Annahmekontrollen für A2P-SMS-Verkehr: So prüfen Sie jeden Nachrichtenfluss vor dem Routing
Ein Leitfaden für den operativen Betrieb: Zweck, Absender, Ziel und Nachrichtenprofil dokumentieren, Prüfungen vor dem Versand durchführen und Ausnahmen verwalten, ohne Zulässigkeit mit der Routenqualität zu verwechseln.
Warum die Zulässigkeit vor der Routenauswahl geprüft werden sollte
Die Auswahl einer Route und die Zulassung eines Nachrichtenflusses sind zwei unterschiedliche Entscheidungen. Bei der ersten werden Verbindungsoptionen für ein Ziel verglichen; bei der zweiten wird festgestellt, ob der eingehende Verkehr den für diesen Dienst dokumentierten Bedingungen entspricht. Prüfen Sie daher zuerst die Zulässigkeit und bewerten Sie anschließend, welche verfügbaren Routen geeignet sind.
Diese Kontrollen helfen dabei, Änderungen an Absender, Zweck oder Inhalt nicht zu übersehen. Sie bescheinigen weder die Zustellung einer Nachricht noch ersetzen sie die gesetzlichen und vertraglichen Pflichten oder die für das Ziel geltenden Betreiberrichtlinien.
- Legen Sie die Prüfeinheit fest: Kunde, Anwendung, Absender, Kampagne oder eindeutig identifizierter Nachrichtenfluss.
- Trennen Sie das Zulassungsergebnis – annehmen, ablehnen oder zur Prüfung weiterleiten – von den Kennzahlen zur Routenqualität.
- Dokumentieren Sie die vereinbarten Bedingungen und wer zu ihrer Änderung befugt ist.
Welche Bedingungen ausdrücklich festgehalten werden sollten
Bevor Sie Kontrollen automatisieren, überführen Sie die Betriebsvereinbarung in konkrete Felder. Dokumentieren Sie mindestens den angegebenen Zweck, den zulässigen Absender, die abgedeckten Ziele und das erwartete Inhaltsprofil. Ergänzen Sie die Bedingungen, die tatsächlich Teil der Vereinbarung oder der geltenden Regeln sind. Gehen Sie nicht davon aus, dass eine allgemeine Liste alle Länder und Betreiber abdeckt.
Das Inhaltsprofil kann die Nachrichtenart – beispielsweise OTP, transaktional oder Marketing –, die erwartete Struktur, die Art der Variablen und das Vorhandensein von Links beschreiben. Wenn URLs vorkommen, dokumentieren Sie, welche zulässig sind und wie Links angegeben werden müssen; gegebenenfalls auch verkürzte Links. Dies ist ein nützliches Betriebskriterium, sollte aber nicht als allgemeine Pflicht dargestellt werden: Die kolumbianische CRC beschrieb Anforderungen an Vorlagen und Links im Rahmen konkreter Regulierungsvorschläge.
- Zweck: Welche Verwendung wird angegeben und welche Verwendungen sind von der vereinbarten Reichweite ausgeschlossen?
- Absender: Zulässiger Wert oder zulässige Wertemenge, erwartetes Format und Autorisierungsstatus, sofern diese Information verfügbar ist.
- Ziel: Ausdrücklich eingeschlossene Länder, Netze oder andere Bereiche sowie bekannte Einschränkungen.
- Inhalt: Nachrichtenart, Struktur, vorgesehene Variablen und Vorhandensein von URLs oder anderen Elementen mit besonderen Bedingungen.
- Gültigkeit: Versionsstand der Bedingungen, Prüfdatum und für die Genehmigung verantwortliche Person.
Dokumentierte Bedingungen in überprüfbare Regeln überführen
Jede Bedingung sollte in einen beobachtbaren Test mit einem festgelegten Ergebnis übersetzt werden. Muss der Absender beispielsweise zu einer Liste zugelassener Absender gehören, vergleichen Sie den empfangenen Wert mit dieser Liste. Ist das Ziel nicht von der Vereinbarung abgedeckt, stoppen Sie den Versand oder leiten Sie ihn zur Prüfung weiter, statt eine Genehmigung anzunehmen.
Wandeln Sie eine unklare Beschreibung nicht in eine großzügige Regel um. Steht in der Vereinbarung lediglich „Servicenachrichten“, ohne Zwecke oder Absender näher einzugrenzen, bitten Sie um Klarstellung, bevor Sie die Zulassung erweitern. Die Regeln können in einem eigenen System oder an einem verfügbaren Integrationspunkt umgesetzt werden. Gehen Sie nicht davon aus, dass eine externe Plattform diese Prüfungen automatisch ausführt.
- Formulieren Sie jede Regel als Bedingung, Datenquelle und Ergebnis bei Übereinstimmung beziehungsweise fehlender Übereinstimmung.
- Verwenden Sie versionierte Listen oder Kataloge für Absender, Ziele und Profile, sofern die Vereinbarung dies vorsieht.
- Legen Sie fest, welche Felder erforderlich sind und wie bei fehlenden Angaben vorzugehen ist.
- Testen Sie zulässige, unzulässige und mehrdeutige Fälle, bevor Sie die Kontrolle aktivieren.
Prüfungen bei der Einrichtung eines Kunden, Absenders oder Nachrichtenflusses
Fordern Sie bei der Einrichtung eines Nachrichtenflusses ein Profil an, das mit der Geschäftsvereinbarung und den Regeln des Ziels übereinstimmt. Prüfen Sie, ob der beschriebene Zweck zum Inhaltsprofil passt und ob jeder Absender und jedes Ziel innerhalb der dokumentierten Reichweite liegt. Vergleichen Sie spätere Änderungen mit der genehmigten Version; behandeln Sie eine wesentliche Änderung nicht als bloße technische Aktualisierung.
Für Vorlagen beschreibt ein Regulierungsvorschlag der CRC in Kolumbien, A2P-Nachrichten mit genehmigten und gültigen Vorlagen zu verknüpfen und dabei die angegebene Struktur, den Zweck und die Nachrichtenart auch bei variablen Feldern einzuhalten. Dieses Dokument begründet für sich genommen keine Pflicht, die in allen Ländern oder für alle Routen gilt. Es stellt außerdem klar, dass sich die beschriebene Prüfung auf statische Inhalte und die Bedeutung dynamischer Felder bezieht, nicht unbedingt auf den endgültigen Text jeder einzelnen Nachricht oder den konkreten Wert von Daten wie einem OTP.
- Stellen Sie sicher, dass die Nutzungsbeschreibung und das angeforderte Profil einander nicht widersprechen.
- Prüfen Sie die Autorisierung des Absenders anhand des für das jeweilige Ziel dokumentierten Verfahrens; gehen Sie nicht von einem universellen Register aus.
- Prüfen Sie, ob das Ziel von der Vereinbarung abgedeckt ist und bekannte Einschränkungen berücksichtigt sind.
- Bewahren Sie die genehmigte Profilversion, das Datum und die Identität oder Funktion der Person auf, die die Einrichtung genehmigt hat.
Umgang mit fehlenden, widersprüchlichen oder mehrdeutigen Angaben
Fehlende Angaben bedeuten nicht, dass eine Genehmigung vorliegt. Legen Sie für jedes Feld eine Vorgehensweise fest: ablehnen, zurückstellen oder um Klärung bitten. Bei Angaben, die über die Zulässigkeit entscheiden – beispielsweise Zweck, Absender oder Ziel –, ist eine Prüfung sicherer, als fehlende Informationen durch Annahmen zu ersetzen.
Wenn sich zwei Quellen widersprechen, legen Sie fest, welche davon als aktuelle betriebliche Referenz gilt und wer den Konflikt klären darf. Lassen Sie den Verkehr in Prüfung, bis die Abweichung geklärt ist, sofern sie die vereinbarte Reichweite betrifft. Versuchen Sie nicht, den Verkehr durch Änderungen an Absender, Inhalt oder Route so anzupassen, dass Filter oder Einschränkungen umgangen werden.
- Erforderliches Feld fehlt: erst weiterleiten, wenn die Angabe vorliegt oder das genehmigte Prüfverfahren angewendet wurde.
- Angabe widerspricht der Vereinbarung: Den betreffenden Nachrichtenfluss ablehnen oder aussetzen und den konkreten Grund mitteilen.
- Widersprüchliche Informationen: Quellen dokumentieren und an die zuständige Person eskalieren.
- Unklarheit zu den Regeln des Ziels: Die Anforderung bei der zuständigen Stelle klären, bevor die Reichweite erweitert wird.
Ausnahmen verwalten: Zuständigkeit, Umfang und Nachweise
Eine Ausnahme muss ausdrücklich, begrenzt und überprüfbar sein. Dokumentieren Sie, wer sie beantragt und genehmigt, welchen Kunden und Nachrichtenfluss sie betrifft, welche Bedingung geändert wird und wie lange sie gilt. Ist kein Ablaufdatum festgelegt, bestimmen Sie einen Prüftermin und verhindern Sie, dass eine befristete Ausnahme unbemerkt zur allgemeinen Regel wird.
Die Nachweise sollten eine Rekonstruktion der Entscheidung ermöglichen, ohne unnötige Inhaltsdaten aufzubewahren. Speichern Sie den Verweis auf die Vereinbarung, die Konfigurationsversion und die Begründung. Begrenzen Sie den Zugriff gemäß den geltenden Datenschutz- und Sicherheitsrichtlinien. Konkrete Aufbewahrungspflichten hängen vom rechtlichen und vertraglichen Kontext ab.
- Bestimmen Sie – sofern der Prozess dies ermöglicht – eine genehmigende Person, die nicht für die automatische Ausführung zuständig ist.
- Beschränken Sie die Ausnahme auf den betroffenen Absender, das Ziel, den Zweck und das Profil.
- Legen Sie Ablaufdatum, Überprüfung und Bedingungen für einen Widerruf fest.
- Dokumentieren Sie nur die notwendigen Nachweise und legen Sie fest, wer sie einsehen darf.
Änderungen prüfen, ohne legitime Nutzungen zu unterbrechen
Nicht jede Änderung stellt einen Verstoß dar, doch jede Änderung, die die anerkannten Bedingungen beeinflusst, sollte verhältnismäßig bewertet werden. Vergleichen Sie die neue mit der vorherigen Version und prüfen Sie, ob sich Zweck, Absender, Ziel, Inhaltsstruktur oder Linkverwendung geändert haben. Ist die Änderung nicht abgedeckt, bitten Sie um Klärung und Genehmigung, bevor Sie die Zulassung erweitern.
Um Unterbrechungen zu verringern, teilen Sie rechtzeitig mit, welche Informationen benötigt werden und welche Nachrichtenflüsse betroffen sind. Erlaubt es die Betriebsrichtlinie, lassen Sie bereits genehmigte Nachrichtenflüsse unverändert und beschränken Sie die Prüfung auf den neuen Absender oder das noch nicht genehmigte Profil. Versprechen Sie keine ununterbrochene Nutzung, wenn die Regeln des Ziels oder des Betreibers ein anderes Vorgehen erfordern.
- Vergleichen Sie Versionen und stufen Sie die Änderung hinsichtlich der Zulässigkeit als technisch, redaktionell oder wesentlich ein.
- Verlangen Sie eine erneute Prüfung, wenn sich Zweck, Absender, Ziele oder das vereinbarte Profil ändern.
- Legen Sie gemäß Vertrag und geltenden Regeln fest, wie während der Prüfung mit bestehendem Verkehr verfahren wird.
- Dokumentieren Sie die Entscheidung und aktualisieren Sie die Regeln erst nach der Genehmigung.
Entscheidungsprotokoll für betriebliche Prüfungen
Ein aussagekräftiges Protokoll hält fest, was anhand welcher Version der Bedingungen geprüft wurde und welches Ergebnis die Prüfung hatte. Halten Sie Annahme- und Ablehnungsereignisse getrennt von Qualitätskennzahlen: Eine korrekte Zulassung belegt keine Zustellung, und eine gemeldete Zustellung beweist nicht, dass der Verkehr autorisiert war.
Unterscheiden Sie bei Verwendung von DLR den in der Nachrichtenkette gemeldeten Status vom bestätigten Empfang auf dem Endgerät. Zulassung und Kennzahlen zu Zustellung, Latenz oder Verfügbarkeit beantworten unterschiedliche Fragen und können jeweils mit eigener Unsicherheit behaftet sein.
- Nehmen Sie Kennung des Nachrichtenflusses, Datum und Uhrzeit, Ziel, Regelversion und Ergebnis auf.
- Dokumentieren Sie den standardisierten Grund für Ablehnung oder Prüfung sowie die ergriffene Maßnahme.
- Verknüpfen Sie Ausnahmen und Genehmigungen über einen Verweis, statt sensible Daten mehrfach zu speichern.
- Prüfen Sie regelmäßig wiederholte Ablehnungen, häufige Änderungen und Regeln, die zu Mehrdeutigkeiten führen.
Häufige Fragen
Sind diese Kontrollen für alle A2P-Routen allgemein vorgeschrieben?
Nein. Sie sind eine betriebliche Vorgehensweise, um Vereinbarungen und geltende Regeln in Prüfungen zu überführen. Die Pflichten hängen von Land, Betreiber, Vertrag und Verkehrsart ab. Die angeführten Verweise auf die CRC beschreiben konkrete Vorschläge für Kolumbien und belegen für sich genommen weder eine allgemeine noch eine für jede Route geltende Regel.
Beweist die Prüfung eines Absenders, dass eine Einwilligung vorliegt?
Nein. Die Autorisierung eines Absenders oder seine Aufnahme in ein Register belegt für sich genommen weder die Einwilligung des Empfängers noch die Identität des Absenders oder die Rechtmäßigkeit jeder einzelnen Nachricht. Dafür sind je nach Fall und Rechtsgebiet geeignete Prüfungen und Nachweise erforderlich.
Garantiert ein zugelassener Nachrichtenfluss, dass die SMS das Telefon erreicht?
Nein. Die Zulassung zeigt an, dass der Verkehr die festgelegten Annahmekontrollen bestanden hat. Sie garantiert weder das Routing noch die Zustellung auf dem Endgerät; auch ist ein DLR nicht zwangsläufig gleichbedeutend mit einem bestätigten Empfang.
Muss jeder dynamische OTP-Wert vor dem Versand geprüft werden?
Aus den verfügbaren Unterlagen lässt sich keine allgemeine Pflicht ableiten. Die Antwort der CRC zum beschriebenen Vorschlag unterscheidet zwischen der Prüfung der Struktur und Bedeutung dynamischer Felder und der Prüfung des konkreten OTP-Werts. Richten Sie sich nach der Vereinbarung, den geltenden Regeln und dem Datenschutzkonzept.
Was ist zu tun, wenn Zweck oder Ziel fehlen?
Legen Sie vorab eine Richtlinie für den sicheren Umgang mit fehlenden Angaben fest: stoppen, zur Prüfung zurückstellen oder die Angabe anfordern. Leiten Sie aus unvollständigen Informationen keine Genehmigung ab und wählen Sie keine Route, um eine Einschränkung zu umgehen.
Verwendete Quellen
- Documento de soporte: Identificación de medidas para mitigar el fraude cibernético por medio de servicios móvilesComisión de Regulación de Comunicaciones (CRC), Colombia
- Documento de respuesta a comentarios sobre medidas contra fraude en servicios móvilesComisión de Regulación de Comunicaciones (CRC), Colombia