Wie Ihre Daten und Gutscheincodes geschützt werden

1. Was wir speichern, und wie lange

Vier Arten sensibler Daten durchlaufen diesen Dienst: Gutscheincodes, Ausweisdokumente und die daraus gelesenen Angaben, der Auftragsdatensatz und das Prüfprotokoll, das festhält, wer worauf zugegriffen hat. Der Auftragsdatensatz enthält die Gutscheinmarke, den Nennwert, das von Ihnen angegebene Auszahlungsziel, das Ergebnis der Prüfung und die zugehörigen Zeitstempel.

Jede hat eine andere Lebensdauer. Ein Gutscheincode lebt von den vieren am kürzesten. Er existiert von dem Moment an, in dem Sie ihn übermitteln, bis der Auftrag abgewickelt ist, und dann wird er vernichtet. Alles Übrige ist ein Datensatz, und Datensätze werden fünf Jahre aufbewahrt, weil ein Betreiber in diesem Geschäft nachvollziehbar machen können muss, was er getan hat und warum.

Wir speichern nichts, womit Geld von Ihren Konten abfließen könnte. Ein Auszahlungsziel ist eine Adresse, keine Zugangsdaten: eine Wallet-Adresse, eine IBAN, eine PayPal-Adresse. Wir fragen nicht nach einer Kartennummer, einem Online-Banking-Passwort, einer PIN oder einem Einmalcode, den Ihre Bank Ihnen schickt. Wer Sie in unserem Namen danach fragt, sind nicht wir.

2. Ein Gutscheincode, von der Übermittlung bis zur Vernichtung

Ein Code nimmt einen einzigen Weg, und der ist kurz.

1. Sie übermitteln ihn. Der Code wandert über eine verschlüsselte Verbindung von Ihrem Browser zu unseren Servern. Er wird in das Auftragsformular auf dieser Website eingegeben und nirgendwo sonst.
2. Er wird bei Eingang verschlüsselt. Bevor der Code in den Speicher geschrieben wird, wird er verschlüsselt. Er wird nicht in ein Anwendungsprotokoll, einen Fehlerbericht, eine Sicherung eines Protokolls oder eine E-Mail geschrieben.
3. Ein Mitarbeiter übernimmt den Auftrag. Der Code ist für den Mitarbeiter lesbar, der diesen Auftrag bearbeitet, und nur solange der Auftrag offen ist. Für andere Mitarbeiter ist er nicht sichtbar, und auf keinem Bildschirm, den Sie erreichen können, ist er sichtbar.
4. Jeder Zugriff wird festgehalten. Jedes Mal, wenn der Code entschlüsselt und angezeigt wird, geht ein Eintrag in das Prüfprotokoll: welcher Mitarbeiter, welcher Auftrag, welche Uhrzeit.
5. Der Mitarbeiter prüft ihn beim Herausgeber. Die Prüfung nimmt ein Mensch vor, telefonisch oder über den eigenen Kanal des Herausgebers, bevor Geld fließt. Wie wir einen Gutschein prüfen beschreibt diesen Schritt im Einzelnen.
6. Zwei Personen wickeln ihn ab, nicht eine. Der Mitarbeiter, der den Auftrag genehmigt, kann nicht der Mitarbeiter sein, der die Zahlung freigibt.
7. Der Code wird vernichtet. Sobald der Auftrag abgewickelt ist, wird der Code aus dem Speicher entfernt. Was bleibt, ist der Datensatz des Auftrags, nicht der Code, der ihn finanziert hat.

Eines gehört hier klar gesagt: Ein Mensch liest Ihren Code tatsächlich. Prüfen heißt, dem Herausgeber den Code vorzulesen, anders geht es nicht. Die Frage ist nicht, ob ihn jemand sieht. Die Frage ist, wie wenige Menschen, wie lange und mit welchem Nachweis — und die Antworten lauten: einer, bis zur Abwicklung, und jeder Zugriff protokolliert.

3. Verschlüsselung im Ruhezustand, und was sie nicht leistet

Verschlüsselung im Ruhezustand bedeutet, dass im Speicher Geheimtext liegt. Eine Kopie der Datenbank, eine Sicherungsdatei oder eine aus einem Gerät ausgebaute Festplatte ist ohne den Schlüssel unlesbar, und die Schlüssel werden getrennt von den Daten aufbewahrt, die sie schützen; das eine zu erlangen heißt also nicht, das andere zu erlangen.

Mehr leistet sie nicht, und es lohnt sich, deutlich zu sagen, was sie unberührt lässt.

Verschlüsselung im Ruhezustand schützt keine Daten in Benutzung. Eine laufende Anwendung muss einen Code entschlüsseln können, um ihn dem prüfenden Mitarbeiter zu zeigen; ein Angreifer, der die laufende Anwendung übernimmt, befindet sich also innerhalb derselben Grenze wie die Anwendung. Sie schützt nicht davor, dass eine Person mit berechtigtem Zugang diesen Zugang missbraucht. Und gegen das, was mit einem Code geschah, bevor er uns erreichte, richtet sie überhaupt nichts aus.

Wegen dieser Lücken gibt es die übrigen Maßnahmen. Enger Zugang, ein protokollierter Zugriff, eine kurze Lebensdauer und zwei Personen am Geld sind keine Verzierung um die Verschlüsselung herum. Sie sind die Teile, die abdecken, was Verschlüsselung nicht kann.

4. Warum wir einen Fingerabdruck einer Dokumentennummer speichern und nicht die Nummer

Weil wir ein Dokument wiedererkennen müssen, ohne die Nummer zu speichern, die es identifiziert.

Ein Fingerabdruck ist das Ergebnis einer Einwegberechnung. Dieselbe Dokumentennummer ergibt immer denselben Fingerabdruck, und der Fingerabdruck lässt sich nicht in die Nummer zurückrechnen. Das genügt für die Arbeit, die wir tatsächlich erledigen müssen: zu erkennen, dass derselbe Reisepass bei zwei verschiedenen Konten vorgelegt wurde, oder dass ein zuvor abgelehntes Dokument erneut auftaucht, oder dass das hinterlegte Dokument dasselbe ist wie das uns vorliegende.

Gegen diesen Gedanken gibt es einen naheliegenden Angriff, und den sollten wir benennen. Eine Dokumentennummer ist kurz und folgt einem vorhersehbaren Format; wer also eine Tabelle einfacher Fingerabdrücke besitzt, könnte jede mögliche Nummer durchgehen, für jede den Fingerabdruck bilden und nach einer Übereinstimmung suchen. Deshalb fließt in die Berechnung ein geheimer Wert ein, der getrennt von der Datenbank aufbewahrt wird. Ohne ihn ist eine gestohlene Tabelle von Fingerabdrücken eine Tabelle von Werten, die nichts bedeuten.

Damit ist es nicht getan, denn das Bild des Dokuments existiert weiterhin. Davon handelt der nächste Abschnitt.

5. Wie Ausweisdokumente gespeichert und ausgeliefert werden

Sie werden außerhalb des Web-Verzeichnisses gespeichert, das ist der praktische Teil der Antwort.

Ein Webserver veröffentlicht Dateien aus einem Verzeichnis. Alles in diesem Verzeichnis ist nur eine erratene oder durchgesickerte Adresse davon entfernt, öffentlich zu sein, ganz gleich, was beabsichtigt war. Ausweisdokumente liegen nicht in diesem Verzeichnis. Keine Webadresse zeigt auf sie, also kann keine Adresse geteilt, weitergeleitet, indexiert oder durchprobiert werden.

Um ein Dokument anzusehen, muss ein Mitarbeiter angemeldet sein, und die Anfrage läuft über einen Pfad, der die Sitzung prüft, prüft, ob diese Person dieses Dokument sehen darf, einen Eintrag in das Prüfprotokoll schreibt und erst dann das Bild zurückgibt. Der Eintrag wird geschrieben, ob das Protokoll je gelesen wird oder nicht. Die Dateien sind zudem im Ruhezustand verschlüsselt.

Wir verwenden für Dokumente keine unerratbaren Links. Ein Link, der für jeden funktioniert, der ihn hat, funktioniert auch für jeden, an den er weitergeleitet wird, auch versehentlich. Jede Ansicht läuft über den authentifizierten, protokollierten Pfad, oder sie findet nicht statt.

Warum die Dokumente überhaupt verlangt werden, ist eine eigene Frage; sie wird in der Richtlinie zur Identitätsprüfung beantwortet. Dokumente werden für Kunden vorgehalten, deren kumuliertes Volumen über einen rollierenden Zeitraum von zwölf Monaten EUR 1,000 erreicht. Unterhalb dieses Betrags genügen ein angegebener vollständiger Name und ein Wohnsitzland, und es gibt kein Dokument zu speichern.

6. Das Prüfprotokoll, und warum es nur ergänzt und per Hash-Kette gesichert wird

Das Prüfprotokoll hält fest, wer was angesehen hat, und es ist so gebaut, dass Einträge nicht unbemerkt entfernt oder verändert werden können.

Nur ergänzen heißt, dass Einträge hinzugefügt und niemals geändert oder gelöscht werden. Es gibt in der Anwendung keinen regulären Weg, eine vergangene Zeile zu bearbeiten, denn der Wert des Protokolls liegt darin, dass es sagt, was geschehen ist, und nicht, was jemandem lieber geschehen wäre.

Per Hash-Kette gesichert heißt, dass jeder Eintrag einen Fingerabdruck trägt, der über seinen eigenen Inhalt zusammen mit dem Fingerabdruck des vorherigen Eintrags berechnet wird. Die Einträge bilden eine Kette. Wird eine Zeile verändert, passt ihr Fingerabdruck nicht mehr, und jeder Fingerabdruck danach passt ebenfalls nicht mehr. Die Kette lässt sich von Anfang bis Ende neu berechnen und überprüfen.

Manipulation wird dadurch nicht unmöglich. Wer tief genug hineinkommt, könnte die gesamte Kette ab der veränderten Stelle neu schreiben. Schwer wird dadurch die unbemerkte Manipulation — eine einzelne stille Änderung, die keine Spur hinterlässt —, weil eine einzelne Änderung keine mögliche Form des Schadens ist.

In das Protokoll geht unter anderem jeder Zugriff auf einen Gutscheincode, jede Ansicht eines Ausweisdokuments, jede Genehmigung, jede Freigabe von Geldern, Sitzungsereignisse und Compliance-Entscheidungen. Das Protokoll gehört zu den Aufzeichnungen, die fünf Jahre aufbewahrt werden.

7. Vier Augen bei der Abwicklung

Der Mitarbeiter, der einen Auftrag genehmigt, kann nicht der Mitarbeiter sein, der das Geld dazu freigibt. Zwei Personen, zwei Konten, zwei Protokolleinträge.

Der Grund ist eng und praktisch. Ein einzelnes übernommenes Mitarbeiterkonto, oder ein einzelnes unehrliches, kann allein kein Geld bewegen. Es kann einen Auftrag bis an den Rand der Abwicklung bringen, und dort bleibt er stehen, vor jemand anderem, der ihn ansehen muss.

Daneben steht eine zweite Regel: Ein offener Compliance-Fall friert die Abwicklung ein. Solange ein Fall offen ist, wird zu diesem Auftrag nichts freigegeben — nicht von der Person, die den Fall eröffnet hat, und von niemand anderem. Einfrieren ist einfach; das Auftauen setzt voraus, dass der Fall aus eigenen Gründen geschlossen wird.

Geld, das eine Person allein bewegen kann, ist Geld, das ein einziger Fehler bewegen kann.

8. Sitzungen, und warum sie widerrufen werden können

Eine Sitzung ist hier ein Datensatz auf unserem Server, kein in sich geschlossenes Ticket, das Ihr Browser mit sich trägt. Das Cookie in Ihrem Browser enthält eine zufällige Kennung, die für sich genommen nichts bedeutet; die Bedeutung liegt auf unserer Seite, an diese Kennung geknüpft.

Diese Bauweise hat eine Eigenschaft, die wichtiger ist als jede andere: Weil der Datensatz uns gehört, können wir ihn beenden. Eine Abmeldung beendet eine Sitzung, statt Ihren Browser zu bitten, etwas zu vergessen. Eine Passwortänderung beendet die übrigen Sitzungen Ihres Kontos. Verliert ein Mitarbeiter den Zugang, enden seine Sitzungen in diesem Moment und nicht dann, wenn ein Token abgelaufen wäre. Ein in sich geschlossenes Token lässt sich nach der Ausgabe nicht zurückrufen; es bleibt gültig, bis seine Uhr abgelaufen ist, und das ist an dem Tag, an dem es weg sein muss, das falsche Verhalten.

Das Sitzungscookie ist so gekennzeichnet, dass Skripte auf der Seite es nicht lesen können, dass es nur über eine verschlüsselte Verbindung gesendet wird und dass andere Websites Ihren Browser nicht dazu bringen können, es zu senden. Sitzungen enden nach einer Zeit der Untätigkeit und außerdem an einer absoluten Grenze, unabhängig von der Aktivität. Für Sitzungen von Mitarbeitern gelten engere Grenzen als für Sitzungen von Kunden, und der Zugang eines Mitarbeiters zu einem Auftrag endet, wenn der Auftrag endet.

9. Was Sie selbst schützen müssen

Ein Teil davon funktioniert nur, wenn Sie Ihren Teil beitragen.

• Verwenden Sie ein Passwort, das Sie sonst nirgends verwenden. Ein anderswo wiederverwendetes Passwort ist nur so sicher wie die schwächste Website, die es hat, und keine Maßnahme auf unserer Seite kann ein richtiges Passwort von einem gestohlenen unterscheiden.
• Schützen Sie das E-Mail-Konto, das mit Ihrem Konto hier verknüpft ist. Es ist der Weg zur Wiederherstellung und damit der weichste Weg hinein. Schalten Sie ein, welchen zweiten Faktor Ihr E-Mail-Anbieter auch immer anbietet.
• Übermitteln Sie einen Code einmal, im Auftragsformular, auf dieser Website. Niemals in einer E-Mail, einer Chatnachricht, einem Bildschirmfoto oder einem Telefonat — auch nicht an uns.
• Sehen Sie in die Adresszeile, bevor Sie einen Code eingeben, und rufen Sie die Website über Ihr eigenes Lesezeichen auf statt über einen Link, den Ihnen jemand geschickt hat.
• Niemand hier wird nach Ihrem Passwort fragen. Niemand hier wird Sie bitten, einen Gutschein zu kaufen und den Code vorzulesen. Niemand hier wird Sie anrufen und Sie auffordern, Geld zu verschieben, damit es sicher ist. Wer niemals nach Gutscheinen fragt lohnt die Lektüre, bevor Sie sie brauchen.
• Wenn Sie glauben, dass jemand anderes Zugang zu Ihrem Konto hat, schreiben Sie sofort an [email protected]. Wenn Sie glauben, betrogen worden zu sein, schreiben Sie an [email protected].

10. Wogegen dies nicht schützt

Ein Code, der Ihre Hände bereits verlassen hat. Einen Gutscheincode kann jeder ausgeben, der ihn gelesen hat. Wenn Sie ihn jemandem gegeben haben, bevor Sie hierhergekommen sind, kann Verschlüsselung auf unserer Seite ihn nicht zurückholen, und die Prüfung wird das Guthaben möglicherweise bereits als verbraucht vorfinden. Ich habe bereits einen Gutscheincode weitergegeben erklärt, was sich noch tun lässt.

Ein Kunde, der dazu gebracht wird, einen Code selbst zu übermitteln. Jede oben beschriebene Maßnahme verhält sich in diesem Fall korrekt, und genau das macht ihn schwer. Die richtige Person ist angemeldet, auf ihrem eigenen Konto, mit ihrem eigenen Dokument, und hält einen Gutschein in Händen, den sie selbst gekauft hat. Die Prüfung bestätigt, dass der Gutschein gültig ist. Sie kann nicht bestätigen, warum Sie ihn verkaufen. Betrüger führen Menschen genau da hindurch — das Finanzamt, das heute noch bezahlt werden muss, der Support-Techniker, der einen Virus gefunden hat, die Person, mit der Sie seit Wochen schreiben und die im Ausland in Not ist. Unsere Fragen und unsere Prüfungen fangen einen Teil davon ab. Sie fangen nicht alles ab. Wenn ein Mitarbeiter fragt, warum Sie verkaufen, ist das keine Neugier, und eine kurze ehrliche Antwort ist der schnellste Weg hindurch. Gutscheinbetrug beschreibt die Muster.

Ihr eigenes Gerät. Schadsoftware auf Ihrem Computer oder Telefon sieht, was Sie sehen, auch einen Code, während Sie ihn eingeben.

Eine überzeugende Fälschung dieser Website. Eine verschlüsselte Verbindung sagt Ihnen, dass die Verbindung privat ist. Sie sagt Ihnen nicht, wer am anderen Ende sitzt.

Uns. Kein Betreiber kann ehrlich versprechen, dass seine Systeme niemals kompromittiert werden, und wir werden nicht die Ersten sein. Was wir tun können, ist zu begrenzen, wie weit ein Einbruch reicht: Codes, die nur kurz existieren, auf eine Person verengter und protokollierter Zugang, getrennt von den Daten aufbewahrte Schlüssel, ein Protokoll, das sich stillen Änderungen widersetzt, und zwei Personen, die für die Freigabe von Geld nötig sind.

11. Was wir nicht behaupten

Wir haben keine Sicherheitszertifizierung, und auf dieser Seite wird auch nirgends eine behauptet. Es wurde keine unabhängige Prüfung dieser Systeme abgeschlossen. Es wird kein Ergebnis eines Penetrationstests berichtet. Durch die Formulierungen hier wird kein Standard angedeutet. Sollte sich das ändern, wird diese Seite die Zertifizierung, den Standard oder das Unternehmen und das Datum nennen.

Die Tätigkeit unterliegt keiner Lizenzpflicht, und wir beanspruchen keine Zulassung.

Diese Seite beschreibt, wie der Dienst funktionieren soll. Sie beschreibt keine Vergangenheit, denn es gibt noch keine. Nichts hier ist als Aussage über abgewickelte Volumen, verhinderte Betrugsfälle oder betreute Kunden zu lesen.

Wir bedienen Frankreich nicht, ebenso wenig Jurisdiktionen, die dem FATF-Aufruf zum Handeln unterliegen, umfassend sanktionierte Jurisdiktionen oder Märkte, in denen wir keine örtliche Zulassung besitzen.

12. Uns sagen, dass etwas nicht stimmt

Wenn Sie einen Fehler auf dieser Website gefunden haben, schreiben Sie an [email protected], mit genug Einzelheiten, um ihn nachzuvollziehen. Wir betreiben kein bezahltes Bug-Bounty-Programm und werden auch nicht so tun. Was wir tun: lesen, was Sie schicken, danach handeln und Ihnen keinen Anwalt schicken, wenn Sie in gutem Glauben gemeldet haben.

Bei Betrugsverdacht zu einem Auftrag schreiben Sie an [email protected]. Bei Fragen dazu, was wir über Sie speichern und was Sie von uns damit verlangen können, siehe Datenschutz oder schreiben Sie an [email protected]. Um sich über die Behandlung eines Vorgangs zu beschweren, schreiben Sie an [email protected]. Allgemeine Fragen gehen an [email protected].

VoucherPay LLC betreibt den Dienst aus den Vereinigten Staaten, 1801 Peninsula Verde Dr.