Transaktional, OTP oder Marketing: Operativer Rahmen zur Klassifizierung von A2P-SMS-Traffic vor dem Versand

Die Klassifizierung muss dem Routing vorausgehen

Die Klassifizierung von A2P-SMS-Traffic ist kein kommerzielles Etikett, das erst am Ende des Prozesses hinzugefügt wird. Sie ist eine operative Governance-Entscheidung, die vor der Auswahl einer Route, eines Absenders, einer Vorlage, einer Frequenzrichtlinie oder eines Incident-Managements getroffen werden muss.

Ein einziges Messaging-Programm kann unterschiedliche Anwendungsfälle enthalten. Beispielsweise kann der Zugang zu einem Konto ein OTP erfordern, ein Kauf kann eine funktionale Bestätigung auslösen und eine spätere Kampagne kann Produkte oder Dienstleistungen bewerben. Werden alle drei unter einer allgemeinen Bezeichnung wie „Benachrichtigungen“ zusammengefasst, wird es schwieriger, einheitliche Kontrollen anzuwenden und zu belegen, warum jeder Versand angemessen war.

Die Entscheidung sollte mit dem Anwendungsfall verknüpft sein, nicht nur mit der einzelnen Nachricht. So arbeiten Betrieb, Produkt, Compliance und Routing mit einer gemeinsamen Definition, die überprüft werden kann, wenn sich Vorlage, Auslöser, Zielland oder Kontaktbasis ändern.

• Klassifizieren Sie vor dem Versand, nicht erst nach der Auswertung technischer Ergebnisse.
• Wenden Sie die Klassifizierung auf den Anwendungsfall und seine Generierungsregeln an.
• Überprüfen Sie die Klassifizierung, wenn sich Inhalt, Zweck, Ziel, oder Produktfluss ändern.
• Nutzen Sie keine Kategorie als Argument, um geltende Anforderungen in einem Markt oder auf einer Route zu umgehen.

Drei operative Kategorien: OTP, transaktional und Marketing

OTP, transaktional und Marketing beschreiben unterschiedliche operative Zwecke. Die Unterscheidung hängt nicht allein von einem Wort im Text, einem internen Kampagnenlabel oder davon ab, ob die Nachricht automatisiert versendet wird.

Ein OTP ist an einen konkreten Authentifizierungs- oder Wiederherstellungsvorgang gebunden und übermittelt ein kurzlebiges Geheimnis. Eine transaktionale Nachricht vermittelt notwendige Informationen zu einem Serviceereignis. Eine Marketingnachricht soll gegenüber einer Zielgruppe werben, überzeugen oder eine geschäftliche Handlung auslösen.

Diese Kategorien können je nach Land, Mobilfunkanbieter, Route und Beziehung zum Empfänger unterschiedlichen Regeln unterliegen. Die interne Klassifizierung sollte daher konservativ erfolgen und ersetzt nicht die Prüfung der für jedes Ziel geltenden Anforderungen.

• OTP: ermöglicht einen Authentifizierungs- oder Wiederherstellungsvorgang mittels eines Geheimnisses mit begrenzter Nutzung.
• Transaktional: informiert über ein Serviceereignis und beschränkt sich auf das für dieses Ereignis Erforderliche.
• Marketing: enthält einen werblichen, überzeugenden oder kommerziellen Zweck, auch wenn sie sich an bestehende Kontakte richtet.

Der Text allein bestimmt die Kategorie nicht

Wörter wie „Code“, „Bestätigung“, „Hinweis“ oder „Angebot“ liefern Anhaltspunkte, lösen die Klassifizierung jedoch nicht allein. Eine Nachricht mit einem Code ist nur dann ein OTP, wenn ein konkreter Authentifizierungsvorgang sie auslöst, der Code diesen Vorgang ermöglicht und der Ablauf geeignete Kontrollen für Gültigkeit, Nutzung und Wiederholungsversuche anwendet.

Ebenso kann eine Bestellbestätigung funktional sein, wenn sie notwendige Angaben zu einem bereits getätigten Kauf übermittelt. Fügt sie Cross-Selling, einen Rabatt oder eine Einladung zu einem weiteren Kauf hinzu, enthält sie einen werblichen Zweck, der gesondert bewertet werden muss.

Die Klassifizierung muss den gesamten Ablauf berücksichtigen: Wer die Nachricht erhält, welches Ereignis sie auslöst, welche Handlung sie ermöglicht, welche Beziehung den Kontakt rechtfertigt und welche kommerzielle Komponente sie enthält.

• Klassifizieren Sie eine Nachricht nicht nur deshalb als OTP, weil sie Ziffern oder das Wort „Code“ enthält.
• Klassifizieren Sie eine Kampagne nicht nur deshalb als transaktional, weil sie sich an bestehende Kunden richtet.
• Behalten Sie keine funktionale Klassifizierung bei, wenn eine neue Vorlagenversion kommerzielle Überzeugungselemente hinzufügt.
• Dokumentieren Sie die Beziehung zwischen der Nachricht und dem auslösenden Ereignis oder der Transaktion.

Vier Fragen zur Klassifizierung jedes Anwendungsfalls

Ein wiederholbarer Rahmen beginnt mit vier Fragen. Sie sollten für jeden Anwendungsfall, jede Vorlage und jedes relevante Ziel beantwortet werden, nicht anhand allgemeiner Annahmen über die Marke oder Branche.

Die erste Frage lautet, was die Nachricht auslöst. Die zweite fragt, welche Handlung sie ermöglicht oder welche notwendige Information sie liefert. Die dritte betrifft die Beziehung zum Empfänger, die den Kontakt rechtfertigt. Die vierte lautet, ob der Inhalt werblichen oder überzeugenden Wert enthält.

Wenn sich die Antworten durch eine Produktänderung, eine neue Automatisierung oder eine Vorlagenvariante ändern, muss der Anwendungsfall erneut geprüft werden.

• Was löst sie aus? Beispiele: Zugriffsanfrage, abgeschlossener Kauf, Statusänderung eines Dienstes oder geplante Kampagne.
• Welche Handlung ermöglicht sie? Authentifizieren, Zugang wiederherstellen, Servicedaten abrufen, eine vertragliche Handlung abschließen oder kaufen.
• Welche Beziehung rechtfertigt sie? Eine vom Nutzer initiierte Anfrage, eine bestehende Transaktion, eine Servicebeziehung oder eine dokumentierte Kontaktbasis.
• Welchen werblichen Wert enthält sie? Rabatte, Kaufaufforderungen, kommerzielle Empfehlungen, Anreize oder Cross-Selling.

Rahmen für OTP: konkrete Authentifizierung, Kontext und Kontrollen für Wiederholungsversuche

Ein OTP muss einem konkreten Authentifizierungs- oder Wiederherstellungsvorgang zugeordnet sein. NIST beschreibt die Out-of-Band-Authentifizierung als einen verknüpften Vorgang zwischen dem primären und dem sekundären Kanal, nicht als bloßen Versand eines Codes per SMS. Die OTP-Klassifizierung erfordert daher, die Anfrage zu erfassen, die die Nachricht ausgelöst hat, sowie die Handlung, die das Geheimnis ermöglicht.

Der Inhalt sollte kurz und kontextbezogen sein. Der Empfänger muss den Dienst und die Anfrage erkennen können, auf die sich der Code bezieht. NIST weist darauf hin, dass Out-of-Band-Nachrichten kontextbezogene Informationen enthalten müssen, etwa den Namen des Dienstes, auf den zugegriffen wird.

Geheimnisse müssen für eine begrenzte Nutzung ausgelegt sein. NIST legt fest, dass ein Geheimnis bei Out-of-Band-Authentifizierung nur einmal akzeptiert werden darf und die Authentifizierung nicht als gültig gelten darf, wenn sie nicht innerhalb von zehn Minuten abgeschlossen wird. Zudem verlangt NIST zufällige Geheimnisse mit mindestens sechs Dezimalstellen oder einem gleichwertigen Umfang.

Die Kontrolle von Wiederholungsversuchen darf nicht allein durch das erneute Versenden von Nachrichten erfolgen. NIST verlangt eine Begrenzung der Versuche, wenn das Geheimnis weniger als 64 Bit hat, und weist darauf hin, dass die Generierung eines neuen Geheimnisses den Zähler fehlgeschlagener Versuche nicht zurücksetzen darf. Regeln für erneuten Versand, Validierung und Sperrung müssen Teil des Authentifizierungsablaufs sein und mit dem ursprünglichen Ereignis korreliert werden.

SMS-OTP darf nicht als phishing-resistente Authentifizierung dargestellt werden. NIST stellt ausdrücklich fest, dass Out-of-Band-Authentifizierung nicht phishing-resistent ist. Wenn das öffentliche Telefonnetz zur Übermittlung eines Geheimnisses genutzt wird, verlangt NIST außerdem alternative Authentifizierungsmethoden für Abonnenten und empfiehlt, vor dem Versand Risikosignale wie Gerätewechsel, SIM-Wechsel, Rufnummernportierung oder andere anomale Verhaltensweisen zu berücksichtigen.

• Verknüpfen Sie jedes OTP mit einer identifizierbaren Authentifizierungs- oder Wiederherstellungsanfrage.
• Fügen Sie einen erkennbaren Kontext zum Dienst und zum angeforderten Vorgang hinzu.
• Verwenden Sie ein zufälliges, einmalig nutzbares Geheimnis mit begrenzter Gültigkeitsdauer.
• Wenden Sie Versuchslimits an und setzen Sie den Zähler beim Generieren eines neuen Codes nicht zurück.
• Kontrollieren Sie erneute Versandvorgänge und bewerten Sie bei Bedarf Risikosignale vor der Übermittlung des Geheimnisses.
• Fügen Sie der OTP-Vorlage keine Rabatte, Angebote, Empfehlungen oder andere kommerzielle Anreize hinzu.
• Halten Sie alternative Authentifizierungsmethoden für Nutzer bereit.

Rahmen für transaktionale Nachrichten: Serviceereignis und unverzichtbare Informationen

Eine transaktionale Nachricht übermittelt notwendige Informationen zu einem Serviceereignis. Dies kann beispielsweise eine Bestellbestätigung, eine Statusänderung, eine Betriebswarnung oder eine Erinnerung im Zusammenhang mit einer Servicebeziehung sein. Die Klassifizierung hängt davon ab, dass das Ereignis existiert, identifizierbar ist und den Versand rechtfertigt.

Die Vorlage sollte auf die unverzichtbaren Informationen beschränkt sein, damit der Empfänger das Ereignis versteht oder darauf reagieren kann. Wenn der Hauptzweck darin besteht, über einen Kauf, einen Dienst oder eine bereits initiierte Handlung zu informieren, kann die Nachricht innerhalb eines operativen Rahmens in dieser Kategorie bleiben. Soll die Vorlage einen zusätzlichen Kauf erzeugen, kommerzielle Aufmerksamkeit gewinnen oder eine neue Entscheidung fördern, muss sie als Marketing oder gemischte Nachricht überprüft werden.

Es empfiehlt sich, eine Referenz zum Ereignis zu erfassen: Bestell-, Vorgangs-, Termin-, Konto- oder interner Prozessbezeichner, je nach Fall. Es ist nicht erforderlich, all diese Daten im SMS-Text aufzunehmen, jedoch sollten interne Nachweise vorhanden sein, die den Versand mit dem auslösenden Ereignis verknüpfen.

• Fordern Sie einen überprüfbaren Serviceauslöser.
• Beschränken Sie die Vorlage auf nützliche und für dieses Ereignis notwendige Informationen.
• Bewahren Sie eine Korrelationsreferenz zwischen der Nachricht und dem Ursprungsereignis auf.
• Überprüfen Sie jede Änderung, die Empfehlungen, Anreize, Cross-Selling oder kommerzielle Handlungsaufforderungen einführt.
• Gehen Sie nicht davon aus, dass eine bestehende Beziehung geltende Datenschutz- oder Anforderungen an kommerzielle Kommunikation aufhebt.

Rahmen für Marketing: Werbung, Überzeugung und dokumentierte Zielgruppe

Eine Nachricht sollte als Marketing behandelt werden, wenn ihr Zweck darin besteht, ein Angebot zu bewerben, zum Kauf zu bewegen, ein Produkt oder eine Dienstleistung zu empfehlen, eine Zielgruppe zu reaktivieren oder eine kommerzielle Handlung anzustoßen. Die Klassifizierung bleibt Marketing, auch wenn der Empfänger bereits Kunde ist, die Nachricht nützliche Informationen enthält oder als Teil einer Automatisierung geplant wird.

Der Betrieb muss den werblichen Zweck und die für das Ziel geltende Kontaktbasis dokumentieren. Der Datenschutzrahmen der Europäischen Union regelt die Verarbeitung personenbezogener Daten. Daher erfordert die Wiederverwendung einer Datenbasis für Werbung, dass Zweck und geltende Grundlage für das jeweilige Land angemessen erfasst werden.

Marketing erfordert spezifische Kontrollen für Zielgruppe und Unterdrückung. Vor dem Versand muss das Team bestimmen können, welches Segment die Kommunikation erhält, warum es berechtigt ist, welche Einschränkungen gelten und wie entsprechende Abmeldeanfragen oder Ausschlussstatus behandelt werden.

• Klassifizieren Sie Rabatte, Angebote, Empfehlungen, Kaufeinladungen und Reaktivierungskampagnen als Marketing.
• Dokumentieren Sie den Zweck und die für das Ziel geltende Kontaktbasis.
• Wenden Sie Sperrlisten und Berechtigungsregeln an, bevor Sie die endgültige Zielgruppe erstellen.
• Definieren Sie Frequenz- und Zeitrichtlinien, die mit den geltenden Anforderungen und der erwarteten Empfängererfahrung vereinbar sind.
• Überprüfen Sie Absender, Vorlagen und Routen anhand der Einschränkungen des Landes und der verwendeten Konnektivität.

Grenzfälle und gemischte Nachrichten

Grenzfälle erfordern die Analyse des vorherrschenden Zwecks und jeder Inhaltskomponente. Eine Bestellbestätigung ohne werbliche Elemente kann transaktional sein. Dieselbe Bestätigung mit einem Cross-Selling-Angebot enthält bereits eine Marketingkomponente. Die transaktionale Kennzeichnung nur deshalb beizubehalten, weil Bestelldaten enthalten sind, ist keine ausreichend vorsichtige Entscheidung.

Eine Verlängerungserinnerung kann funktional sein, wenn sie über ein Datum, einen Status oder eine notwendige Handlung innerhalb eines bestehenden Dienstes informiert. Wenn sie zu einer Einladung wird, ein Upgrade abzuschließen, einen Tarif zu erweitern oder einen Rabatt zu nutzen, muss sie aufgrund ihrer werblichen Komponente überprüft werden.

Auch Guthabenwarnungen, Einladungen und Kontowiederherstellungen benötigen Kontext. Eine Servicewarnung kann funktional sein; eine Einladung zur Gewinnung neuer Nutzer hat in der Regel einen werblichen Zweck; und eine Kontowiederherstellungsnachricht mit Angebot sollte nicht automatisch ihre OTP- oder transaktionale Klassifizierung behalten.

Bei einer gemischten Nachricht gibt es drei vorsichtige operative Optionen: die Sendungen trennen, die werbliche Komponente aus der funktionalen Nachricht entfernen oder auf die Gesamtnachricht das strengste anwendbare Regelwerk anwenden. Die Entscheidung sollte dokumentiert werden.

• Bestellbestätigung mit Cross-Selling: Trennen Sie Bestätigung und Werbung oder behandeln Sie das Ganze mit den geltenden Marketingkontrollen.
• Verlängerungserinnerung: Behalten Sie sie nur dann als funktional bei, wenn sie ohne zusätzliche kommerzielle Überzeugung über den Dienst informiert.
• Guthabenwarnung: Prüfen Sie, ob sie über einen Servicezustand informiert oder durch einen Anreiz zum Kauf oder Aufladen bewegt.
• Einladung: Analysieren Sie, ob sie eine notwendige Kommunikation innerhalb einer bestehenden Beziehung oder eine Akquisitionsmaßnahme ist.
• Kontowiederherstellung mit Angebot: Trennen Sie das Geheimnis oder die Wiederherstellungsanweisung von jeglicher Werbung.