02 Wo die Gelder liegen
Nicht bei uns.
Das ist der wichtigste Punkt dieser Seite und der in der Branche am häufigsten missverstandene.
Sicherung
Kundenguthaben liegen auf getrennten Sicherungskonten beim ausgebenden E-Geld-Institut, abgesondert von unserem Eigenvermögen. Würde BuyVirtualCards morgen den Betrieb einstellen, wären diese Gelder nicht Teil unseres Vermögens: Sie blieben Ihre.
Wir verwahren Ihre Kryptowerte nicht
Eine Aufladung wird beim Eingang umgewandelt. Es gibt keine BuyVirtualCards-Wallet, in der die Bitcoins der Kunden lägen, also auch keine Konzentration von Mitteln zum Stehlen. Der beste Weg, sich keinen Schatz stehlen zu lassen, ist, keinen anzulegen.
Keine Marktexposition
Ihr Guthaben lautet auf E-Geld. Ein Kursrutsch des Bitcoin nach Ihrer Aufladung berührt es nicht. Umgekehrt nützt Ihnen ein Anstieg nichts: Das ist kein Anlageprodukt, und wir behaupten nichts anderes.
03 Ihr Konto
Zweiter Faktor verpflichtend
Authenticator-App (TOTP) oder physischer Sicherheitsschlüssel (WebAuthn). SMS wird nicht als alleiniger Faktor angeboten: SIM-Swapping ist zu verbreitet, um etwas anderes zu behaupten.
Passwörter mit scrypt gehasht
Parameter nach OWASP-Empfehlung, zufälliges Salz je Konto, Vergleich in konstanter Zeit. Wir können Ihr Passwort nicht lesen, und niemand bei uns kann es.
Signierte Sitzungen
HttpOnly-Cookie, SameSite=Lax, Secure in Produktion, mit HMAC-SHA256 signiert. Für das JavaScript der Seite unerreichbar und damit außerhalb der Reichweite einer Skript-Injektion.
Warnungen bei sensiblen Vorgängen
Anmeldung von einem unbekannten Gerät, Passwortänderung, Hinzufügen eines Bankkontos: Jedes Ereignis löst eine E-Mail mit Sofort-Sperrlink aus.
04 Die Kartendaten
Wir speichern Ihre Nummer nicht.
Vollständige Nummer, Ablaufdatum und Prüfziffer liegen beim ausgebenden Institut in dessen PCI-DSS-zertifizierter Umgebung. Wenn Sie sie im Kundenbereich anzeigen, werden sie im Moment abgerufen und in einem isolierten Rahmen dargestellt: Sie laufen nie über unsere Anwendungsserver und werden nie in unsere Protokolle geschrieben.
Was wir behalten: die letzten vier Ziffern, das Netzwerk, das Ablaufdatum und den Kartenstatus. Genug, um sie in einer Liste zu zeigen, zu wenig, um damit zu zahlen.
Was jeder Beteiligte sieht
- BuyVirtualCards
- Kontostand, Transaktionshistorie, letzte vier Ziffern jeder Karte.
- Ausgebendes Institut
- Vollständige Kartendaten, in einer PCI-DSS-Umgebung. Das ist sein Metier und seine regulatorische Verantwortung.
- Zahlungsdienstleister
- Rechnungsbetrag und Einzahlungsadresse. Keine Kartendaten, kein Zugriff auf Ihr Guthaben.
- Der Händler
- Was jede Karte bei einer Zahlung übermittelt. Bei einer Einwegkarte eine Nummer, die nie ein zweites Mal funktioniert.
05 Schwachstelle melden
Verantwortungsvolle Offenlegung
Wenn Sie eine Schwachstelle finden, schreiben Sie an [email protected]. Wir bestätigen den Eingang binnen 48 Stunden und halten den Forschenden bis zur Behebung auf dem Laufenden. Wer den nebenstehenden Rahmen einhält, wird von uns nicht verfolgt. Bitte lassen Sie uns 90 Tage vor einer Veröffentlichung.
Der Rahmen
- Testen Sie nur auf Ihren eigenen Konten
- Keine Denial-of-Service-Angriffe
- Kein Zugriff auf und keine Ausleitung fremder Daten
- Kein Social Engineering gegen unsere Teams oder Kunden
- Hören Sie auf, sobald eine Lücke bestätigt ist, und melden Sie sie
06 Misstrauen, auch uns gegenüber
Wie man einen Betrug erkennt.
Der Bereich „Krypto zu Karte“ zieht viele Betrüger an. Das sind die Signale, bei denen Sie gehen sollten — wenden Sie sie auch auf uns an.
Niemand kann eine Karte im Namen einer Bank ausgeben, für die er nicht bevollmächtigt ist. Eine Seite, die anbietet, auf Zuruf eine Revolut-, BNP-Paribas- oder Bank-of-America-Karte zu „generieren“, lügt über das, was sie verkauft. Sie zahlen in Krypto, ohne Rechtsweg, und erhalten nichts Brauchbares.
Ein seriöser Zahlungsdienst nennt das Institut, das seine Karten ausgibt, und veröffentlicht dessen Zulassungsnummer. Ist diese Information nicht auffindbar, steht kein Institut dahinter.
Kundenzähler, die von allein steigen, lobende Bewertungen alle aus derselben Woche, Pressemarken ohne zugehörigen Artikel, „seit 2018“ auf einer vor drei Monaten registrierten Domain. Solche Signale sind in einer Stunde gebastelt und dienen allein dazu, Vertrauen zu leihen, das nie verdient wurde. Prüfen Sie das Alter einer Domain mit einer Whois-Abfrage.
Wir werden Sie nie zuerst über Telegram, WhatsApp oder Discord kontaktieren und niemals nach Ihrem Passwort, einem Einmalcode oder einer Zahlung zur „Freischaltung“ Ihres Kontos fragen. Jede solche Anfrage ist ein Betrugsversuch, gleich welcher Name als Absender erscheint.