AIT-Betrug erklärt: Wie Angreifer dein OTP-Budget leerräumen

Irgendwo in deinem Signup-Funnel gibt es einen Endpunkt, der jedem, der darum bittet, eine Textnachricht sendet — kein Login erforderlich, und das mit Absicht, denn es geht ja gerade darum, jemanden zu verifizieren, bevor er ein Konto hat. Genau das macht ihn auch profitabel für Angreifer. Das Schema heißt Artificially Inflated Traffic (AIT)-Betrug, manchmal auch SMS Pumping genannt, und Branchenschätzungen beziffern den Schaden auf rund 1,6 Milliarden Dollar pro Jahr. Die meisten Teams hören davon erst, wenn ihre SMS-Rechnung ohne erkennbaren Grund in die Höhe schießt.

So funktioniert es tatsächlich, warum es so schwer zu erkennen ist — und was wirklich dagegen hilft.

Was AIT-Betrug ist

AIT-Betrug zielt nicht auf deine Nutzer — er zielt direkt auf deinen OTP-Endpunkt. Ein Betrüger kontrolliert eine Premium-Terminierungsroute oder hat eine Umsatzbeteiligung daran: einen Nummernbereich, bei dem der lokale Carrier (oder ein „Gray-Route"-Reseller zwischen deinem SMS-Anbieter und dem Carrier) für jede zugestellte Nachricht eine Terminierungsgebühr kassiert. Der Betrüger nutzt dann Bots oder Skripte, um deinen „Verifizierungscode senden"-Endpunkt tausendfach gegen Nummern auf dieser Route auszulösen.

Dein SMS-Anbieter stellt die Nachrichten zu — oder meldet zumindest, dass er es getan hat — und stellt dir die Nachrichten in Rechnung. Ein Teil dessen, was du bezahlt hast, fließt zurück an denjenigen, der die Zielroute kontrolliert. Niemand gibt jemals den Code ein. Niemand musste das. Der Betrug ist in dem Moment abgeschlossen, in dem die Nachricht versendet wird.

Warum es so schwer zu erkennen ist

Eine einzelne betrügerische OTP-Anfrage sieht identisch aus wie eine echte: eine Telefonnummer, ein API-Call, kein Passwort, kein Konto, das als kompromittiert markiert werden könnte. Auf Tausende von Nummern skaliert und über viele IPs verteilt, geht sie fast nahtlos im normalen Signup-Traffic unter. Auch einfache Abwehrmaßnahmen helfen kaum — CAPTCHA bremst naive Skripte, aber keine finanzierte Operation mit residenziellen Proxys, und Rate-Limiting allein nach IP lässt sich leicht umgehen.

Der Hinweis steckt meist in Zahlen, die man erst im Nachhinein bemerkt: steigendes Verifizierungs-Sendevolumen bei gleichbleibenden tatsächlichen Signups, Zustellkosten, die sich auf eine Handvoll unbekannter Ländervorwahlen konzentrieren, und Completion-Raten (tatsächlich eingegebene Codes), die für einen Teil des Traffics einbrechen. Bis sich das in der Monatsrechnung zeigt, ist der Schaden bereits entstanden.

Typische Angriffsmuster

• Bot-gesteuerter Signup-Missbrauch — Skripte bombardieren ein öffentliches Registrierungs- oder Passwort-Reset-Formular ausschließlich, um OTP-Versand auszulösen, ohne den Flow je abzuschließen.
• Route-Targeting — Traffic zielt überproportional auf Premium- oder ungewöhnliche Ziele, da dort die Terminierungsauszahlung am höchsten ist.
• Ausnutzung von Gray Routes — Betrug ist dort am leichtesten, wo eine SMS mehrere Reseller durchläuft, bevor sie einen Carrier erreicht; mehr Hops bedeuten mehr Gelegenheiten für jemanden in der Kette, vom aufgeblähten Volumen zu profitieren.
• Low-and-Slow-Kampagnen — manche Operationen bleiben bewusst unter offensichtlichen Rate-Limit-Schwellen und verteilen Anfragen über Zeit und IP-Bereiche, um einer Erkennung vollständig zu entgehen.

Was tatsächlich dagegen hilft

Nichts davon ist exotisch — es ist dieselbe Hygiene, in die die meisten Teams erst investieren, wenn es sie etwas kostet:

• Rate-Limiting pro Telefonnummer und Gerät, nicht nur pro IP — ein echter Nutzer fordert nicht fünf Codes in zehn Sekunden an.
• CAPTCHA oder Proof-of-Work vor dem OTP-Versand, insbesondere bei nicht authentifizierten Endpunkten wie Signup und Passwort-Reset.
• Telefonnummer-Validierung vor dem Versand — ein Carrier-/HLR-Lookup erkennt ungültige, unerreichbare oder bekanntermaßen missbräuchliche Nummernbereiche, bevor du für den Versand bezahlst.
• Zustell- und Kostenüberwachung mit Anomalie-Alerts — plötzliche Volumenspitzen zu unbekannten Ländern melden, nicht erst monatliche Summen nach Rechnungseingang.
• Weniger Reseller im Zustellpfad — jeder Gray-Route-Hop zwischen deinem Anbieter und dem Zielcarrier ist ein potenzieller Teilnehmer an der Auszahlungskette des Betrugs.

Dieser letzte Punkt ist die strukturelle Lösung, nicht nur eine Abmilderung. Und genau hier zählt die Kanalwahl mehr, als die meisten Teams realisieren.

Warum Verify Call das Problem komplett umgeht

AIT-Betrug ist im Kern eine Ausnutzung der SMS-Terminierungsgebühr — er setzt voraus, dass eine Nachricht abrechenbar ist und über eine Kette routbar, in der jemand stromabwärts vom Volumen profitiert. Verify Call hat diese Ökonomie nicht. Es gibt keinen SMS-Text, der über weiterverkaufbare Gray Routes läuft, und keine Terminierungsgebühr pro Nachricht, die ein Betrüger abschöpfen könnte; der „Code" ist eine Anrufer-ID bei einem direkten Sprachanruf über die Carrier-Infrastruktur, keine abrechenbare Payload, die durch Zwischenhändler wandert. Deshalb macht es AIT nicht nur schwerer — es entfernt die Angriffsfläche vollständig.

Für SMS-Traffic, den du weiterhin versendest — etwa über WhatsApp- oder Telegram-Fallback-Korridore — zählt Routing mit weniger Zwischenstationen trotzdem. Novauth verbindet sich direkt mit Tier-1-Carrier-Netzwerken über gesichertes SS7 und SIP, statt über Gray-Route-Aggregatoren weiterzuverkaufen, und jeder Versand wird mit Carrier, Dauer und Ergebnis protokolliert, sodass anomales Volumen in deinem Dashboard sichtbar ist — nicht erst in der Rechnung des nächsten Monats vergraben.

Fazit

AIT-Betrug lebt von zwei Dingen: einem nicht authentifizierten Endpunkt, der etwas Abrechenbares versendet, und genug Hops im Zustellpfad, damit jemand vom aufgeblähten Volumen profitiert. Das Erste kannst du nicht entfernen, ohne dein Produkt zu brechen — Verifizierung muss funktionieren, bevor ein Login existiert. Das Zweite aber schon: entweder indem du den SMS-Pfad, den du bereits hast, absicherst, oder indem du deinen primären Verifizierungskanal auf einen umstellst, bei dem der Exploit schlicht nicht greift.

Vergleiche Kanäle bei den Preisen, lies mehr zu Sicherheit, oder sieh dir an, wie Verify Call funktioniert — von Anfang bis Ende.