OTP (One-Time-Password)

Wie ein OTP funktioniert

Ein System erzeugt beim Anstoß eines Vorgangs einen zufälligen Code, merkt sich dessen Gültigkeitsdauer und sendet ihn an den hinterlegten Kanal. Der Code wird in der Anwendung eingegeben und dort gegen den gespeicherten Wert geprüft.

Nach erfolgreicher Eingabe verfällt der Code üblicherweise sofort, ebenso nach Ablauf der Frist oder nach zu vielen Fehlversuchen. Jeder neue Vorgang erzeugt einen neuen Code.

Typische Anlässe

Verbreitet sind OTPs bei der Anmeldung mit zweitem Faktor, bei der Freigabe von Zahlungen, bei der Bestätigung einer geänderten Rufnummer und bei der Erstverifizierung eines Kontos.

Was ein OTP belegt und was nicht

Der Code belegt, dass jemand Zugriff auf den hinterlegten Kanal hat. Er belegt nicht, wer diese Person ist, und schützt nicht davor, dass ein Code auf einer nachgebauten Seite eingegeben und dort in Echtzeit weiterverwendet wird.

Aus diesem Grund enthalten viele OTP-Nachrichten den Anlass des Vorgangs und den Hinweis, dass der Code nicht weitergegeben wird.

OTP per SMS, per RCS und über eine Authenticator-App im Vergleich

Voraussetzung beim Empfänger: SMS braucht Mobilfunkempfang, RCS ein Gerät mit aktivem RCS, die Authenticator-App eine installierte und eingerichtete App.

Absenderdarstellung: Bei SMS zeigt sich eine Absenderkennung, die nicht geprüft wird, bei RCS ein geprüfter Absender mit Markenprofil, bei der Authenticator-App findet kein Versand statt, der Code entsteht lokal.

Rückmeldung an den Absender: SMS liefert einen Zustellstatus, RCS Zustellung und Lesebestätigung, die Authenticator-App keine Rückmeldung.

Anfälligkeit für Imitation: Bei SMS ist die Absenderkennung imitierbar, bei RCS ist der Absender geprüft, die Authenticator-App kennt keinen Nachrichtenweg.

Voraussetzungen und Grenzen

OTP-Verkehr ist Transaktionsverkehr und wird üblicherweise getrennt von Marketingnachrichten geführt — auch bei Absenderkennung und Priorisierung.

Zeitkritische Zustellung setzt Routen mit stabiler Laufzeit voraus; Verzögerungen können zu Abbrüchen im Anmeldevorgang führen.

Die Gültigkeitsdauer ist kurz bemessen, weil ein länger gültiger Code auch länger für einen Missbrauch offensteht.

Der Nachrichtentext enthält üblicherweise keine Links, damit sich echte Codes von Phishing-Nachrichten unterscheiden lassen.

Eine Rufnummer als Faktor bleibt an den Anschluss gebunden — bei Rufnummernübernahme durch Dritte entfällt der Schutz.

Welche Kanäle sich für Transaktionsnachrichten eignen, ordnet die Kanalübersicht von helleo ein.