Adressverifizierung per Postkarte: echte Hürde gegen Fake-Accounts

Warum eine Postadresse schwerer zu fälschen ist

Digitale Prüfungen sind günstig. Eine neue E-Mail-Adresse, ein geklickter Bestätigungslink oder ein frischer Browser-Fingerprint kosten Angreifer wenig. Eine echte postalische Adresse skaliert schlechter: Die Adresse ist an einen Ort gebunden, Zustellung dauert und der Code liegt nicht sofort in einem Skript.

Das heißt nicht, dass Postkarten jede Umgehung verhindern. Packstationen, fremde Adressen oder gemeinsam genutzte Briefkästen können weiterhin vorkommen. Der Nutzen liegt in der Kosten-Asymmetrie: Für legitime Nutzer ist eine einzelne Karte verständlich, für Massenmissbrauch wird sie zum Aufwand.

Adressvalidierung ist nicht dasselbe wie Adressverifizierung

Adressvalidierung prüft, ob eine Adresse formal existieren kann: Straße, Hausnummer, Postleitzahl, Ort. Adressverifizierung prüft etwas anderes: Hat dieser Account Zugriff auf den angegebenen Briefkasten? Für saubere Daten brauchst du oft beides. Vor dem Druck lohnt sich eine Plausibilitätsprüfung, danach bestätigt der QR-Code den Zugriff.

So funktioniert die Verifizierung per Postkarte

1. Dein System erzeugt einen Einmal-Link. Der Link enthält einen Token, den dein Backend nur einmal akzeptiert und nach Ablauf ungültig macht.
2. Du erstellst die Karte per API. Prüfe vorher zwei Voraussetzungen: Das Konto braucht freigeschaltete QR-Code-Karten und das gewählte Motiv muss qr_code_available liefern. An den API-Endpunkt /v2/cards sendest du Empfängeradresse, Motiv, Kartentext und den Link als qr_code_url. Die kurze Anleitung neben dem QR-Code passt in qr_code_message mit maximal 70 Zeichen. Wenn QR-Codes für das Konto nicht aktiv sind, kann die API mit 422 feature-not-available antworten; bei einem Motiv ohne QR-Code-Unterstützung wird kein QR-Code gerendert.
3. Der Nutzer scannt und schaltet die Funktion frei. Dein Endpoint prüft den Token und hebt die Sperre für die konkrete Funktion auf, zum Beispiel E-Mail-Versand aus deiner App.

EchtPost produziert Karten an Werktagen und übergibt sie am Folgetag an die Deutsche Post. Danach kommen in Deutschland üblicherweise 1 bis 3 Werktage Postlaufzeit hinzu. Für technische Tests nutzt du einen ep_test_-Key, bevor du echte Karten druckst. Die API-Doku liegt unter api.echtpost.de/v2/docs.

Wann sich die Postkarte lohnt und wann nicht

Adressverifizierung per Postkarte passt nicht als Pflichtschritt für jede Registrierung. Dafür dauert Post zu lange und legitime Nutzer erwarten bei einem einfachen Testaccount keine Hürde im Briefkasten.

Sinnvoll wird sie, wenn ein Account etwas tun will, das Missbrauchskosten für dich oder andere erzeugt:

• E-Mails oder Einladungen aus deiner App versenden
• öffentlich sichtbare Inhalte veröffentlichen
• kostenlose Ressourcen in größerem Umfang nutzen
• Support- oder Trust-&-Safety-Fälle klären, bei denen die Adresse eine Rolle spielt

Definiere auch den Nicht-Scan-Pfad: Der Account kann weiter bestehen, aber die riskante Funktion bleibt gesperrt. Wenn die Karte nicht ankommt, erzeugst du einen neuen Token, verschickst eine neue Karte und invalidierst den alten Link.

Praxisbeispiel: CentralPlanner

CentralPlanner, ein Produkt von unseren Freunden bei 42he, nutzt postalische Verifizierung als Baustein gegen Signup-Missbrauch. Wenn ein Account in ein auffälliges Muster fällt, reicht eine digitale Prüfung nicht immer aus. Die Karte mit Code schafft dann einen klaren nächsten Schritt: Wer Zugriff auf die angegebene Adresse hat, kann die betroffene Funktion freischalten.

In einem Fall meldete sich sogar ein Spammer beim Support und beschwerte sich, seine Accounts seien falsch markiert worden. Solche Diskussionen gehören zum Muster. Eine bestätigte Postadresse gibt dem Support eine sachliche Grundlage, ohne sich auf Bauchgefühl oder lange E-Mail-Ketten zu stützen.

Bekannte Muster: PIN per Post ist nichts Exotisches

Der Gedanke ist vertraut. Google Business Profile verschickt Codes per Postkarte, Banken senden PIN-Briefe, und Anbieter wie easybell schalten bestimmte Telefonnummern erst nach postalischem Aktivierungscode frei. Der Kanal ist langsam, aber genau das macht ihn für ausgewählte Prüfungen nützlich.

Für SaaS-Produkte ist die Frage deshalb nicht, ob Post digital wirkt. Die bessere Frage lautet: An welcher Stelle im Produkt brauchst du eine Hürde, die nicht sofort automatisiert weggeklickt werden kann?

Häufige Fragen zur Adressverifizierung per Postkarte

Was kostet eine Verifizierungskarte?

Du zahlst den normalen Kartenpreis inklusive Druck, echter Briefmarke und Versand. Die aktuellen Staffelpreise stehen unter Zahlung und Versand. Für Tests kannst du im Sandbox-Modus arbeiten, ohne echte Karten auszulösen.

Wie lange dauert die Verifizierung?

Rechne in Deutschland grob mit 2 bis 4 Werktagen vom API-Aufruf bis zum Scan: Produktion an Werktagen, Übergabe an die Deutsche Post am Folgetag und danach die übliche Postlaufzeit. Für zeitkritische Logins ist das zu langsam, für riskante Feature-Freischaltungen passt es besser.

Wie baue ich den Einmal-QR-Code?

Dein Backend erzeugt einen Token und setzt ihn in eine URL, zum Beispiel https://example.com/verify-address?token=.... Diese URL übergibst du als qr_code_url. In qr_code_message erklärst du kurz, was der Nutzer tun soll.

Was passiert, wenn die Karte nicht ankommt?

Dann verschickst du eine neue Karte mit neuem Token und machst den alten Token ungültig. Die betroffene Funktion bleibt bis zum Scan gesperrt. Der restliche Account muss deshalb nicht automatisch blockiert werden.

Soll ich jeden neuen Nutzer per Post verifizieren?

Nein. Prüfe gezielt dort, wo Missbrauch für dich teuer wird oder andere Nutzer beeinträchtigt. Für einfache Newsletter- oder Trial-Signups sind Double-Opt-in, Rate Limits und Plausibilitätschecks meist die bessere erste Hürde.

Wie sieht es mit Datenschutz aus?

Du übergibst eine vom Nutzer angegebene Adresse an EchtPost, damit wir die Karte drucken und versenden. Für Auftragsverarbeitung gibt es eine AVV. Kläre in deiner eigenen Datenschutzerklärung, warum du die Adresse erhebst und wann du sie wieder löschst.

Kann ich den Ablauf testen, ohne echte Post zu verschicken?

Ja. Nutze einen Sandbox-Key mit ep_test_, um API-Aufruf, Payload und Token-Flow zu prüfen. Danach testest du mit einer echten Karte an eine interne Adresse, bevor du die Prüfung für Nutzer aktivierst.