A2P-Compliance nach Region: Opt-in, Sender ID, Registrierung

Compliance ist der einzige Teil des Messaging-Geschäfts, der unsichtbar bleibt, bis er das Einzige ist, was zählt. Der Traffic läuft monatelang, niemand stellt eine Frage, und dann passiert eines von drei Dingen: Ein Netzbetreiber filtert Ihre Route ohne Vorwarnung, eine Behörde schreibt Ihnen, oder der Wettbewerber eines Kunden schickt eine Abmahnung, und die Akte landet auf Ihrem Schreibtisch statt auf seinem. Dieser Leitfaden ist die Landkarte, die sich die meisten Betreiber am Ende auf die harte Tour selbst zeichnen. Er behandelt die Regeln, die überall gelten, die regionalen Regime, die tatsächlich Leute erwischen, und jene glanzlosen Plattformfunktionen, die aus einer Richtlinie etwas Beweisbares machen. Das ist Information, keine Rechtsberatung, und die Regeln bewegen sich: Klären Sie die Einzelheiten für jedes Land, in das Sie versenden, mit Ihrem vorgelagerten Anbieter und, wenn es um ernstes Geld geht, mit einem Anwalt vor Ort.

Die drei Regeln, die überall gelten

Streichen Sie die Abkürzungen und die regionalen Anträge, und fast jedes A2P-Regime der Welt verteidigt dieselben drei Gedanken. Wer diese beherrscht, für den wird die Bürokratie zum Detail statt zur Doktrin.

Einwilligung. Der Empfänger hat zugestimmt, von diesem Absender zu hören, und zwar über diese Art von Thema. Die Latte steigt mit dem Inhalt: Eine transaktionale Nachricht (ein OTP, eine Zustellbenachrichtigung, ein Kontostandshinweis) gilt in der Regel als durch das Geschäft selbst impliziert, während Werbung fast immer eine ausdrückliche, gesonderte, aktive Zustimmung braucht. Der Fehler lautet fast nie “wir hatten überhaupt keine Einwilligung”, sondern “wir hatten eine Einwilligung für etwas anderes”. Wer ein Häkchen für Versandbenachrichtigungen gesetzt hat, hat keinem Black-Friday-Massenversand zugestimmt, und in den Märkten, in denen das zählt, ist genau diese Unterscheidung der ganze Fall.

Identifikation. Der Empfänger erkennt allein an der Nachricht, wer ihm schreibt, ohne Detektivarbeit. Dafür ist die Sender ID da, und deshalb sind markenlose, rotierende oder geborgte Absender der schnellste Weg ins Filter. In manchen Märkten ist die Identifikation eine förmliche Registrierung, in anderen genügt es, dass der Markenname im Text steht. So oder so gilt: Eine anonyme A2P-Nachricht ist eine verdächtige A2P-Nachricht.

Opt-out. Aufhören muss einfach, offensichtlich, kostenlos und sofort möglich sein. STOP ist das nahezu universelle Schlüsselwort, mit lokalen Entsprechungen in den meisten Märkten (im deutschsprachigen Raum ist STOP ebenfalls das eingeführte Wort), und “sofort” heißt, dass die Plattform aufhört zu senden, nicht dass ein Support-Ticket aufgemacht wird. Es ist außerdem die Regel, die am häufigsten aus Versehen gebrochen wird, weil das Opt-out in einem Marketing-Tool implementiert wird und nicht im Gateway, und weil die nächste Kampagne, geladen aus einer veralteten CSV, wieder an den schreibt, der gegangen ist.

Alles unterhalb dieser Linie ist regional. Nichts unterhalb dieser Linie rettet Sie, wenn eine dieser drei Regeln fehlt.

Die Sender ID, und warum es Registrierung überhaupt gibt

Die Sender ID ist das, was in der Absenderzeile steht: eine alphanumerische Zeichenfolge (ein Markenname, bis zu 11 Zeichen bei Standard-SMS), eine lange Nummer oder eine Kurzwahl. Sieht nach einer Nebensache aus. Ist das am heftigsten umkämpfte Objekt der Branche, weil es zugleich der Identifikationsmechanismus ist und das, was Betrüger am liebsten fälschen.

Registrierungsregime gibt es wegen Spoofing. Alphanumerische Sender IDs sind auf Protokollebene ein Feld, das man ausfüllt. Nichts in der SMS selbst hindert einen Angreifer daran, dort den Namen einer Bank einzutragen und eine Phishing-Nachricht zu schicken, die im selben Verlauf landet wie die echten OTPs dieser Bank. Die Regulierer haben auf die einzig mögliche Weise reagiert: Sie haben die Sender ID zu einem registrierten, zurechenbaren, prüfbaren Objekt gemacht und verweigern Traffic, der eine nicht registrierte verwendet.

Daraus folgen drei praktische Konsequenzen für Ihr Design. Registrierung braucht Zeit, je nach Markt Tage bis Wochen, sie gehört also in den Onboarding-Fahrplan des Kunden und nicht in die Checkliste des Starttags. Die Sender ID gehört der Marke, nicht Ihnen, das heißt: Sie wird pro Kunde registriert, mit den Unterlagen des Kunden, und eine über mehrere Mandanten geteilte oder recycelte Sender ID ist zugleich ein Compliance-Problem und ein Support-Albtraum. Die Fähigkeiten hängen vom Absendertyp ab: In den meisten Märkten kann eine alphanumerische Sender ID keine Antworten empfangen, was jeden bidirektionalen Ablauf still zerbricht, einschließlich der STOP-Verarbeitung, auf die Sie für Regel drei bauen. Wer Inbound braucht, braucht eine Nummer, und das ändert den Registrierungsweg.

Region für Region: die Details, die Leute erwischen

Ein Weltregime gibt es nicht, nur ein Mosaik, und das Mosaik ist die Arbeit. Dies sind die vier Formen, die Ihnen am häufigsten begegnen.

Indien: DLT, das strengste Regime der Welt. Die DLT-Registrierung (Distributed Ledger Technology) ist ein wirklich anderes Modell. Bevor eine einzige Nachricht rausgeht, wird die Entität registriert, der Header (die Sender ID) registriert und freigegeben, und jedes Content-Template als Muster mit variablen Feldern registriert. Beim Versand gleicht der Netzbetreiber die Nachricht gegen das Register ab: falsches Template, nicht registrierter Header oder Inhalt, der nicht zum freigegebenen Muster passt, und die Nachricht wird abgewiesen statt zugestellt. Auch die Einwilligung selbst ist registriert. Betreiber, die neu nach Indien kommen, unterschätzen den Template-Schritt regelmäßig, weil er eine Disziplin erzwingt, für die kaum eine Plattform gebaut ist: Ihr Nachrichteninhalt ist eine vorab freigegebene Form mit Lücken, kein Freitext. Wer indischen Traffic bedient, für den ist Template-Verwaltung eine Produktfunktion, keine Verwaltungsaufgabe.

USA: 10DLC, und teuer ist nicht die Gebühr. A2P-Traffic von einer gewöhnlichen lokalen Nummer setzt voraus, dass Sie eine Marke registrieren und anschließend die Kampagnen (die Use Cases) registrieren, die darunter laufen. Die direkten Kosten sind gering: einmalige Markenregistrierung im Bereich von 4 USD, Kampagnenprüfung um die 15 USD, und laufende Netzbetreibergebühren je Kampagne typischerweise zwischen 2 und 10 USD im Monat, alles Zahlen, die sich verschieben, also als Größenordnung zu lesen und nicht als Angebot. Teuer ist, was ohne Registrierung passiert: Nicht registrierter Traffic wird auf ein Rinnsal gedrosselt oder gleich weggefiltert, und der Durchsatz, den man Ihnen tatsächlich zugesteht, hängt an Ihrem Trust Score. Darüber liegt der TCPA, der keine Netzbetreiberrichtlinie ist, sondern ein Gesetz mit privatem Klagerecht und gesetzlich normiertem Schadenersatz, üblicherweise mit 500 bis 1,500 USD pro Nachricht beziffert. Pro Nachricht. Das ist die Zahl, die aus einer schlampigen Liste eine existenzielle Summe macht, und deshalb belohnt der US-Markt dokumentarische Paranoia mehr als jeder andere.

Europäische Union und Vereinigtes Königreich: nichts zu registrieren, alles zu beweisen. Ein zentrales Register für Sender IDs oder Templates gibt es in der Regel nicht. Stattdessen richtet sich die Einwilligung nach DSGVO und ePrivacy, und Werbung verlangt normalerweise ein Opt-in, das freiwillig, spezifisch, informiert und unmissverständlich ist, mit einem engen Spielraum für das abgeschwächte Opt-in gegenüber Bestandskunden bei ähnlichen Produkten. Daraus folgen zwei Dinge. Erstens liegt die Beweislast bei Ihnen: Wer den Nachweis nicht vorlegen kann, hatte keine Einwilligung, und “der Kunde hat gesagt, er habe eine” ist keine Verteidigung, wie § 7 UWG, die Aufsichtsbehörden und eine lange Reihe von Abmahnungen seit Jahren klarmachen. Zweitens sind die Daten reguliert und nicht nur der Versand, und deshalb kommen die Fragen nach Datenresidenz, Aufbewahrung und Unterauftragsverarbeitern in der Beschaffung und nicht danach. Die Bußgelder bemessen sich als Prozentsatz des Umsatzes, die Obergrenze skaliert also mit dem Unternehmen und nicht mit dem Verstoß. Das ist der Markt, in dem eine selbst gehostete Plattform auf Ihren eigenen Servern den halben Fragebogen beantwortet, bevor Sie ihn ausfüllen.

Golf und MENA: Freigabe durch den Netzbetreiber, Markt für Markt, Absender für Absender. In weiten Teilen der Golfregion lautet das Muster: Freigabe der Sender ID durch jeden einzelnen Netzbetreiber oder die nationale Regulierungsbehörde, meist mit Handelsregisterunterlagen, manchmal mit der Anforderung einer lokalen Gesellschaft, und häufig mit einer Freigabe, die je Netzbetreiber und nicht national gilt. Die Inhaltsbeschränkungen sind strenger und kulturell spezifischer, als die meisten westlichen Betreiber erwarten, und werblicher Traffic trifft oft auf Zeitfenster. Der praktische Rat: Kalkulieren Sie das Onboarding in Wochen und stützen Sie sich auf einen Aggregator, der die Beziehungen bereits hat.

Überall sonst: fragen Sie, Land für Land, bevor Sie einen Preis nennen. Der Fehler ist, “Afrika”, “Lateinamerika” oder “Südostasien” wie eine Richtlinie zu behandeln. Das sind sie nicht. In Osteuropa und der Türkei, für viele DACH-Anbieter der erste Markt außerhalb des EU-Rechtsraums, gibt es Absenderregistrierung in einigen Ländern und in anderen nicht, die Regeln wechseln innerhalb eines Landes von Netzbetreiber zu Netzbetreiber, und die einzig verlässliche Quelle ist der Aggregator, der Ihren Traffic terminiert. Bauen Sie die Frage ins Onboarding jeder Route ein, neben den Preis und den Qualitätstest aus dem Reselling-Handbuch.

WhatsApp und RCS: wenn die Plattform der Regulierer ist

Kanäle jenseits von SMS entkommen der Compliance nicht, sie setzen einen zweiten Regulierer auf den ersten, und dieser setzt seine Regeln automatisch durch.

Bei WhatsApp ist das Opt-in eine Richtlinienvoraussetzung vor jeder vom Unternehmen initiierten Nachricht, Templates werden vor der Verwendung eingereicht und freigegeben, und die Qualität wird laufend bewertet. Wer es falsch macht, erlebt mechanische statt juristische Folgen: Das Template wird abgelehnt, die Qualitätsbewertung fällt, die Messaging-Limit-Stufe rutscht ab, und am Ende ist die Nummer eingeschränkt. Kein Brief, keine Verhandlung, und der Rechtsbehelf ist ein Formular. Der Vorteil: Die Regeln sind lesbar und überall gleich, was ehrlich gesagt bequemer ist als das SMS-Mosaik. Der Leitfaden zu WhatsApp ohne SaaS-Zwischenhändler zeigt, wie diese Eigentümerschaft praktisch funktioniert.

RCS folgt derselben Form: verifizierte Absender, Markenverifikation und Kontrollen auf Netzbetreiberseite. Das Muster, das man verinnerlichen sollte: Auf diesen Kanälen setzt der Code der Plattform die Compliance durch, und Code akzeptiert kein “wir arbeiten daran”. Welchen Prozess Sie auch immer für Einwilligung und Abmeldung haben, es muss derselbe Prozess über alle Kanäle sein, die Sie betreiben, denn Ihre Empfänger denken nicht in Kanälen, und die Beschwerde tut es auch nicht.

Wie Compliance aussieht, wenn sie eine Plattformfunktion ist

Eine Richtlinie, die in einem PDF wohnt, ist keine Compliance, sondern eine Absicht. Was eine Prüfung übersteht, ist ein System, in dem der regelkonforme Weg der voreingestellte ist. Dies sind die Funktionen, die die Arbeit machen, und es lohnt sich, in jeder Plattform, die Sie kaufen oder bauen, namentlich nach ihnen zu suchen.

Ein Einwilligungsnachweis, der eine Form hat. Kein boolesches Feld am Kontakt. Wer eingewilligt hat, welche Nummer, der exakte gezeigte Wortlaut, die Quelle (Webformular, Kasse, Import, API), der Zeitstempel und die IP oder Referenz, wo es sie gibt. Speichern Sie den Wortlaut, nicht einen Verweis auf eine Seite, die im nächsten Quartal anders aussieht. Das ist das wertvollste Feld Ihrer Datenbank an dem Tag, an dem es zählt, und das billigste, das man vorher hinzufügt.

Opt-out im Gateway, nicht im Kampagnen-Tool. Die Sperrliste greift beim Versand, pro Mandant, über alle Kanäle, und sie schlägt jede Liste, die ein Benutzer hochlädt. Die STOP-Verarbeitung ist eingehend verdrahtet und sofort wirksam. Wenn ein Benutzer die Sperrliste durch den Import einer CSV aushebeln kann, haben Sie keine Sperrliste, Sie haben eine Empfehlung.

Sender-ID- und Template-Verwaltung je Mandant. Sender IDs, die auf den jeweiligen Kunden registriert sind und ihm gehören, Templates als freigegebene Muster mit Variablen gespeichert, wo der Markt es verlangt, und eine harte Abweisung beim Versand, wenn der Inhalt nicht passt. Das macht Indien überlebbar, und das verhindert, dass sich ein Multi-Tenant-Bestand von Mandant zu Mandant kontaminiert.

Ein Audit-Trail je Nachricht. Jede Nachricht, im System of Record, mit verwendeter Sender ID, Mandant, Route, Template-Referenz, Zeitstempel und Zustellquittung, aufbewahrt und abfragbar. Wenn die Beschwerde zu einer Nachricht von vor sechs Monaten eintrifft, ist das der Unterschied zwischen einem Nachmittag und einer Krise. Es ist dieselbe Buchführungsdisziplin, die auch die Abrechnung belastbar macht, und das ist kein Zufall: Beide beantworten die Frage “beweisen Sie, was passiert ist”.

Spam- und Inhaltserkennung, die kennzeichnet statt blockiert. Ein automatischer Klassifikator auf dem heißen Pfad fängt die offensichtlichen Probleme ab, bevor Ihr Netzbetreiber es tut. Er soll markieren und sichtbar machen, nicht still verwerfen, denn ein Fehlalarm, der die OTPs einer Bank abwürgt, ist ein weit teurerer Fehler als eine gekennzeichnete Nachricht, auf die ein Mensch kurz schaut.

Mandantentrennung und ein Sperrschalter. Tarife je Kunde, Sender IDs je Kunde, Traffic je Kunde, und die Fähigkeit, einen einzelnen Mandanten sofort zu stoppen, ohne die anderen anzufassen. Ihre Nutzungsrichtlinie ist nur so echt wie der Knopf, der sie durchsetzt.

Beachten Sie, was das alles ist: Aufzeichnungen führen, Voreinstellungen richtig setzen, einen Schalter haben. Nichts davon ist exotisch. Es ist schlicht Arbeit, die sich leicht aufschieben und schmerzhaft nachrüsten lässt, und deshalb sind Plattformen, die das serienmäßig mitbringen, mehr wert, als sie aussehen. Der letzte Baustein ist, den Server zu besitzen, auf dem die Aufzeichnungen liegen, als einmalige Lizenz statt Miete: Ein Audit-Trail nützt nur, wenn Sie ihn auch wirklich vorlegen können, und das ist ein anderes Gespräch, wenn die Datenbank Ihnen gehört.

Der Betriebsrhythmus: nach dem Start regelkonform bleiben

Compliance ist kein Projekt mit Enddatum, sondern ein Wartungsplan, und die Fehler sind fast immer Drift, nicht Unwissen.

Registrierungen laufen ab, und sie laufen still ab. Sender-ID-Freigaben verfallen, 10DLC-Kampagnen müssen aktuell gehalten werden, DLT-Templates müssen nachgezogen werden, sobald das Marketing ein Wort ändert, und die Benachrichtigung geht, falls es sie gibt, in ein Postfach, das niemand liest. Tragen Sie jede Registrierung in einen Kalender ein, mit Verantwortlichem und Verlängerungsdatum, je Kunde, und sehen Sie das monatlich durch. Beobachten Sie Beschwerde- und Abmeldequoten je Kunde als Frühwarnsystem: Ein plötzlicher Ausschlag ist ein Listenproblem, und es erreicht Ihren Netzbetreiber vor Ihnen. Prüfen Sie die Einwilligung bei importierten Listen erneut, denn eine gekaufte, gescrapte oder vom alten Anbieter eines Kunden geerbte Liste ist die häufigste Ursache einer gesperrten Route. Und wenn ein Kunde Sie bittet, etwas zu versenden, bei dem Ihnen unwohl ist: Die billige Antwort heute ist ein Gespräch, die teure Antwort morgen ist Ihre Route.

Die unbequeme Wahrheit für Reseller ist die aus der Frage weiter oben: Ihr Netzbetreiber sieht Ihren Traffic, nicht den Ihrer Kunden. Compliance lässt sich nicht vollständig nach unten delegieren, weil die Folgen nicht nach unten fließen. Sie landen bei Ihnen. Das heißt, die vernünftige Strategie ist, den regelkonformen Weg innerhalb Ihrer eigenen Plattform zum einfachen Weg zu machen, damit Ihre Kunden standardmäßig regelkonform sind und nicht aus Sorgfalt, und damit Sie, wenn der Brief kommt, ihn an einem Nachmittag mit einer Abfrage beantworten können statt mit einer Entschuldigung.