2FA-Kosten 2026: SMS vs. WhatsApp im DACH-Vergleich (mit Beispielrechnung)

Wer dachte, SMS sei immer die günstigste Methode für Verifizierungscodes, irrt seit den letzten Meta-Tarifanpassungen. Voller Kostenvergleich für Deutschland, Österreich und der Schweiz – inklusive Anbieter-Gebühren, KMU-Beispielrechnungen ab 1.000 OTPs pro Monat und der Frage, wann SMS trotzdem die richtige Wahl bleibt.

Wer beim Stichwort Zwei-Faktor-Authentifizierung automatisch an die klassische Verifizierungs-SMS denkt, hat lange recht gehabt. Bis 2024 war die SMS in den meisten europäischen Märkten der Defaultkanal für Einmalpasswörter (OTPs) – günstig, allgegenwärtig, ohne App-Installation. Seit dem 1. April 2026 hat sich das Bild jedoch deutlich verschoben: Meta hat die Listpreise für WhatsApp-Authentifizierungs-Nachrichten weiter angepasst und gleichzeitig die Region Rest of Western Europe (zu der Österreich und die Schweiz zählen) gesondert ausgewiesen. Das Ergebnis: WhatsApp ist bei der reinen Nachrichtengebühr im gesamten DACH-Raum günstiger als SMS – in Österreich und der Schweiz um mehr als die Hälfte.

Diese Analyse zeigt die echten Gesamtkosten für 2026, inklusive der Anbieter-Gebühr Ihrer Messaging-Plattform. Wir nehmen dafür die transparenten Preise von SendSeven als Referenz – kein Aufschlag auf Meta-Preise, keine Per-Seat-Lizenz, Abrechnung per Monatsrechnung. Für SMS in DACH bleibt SendSeven nach unserer Marktbeobachtung weiterhin einer der günstigsten Anbieter; bei WhatsApp Authentication geben wir die Meta-Listpreise eins zu eins weiter.

Was kostet ein 2FA-Versand 2026 in DACH?

Drei Bestandteile machen den Endpreis pro 2FA-Nachricht aus, egal über welchen Kanal Sie versenden:

1. Netzwerk- oder Plattformgebühr – bei SMS der Mobilfunkanbieter (Carrier), bei WhatsApp der Listpreis von Meta für die Kategorie Authentication-Template.
2. Anbieter-Gebühr Ihrer Messaging-Plattform – pro versendete Nachricht. Bei den meisten Plattformen ein Aufschlag von 10 bis 50 Prozent auf die Netzwerkgebühr, bei einem Prepaid-Anbieter wie SendSeven eine separate Pauschale pro Nachricht ohne Aufschlag auf Meta.
3. Mehrwertsteuer – die hier genannten Preise sind alle netto. In Deutschland kommen 19 Prozent USt. auf den Listpreis, in Österreich 20 Prozent, in der Schweiz 8,1 Prozent.

Für 100 OTPs zur Schweizer Mobilnummer landen Sie damit bei 3,92 € netto über WhatsApp gegenüber 8,00 € netto über SMS (Tarif Pay as you go, alle Anbieter-Gebühren inklusive). Bei 3.000 OTPs im Monat – typisches KMU-Volumen – summiert sich der Unterschied auf vierstellige Eurobeträge im Jahr.

Schnellantwort für die Geschäftsleitung

Wer 2026 ein neues Authentifizierungs-Setup baut, beginnt im DACH-Raum sinnvollerweise mit WhatsApp Authentication als Hauptkanal und behält SMS als Fallback für Nummern ohne WhatsApp-Account oder mit eingeschränkter Erreichbarkeit. Wer 2FA bereits per SMS betreibt, prüft die Migration spätestens, wenn das monatliche Versandvolumen über 1.500 OTPs steigt – ab dort wird die jährliche Ersparnis vierstellig. Konkrete Zahlen weiter unten im Beispiel.

SMS-OTP: Wie sich der Preis zusammensetzt

SMS gilt seit Jahrzehnten als verlässlicher Kanal für Verifizierungscodes. Der Preis pro versendete SMS hängt jedoch wesentlich vom Empfängerland ab, weil die SMS-Zustellung auf das Mobilfunknetz des Empfängers angewiesen ist. Jede Roaming-Strecke kostet die SMS-Plattform Geld – und reicht diese Kosten an Sie weiter.

1. Carrier-Versandkosten (Pass-Through)

Für die wichtigsten DACH-Empfängerländer fallen folgende Versandkosten an (netto, Stand Mai 2026, Quelle: Carrier-Tarifübersicht):

Diese Werte sind die Pass-Through-Kosten der Mobilfunkanbieter. Sie sind in der Regel über alle SMS-Plattformen vergleichbar, weil sie nicht der Plattform-Anbieter, sondern der Carrier festsetzt. Wer Ihnen eine SMS-Plattform anbietet, die in Deutschland weniger als 7,5 Ct Carrier-Anteil verspricht, arbeitet entweder mit Graumarkt-Routen (Risiko bei Authentifizierung erheblich) oder versteckt die Kosten in Setup-Gebühren.

2. Anbieter-Gebühr pro SMS

Zusätzlich zum Carrier-Preis verlangt Ihre Messaging-Plattform eine Gebühr für Routing, Zustellnachweise und API-Zugang. Bei SendSeven sieht das so aus:

Der Tarif API Only ist seit Mai 2026 der günstigste Weg für reine Authentifizierungs-Workflows, weil SMS dort als eigene Kategorie mit nur 1 Ct pro Nachricht ausgewiesen wird – ohne dass Sie auf die Conversation UI oder den Kampagnen-Builder zugreifen. Für Entwickler-Teams, die OTPs direkt aus dem eigenen Backend versenden, ist das die wirtschaftlichste Konstellation.

3. Gesamtkosten pro SMS (Carrier + SendSeven)

Wenn Sie beide Bestandteile addieren, ergeben sich die folgenden Endpreise netto pro versendete SMS:

Diese Tabelle ist der Vergleichsmaßstab, an dem WhatsApp Authentication gemessen werden muss. Eine 8,5-Cent-SMS nach Deutschland ist nach wie vor kein schlechter Preis – nur ist WhatsApp inzwischen günstiger.

WhatsApp-OTP: Wie sich der Preis zusammensetzt

Eine OTP-Nachricht über WhatsApp läuft technisch über ein Authentication-Template – einen von Meta vorab freigegebenen Nachrichtenformat-Typ, der ausschließlich für Verifizierungs- und Login-Codes verwendet werden darf. Marketing-, Werbeinhalte oder Cross-Selling sind in Authentication-Templates strikt verboten; Meta sperrt die Vorlage sonst.

1. Meta-Listpreis Authentication (April 2026)

Meta gewichtet seine Nachrichtenpreise nach Land des Empfängers, nicht nach dem Standort Ihres Unternehmens. Die offiziellen Listpreise für Authentication-Nachrichten (Stand 1. April 2026, Quelle: Metas offizielles Pricing-PDF) sind:

Die wichtigste DACH-Erkenntnis: Österreich und die Schweiz fallen in dieselbe Region (Rest of Western Europe) wie Belgien, Dänemark, Finnland, Griechenland, Irland, Island, Luxemburg, Norwegen, Portugal und Schweden. Das macht die Authentication-Nachricht dort mehr als dreimal günstiger als in Deutschland.

2. Anbieter-Gebühr pro WhatsApp-Nachricht

SendSeven reicht die Meta-Listpreise eins zu eins weiter und berechnet eine eigene Anbieter-Gebühr pro versendete WhatsApp-Nachricht – unabhängig davon, ob Marketing, Utility, Authentication oder Service. Diese Gebühr deckt API-Zugang, Webhook-Routing, Template-Management und Zustellnachweise ab:

Der Tarif API Only ist auch hier die preiswerteste Variante: 0,4 Ct pro versendeter WhatsApp-Nachricht zusätzlich zum Meta-Listpreis – ohne zentralen Posteingang, Kampagnen-Builder oder Automatisierung. Für reine 2FA-Workflows reicht das vollkommen aus.

3. Gesamtkosten pro WhatsApp Authentication (Meta + SendSeven)

Im günstigsten Fall – API Only, Empfänger in Österreich oder der Schweiz – kostet ein Authentifizierungs-Code über WhatsApp nur noch 1,82 Cent. Das ist eine andere Liga als die klassische SMS.

Direkter Kostenvergleich: DE, AT, CH

Jetzt der Punkt, wegen dem dieser Artikel überhaupt entstanden ist. Was kostet eine 2FA-Nachricht 2026 in DACH, kanalvergleich – inklusive aller Anbieter-Gebühren?

Pay as you go (Full Suite)

API Only (für Entwickler)

Drei Beobachtungen lohnen sich, bevor wir in das Beispielszenario gehen:

• WhatsApp ist in jedem DACH-Markt günstiger als SMS, in jedem Tarif. Selbst der Tarif Pay as you go schlägt SMS deutlich.
• Österreich und die Schweiz sind die größten Gewinner. Hier sind die Meta-Listpreise ohnehin niedriger, und der SendSeven-Aufschlag fällt prozentual kaum ins Gewicht.
• Im Tarif API Only kippt das Verhältnis vollständig. Eine WhatsApp Authentication in die Schweiz kostet weniger als die Hälfte einer Schweizer Carrier-SMS, ohne dass SendSeven dafür mehr berechnet.

Rechenbeispiel: 1.000, 3.000 und 15.000 OTPs pro Monat

Theorie ist gut, konkrete Zahlen sind besser. Drei typische DACH-Volumina – vom kleinen Startup bis zum regionalen Mittelständler:

Szenario A: SaaS-Startup mit 1.000 Logins pro Monat (Empfänger Deutschland)

Auch für kleine Volumina rechnet sich die Umstellung. Bei einem typischen Startup mit zehn täglichen Logins pro Stammkunde sind 1.000 OTPs realistisch erreicht, sobald 100 aktive Konten regelmäßig genutzt werden.

Szenario B: DACH-Mittelständler mit 3.000 OTPs pro Monat (Mix DE/AT/CH 70/15/15)

Bei diesem Volumen sind die Anbieter-Mindestumsätze in beiden Fällen überschritten; Sie zahlen Nutzungskosten und nichts darüber hinaus. Für Empfänger in der Schweiz ist die Ersparnis prozentual am höchsten – dort kostet eine WhatsApp Authentication nur die Hälfte einer SMS.

Szenario C: Regionale Bank oder Versicherer mit 15.000 OTPs pro Monat (nur Deutschland)

Wer über 50.000 Auth-Nachrichten pro Monat versendet, kommt zusätzlich in Reichweite der Meta Volume-Tiers: Ab 300.000 Authentication-Nachrichten pro Monat sinkt der Meta-Listpreis stufenweise um bis zu 25 Prozent. Auf SMS-Seite gibt es solche Volumen-Rabatte bei den meisten Carriern nur in Form individuell verhandelter Enterprise-Verträge. Heißt: Je höher das Volumen, desto stärker zieht WhatsApp davon.

Wann SMS trotzdem die richtige Wahl bleibt

So eindeutig die Kostenrechnung ausfällt – SMS hat weiterhin ihre Berechtigung. In folgenden Situationen sollten Sie SMS als Hauptkanal oder zumindest als Fallback einplanen:

• Empfänger ohne WhatsApp-Account. WhatsApp hat in Deutschland eine Penetration von rund 84 Prozent der Mobilfunknutzer (Stand 2026, Quelle: Datareportal Digital 2026 Germany). Heißt: Etwa jeder sechste Empfänger erhält Ihre Authentication-Nachricht über WhatsApp nicht. Ohne SMS-Fallback erreichen Sie diese Personen nicht.
• Hochregulierte Branchen mit Whitelist-Pflicht. Manche Aufsichtsbehörden (BaFin im Banking, FINMA in der Schweiz) erlauben für bestimmte Login-Workflows nur Kanäle, die ihrerseits einer Telekommunikations-Aufsicht unterliegen. SMS fällt darunter; WhatsApp – als Internet-basierter Dienst – kann je nach Workflow-Risikoklasse abgelehnt werden. Prüfen Sie das immer mit Ihrer Compliance.
• Behörden- und Verwaltungsanwendungen. Wenn Ihr 2FA-Versand Teil eines Behördenservices ist, prüfen Sie die Datenschutz-Folgenabschätzung. WhatsApp ist als Cloud-Service von Meta verarbeitet (mit Verarbeitung auch außerhalb der EU), SMS bleibt in der Regel innerhalb regulierter Carrier-Netze. Für viele öffentliche Auftraggeber ist das ein KO-Kriterium.
• Empfänger ohne Smartphone. SMS funktioniert auf jedem mobilen Endgerät, das eine SIM-Karte aufnehmen kann. WhatsApp braucht ein Smartphone mit aktueller OS-Version. Bei Zielgruppen mit hohem Anteil älterer Generation oder Tastenhandy-Nutzer bleibt SMS unverzichtbar.
• Notfall- und Kritis-Workflows. Eine 2FA-Anwendung, die in Cyber-Notfällen funktionieren muss, sollte nicht von einer einzelnen Cloud-Plattform abhängen. Hier ist eine SMS-Backup-Strecke Standard.

Best Practice ist deshalb fast immer eine Hybrid-Strategie: Erstversuch über WhatsApp Authentication, Fallback auf SMS nach 30 bis 60 Sekunden, wenn die Zustellung nicht bestätigt wurde. Genau das lässt sich über SendSevens Flow Builder in wenigen Minuten konfigurieren – mehr dazu unten im Migrations-Abschnitt.

Sicherheit: SIM-Swapping vs. Ende-zu-Ende-Verschlüsselung

Kosten sind eine Sache, Sicherheit die andere. Die Kostenstruktur von WhatsApp Authentication ist nicht nur ein freundlicher Zufall – Meta subventioniert die Kategorie aktiv, weil sie WhatsApp aus mehreren Gründen für sicherer hält als SMS:

SIM-Swapping bei SMS

SIM-Swapping (auch SIM-Jacking) ist seit Jahren der häufigste Angriffsvektor auf SMS-basierte 2FA-Workflows. Der Angreifer überzeugt den Mobilfunkanbieter des Opfers (per Social Engineering, gefälschten Ausweisdokumenten oder bestochener Insider), die Mobilfunknummer auf eine neue SIM zu übertragen. Sobald das passiert, landet jede 2FA-SMS beim Angreifer – das Opfer merkt es oft erst, wenn das Konto bereits geleert ist. In Deutschland wurden 2024 laut BSI rund 1.300 Fälle gemeldet, die tatsächliche Dunkelziffer dürfte deutlich höher liegen.

WhatsApp ist Ende-zu-Ende-verschlüsselt

WhatsApp-Nachrichten sind nach dem Signal-Protokoll Ende-zu-Ende-verschlüsselt. Selbst wenn ein Angreifer die SIM des Opfers übernimmt, kann er den WhatsApp-Account nicht ohne Weiteres ebenfalls übernehmen, weil WhatsApp an die Geräte-Installation gebunden ist und bei einem Wechsel mehrere Bestätigungsschritte verlangt. SMS bleibt damit der schwächste Punkt in vielen 2FA-Setups.

Authentication-Templates: Eingebauter Phishing-Schutz

Authentication-Templates dürfen seit 2023 keine Links enthalten. Das ist eine bewusste Meta-Designentscheidung: OTP-Phishing per WhatsApp soll erschwert werden, indem Empfänger gar nicht erst dazu verleitet werden können, auf einen gefälschten Login-Link zu klicken. Bei SMS gibt es diese Restriktion nicht – jede Phishing-SMS mit „Tippen Sie hier, um Ihre Bank-App zu aktualisieren" rutscht ungebremst durch.

NIST: SMS als 2FA-Faktor offiziell "deprecated"

Das US-amerikanische National Institute of Standards and Technology (NIST) hat SMS bereits 2017 in der Special Publication 800-63B als 2FA-Faktor offiziell für „restricted" erklärt – also weiterhin erlaubt, aber als unsicher markiert. Die deutsche BSI-Position ist ähnlich differenziert: SMS bleibt zulässig, sollte aber für hochsensible Anwendungen durch stärkere Verfahren ergänzt werden. WhatsApp Authentication fällt zwar nicht unter die NIST-Kategorie „phishing-resistant", erfüllt aber durch die Plattform-Sicherheit deutlich höhere Anforderungen als die offene SMS-Strecke.

Migration: Schrittweise von SMS-OTP zu WhatsApp-OTP

Die Umstellung eines bestehenden 2FA-Workflows klappt am besten in vier Schritten:

1. Authentication-Template einreichen. Erstellen Sie über die WhatsApp Cloud API ein Template der Kategorie Authentication. Format: ein Code-Platzhalter (4 bis 8 Ziffern) plus optional ein Sicherheitshinweis („Geben Sie diesen Code niemals an Dritte weiter"). Genehmigung durch Meta in der Regel innerhalb von 1 bis 2 Stunden. Anleitung im SendSeven-Setup-Guide.
2. Opt-in dokumentieren. Für jeden Nutzer, der Authentication-Nachrichten erhalten soll, muss eine dokumentierte Opt-in-Einwilligung vorliegen. Bei bestehenden Konten reicht in der Regel ein einmaliger Hinweis im nächsten regulären Login („Wir bieten Ihnen ab sofort zusätzlich WhatsApp als 2FA-Kanal an. Aktivieren?") mit aktivem Klick. Tracken Sie den Zeitstempel.
3. Hybrid-Routing konfigurieren. Im SendSeven-Account hinterlegen Sie eine einfache Routing-Regel: WhatsApp-OTP versenden, 45 Sekunden warten, bei ausbleibendem read-Webhook auf SMS umschwenken. Die Logik dahinter steuert Ihr Backend – die Plattform liefert nur Zustell- und Read-Statusereignisse via Webhook.
4. Stufenweise Rollout-Welle. Beginnen Sie mit 10 Prozent der Nutzerbasis (idealerweise eine Region oder Kohorte mit hoher WhatsApp-Penetration). Messen Sie zwei Wochen lang: Zustellrate, durchschnittliche Eingabezeit des Codes, Support-Tickets. Wenn alles stabil ist, skalieren Sie auf 50 und dann 100 Prozent.

Wer von einer SMS-only-Architektur kommt und befürchtet, dass die Umstellung Wochen kostet: Mehrere SendSeven-Kunden im Banken- und SaaS-Umfeld haben den Switch innerhalb von 5 Werktagen abgeschlossen, weil das Authentication-Template-Format extrem einfach ist und die Routing-Logik im Backend mit wenigen Zeilen REST-API-Code abgebildet wird. Für die SendSeven-API-Spezifikation reichen einem erfahrenen Entwickler 1 bis 2 Tage Implementierungszeit.

DSGVO und Datenresidenz beim 2FA-Versand

Bei jeder Art von Authentifizierungs-Workflow verarbeiten Sie eine personenbezogene Telefonnummer und einen Verifizierungscode. Beides ist DSGVO-relevant. Drei Punkte verdienen besondere Aufmerksamkeit:

Rechtsgrundlage

Für die Verarbeitung der Telefonnummer im Rahmen einer 2FA gilt in der Regel Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) – wenn 2FA eine vertraglich oder gesetzlich vereinbarte Sicherheitsmaßnahme ist. Für die Aktivierung des WhatsApp-Kanals zusätzlich Art. 6 Abs. 1 lit. a (Einwilligung), weil Sie damit Daten an einen weiteren Anbieter (Meta) übertragen.

Auftragsverarbeitung

Sie brauchen einen gültigen AVV nach Art. 28 DSGVO sowohl mit Ihrem SMS-Plattform-Anbieter als auch mit Ihrem WhatsApp-Plattform-Anbieter. SendSeven stellt beide AVVs bereit. Meta selbst gilt als „weitere Auftragsverarbeiter" und ist im AVV von SendSeven dokumentiert; eine separate Vereinbarung mit Meta ist nicht erforderlich.

Datenresidenz

SendSeven betreibt die Plattform-Infrastruktur in Google Cloud Frankfurt (Region europe-west3). KI-Verarbeitung (sofern Sie Bots oder Knowledge Base nutzen) läuft über Vertex AI ebenfalls in Frankfurt. Meta verarbeitet WhatsApp-Nachrichten im Rahmen des EU-US Data Privacy Framework; die Stammdaten werden in EU-Rechenzentren gehalten, technische Routing-Metadaten können zur Spam- und Missbrauchsabwehr global verarbeitet werden. Für rein nationale Workflows ist das DSGVO-konform; für Hochrisiko-Branchen sollten Sie das in einer Datenschutz-Folgenabschätzung dokumentieren.

Anbieter-Vergleich: Worauf bei einer OTP-Plattform achten

Wenn Sie 2FA-Versand neu evaluieren oder den bestehenden Anbieter ablösen, hilft die folgende Checkliste:

• Beide Kanäle aus einer Hand. Plattformen, die nur SMS oder nur WhatsApp anbieten, zwingen Sie zur Doppel-Integration mit zwei AVVs, zwei Webhooks, zwei Rechnungen. Eine Plattform für beide Kanäle – plus E-Mail-Fallback – spart erheblichen Verwaltungsaufwand.
• Transparente Preise ohne Aufschlag auf Meta. Manche Plattformen schlagen 10 bis 50 Prozent auf die Meta-Listpreise auf. Bei 100.000 OTPs pro Monat sind das schnell mehrere tausend Euro im Jahr. Lassen Sie sich den 1:1-Pass-Through schriftlich bestätigen.
• Volumenrabatte automatisch. Meta gewährt ab gewissen Mengen niedrigere Authentication-Listpreise. Achten Sie darauf, dass Ihre Plattform diese Vergünstigungen automatisch durchreicht und nicht intransparent einbehält.
• Geringer Mindestumsatz. Klassische SMS-Plattformen verlangen oft Setup-Gebühren von mehreren hundert Euro plus Monatspauschalen ab 500 €. Für ein Startup mit 1.000 OTPs pro Monat ist das ein Killer. SendSevens Mindestumsatz von 9 €/Kanal/Monat (Tarif Pay as you go oder API Only) erlaubt einen kleinen Start ohne finanzielles Risiko.
• EU-Hosting plus AVV. Nicht verhandelbar für DACH-Unternehmen. Achten Sie auf konkrete Rechenzentrums-Angaben (z.B. „Frankfurt, GCP europe-west3") statt auf vage „EU-Hosting"-Formulierungen.
• Webhooks für Zustellnachweis. Ihr Backend braucht Echtzeit-Informationen über sent, delivered, read und failed. Plattformen ohne Webhook-Push zwingen zu Polling-Schleifen, das skaliert nicht.
• Unbegrenzte Nutzer / kein Per-Seat. 2FA ist ein technischer Workflow – Ihr Entwicklerteam und Ihre Operations brauchen Zugriff. Plattformen mit Per-Seat-Lizenzen kosten ohne ersichtlichen Mehrwert.

SendSeven erfüllt alle sieben Kriterien. Wenn Sie konkrete Zahlen für Ihren Workflow durchspielen möchten, hilft unser kostenloser ROI-Rechner. Er rechnet zwar primär für Marketing-Kampagnen, lässt sich für Authentication-Volumen jedoch sauber zweckentfremden, weil Sie die Marketing-Quote auf 0 setzen können.

Häufig gestellte Fragen (FAQ)

Ist WhatsApp Authentication 2026 wirklich günstiger als SMS in DACH?

Ja, in allen drei DACH-Märkten und in jedem SendSeven-Tarif. Der Unterschied reicht von rund 29 Prozent in Deutschland (Pay as you go) bis über 72 Prozent in der Schweiz (Tarif API Only). Treiber sind Metas niedrige Listpreise für die Kategorie Authentication (0,0456 € in DE; 0,0142 € in AT und CH) sowie die Tatsache, dass AT und CH in dieselbe günstige Region Rest of Western Europe fallen.

Was kostet eine Authentifizierungs-Nachricht über WhatsApp in Deutschland 2026?

Der Meta-Listpreis liegt bei 0,0456 € netto pro Authentication-Template. Zuzüglich der SendSeven-Anbieter-Gebühr ergeben sich 0,0706 € im Tarif Pay as you go bzw. 0,0496 € im Tarif API Only. Die SMS-Variante derselben Nachricht nach Deutschland kostet 0,085 € (API Only) bis 0,100 € (Pay as you go) – durchgehend teurer.

Warum sind Österreich und die Schweiz so viel günstiger?

Meta fasst Österreich und die Schweiz in die Region Rest of Western Europe zusammen, in der die Listpreise deutlich niedriger sind als in Deutschland. Der Authentication-Preis dort beträgt nur 0,0142 € pro Nachricht – ein Drittel des deutschen Preises. Beim SMS-Vergleich profitieren beide Länder zusätzlich von günstigeren Carrier-Versandkosten (5,0 Ct AT, 5,5 Ct CH gegenüber 7,5 Ct DE).

Brauche ich für WhatsApp-OTPs ein Authentication-Template?

Ja. Verifizierungs- und Login-Codes über die WhatsApp Business API laufen ausschließlich über Templates der Kategorie Authentication. Meta prüft jede Vorlage und genehmigt sie in der Regel innerhalb von 1 bis 2 Stunden. Authentication-Templates dürfen keine Links und keine Werbeinhalte enthalten – nur den Code und optionale Sicherheitshinweise.

Was passiert, wenn der Empfänger kein WhatsApp nutzt?

In Deutschland nutzen rund 84 Prozent der Mobilfunknutzer WhatsApp, in Österreich und der Schweiz vergleichbare Werte. Für die rund 15 Prozent ohne WhatsApp brauchen Sie einen SMS-Fallback. Best Practice: WhatsApp-OTP zuerst versenden, bei ausbleibender Lesebestätigung nach 30 bis 60 Sekunden automatisch eine SMS schicken. Genau das lässt sich über SendSevens Flow Builder konfigurieren – beide Kanäle aus einer Plattform.

Ist WhatsApp Authentication DSGVO-konform?

Ja, bei korrekter Implementierung. Sie brauchen eine dokumentierte Opt-in-Einwilligung Ihrer Nutzer, einen AVV mit Ihrem Plattform-Anbieter sowie eine Datenschutz-Folgenabschätzung für Hochrisiko-Workflows. SendSeven stellt AVV, EU-Hosting in Frankfurt und Opt-in-Tracking standardmäßig bereit. Meta gilt als weiterer Auftragsverarbeiter und ist im SendSeven-AVV dokumentiert.

Wie sicher ist SMS-2FA wirklich?

SMS-2FA ist deutlich sicherer als ein reines Passwort, gilt aber als der schwächste der gängigen 2FA-Faktoren. Hauptangriffsvektor ist SIM-Swapping, bei dem ein Angreifer die Mobilfunknummer des Opfers auf eine neue SIM übertragen lässt. Das US-NIST hat SMS als 2FA-Faktor in der Special Publication 800-63B als restricted markiert – weiterhin erlaubt, aber nicht für hochsensible Workflows empfohlen. WhatsApp Authentication ist durch Ende-zu-Ende-Verschlüsselung und Geräte-Bindung im Vergleich robuster gegen SIM-Swapping.

Wie schnell ist die Migration von SMS-OTP auf WhatsApp-OTP?

Für ein erfahrenes Entwicklerteam liegt die reine Implementierungszeit bei 1 bis 2 Tagen REST-API-Code plus 1 bis 2 Stunden Authentication-Template-Genehmigung durch Meta. Inklusive stufenweisem Rollout, Opt-in-Kommunikation an Bestandsnutzer und A/B-Test gegen die bestehende SMS-Strecke kalkulieren die meisten SendSeven-Kunden 2 bis 4 Wochen bis zum vollständigen Cut-over.

Bleibt SendSeven der günstigste Anbieter, auch wenn WhatsApp teurer wird?

Nach unserer kontinuierlichen Marktbeobachtung im DACH-Raum liegt SendSeven sowohl bei SMS als auch bei WhatsApp Authentication am unteren Ende der Anbieterspanne. Treiber sind: kein Aufschlag auf Meta-Listpreise, keine Per-Seat-Lizenzen, ein niedriger Mindestumsatz ab 9 €/Kanal/Monat sowie ein separater SMS-Preis von 1 Ct im Tarif API Only seit Mai 2026. Sollte sich an dieser Position ändern, finden Sie die aktuellen Werte stets auf der Pricing-Seite.

Kann ich beide Kanäle parallel über eine Plattform versenden?

Ja. Bei SendSeven sind WhatsApp und SMS – ebenso wie Email, Telegram, Messenger, Instagram, Live Chat und Browser Push – aus derselben REST-API ansprechbar. Eine einzige Authentifizierungs-Logik in Ihrem Backend wählt pro Nutzer den passenden Kanal aus. Routing-Regeln für Fallback-Strategien lassen sich entweder im Backend abbilden oder über den Flow Builder ohne Code konfigurieren.

Fazit: WhatsApp ist 2026 der neue Default-Kanal für 2FA in DACH

Die wichtigste Erkenntnis dieses Vergleichs: Die alte Faustregel „SMS ist immer am günstigsten" gilt 2026 nicht mehr. Wer 2FA-Workflows heute neu baut, fährt mit WhatsApp Authentication als Hauptkanal in DACH deutlich günstiger – und in Österreich und der Schweiz sogar dramatisch günstiger. Die Kombination aus niedrigem Meta-Listpreis, eingebauter Sicherheit (Ende-zu-Ende-Verschlüsselung, kein Phishing-Linkrisiko in Templates) und höherer Nutzerakzeptanz (Empfänger sehen Ihre Marke als verifiziertes Business-Profil, nicht als anonyme Kurzwahl) machen WhatsApp Authentication zur sinnvollen Default-Wahl.

SMS bleibt unverzichtbar als Fallback und für Empfänger ohne WhatsApp. Eine Hybrid-Strategie aus beiden Kanälen – idealerweise aus derselben Plattform – ist die robusteste Lösung. SendSeven bietet beide Kanäle inklusive AVV, EU-Hosting und einem Mindestumsatz von 9 €/Kanal/Monat. Die jährliche Ersparnis gegenüber einer reinen SMS-Strecke liegt bei einem typischen DACH-KMU mit 3.000 OTPs pro Monat bei rund 1.058 € (DE-fokussiert) bis 1.469 € (CH-fokussiert) – ab 15.000 OTPs sind es bereits über 5.000 €.

Weiterführende Artikel:

• WhatsApp Business API Kosten 2026 – Vollständige Übersicht für DACH
• WhatsApp Business API – Der komplette Leitfaden für den DACH-Raum 2026
• DSGVO-konformes Business Messaging – Der komplette Leitfaden 2026
• SMS für Unternehmen – Kanalseite
• WhatsApp Business – Kanalseite
• SendSeven WhatsApp-Setup-Guide

Quellen:

• WhatsApp Business Platform Pricing – Offizielle Meta-Preisliste (Stand 1. April 2026)
• NIST Special Publication 800-63B – Digital Identity Guidelines
• BSI – Zwei-Faktor-Authentisierung
• Datareportal – Digital 2026 Germany (Mobile-Messenger-Nutzung)