Telefonnummer-Verifizierung in Deutschland 2026: Marktstand und Schwachstellen

Wer bewertet diese Verfahren, und wofür?

Die US-Standardisierungsbehörde NIST und das BSI bewerten Code-Verfahren für die Anmeldung, also als zweiten Faktor beim Login. NIST regelt dabei auch, wie eine Nummer für spätere Anmeldungen hinterlegt wird. Zur reinen Prüfung einer Nummer, etwa bei einer Newsletter- oder Gewinnspiel-Anmeldung, äußern sich die zitierten Bewertungen nicht. Ihre Einwände lassen sich sinngemäß übertragen; das ist eine Einordnung des Magazins.

SMS-OTP: Standard unter Vorbehalt

Beim SMS-OTP (One-Time Password) schickt der Dienst einen Einmalcode per SMS, die Person tippt ihn ein.

NIST stuft in SP 800-63B, wie schon in Revision 3 von 2017, Codes über das Telefonnetz für die Out-of-Band-Anmeldung als „eingeschränkt“ ein. Out-of-Band heißt: Der Code kommt über einen zweiten Kanal. Wer SMS so zur Anmeldung nutzt, muss nach NIST Alternativen anbieten und Risikosignale wie SIM-Wechsel oder Rufnummernportierung berücksichtigen. Als Bedrohung beschreibt NIST, was als SIM-Swap bekannt ist: Angreifer bringen den Mobilfunkanbieter dazu, die Nummer auf ihre SIM umzuleiten.

Das BSI sieht SMS-TAN, E-Mail-TAN und TOTP als nicht geschützt gegen Echtzeit-Phishing. Ein vorgeschalteter Proxy kann den Code abgreifen, während die Person ihn eingibt. Hinzu kommt SMS-Pumping: Bots lösen massenhaft Code-SMS aus, laut Twilio mit dem Ziel, Geld zu verdienen.

Laut Bundesnetzagentur wurden 2025 in Deutschland rund 2,9 Milliarden SMS verschickt, nach 5,2 Milliarden im Jahr davor. Das sind im Schnitt zwei SMS pro aktiver SIM und Monat. Die Berichterstattung vermutet als einen Grund, dass Banken und andere Unternehmen Verifizierungscodes nicht mehr per SMS verschicken.

Reverse OTP: Der Code fließt zurück

Beim Reverse OTP zeigt der Dienst einen Code an, und die Person schickt ihn selbst ab, per SMS, Messenger oder E-Mail. Den Nachweis liefert der Absender der eingehenden Nachricht. Weil der Dienst keine SMS auslöst, fehlt nach Einschätzung des Magazins der Ansatzpunkt für SMS-Pumping.

Nach Einschätzung des Magazins ist das Verfahren damit nicht automatisch gegen Echtzeit-Phishing geschützt. Eine gefälschte Seite kann den angezeigten Code durchreichen, und die Person sendet ihn dann für die Sitzung des Angreifers ab. Unabhängige Bewertungen dazu liegen, soweit ersichtlich, nicht vor.

Die Aussagekraft hängt außerdem am Rückkanal. Beim Rückkanal SMS gilt SIM-Swap als Schwachstelle; je nach Route ist nach Einschätzung des Magazins auch der Absender fälschbar. Bei Messenger oder E-Mail kann senden, wer das Konto übernommen hat.

WhatsApp-Authentifizierung und die neuen Nutzernamen

Hier läuft das klassische OTP über WhatsApp statt über SMS. Meta schreibt dafür Authentifizierungsvorlagen mit festem Text vor. Auf Android lässt sich der Code per Tipp oder ganz ohne Zutun (Zero-Tap) in die App übernehmen, ab iOS 26 über Tastaturvorschläge. Ältere iOS-Versionen erhalten einen Button zum Kopieren.

Abgerechnet wird laut Meta-Preisseite seit dem 1. Juli 2025 je zugestellter Nachricht, der Preis hängt vom Zielmarkt ab. Ohne WhatsApp auf dem Gerät kommt kein Code an, Regeln und Preise setzt Meta. Bei kopiertem oder abgetipptem Code gilt nach Einschätzung des Magazins derselbe Phishing-Einwand wie bei der SMS-TAN. Die automatische Übernahme ist dazu nicht bewertet.

Neu ist 2026: Meta führt schrittweise optionale Nutzernamen ein. Hat jemand einen gewählt, enthalten eingehende Nachrichten an Unternehmen die Telefonnummer laut Meta nur noch unter Bedingungen. Dazu zählen Kontakt mit dieser Nummer in den letzten 30 Tagen oder ein Eintrag im Kontaktbuch; sonst steht dort eine unternehmensbezogene Nutzer-ID. Das betrifft jedes Verfahren, das die Nummer aus einer WhatsApp-Nachricht ableitet.

RCS: Freigabe je Netz

RCS (Rich Communication Services) ist ein Nachrichtenstandard der Mobilfunknetze, den Google für Unternehmen als „RCS for Business“ anbietet. Google sieht einen eigenen Anwendungsfall für Einmalcodes vor.

Über die Freigabe entscheiden je nach Netz Google, der Netzbetreiber oder beide. Netzbetreiber mit eigenem Verfahren verlangen laut Google direkte Verträge, bevor sie einen Absender zulassen. Google-verwaltete Freigaben dauern unter bestimmten Bedingungen ein bis drei Werktage, für Freigaben durch Netzbetreiber nennt Google keine Frist.

In der Google-Dokumentation dient die Deutsche Telekom als Beispiel für ein Netz mit eigenem Freigabeprozess. Auf Geräteseite führt Apple RCS bei 1&1 und Vodafone auf, bei O2 und Telekom als Beta mit Ende-zu-Ende-Verschlüsselung.

Flash Call: Der Anruf ist der Code

Beim Flash Call klingelt das Telefon kurz, der Anruf bricht ab, und die anrufende Nummer ist der Code, so der Anbieter Sinch. Auf Android liest eine App den Anruf automatisch aus, auf iOS und im Web tippt die Person die Ziffern ab. Wegen der schlechten Bedienbarkeit auf iOS empfiehlt Sinch das Verfahren nur für Android und Web.

Ein Flash Call ersetzt die SMS, an deren Zustellung Netzbetreiber verdienen. Der Carrier Arelion beschreibt die Umsatzverluste und bietet Netzbetreibern zwei Antworten an: Flash Calls abrechnen oder blockieren und auf SMS umleiten. Ob deutsche Netze Flash Calls abrechnen oder filtern, ist öffentlich nicht belegt.

Silent Authentication: Netzbetreiber-APIs mit Registrierungspflicht

Bei der Silent Authentication fragt der Dienst den Netzbetreiber, ob die angegebene Nummer zum gerade verbundenen Gerät gehört. Standardisiert ist das in der Schnittstelle Number Verification des Projekts CAMARA, aktuell Version 2.1.0 vom 12. September 2025.

Telekom, Vodafone und O2 Telefónica haben Number Verify im Februar 2024 eingeführt, unter dem Dach von Open Gateway, einer Initiative des Mobilfunkverbands GSMA. Das meldete die Telekom. Als nächste Schnittstelle kündigten die Betreiber damals SIM Swap an, die einen kürzlichen SIM-Wechsel meldet.

Auch hier gibt es Freigabehürden. Laut Vonage wird die Registrierung beim Netz für den Live-Betrieb Pflicht. Deutsche Netze verlangen nach Vonage-Angaben vorab Screenshots des Ablaufs, eine Datenschutzerklärung zur Verarbeitung der Nummer und einen festen deutschen Einwilligungstext. Darin willigt die Person ein, dass ihre Nummer zum Abgleich an den Mobilfunkanbieter geht und dieser ihr Gerät auch per IP-Adresse prüft.

Technisch braucht das Verfahren eine aktive mobile Datenverbindung und läuft nicht über WLAN; scheitert es, kann ein Kanal wie SMS einspringen. Geprüft wird die SIM im Gerät, nicht die Person. Nach einem SIM-Swap würde nach Einschätzung des Magazins das Gerät des Angreifers verifiziert, hier setzt die SIM-Swap-Abfrage an. Neben Vonage bieten etwa Twilio Verify und Sinch die stille Prüfung an.

Die Verfahren im Vergleich

Mit (E) markierte Angriffsflächen sind Einschätzungen des Magazins, keine Bewertungen von NIST oder BSI.

Verfahren	Richtung	Was es belegt	Angriffsflächen	Grenzen und Abhängigkeiten	Stand in Deutschland
SMS-OTP	zur Person	Empfang per SMS	SIM-Swap, Echtzeit-Phishing, SMS-Pumping	Netzbetreiber, SMS-Routen	2,9 Mrd. SMS 2025, nach 5,2 Mrd. 2024
Reverse OTP	von der Person	Versand von der Nummer	Echtzeit-Phishing (E), Kontoübernahme; bei SMS SIM-Swap, fälschbare Absender (E)	Rückkanal (SMS, Messenger, E-Mail)	keine Zahlen veröffentlicht; bei WhatsApp als Rückkanal Nutzernamen ab 2026
WhatsApp	zur Person	Empfang im WhatsApp-Konto der Nummer	Echtzeit-Phishing beim Kopiercode (E), Kontoübernahme (E)	App auf dem Gerät, Regeln und Preise von Meta	Nutzernamen ab 2026 (betrifft eingehende Nachrichten)
RCS	zur Person	Empfang per RCS	SIM-Swap (E), Echtzeit-Phishing (E)	Freigabe je Netz, Endgerät	RCS auf iPhones in vier Netzen, bei O2 und Telekom Beta
Flash Call	zur Person	Anruf erreicht die Nummer	SIM-Swap (E), Echtzeit-Phishing bei Eingabe von Hand (E)	Abrechnung oder Blockierung durch Netze, iOS nur von Hand	keine Zahlen veröffentlicht
Silent Authentication	kein Code	SIM der Nummer steckt im verbundenen Gerät	SIM-Swap (E)	mobile Daten, kein WLAN, Registrierung beim Netz	Number Verify im Februar 2024 eingeführt (Telekom-Meldung)

Wo enden Passkeys und Magic Links?

Passkeys und Magic Links belegen keine Telefonnummer. Ein Passkey ist laut FIDO Alliance an ein Konto bei einer Website oder App gebunden. Das BSI bewertet Passkeys als resistent gegen übliche Phishing-Angriffe. In einer BSI-Befragung von 2024 kannten allerdings nur 38 Prozent den Begriff, 18 Prozent nutzten Passkeys nach eigener Angabe.

Ein Magic Link ist ein Anmeldelink per E-Mail und belegt die Kontrolle über ein Postfach. NIST schließt E-Mail für die Out-of-Band-Anmeldung aus, nimmt aber Codes zur Prüfung einer E-Mail-Adresse davon aus. Beide Verfahren können die Verifizierung einer Telefonnummer bei späteren Anmeldungen ergänzen, ersetzen sie aber nicht.

Wohin bewegt sich der Markt?

Die Kanäle neben der SMS kommen mit eigenen Regeln. Bei Meta sind es Vorlagen, Preise und Nutzernamen, bei RCS Freigaben je Netz, bei Netzbetreiber-APIs in Deutschland laut Vonage eine Registrierung mit Einwilligungstext. Vonage und Sinch beschreiben ausdrücklich Rückfallkanäle für den Fall, dass der erste Weg scheitert.

Für Betreiber von Anmeldeformularen ist die Wahl damit auch eine Frage der Abhängigkeit. Wie man aus diesen Verfahren eine Auswahl für den eigenen Fall trifft, zeigt der Leitfaden des Reverse-OTP-Dienstes Sendity zu den sechs Verifizierungswegen.