Zwei-Faktor-Authentifizierung
per SMS-OTP in
unter 2 Sekunden

Technische Integration

Die 2FA API von BerlinSMS –
Zwei-Faktor-Authentifizierung per SMS-OTP, DSGVO-konform

Konzentrieren Sie sich auf Ihre Anwendungslogik. Die 2FA von BerlinSMS übernimmt Code-Generierung, SMS-Versand, Zeitbegrenzung und Verifikation — entweder über fertige Module für gängige Frameworks oder über die REST API für vollständig individuelle Implementierungen. Optional lässt sich ein DSGVO-konformer Opt-in-Flow direkt in den Prozess integrieren, der die Einwilligung des Nutzers zur Nutzung seiner Mobilfunknummer rechtssicher einholt und dokumentiert.

Die Infrastruktur des BerlinSMS 2FA-Systems

Das 2FA-System von BerlinSMS besteht aus drei Schritten: Ihrer Anwendung, die einen OTP-Request auslöst, dem BerlinSMS 2FA-Server, der den Code generiert und per SMS versendet, sowie der Verifikations-API, die den vom Nutzer eingegebenen Code gegen die Session prüft und das Ergebnis zurückgibt. Alle Verarbeitungsschritte finden auf Servern in Deutschland statt — kein Datentransfer in Drittländer, keine US-Cloud.

Im Gegensatz zu Authy, Google Authenticator oder Twilio Verify verarbeitet BerlinSMS alle 2FA-Daten — Mobilfunknummern, Session-IDs, OTP-Codes — ausschließlich auf eigener Infrastruktur mit Serverstandort Deutschland. Das macht die BerlinSMS 2FA zur datenschutzrechtlich sicheren Wahl für alle Anwendungen, in denen Nutzerdaten dem besonderen Schutz der DSGVO unterliegen.

Mit Modulen oder ohne — zwei Integrationswege

BerlinSMS bietet zwei Wege zur Integration der 2FA, die sich nach Entwicklungsaufwand und Gestaltungsfreiheit unterscheiden:

Mit Modulen — für schnelle Integration: Die vorgefertigten BerlinSMS Module übernehmen das gesamte Frontend-Widget inklusive Eingabefeld, Resend-Button und Fehlerbehandlung. Ein einziger <script>-Tag bindet das Widget ein. Kein eigenes Frontend-Development erforderlich. Empfohlen für Teams, die 2FA schnell und ohne eigene UI-Entwicklung einbinden möchten, siehe unten.

Ohne Module — für vollständige Kontrolle: Die REST API direkt aufrufen, OTP per eigener Logik versenden und die Verifikation in Ihre bestehende Benutzeroberfläche integrieren. Empfohlen für Entwickler, die maximale Gestaltungsfreiheit benötigen oder eine bestehende 2FA-Implementierung von einem anderen Anbieter migrieren.

DSGVO-konformer Opt-in-Flow

Wenn Sie die Mobilfunknummer eines Nutzers für 2FA verwenden, benötigen Sie je nach Rechtsgrundlage eine dokumentierte Einwilligung. Das Opt-in-System von BerlinSMS ermöglicht es, diese Einwilligung direkt im 2FA-Prozess einzuholen: Der Nutzer bestätigt per SMS-Code, dass er seine Nummer für die Zwei-Faktor-Authentifizierung freigeben möchte. Die Einwilligung wird mit Zeitstempel serverseitig dokumentiert.

Das ist besonders relevant für Arztpraxen, Patientenportale und Finanzdienstleister, wo die Verarbeitung von Mobilfunknummern einer klaren Rechtsgrundlage bedarf. Der BerlinSMS Opt-in-Flow ist so gestaltet, dass er als Nachweis der Einwilligung nach Art. 7 DSGVO verwendet werden kann.

nur 3 Calls notwendig

Der gesamte Ablauf der Zwei-Faktor-Authentifizierung besteht aus zwei Endpoints und drei Schritten, unabhängig von einem Framework oder einer bestimmten Programmiersprache.
Die 2FA API von BerlinSMS ist über ein Sitekey/Secretkey-System abgesichert, das Frontend- und Backend-Kommunikation klar trennt. Der Ablauf ist für jeden Entwickler in drei API-Calls abgebildet:

# Schritt 1 – OTP versenden und sessionId erhalten 
curl -X 'GET' \ 'https://api.berlinsms.de/tfa/send' \ -G \ 
--data-urlencode 'sitekey=[IhrSitekey]' \ 
--data-urlencode 'secretkey=[IhrSecretkey]' \ --data-urlencode 'phonenumber=+4917612345678' 

# Antwort: sessionId für die Verifikation 
{ "sessionId": "a1b2c3d4-e5f6-7890-abcd-ef1234567890" }

# Schritt 3 – Nutzercode gegen sessionId prüfen 
curl -X 'GET' \ 'https://api.berlinsms.de/tfa/verify' \ -G \ 
--data-urlencode 'sessionId=a1b2c3d4-e5f6-7890-abcd-ef1234567890' \ 
--data-urlencode 'otp=847291' # Antwort bei korrektem Code: { "success": true } 

# Antwort bei falschem oder abgelaufenem Code: 
{ "success": false, "error": "invalid-otp" }