A2P-SMS-Anbieter bewerten: von der Due Diligence bis zu operativen Kontrollen
Ein Leitfaden, um den Anbieter und jede Route getrennt zu bewerten, Nachweise und Unsicherheiten zu dokumentieren und risikogerechte Freigabebedingungen festzulegen.
Zwei unterschiedliche Bewertungen: Anbieter und Route
Die Due Diligence eines Anbieterunternehmens und die Freigabe einer A2P-SMS-Route beantworten unterschiedliche Fragen. Bei der ersten geht es darum, mit wem Sie einen Vertrag schließen, welche Verantwortlichkeiten das Unternehmen übernimmt und wie es seine Abläufe gestaltet. Die zweite betrifft eine konkrete Kombination aus Dienst, Zielgebiet, Traffic-Art und Nutzungsbedingungen.
Eine positive Bewertung des Unternehmens belegt für sich genommen nicht, dass eine Route für ein bestimmtes Zielgebiet oder einen bestimmten Anwendungsfall geeignet ist. Umgekehrt ersetzt ein zufriedenstellender operativer Test einer Route weder die Prüfung des Unternehmens noch des Vertrags oder der angegebenen Lieferkette. Führen Sie getrennte Akten und legen Sie fest, welche Nachweise für beide Bewertungen verwendet werden können.
- Anbieterakte: Identität, Vertragsfähigkeit, Verantwortlichkeiten, Sicherheit, Compliance, Support und angegebene Unterauftragsverhältnisse.
- Routenakte: abgedeckte Zielgebiete und Dienste, angegebene Herkunft, Einschränkungen, Betriebsbedingungen und verfügbare Nachweise für diese Konfiguration.
- Beziehungsübersicht: Erfassen Sie, welches Unternehmen welchen Teil des Dienstes erbringt und wer bei Problemen verantwortlich ist.
Vor der Anforderung von Nachweisen den Prüfungsumfang festlegen
Eine Prüfung ohne klar definierten Umfang führt zu Antworten, die sich nur schwer vergleichen lassen. Halten Sie vor der Anforderung von Unterlagen den zu prüfenden Dienst, die vorgesehenen Zielgebiete, den zu versendenden zulässigen Traffic und die erwarteten Verantwortlichkeiten der einzelnen Parteien fest. Gehen Sie nicht davon aus, dass eine allgemeine Antwort alle Routen, Tochtergesellschaften oder Dienste abdeckt.
Beschreiben Sie auch die Grenzen der Prüfung: Welche Zielgebiete sind ausgeschlossen? Für welche Aussagen sind zusätzliche Nachweise erforderlich? Welche Aspekte konnten nicht überprüft werden? Ändert sich der Umfang, bewahren Sie den Prüfungsverlauf auf und entscheiden Sie, ob eine erneute Prüfung erforderlich ist.
- Identifizieren Sie das Vertragsunternehmen und – soweit angegeben – die an der Leistungserbringung beteiligten Unternehmen.
- Grenzen Sie den Dienst, die Zielgebiete, die Traffic-Art und die Aufgaben der einzelnen Parteien ab.
- Halten Sie Annahmen, Ausschlüsse und offene Fragen fest, bevor Sie eine Freigabe erteilen.
Eine nachvollziehbare Nachweismatrix erstellen
Mit einer Matrix lässt sich eine Aussage von den Nachweisen unterscheiden, auf denen sie beruht. Erfassen Sie für jeden Punkt, was behauptet wird, welches Dokument oder welcher Datensatz geprüft wurde, wer ihn bereitgestellt hat, für welche Unternehmen oder Dienste er gilt und wann die Prüfung stattfand. Ergänzen Sie eine interne zuständige Person, den Status und offene Fragen.
Weisen Sie einer Quelle keinen Geltungsbereich zu, den sie nicht hat. Ein Dokument kann eine allgemeine Richtlinie beschreiben, ohne zu belegen, dass sie für eine bestimmte Route gilt. Eine kommerzielle Aussage ist ebenfalls keine unabhängige Validierung. Reichen die Nachweise nicht aus, dokumentieren Sie die Unsicherheit ausdrücklich, statt daraus eine positive Schlussfolgerung abzuleiten.
- Praktische Felder: Bereich, Aussage, Quelle, Prüfdatum, Geltungsbereich, verantwortliche Person, Status und Anmerkungen.
- Mögliche Statusangaben: ausstehend, Nachweis eingegangen, mit Vorbehalten geprüft, nicht verifiziert oder abgeschlossen. Legen Sie intern fest, was sie bedeuten.
- Bewahren Sie Versionen und Datumsangaben auf, um Änderungen zwischen Prüfungen erkennen zu können.
- Trennen Sie Primärdokumente, Aussagen des Anbieters und betriebliche Beobachtungen; stellen Sie sie nicht als gleichwertige Nachweise dar.
Identität, Vertrag und Lieferkette prüfen
Prüfen Sie, ob das Unternehmen, mit dem Sie verhandeln, eindeutig identifiziert ist und ob der vorgeschlagene Vertragsumfang dem geprüften Dienst entspricht. Klären Sie, wer die maßgeblichen Verpflichtungen übernimmt, wie operative Zuständigkeiten verteilt sind und welche Verfahren es gibt, um Änderungen mitzuteilen, die den Dienst beeinflussen könnten.
Bitten Sie, soweit für die Entscheidung relevant, um eine Beschreibung der Beteiligung Dritter an der Lieferkette. Halten Sie fest, was angegeben wurde und was sich nicht bestätigen ließ. Die verfügbaren Unterlagen können Grenzen haben: Leiten Sie aus einer kommerziellen Präsentation weder unmittelbare Kontrolle noch eine Genehmigung oder Vertragsfähigkeit ab.
- Vergleichen Sie die Unternehmensbezeichnungen in den kommerziellen und vertraglichen Unterlagen.
- Ermitteln Sie die Zuständigkeiten und Kommunikationswege, die im Vertrag vorgesehen sind.
- Dokumentieren Sie angegebene Abhängigkeiten oder Unterauftragsverhältnisse und wie Änderungen daran mitgeteilt werden.
- Legen Sie Unstimmigkeiten je nach internem Verfahren der Rechts- oder Einkaufsabteilung zur Prüfung vor.
Herkunft und Einschränkungen jeder Route bewerten
Bitten Sie um eine Beschreibung der Routenherkunft und der Nutzungsbeschränkungen für den geprüften Dienst. Setzen Sie diese Angaben in Bezug zu den Zielgebieten, dem Traffic und den zu Beginn festgelegten Zuständigkeiten. Die gemachten Angaben belegen für sich genommen weder das technische Verhalten einer Route noch ihre Eignung für beliebige Nutzungen.
Dokumentieren Sie, wie Änderungen an Herkunft, Verfügbarkeit oder Nutzungsbedingungen mitgeteilt werden und wer diese Benachrichtigung erhalten soll. Lässt sich der Geltungsbereich einer Route anhand der Informationen nicht bestimmen, halten Sie sie als ausstehend fest oder beschränken Sie die Freigabe auf die beschriebenen Aspekte. Übertragen Sie Schlussfolgerungen zu einem Zielgebiet oder einer Konfiguration nicht auf andere.
- Erfassen Sie Zielgebiet, Dienst, zulässige Nutzung und Informationsquelle getrennt voneinander.
- Lassen Sie Einschränkungen und Änderungen erläutern, die eine erneute Prüfung erfordern.
- Legen Sie fest, welche verfügbaren Betriebsnachweise beobachtet werden und welche Unsicherheiten bestehen bleiben.
- Behandeln Sie weder einen einzelnen Test noch eine kommerzielle Beschreibung als Garantie für eine künftige Zustellung.
Sicherheit, Daten und Incident-Management
Richten Sie Sicherheitsfragen nach dem Dienst und den tatsächlich verarbeiteten Daten aus. Dokumentieren Sie, welche Informationen weitergegeben werden, welche Kontrollen der Anbieter für den Zugriff auf Zugangsdaten angibt und wer für die Meldung und Bearbeitung relevanter Vorfälle zuständig ist. Gehen Sie nicht davon aus, dass eine Kontrolle besteht oder funktioniert, nur weil sie in einem Gespräch erwähnt wurde.
Prüfen Sie die verfügbaren Nachweise und deren Geltungsbereich: Eine allgemeine Richtlinie beschreibt möglicherweise nicht, welche Komponenten oder Teams vom Dienst umfasst sind. Können Sie einen wichtigen Aspekt nicht verifizieren, dokumentieren Sie diese Einschränkung und legen Sie fest, ob eine Auflage, eine zusätzliche Prüfung oder eine interne Risikoentscheidung erforderlich ist.
- Klären Sie, welche Zugangsdaten oder Daten zu welchem Zweck ausgetauscht werden.
- Fragen Sie nach Verantwortlichen, Kommunikationswegen und Eskalationsverfahren bei Vorfällen.
- Dokumentieren Sie, welche Kontrollen beschrieben und welche Nachweise geprüft wurden und was ungeklärt bleibt.
- Beschränken Sie den Zugriff auf sensible Unterlagen gemäß den Richtlinien Ihrer Organisation.
Traffic-Governance und Beschwerdemanagement
Bei der Anbieterbewertung sollte berücksichtigt werden, wie die Verantwortlichkeiten für zulässigen Traffic verteilt sind. Klären Sie, welche Partei die für den Absender geltenden Anforderungen, die Einwilligung und die Einstufung der Nachricht verwaltet und wie Beschwerden bearbeitet werden. Die konkreten Pflichten hängen vom Kontext und den geltenden Regeln ab; ersetzen Sie sie nicht durch eine allgemeine Aussage des Anbieters.
Legen Sie fest, welche Informationen zur Untersuchung einer Beschwerde benötigt werden und wie sie im vereinbarten Rahmen ausgetauscht werden. Belassen Sie Nachrichten, Listen und Versandprozesse unter den Kontrollen Ihrer Organisation. Gehen Sie nicht davon aus, dass eine Route die Einwilligung oder Rechtmäßigkeit eines Versands selbst überprüft.
- Weisen Sie die Verantwortlichkeiten des Absenders und des Anbieters schriftlich zu.
- Klären Sie, wie Beschwerden entgegengenommen, eskaliert und dokumentiert werden.
- Erfassen Sie die Traffic-Art und die zulässigen Nutzungen für den geprüften Umfang.
- Leiten Sie Fragen zu regulatorischen Anforderungen an die Compliance-Verantwortlichen oder die Rechtsberatung weiter.
Operativer Support und Leistungsnachweise
Bewerten Sie, ob Supportkanäle, Eskalationswege und die Kommunikation bei Vorfällen zum geplanten Betrieb passen. Dokumentieren Sie die vereinbarten Zusagen und verfügbaren Nachverfolgungsmöglichkeiten, verwechseln Sie diese aber nicht mit garantierten Ergebnissen. Eine zugesagte Reaktionszeit belegt weder die Zustellung einer Nachricht noch, dass ein Vorfall innerhalb eines bestimmten Zeitraums gelöst wird.
Wenn Betriebsdaten verfügbar sind, grenzen Sie ein, was sie zeigen und was nicht. Ein von einem System gemeldeter Zustellstatus ist beispielsweise nicht automatisch eine unabhängige Bestätigung des Empfangs auf dem Mobiltelefon. Eine Vereinbarung darüber, wie Statusangaben und ihre Grenzen erläutert werden, verringert das Risiko von Fehlinterpretationen.
- Bestätigen Sie Kommunikationswege, Kontaktpersonen, Eskalationsverfahren und das Format für Vorfallmeldungen.
- Dokumentieren Sie, welche Datensätze einsehbar sind, welchen Umfang sie haben und welche Einschränkungen bekannt sind.
- Trennen Sie vertragliche Zusagen, gemeldete Daten und beobachtete Ergebnisse voneinander.
- Vereinbaren Sie, wie Vorfälle dokumentiert werden und welche Informationen für ihre Analyse benötigt werden.
Häufige Fragen
Bedeutet die Freigabe eines Anbieters, dass alle seine Routen zugelassen sind?
Nein. Die Bewertung des Unternehmens und die Prüfung jeder einzelnen Route haben unterschiedliche Geltungsbereiche. Dokumentieren Sie Zielgebiete, Dienste, Einschränkungen und verfügbare Nachweise getrennt.
Was ist zu tun, wenn der Anbieter für eine Aussage keine Nachweise vorlegen kann?
Kennzeichnen Sie die Aussage als nicht verifiziert, halten Sie die geprüfte Quelle fest und entscheiden Sie, ob zusätzliche Informationen angefordert, der Umfang eingeschränkt, eine Auflage festgelegt oder der betreffende Punkt nicht freigegeben werden soll.
Wie lassen sich anfängliche Traffic-Grenzen festlegen?
Aus den verfügbaren Informationen lässt sich kein allgemeingültiger Grenzwert ableiten. Legen Sie interne Grenzen proportional zum Risiko und zum freigegebenen Umfang fest – mit verantwortlicher Person, Begründung, Anpassungsbedingungen und Prüftermin.
Welche Ereignisse sollten eine erneute Prüfung auslösen?
Sie können eine erneute Prüfung bei wesentlichen Änderungen am Unternehmen, am Vertrag, an der angegebenen Lieferkette, an Herkunft oder Einschränkungen einer Route, an den Supportzuständigkeiten oder an den Sicherheitsbedingungen vorsehen. Legen Sie solche Ereignisse nach Ihrem Verfahren fest und dokumentieren Sie die Prüfungen.
Garantiert ein Betriebstest die künftige Zustellung von Nachrichten?
Nein. Eine Beobachtung bezieht sich auf einen bestimmten Umfang und Zeitpunkt und ist nicht als Zukunftsgarantie zu verstehen. Dokumentieren Sie, was mit welchen Nachweisen beobachtet wurde und welche Grenzen dabei gelten.
Verwendete Quellen
- Serie de especificaciones 3GPP3GPP
- Recomendación E.164Unión Internacional de Telecomunicaciones (UIT-T)
- Recursos sobre redesGSMA