2FA-Kosten 2026: SMS vs. WhatsApp im DACH-Vergleich (mit Beispielrechnung)

SendSeven Team, Editorial Team

Wer dachte, SMS sei immer die günstigste Methode für Verifizierungscodes, irrt seit Metas Preisliste vom 1. April 2026. Kostenvergleich für Deutschland, Österreich und die Schweiz mit Plattformgebühr und Inklusivvolumen, KMU-Beispielrechnungen ab 1.000 OTPs pro Monat und der Frage, wann SMS trotzdem die richtige Wahl bleibt.

Wer beim Stichwort Zwei-Faktor-Authentifizierung automatisch an die klassische Verifizierungs-SMS denkt, hatte lange recht. Die SMS war in Europa über Jahre der Standardkanal für Einmalpasswörter (OTPs): günstig, auf jedem Handy empfangbar, ohne App-Installation. Mit Metas Preisliste vom 1. April 2026 fällt die Rechnung anders aus. Eine Authentication-Nachricht über WhatsApp kostet in allen drei DACH-Ländern weniger als eine SMS, in Österreich und der Schweiz weniger als die Hälfte. Beide Länder gehören bei Meta zur Region Rest of Western Europe, für die deutlich niedrigere Preise gelten als für Deutschland.

Diese Analyse zeigt die Gesamtkosten für 2026, einschließlich Basisgebühr und Inklusivvolumen Ihrer Messaging-Plattform. Als Referenz dienen die Preise von SendSeven: keine Lizenz pro Nutzer, in jedem Tarif ein monatliches Inklusivvolumen an Nachrichten. Für die Plattform gilt ein fester Preis pro Nachricht, kein Prozentsatz auf Metas Preisliste. Metas eigene Gebühren pro Nachricht kommen hinzu und sind nicht im Tarifpreis enthalten.

Was kostet ein 2FA-Versand 2026 in DACH?

Drei Bestandteile machen den Endpreis pro 2FA-Nachricht aus, egal über welchen Kanal Sie versenden:

1. Netzkosten: bei SMS die Zustellkosten je Zielland, bei WhatsApp Metas Preis für die Kategorie Authentication-Template.
2. Plattformgebühr Ihrer Messaging-Plattform: bei SendSeven eine monatliche Basisgebühr mit Inklusivvolumen, darüber ein fester Preis pro Nachricht. Diese Gebühr ist auf SMS und WhatsApp gleich hoch.
3. Umsatzsteuer: Alle Preise in diesem Artikel sind netto. Welche Steuer hinzukommt, hängt vom Sitz Ihres Unternehmens ab, nicht vom Land des Empfängers. Unternehmen in Deutschland zahlen 19 Prozent; für Unternehmen mit gültiger USt-IdNr. in einem anderen EU-Land gilt das Reverse-Charge-Verfahren.

Für 100 OTPs an Schweizer Mobilnummern über dem Inklusivvolumen zahlen Sie damit 3,42 € netto über WhatsApp gegenüber 7,50 € netto über SMS (Tarif Basic, Plattformgebühr inklusive). Innerhalb des Inklusivvolumens bleiben nur die Netzkosten: 1,42 € gegenüber 5,50 €. Bei 3.000 OTPs im Monat summiert sich der Unterschied auf 1.058 € bis 1.469 € im Jahr.

Schnellantwort für die Geschäftsleitung

Wer 2026 ein neues Authentifizierungs-Setup baut, beginnt im DACH-Raum sinnvollerweise mit Authentication-Templates über die WhatsApp Business API als Hauptkanal und behält SMS als Fallback für Nummern ohne WhatsApp-Account. Wer 2FA bereits per SMS betreibt, spart ab rund 2.000 OTPs pro Monat (Schweiz), 2.300 (Österreich) bzw. 2.800 (Deutschland) einen vierstelligen Betrag im Jahr. Darunter lohnt sich der Wechsel auch, nur in kleineren Beträgen. Die Rechenbeispiele folgen weiter unten.

SMS-OTP: Wie sich der Preis zusammensetzt

SMS gilt seit Jahrzehnten als verlässlicher Kanal für Verifizierungscodes. Der Preis pro SMS hängt vom Empfängerland ab, weil die Zustellung über das Mobilfunknetz des Empfängers läuft.

1. Netzkosten pro SMS

SendSeven rechnet die SMS-Netzkosten über Ihr SMS-Guthaben (Prepaid) ab, zu einem festen Preis je Zielland. Für die wichtigsten Empfängerländer gilt (netto, Stand 6. Mai 2026, aufgeführt auf unserer Preisseite):

Andere Anbieter kalkulieren ihre SMS-Preise anders. Vergleichen Sie deshalb den Gesamtpreis für Ihre eigenen Zielländer statt einer einzelnen Zahl aus der Werbung. Eine SMS mit mehr als 160 Zeichen zählt als zwei SMS; ein OTP bleibt in der Regel darunter.

2. Plattformgebühr pro Nachricht

Zusätzlich zu den Netzkosten berechnet Ihre Messaging-Plattform eine Gebühr für Routing, Zustellnachweise und API-Zugang. Bei SendSeven enthält jeder Tarif ein monatliches Inklusivvolumen; nur Nachrichten darüber hinaus kosten extra:

Für reine Authentifizierungs-Workflows ist der Tarif API Only die preiswerte Wahl: Alle Kanäle, SMS eingeschlossen, laufen über denselben Nachrichtenpreis von 0,5 Ct jenseits der 1.000 inklusiven Nachrichten pro Kanal, ohne zentralen Posteingang, Flows oder Kampagnen-Builder. Für Entwicklerteams, die OTPs direkt aus dem eigenen Backend versenden, reicht das. Für den Code-Versand brauchen Sie weder Automatisierung noch KI; in der Full Suite deckt ihn deshalb der Tarif Basic ab, Professional ergänzt Flow Builder und KI-Funktionen.

3. Gesamtkosten pro SMS (Netzkosten + SendSeven)

Addiert ergeben sich diese Nettopreise pro SMS über dem Inklusivvolumen Ihres Tarifs:

An dieser Tabelle muss sich WhatsApp Authentication messen. Eine SMS für 8 Cent nach Deutschland ist kein schlechter Preis, WhatsApp ist nur inzwischen günstiger.

WhatsApp-OTP: Wie sich der Preis zusammensetzt

Eine OTP-Nachricht über WhatsApp läuft über ein Authentication-Template, eine der drei Template-Kategorien von Meta neben Marketing und Utility, reserviert für Einmalcodes. Meta legt den Wortlaut fest: Die Nachricht nennt den Code als Bestätigungscode, optional gefolgt von einem Sicherheitshinweis („nicht weitergeben“) und einer Ablaufzeit von 1 bis 90 Minuten. Statt eines Links trägt das Template einen Button zum Kopieren des Codes; auf Android kann der Code auch per One-Tap- oder Zero-Tap-Autofill übernommen werden. Eigene Texte oder Werbung lassen sich nicht einfügen.

1. Metas Authentication-Preis (April 2026)

Meta berechnet Nachrichten nach dem Land des Empfängers, nicht nach dem Sitz Ihres Unternehmens. Die Authentication-Preise laut Metas Preisliste (eingeführt am 1. April 2026, am 1. Oktober 2026 für diese Märkte bis auf Polen unverändert):

Die wichtigste DACH-Erkenntnis: Österreich und die Schweiz gehören zur selben Region (Rest of Western Europe) wie Belgien, Dänemark, Finnland, Griechenland, Irland, Island, Luxemburg, Norwegen, Portugal und Schweden. Eine Authentication-Nachricht kostet dort weniger als ein Drittel des deutschen Preises. Meta berechnet Authentication zum selben Satz wie Utility, und in Deutschland sowie in Rest of Western Europe ist dieser Satz am 1. Oktober 2026 unverändert geblieben. Seit diesem Datum berechnet Meta außerdem Service-Nachrichten zum selben Satz, ab der 1.001. Service-Nachricht pro Nummer und Monat; die ersten 1.000 bleiben kostenlos. Die Einzelheiten stehen in unserem Artikel zu den WhatsApp-Preisänderungen 2026.

2. Plattformgebühr pro WhatsApp-Nachricht

SendSeven berechnet für WhatsApp genau dasselbe wie für SMS: Inklusivvolumen und Nachrichtenpreis aus der Tariftabelle oben gelten für jede WhatsApp-Nachricht, ob Marketing, Utility, Authentication oder Service. Metas eigene Gebühren pro Nachricht kommen hinzu. Die Gebühr deckt API-Zugang, Webhook-Routing, Template-Verwaltung und Zustellnachweise ab. Im Tarif API Only ist das ein halber Cent pro WhatsApp-Nachricht über den 1.000 inklusiven Nachrichten, ohne zentralen Posteingang, Kampagnen-Builder oder Automatisierung. Für reine 2FA-Workflows genügt das.

3. Gesamtkosten pro WhatsApp Authentication (Meta + SendSeven)

Nettopreise pro Nachricht über dem Inklusivvolumen Ihres Tarifs:

Im günstigsten Fall, Tarif API Only und Empfänger in Österreich oder der Schweiz, kostet ein Authentifizierungs-Code über WhatsApp jenseits des Inklusivvolumens 1,92 Cent. Innerhalb des Inklusivvolumens bleiben nur Metas 1,42 Cent.

Direkter Kostenvergleich: DE, AT, CH

Jetzt der Kern dieses Artikels: Was kostet eine 2FA-Nachricht 2026 in DACH im Kanalvergleich, einschließlich der Plattformgebühr?

Basic / Professional (Full Suite)

API Only (für Entwickler)

Drei Beobachtungen lohnen sich, bevor wir in die Beispielszenarien gehen:

• WhatsApp ist in jedem DACH-Markt günstiger als SMS, in jedem Tarif. Schon im Tarif Basic liegt WhatsApp klar vorn.
• Österreich und die Schweiz profitieren am stärksten. Metas Preis für Rest of Western Europe liegt bei knapp einem Drittel des deutschen, während die SMS dort nur etwas günstiger ist.
• Die Ersparnis pro Nachricht hängt nicht vom Tarif ab. SendSeven berechnet auf beiden Kanälen dieselbe Gebühr, der Unterschied entsteht allein bei den Netzkosten: 2,94 Ct (DE), 3,58 Ct (AT), 4,08 Ct (CH). Im Tarif API Only steigt nur der Prozentwert, weil der Gesamtpreis kleiner ist.

Rechenbeispiel: 1.000, 3.000 und 15.000 OTPs pro Monat

Theorie ist gut, echte Monatsrechnungen sind besser. Drei typische DACH-Volumina, vom kleinen Startup bis zum regionalen Mittelständler, mit Basisgebühr und Inklusivvolumen eingerechnet:

Szenario A: SaaS-Startup mit 1.000 Logins pro Monat (Empfänger Deutschland)

Auch bei kleinen Volumina rechnet sich die Umstellung. 1.000 OTPs im Monat entsprechen etwa 100 aktiven Konten, die je zehn Codes im Monat erhalten. Alle 1.000 Nachrichten liegen im Inklusivvolumen des Kanals, es bleiben die Kanalgebühr und die Netzkosten. Behalten Sie SMS als Fallback, ist das ein zweiter aktiver Kanal für weitere 9 € im Monat, plus die tatsächlich versendeten SMS.

Szenario B: DACH-Mittelständler mit 3.000 OTPs pro Monat (Mix DE/AT/CH 70/15/15)

Die SendSeven-Gebühr setzt sich aus der Basisgebühr von 49 € und 500 Nachrichten über dem Inklusivvolumen von 2.500 zusammen (500 × 0,02 € = 10 €). Sie ist auf beiden Kanälen gleich. Nutzen Sie das Inklusivvolumen bereits für andere Nachrichten, steigt sie auf beiden Seiten um denselben Betrag; die Ersparnis bleibt gleich. Prozentual am höchsten fällt sie für Empfänger in der Schweiz aus: Dort kostet eine WhatsApp Authentication weniger als die Hälfte einer SMS.

Szenario C: Regionale Bank oder Versicherer mit 15.000 OTPs pro Monat (nur Deutschland)

Die SendSeven-Gebühr im Tarif API Only: 9 € Kanalgebühr plus 14.000 Nachrichten über dem Inklusivvolumen zu je 0,005 € (70 €). Betreibt dieselbe Bank auch ihren Kundenservice im Tarif Enterprise (499 € im Monat, 40.000 Nachrichten inklusive), passen die OTPs ins Inklusivvolumen: 1.624 € im Monat per SMS gegenüber 1.183 € per WhatsApp. Die Ersparnis bleibt bei 5.292 € im Jahr, das sind 27,2 Prozent der Gesamtkosten. Je höher das Volumen, desto größer die absolute Ersparnis, weil jeder deutsche OTP, den Sie von SMS auf WhatsApp verlagern, 0,0294 € spart. Rabattstufen, die Meta erst bei sehr hohen Monatsvolumina gewährt, sind in diesen Beispielen nicht eingerechnet.

Wann SMS trotzdem die richtige Wahl bleibt

So eindeutig die Kostenrechnung ausfällt, SMS hat weiterhin ihre Berechtigung. In folgenden Situationen sollten Sie SMS als Hauptkanal oder zumindest als Fallback einplanen:

• Empfänger ohne WhatsApp-Account. WhatsApp ist in Deutschland, Österreich und der Schweiz weit verbreitet, aber nicht jeder Empfänger hat einen Account. Ohne SMS-Fallback erreichen Sie diese Personen nicht.
• Interne Richtlinien, die den Kanal vorgeben. Banken, Versicherer und andere regulierte Unternehmen haben oft Sicherheitsrichtlinien, die festlegen, über welche Kanäle Login-Codes laufen dürfen. Klären Sie das vor der Umstellung mit Ihrer Compliance.
• Behörden- und Verwaltungsanwendungen. Wenn Ihr 2FA-Versand Teil eines Behördenservices ist, prüfen Sie die Datenschutz-Folgenabschätzung. WhatsApp ist ein Cloud-Dienst von Meta mit Verarbeitung auch außerhalb der EU, SMS bleibt in den Netzen der Mobilfunkanbieter. Für viele öffentliche Auftraggeber ist das ein K.-o.-Kriterium.
• Empfänger ohne Smartphone. SMS funktioniert auf jedem Mobiltelefon mit SIM-Karte. WhatsApp braucht ein Smartphone mit aktuellem Betriebssystem. Bei Zielgruppen mit vielen älteren Geräten oder Tastenhandys bleibt SMS unverzichtbar.
• Notfall- und KRITIS-Workflows. Eine 2FA-Anwendung, die auch in Cyber-Notfällen funktionieren muss, sollte nicht von einer einzelnen Cloud-Plattform abhängen. Hier ist eine SMS-Backup-Strecke Standard.

Sinnvoll ist deshalb fast immer eine Hybrid-Strategie: Erstversuch über WhatsApp Authentication, SMS-Versand, wenn nach 30 bis 60 Sekunden kein delivered-Status eingegangen ist. Die Fallback-Logik liegt in Ihrem eigenen Backend. SendSeven meldet die Ereignisse sent, delivered, read und failed per Webhook, Ihr Code entscheidet über den Wechsel. Mehr dazu im Migrations-Abschnitt unten.

Sicherheit: SIM-Swapping vs. Ende-zu-Ende-Verschlüsselung

Kosten sind die eine Seite, Sicherheit die andere. WhatsApp Authentication ist weniger anfällig für die bekannteste Schwachstelle der SMS-2FA, das SIM-Swapping, und das feste Format macht gefälschte Codes leichter erkennbar.

SIM-Swapping trifft SMS

SIM-Swapping (auch SIM-Jacking) ist ein gut dokumentierter Angriff auf SMS-basierte 2FA. Der Angreifer bringt den Mobilfunkanbieter des Opfers per Social Engineering, gefälschtem Ausweis oder bestochenem Insider dazu, die Rufnummer auf eine neue SIM zu übertragen. Ab dann landet jede 2FA-SMS beim Angreifer; das Opfer merkt es oft erst, wenn das Konto bereits geleert ist. Das Internet Crime Complaint Center (IC3) des FBI verzeichnete allein 2021 1.611 Beschwerden zu SIM-Swapping mit bereinigten Verlusten von mehr als 68 Millionen US-Dollar. Von Januar 2018 bis Dezember 2020 waren es zusammen 320 Beschwerden und rund 12 Millionen US-Dollar.

WhatsApp: Eine getauschte SIM allein bringt den Code nicht

WhatsApp-Nachrichten sind mit dem Signal-Protokoll Ende-zu-Ende-verschlüsselt, und eine Authentication-Nachricht wird nur auf das primäre WhatsApp-Gerät des Nutzers zugestellt. Ein SIM-Tausch allein leitet den Code deshalb nicht um: Der Angreifer müsste zuerst das WhatsApp-Konto des Opfers auf einem neuen Telefon registrieren. Hat der Nutzer eine PIN für die Verifizierung in zwei Schritten gesetzt, scheitert das ohne diese PIN, und eine neue Registrierung meldet das ursprüngliche Telefon ab, was den Nutzer warnt. Unangreifbar ist WhatsApp nicht, aber die Hürde liegt höher als bei der SMS, deren Code bei dem landet, der die SIM hat.

Authentication-Templates: ein festes Format

Meta legt den Wortlaut von Authentication-Templates fest, ein Code Ihres Unternehmens sieht also immer gleich aus: der Code, die optionalen Zeilen zu Sicherheit und Ablaufzeit und ein Button zum Kopieren oder automatischen Übernehmen. Eigene Texte oder Werbung können Sie nicht ergänzen. Ein einheitliches Format macht eine merkwürdig aussehende „Bestätigung“ leichter erkennbar. Die SMS kennt kein solches Format: Eine Phishing-SMS mit „Tippen Sie hier, um Ihre Bank-App zu bestätigen“ sieht aus wie eine echte.

NIST: SMS weiterhin „restricted“

Das US-amerikanische National Institute of Standards and Technology (NIST) stuft Codes per SMS und Sprachanruf als restricted ein: weiterhin erlaubt, aber als schwächer markiert, mit zusätzlichen Pflichten für Organisationen, die sie einsetzen. Die aktuelle Fassung der Digital Identity Guidelines, SP 800-63-4 (August 2025), behält diese Einstufung bei. Sie zählt Out-of-Band-Codes zudem nicht zu den phishing-resistenten Verfahren, WhatsApp Authentication erreicht diese Kategorie also ebenfalls nicht. Das BSI rät davon ab, den SMS-Code auf demselben Gerät zu empfangen, mit dem Sie sich anmelden, und bescheinigt hardwaregestützten Verfahren ein hohes Maß an Sicherheit. Das Argument für WhatsApp ist die höhere Hürde beim SIM-Swapping, keine bessere NIST-Einstufung.

Migration: Schrittweise von SMS-OTP zu WhatsApp-OTP

Die Umstellung eines bestehenden 2FA-Workflows klappt am besten in vier Schritten:

1. Authentication-Template einreichen. Erstellen Sie über die WhatsApp Cloud API ein Template der Kategorie Authentication. Meta legt den Text fest; Sie wählen, ob ein Sicherheitshinweis und eine Ablaufzeit dazukommen und welcher Button erscheint (Code kopieren oder, auf Android, One-Tap- bzw. Zero-Tap-Autofill). Die Freigabe dauert meist nur Minuten (automatisch), bei manueller Prüfung durch Meta bis zu 24 Stunden. Anleitung in unserem Template-Guide.
2. Opt-in dokumentieren. Für jeden Nutzer, der Authentication-Nachrichten erhalten soll, muss eine dokumentierte Opt-in-Einwilligung vorliegen. Bei bestehenden Konten reicht in der Regel ein einmaliger Hinweis beim nächsten regulären Login („Wir senden Ihren Login-Code auf Wunsch auch per WhatsApp. Aktivieren?“) mit aktivem Klick. Speichern Sie den Zeitstempel.
3. Fallback bauen. In Ihrem Backend: WhatsApp-OTP senden, 30 bis 60 Sekunden warten und eine SMS senden, wenn kein delivered-Ereignis eingegangen ist. SendSeven liefert die Ereignisse sent, delivered, read und failed per Webhook; die Entscheidung trifft Ihr Code.
4. Stufenweise ausrollen. Beginnen Sie mit 10 Prozent der Nutzerbasis, idealerweise einer Region oder Kohorte, in der WhatsApp weit verbreitet ist. Messen Sie zwei Wochen lang Zustellrate, durchschnittliche Eingabezeit des Codes und Support-Tickets. Wenn alles stabil ist, skalieren Sie auf 50 und dann 100 Prozent.

Die Implementierung selbst ist überschaubar: ein Template und wenige Zeilen REST-API-Code für den Fallback. Planen Sie ein bis zwei Tage für einen erfahrenen Entwickler ein, dazu den stufenweisen Rollout. Die Zustellereignisse erklärt unser Webhook-Guide.

DSGVO und Datenresidenz beim 2FA-Versand

Bei jedem Authentifizierungs-Workflow verarbeiten Sie eine Telefonnummer und einen Verifizierungscode. Beides ist DSGVO-relevant, und beim Versand über WhatsApp kommt Meta als weitere Partei hinzu. Dies ist keine Rechtsberatung; prüfen Sie die Einzelheiten mit Ihrem Datenschutzbeauftragten. Drei Punkte verdienen besondere Aufmerksamkeit:

Rechtsgrundlage

Für die Verarbeitung der Telefonnummer im Rahmen einer 2FA gilt in der Regel Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), wenn 2FA eine vertraglich oder gesetzlich vorgesehene Sicherheitsmaßnahme ist. Viele Unternehmen holen vor der Umstellung auf WhatsApp zusätzlich eine Einwilligung ein (Art. 6 Abs. 1 lit. a DSGVO), weil die Nummer dann auch von Meta verarbeitet wird. Dokumentieren Sie, auf welche Grundlage Sie sich stützen.

Auftragsverarbeitung

Sie brauchen einen AVV nach Art. 28 DSGVO mit Ihrer Messaging-Plattform. Bei SendSeven ist der AVV Teil der AGB und auf Anfrage erhältlich. Wenn Sie WhatsApp anbinden, akzeptieren Sie zusätzlich Metas eigene Bedingungen für WhatsApp Business; SMS stellt SendSeven über einen Gateway-Anbieter mit Sitz in Deutschland zu.

Datenresidenz

SendSeven hostet Daten in der EU, in Google Cloud Frankfurt (Region europe-west3). KI-Funktionen sind opt-in und standardmäßig ausgeschaltet; auch die KI läuft in der EU. Für reine 2FA-Workflows brauchen Sie keine KI. Meta verarbeitet WhatsApp-Nachrichten als Cloud-Dienst und stützt Übermittlungen in die USA auf das EU-US Data Privacy Framework. Für Hochrisiko-Branchen dokumentieren Sie das in einer Datenschutz-Folgenabschätzung.

Anbieter-Vergleich: Worauf bei einer OTP-Plattform achten

Wenn Sie 2FA-Versand neu evaluieren oder den bestehenden Anbieter ablösen, hilft die folgende Checkliste:

• Beide Kanäle aus einer Hand. Plattformen, die nur SMS oder nur WhatsApp anbieten, zwingen Sie zur Doppel-Integration mit zwei AVVs, zwei Webhook-Anbindungen und zwei Rechnungen. Eine Plattform für beide Kanäle, plus E-Mail-Fallback, spart diesen Verwaltungsaufwand.
• Fester Preis statt Prozentsatz. Fragen Sie, wie die Plattform auf Metas Preise aufschlägt. Bei SendSeven gilt ein fester Preis pro Nachricht, kein Prozentsatz auf Metas Preisliste. Metas eigene Gebühren pro Nachricht kommen hinzu und sind nicht im Tarifpreis enthalten.
• Niedriger Einstieg mit Inklusivvolumen. Ein Startup mit 1.000 OTPs im Monat sollte keine Kapazität bezahlen, die es nicht nutzt. SendSeven beginnt bei 9 € pro Kanal und Monat mit 1.000 Nachrichten inklusive (API Only) bzw. 49 € im Monat mit 2.500 Nachrichten inklusive (Full Suite, Tarif Basic).
• EU-Hosting plus AVV. Für DACH-Unternehmen nicht verhandelbar. Achten Sie auf konkrete Rechenzentrums-Angaben (z. B. „Frankfurt, GCP europe-west3“) statt auf vage „EU-Hosting“-Formulierungen.
• Webhooks für Zustellnachweise. Ihr Backend braucht Echtzeit-Informationen über sent, delivered, read und failed. Plattformen ohne Webhook-Push zwingen zu Polling-Schleifen, das skaliert nicht.
• Keine Lizenz pro Nutzer. 2FA ist ein technischer Workflow, Ihr Entwicklerteam und Ihre Operations brauchen Zugriff. Lizenzen pro Nutzer kosten hier ohne erkennbaren Mehrwert.

SendSeven erfüllt jeden dieser Punkte. Um Ihre eigenen Zahlen durchzurechnen, nennt unsere Preisseite den SMS-Preis für jedes Zielland; Metas Preise je Markt finden Sie in unserem Artikel zu den WhatsApp Business API Kosten 2026.

Häufig gestellte Fragen (FAQ)

Ist WhatsApp Authentication 2026 wirklich günstiger als SMS in DACH?

Ja, in allen drei DACH-Märkten und in jedem SendSeven-Tarif. Pro Nachricht über dem Inklusivvolumen reicht der Unterschied von rund 31 Prozent in Deutschland (Tarif Basic) bis 68 Prozent in der Schweiz (Tarif API Only). Treiber sind Metas niedrige Authentication-Preise: 0,0456 € in DE, 0,0142 € in AT und CH. SendSeven berechnet auf beiden Kanälen dieselbe Gebühr, sie schmälert die Ersparnis also nicht.

Was kostet eine Authentifizierungs-Nachricht über WhatsApp in Deutschland 2026?

Metas Preis liegt bei 0,0456 € netto pro Authentication-Nachricht. Über dem Inklusivvolumen kommt die SendSeven-Gebühr hinzu: 0,0656 € im Tarif Basic bzw. 0,0506 € im Tarif API Only. Dieselbe Nachricht per SMS nach Deutschland kostet 0,080 € (API Only) bis 0,095 € (Basic). Innerhalb des Inklusivvolumens bleiben nur Metas 0,0456 € gegenüber 0,075 € für die SMS.

Warum sind Österreich und die Schweiz so viel günstiger?

Meta fasst Österreich und die Schweiz mit weiteren Ländern in der Region Rest of Western Europe zusammen, deren Preise deutlich unter denen für Deutschland liegen. Eine Authentication-Nachricht kostet dort 0,0142 €, knapp ein Drittel des deutschen Preises. Auch die SMS ist dort günstiger (5,0 Ct AT, 5,5 Ct CH gegenüber 7,5 Ct DE), der WhatsApp-Preis fällt aber stärker.

Brauche ich für WhatsApp-OTPs ein Authentication-Template?

Ja. Verifizierungs- und Login-Codes über die WhatsApp Business API laufen über Templates der Kategorie Authentication. Meta legt den Wortlaut fest: den Code, optional einen Sicherheitshinweis und eine Ablaufzeit sowie einen Button zum Kopieren oder automatischen Übernehmen des Codes. Die Freigabe dauert meist nur Minuten (automatisch), bei manueller Prüfung bis zu 24 Stunden. Werbeinhalte sind nicht erlaubt.

Was passiert, wenn der Empfänger kein WhatsApp nutzt?

Dann erreichen Sie ihn per SMS. Übliche Praxis: WhatsApp-OTP zuerst senden und eine SMS nachschicken, wenn nach 30 bis 60 Sekunden kein delivered-Status eingegangen ist. Bei SendSeven laufen beide Kanäle über dieselbe API. Ihr Backend entscheidet anhand der Zustellereignisse, die SendSeven per Webhook meldet, wann es wechselt.

Ist WhatsApp Authentication DSGVO-konform?

Das kann sie sein, bei korrekter Umsetzung. Sie brauchen eine Rechtsgrundlage und eine dokumentierte Opt-in-Einwilligung für den WhatsApp-Kanal, einen AVV mit Ihrem Plattform-Anbieter und für Hochrisiko-Workflows eine Datenschutz-Folgenabschätzung. Bei SendSeven ist der AVV Teil der AGB und auf Anfrage erhältlich; Daten werden in der EU (Frankfurt) gehostet. Dies ist keine Rechtsberatung.

Wie sicher ist SMS-2FA wirklich?

SMS-2FA ist deutlich sicherer als ein reines Passwort, gilt aber als der schwächste der gängigen 2FA-Faktoren. Hauptangriff ist SIM-Swapping: Der Angreifer lässt die Rufnummer des Opfers auf eine neue SIM übertragen. Das NIST stuft SMS in SP 800-63-4 als restricted ein, also erlaubt, aber mit zusätzlichen Auflagen. WhatsApp widersteht SIM-Swapping besser, weil eine getauschte SIM allein das WhatsApp-Konto nicht mitnimmt.

Wie schnell ist die Migration von SMS-OTP auf WhatsApp-OTP?

Die reine Implementierung dauert für einen erfahrenen Entwickler meist ein bis zwei Tage REST-API-Arbeit. Meta gibt ein Authentication-Template in der Regel innerhalb von Minuten frei (automatisch), bei manueller Prüfung dauert es bis zu 24 Stunden. Dazu kommen die Opt-in-Kommunikation an Bestandsnutzer und ein stufenweiser Rollout, etwa 10, 50 und dann 100 Prozent der Nutzer über einige Wochen.

Haben sich die 2FA-Kosten am 1. Oktober 2026 geändert?

Für Authentication-Nachrichten nach Deutschland, Österreich und in die Schweiz nicht: Meta berechnet Authentication zum Utility-Satz, und der ist in Deutschland und in Rest of Western Europe unverändert geblieben. Neu seit dem 1. Oktober 2026: Service-Nachrichten kosten ab der 1.001. pro Nummer und Monat denselben Satz, und Utility-Nachrichten im 24-Stunden-Fenster sind nicht mehr kostenlos. Die Preise von SendSeven sind gleich geblieben.

Kann ich beide Kanäle parallel über eine Plattform versenden?

Ja. Bei SendSeven sind WhatsApp und SMS, ebenso wie E-Mail, Telegram, Messenger, Instagram, Live Chat und Browser Push, über dieselbe REST-API ansprechbar. Eine Authentifizierungs-Routine in Ihrem Backend wählt pro Nutzer den Kanal und steuert den Fallback. Im Tarif API Only kostet jeder aktive Kanal wie WhatsApp oder SMS 9 € im Monat mit 1.000 Nachrichten inklusive.

Fazit: WhatsApp ist 2026 der neue Default-Kanal für 2FA in DACH

Die wichtigste Erkenntnis dieses Vergleichs: Die alte Faustregel „SMS ist immer am günstigsten“ gilt 2026 nicht mehr. Wer 2FA-Workflows heute neu baut, fährt mit WhatsApp Authentication als Hauptkanal in ganz DACH günstiger, in Österreich und der Schweiz sogar um mehr als die Hälfte. Metas niedriger Authentication-Preis, die höhere Hürde gegen SIM-Swapping und ein festes, wiedererkennbares Format von einem benannten Unternehmensabsender statt einer anonymen Kurzwahl machen WhatsApp Authentication zur sinnvollen Standardwahl.

SMS bleibt unverzichtbar als Fallback und für Empfänger ohne WhatsApp. Eine Hybrid-Strategie aus beiden Kanälen, idealerweise aus derselben Plattform, ist die robuste Lösung. SendSeven bietet beide Kanäle, mit AVV auf Anfrage, Hosting in der EU und einer Basisgebühr ab 49 €/Monat (Full Suite) bzw. 9 €/Kanal/Monat (API Only). Die jährliche Ersparnis gegenüber einer reinen SMS-Strecke liegt bei 3.000 OTPs pro Monat bei rund 1.058 € (nur Deutschland) bis 1.469 € (nur Schweiz); bei 15.000 OTPs nach Deutschland sind es 5.292 €.

Weiterführende Artikel und Quellen

Weiterführende Artikel:

• WhatsApp Business API Kosten 2026: vollständige Übersicht für DACH
• WhatsApp-Preise 2026: Was Meta geändert hat und was gleich bleibt
• SMS oder WhatsApp Business? Welcher Kanal wofür
• SMS-OTP und 2FA für SaaS: Login per Einmalcode
• WhatsApp Business API: der Leitfaden für den DACH-Raum 2026
• DSGVO-konformes Business Messaging: der Leitfaden 2026
• Authentication-Template: Begriffserklärung
• SMS für Unternehmen: Kanalseite
• WhatsApp Business: Kanalseite
• SendSeven WhatsApp-Setup-Guide

Quellen:

• WhatsApp Business Platform Pricing, Metas offizielle Preisliste (Stand 1. Oktober 2026)
• Meta: Authentication Templates
• NIST Special Publication 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management (August 2025)
• FBI IC3: Public Service Announcement zu SIM-Swapping (8. Februar 2022)
• BSI: Zwei-Faktor-Authentisierung