Indiens SMS-Filterstart löschte OTPs und legte 40 % des kommerziellen Verkehrs lahm

Am 8. März 2021 setzten Indiens Telekommunikationsbetreiber die neuen Vorschriften der Trai für kommerzielle Textnachrichten um: ein blockchainbasiertes System, das die Absender-ID (Header) und die Inhaltsschablone jeder kommerziellen SMS vor der Zustellung mit einem registrierten Datensatz abgleicht und Nachrichten von nicht registrierten Quellen einfach blockiert. Bis Montagabend waren rund 40 % der durchschnittlich eine Milliarde täglichen kommerziellen SMS-Zustellungen gestört, und bei den führenden privaten und öffentlichen Banken lag die Ausfallquote über 25 %.

Der Explosionsradius umfasste die gesamte OTP-Wirtschaft: Netbanking, Kreditkartenzahlungen, UPI- und Aadhaar-fähige Zahlungen, Bahnbuchungen, E-Commerce-Kassenvorgänge und Neukundenregistrierungen scheiterten allesamt, weil Einmalpasswörter nie ankamen – selbst Co-WIN-Registrierungen, die für Covid-19-Impfungen benötigt wurden. IRCTC twitterte, dass E-Ticketing-SMS betroffen sein würden; das Aadhaar-Portal teilte den Nutzern mit, dass es einen Authentifizierungsdienst nicht erreichen könne. „Wir konnten keine neuen Kunden aufnehmen, was eine Zwei-Faktor-Prüfung erfordert“, sagte ein leitender Angestellter eines mittelgroßen Zahlungsunternehmens.

Jede Seite gab der anderen die Schuld. Zahlungsunternehmen und Banken nannten die Umsetzung fehlerhaft; der Cellular Operators Association of India erklärte, das ordnungsgemäße Verfahren sei eingehalten worden und die Betreiber hätten die Hauptbeteiligten wiederholt aufgefordert, Inhaltsschablonen vor dem 7. März zu registrieren. Die Trai erklärte, es seien 15 Tage lang ständige Erinnerungen verschickt worden, und ein hochrangiger Telekom-Manager verwies auf die Anordnung des Delhi High Court zur schnellen Umsetzung: „Trotz der reichlich bemessenen Zeit, die den Unternehmen gegeben wurde, ist es nicht unsere Schuld, wenn sie immer noch darüber jammern, nicht vorbereitet zu sein.“

Rund 40 % von einer Milliarde täglicher kommerzieller SMS-Zustellungen gestört; Ausfallquoten über 25 % bei den führenden Banken; UPI-, Aadhaar- und Co-WIN-Anmeldungen betroffen.

Jede kommerzielle SMS musste nun mit einem registrierten Header und einer registrierten Schablone übereinstimmen, und Nachrichten von nicht registrierten Absender-IDs wurden einfach blockiert.

Große Teile des Banken-, Regierungs- und E-Commerce-Ökosystems hatten ihre Absender-IDs und Schablonen nicht fristgerecht registriert.

Der Go-live fiel auf einen Montag – den verkehrsreichsten Tag der Woche, wie Branchenvertreter beklagten – und nicht auf ein Wochenende.

Die Indian Banks' Association forderte von der Trai und der RBI eine sofortige Verschiebung; keine kam, und der Filter wurde wie geplant aktiviert.

Setzt man einen neuen Filter am verkehrsreichsten Tag durch, während kritische Absender nicht registriert sind, hat man keine Richtlinie eingeführt – man hat einen Ausfall eingeführt.

Als die Störungen zunahmen, wandte sich die Indian Banks' Association sowohl an die Trai als auch an die RBI, um eine sofortige Verschiebung der Vorschrift zu erwirken. Die Regulierungsbehörde erklärte, sie habe keine offizielle Beschwerde über Störungen erhalten, und die Erinnerungen an die bevorstehende Frist seien in den vorangegangenen 15 Tagen verschickt worden.