Was ist ein SMS-OTP? So funktionieren Einmalcodes
Erfahren Sie, wie Einmalpasswörter per SMS den Zugriff auf eine Telefonnummer bestätigen, wo sie verwendet werden und welche Sicherheitsmaßnahmen wichtig sind.
Ein SMS-OTP ist ein kurzlebiger, einmalig verwendbarer Code, der per SMS gesendet wird. Er bestätigt den vorübergehenden Zugriff auf eine Telefonnummer, weist allein jedoch keine Identität nach.
Von der Anfrage zur Verifizierung
Nachdem ein Nutzer eine Telefonnummer eingegeben oder eine sensible Aktion gestartet hat, erzeugt der Dienst einen temporären Code und sendet ihn per SMS. Der Nutzer gibt den Code vor Ablauf zurück. Eine gültige Übereinstimmung bestätigt zu diesem Zeitpunkt den Zugriff auf die Nummer.
Wo SMS-OTP verwendet wird
Dienste können SMS-Codes für Registrierung, Anmeldung, Transaktionsbestätigung oder Kontowiederherstellung einsetzen. Zweck und Berechtigungsregeln hängen von der Plattform ab. Der Empfang eines Codes ersetzt keine von der Plattform verlangten Identitäts-, Alters-, Wohnsitz- oder Compliance-Prüfungen.
Grenzen und sichere Gewohnheiten
SMS kann Phishing, Nummernrecycling und SIM-Swap-Angriffen ausgesetzt sein. Geben Sie ein OTP niemals weiter, prüfen Sie Website oder App vor der Eingabe und bevorzugen Sie Passkeys oder eine Authenticator-App, wenn stärkere Optionen verfügbar sind. Nutzen Sie für sensible oder langfristige Konten eine persönliche Mobilfunknummer.
Häufig gestellte Fragen
Ist ein SMS-OTP dasselbe wie ein Passwort?
Nein. Ein Passwort ist normalerweise wiederverwendbar, während ein OTP für eine einmalige Nutzung und eine kurze Gültigkeitsdauer vorgesehen ist. Manche Dienste kombinieren beide Faktoren.
Darf ich ein OTP an Supportmitarbeiter weitergeben?
Nein. Seriöse Supportmitarbeiter sollten Sie nicht auffordern, einen aktiven Verifizierungscode offenzulegen. Eine unerwartete Anfrage kann ein Phishingversuch sein.
Beweist ein OTP die Identität einer Person?
Nein. Es belegt im Allgemeinen nur den vorübergehenden Zugriff auf eine Telefonnummer. Eine Plattform kann separat Identitäts- oder Kontoinhaberprüfungen verlangen.