohne Aufpreis, für andere Länder nach Preisliste. Vonage blockiert oder alarmiert je nach Schutzstufe, die Funktion gehört zu Fraud Defender Advanced. Bei AWS warnt der Modus „Monitor“ nur, „Filter“ blockiert; beide kosten Aufpreis.

Googles reCAPTCHA SMS defense vergibt für jede Anfrage einen Risikowert, bevor ein Code verschickt wird. Die Funktion ist eine Vorabversion und setzt die reCAPTCHA-Enterprise-Schnittstelle voraus.

Die meisten Maßnahmen versuchen, eine bereits bestellte SMS noch abzufangen. Verfahren, bei denen der Betreiber keine SMS verschickt, bieten diesen Hebel gar nicht erst, haben aber eigene Voraussetzungen. Wie sich SMS-Pumping mit einem Verfahren ohne ausgehende SMS umgehen lässt, beschreibt die Seite „SMS-Pumping erkennen und verhindern“ von Sendity.