Betrugspräventions- und Sicherheitsrichtlinie
Keine Parolen über Verschlüsselung auf Bankniveau – die konkreten Mechanismen, wer was verwahrt und was sie nicht abdecken.
1. Zweck und Geltungsbereich
1.1 Zweck. Diese Richtlinie beschreibt die Maßnahmen, die Nelvoi Ltd unterhält, um Betrug zu verhindern, Konten zu schützen und die Plattform abzusichern – und was Sie selbst zu Ihrem Schutz tun können.
1.2 Geltungsbereich. Sie gilt für alle Nutzer der Plattform und umfasst Betrugsprävention, Sicherheitskontrollen, Identitätsverifizierung, Vorfallmanagement und die Frage, wo die Verantwortung zwischen uns und Ihnen liegt.
1.3 Hinweis zum Stand. NELVOI befindet sich vor dem Start. Die folgenden Kontrollen beschreiben das Programm, wie es aufgebaut wird und wie es arbeiten wird; was heute bereits besteht, betrifft diese Website selbst.
Fiat-Guthaben liegen bei lizenzierten Herausgeber- und Bankpartnern auf Konten, die vom Betriebsvermögen des Unternehmens getrennt geführt werden.
Apple Pay und Google Pay übergeben dem Händler ein Einmal-Token. Ein gehackter Shop kann Ihre Karte nicht preisgeben.
Kryptowährung fällt nirgends unter eine Einlagensicherung. Wir schreiben das lieber hier hin, als Sie etwas anderes annehmen zu lassen.
2. Wie Ihr Guthaben tatsächlich verwahrt wird
„Ihre Gelder sind sicher“ ist der nutzloseste Satz dieser Branche. Entscheidend ist, wer das Geld physisch hält, ob es mit dem Geld des Unternehmens vermischt ist und was damit geschieht, wenn das Unternehmen verschwindet. Das sind drei verschiedene Fragen, und sie haben drei verschiedene Antworten – je nachdem, ob das Guthaben in Fiat oder in Krypto gehalten wird.
Fiat-Guthaben. Geld, das auf eine Karte geladen wird, liegt bei den lizenzierten Herausgeber- und Bankpartnern, die das Kartenprogramm betreiben, auf getrennten Konten – getrennt vom Betriebsvermögen von NELVOI und als Kundengeld gekennzeichnet. Diese Trennung ist es, die solche Guthaben an die Kunden zurückführbar macht, statt sie den Gläubigern des Unternehmens zu überlassen. Das ist ein anderer Mechanismus als eine Einlagensicherung, er schützt vor einem anderen Ausfall, und wir werden beides nicht vermischen: Eine Einlagensicherung zahlt Sie aus, wenn die Bank ausfällt; die Trennung stellt sicher, dass das Geld nie dem Unternehmen gehörte und es deshalb auch nicht verlieren kann.
Krypto-Guthaben. Kryptowährung, die Sie senden, wird in ein ausgabefähiges Fiat-Guthaben umgewandelt und nicht als Anlageposition gehalten – die Karte gibt Fiat aus, und die Umwandlung geschieht beim Eingang. Krypto, das während dieses Vorgangs vorübergehend gehalten wird, liegt bei einem regulierten Verwahrungspartner und nicht in Schlüsseln auf unseren eigenen Laptops. Nichts davon fällt irgendwo auf der Welt unter eine Einlagensicherung, weil keine solche Sicherung Krypto abdeckt. Wer Ihnen etwas anderes erzählt, hat es entweder nicht verstanden oder will Ihnen etwas verkaufen.
Was im Insolvenzfall geschieht. Getrennt verwahrte Kundengelder sind kein Unternehmensvermögen – genau das ist der Sinn der Trennung. In einer Insolvenz werden sie als Kundengeld identifiziert und über das Verfahren zurückgegeben, das im Land des Kartenherausgebers gilt. Dieses Verfahren braucht Zeit – Wochen oder Monate, nicht Stunden –, und Sie sollen das lieber jetzt wissen, als es im schlechtesten Moment zu erfahren.
Der ehrliche Vorbehalt. NELVOI befindet sich vor dem Start, und die obigen Absätze beschreiben, wie das Programm aufgebaut ist – nicht einen laufenden Dienst, der heute Ihr Geld hält. Der konkrete Herausgeberpartner, das Land und die Regelung zur Sicherung der Gelder werden auf dieser Seite und in den Nutzungsbedingungen genannt, bevor Konten eröffnet werden.
3. Unsere Kontrollen
Vier Ebenen. Jede kostet uns etwas – daran erkennen Sie, dass sie echt sind.
Identitätsverifizierung
Ein amtliches Ausweisdokument wird auf Echtheit geprüft, eine Lebenderkennung bestätigt, dass das Gesicht dazu passt, der Wohnsitz wird bestätigt, und es erfolgt ein Abgleich mit Sanktionslisten und Listen politisch exponierter Personen. Beziehungen mit höherem Risiko unterliegen einer verstärkten Sorgfaltspflicht, und der Abgleich läuft nach der Aufnahme weiter, weil sich Listen ändern.
Kontosicherheit
Zwei-Faktor-Authentifizierung, verpflichtend für Abhebungen, Sicherheitsänderungen und das Hinzufügen eines Geräts. Verschlüsselung bei der Übertragung und im Ruhezustand. Automatischer Sitzungsablauf und eine Liste angemeldeter Geräte, die Sie aus der Ferne beenden können. Der Zugriff von Mitarbeitern ist rollenbasiert, auf das Nötigste beschränkt und wird protokolliert.
Transaktionsüberwachung
Prüfung in Echtzeit, Verhaltensanalyse auf Muster, die zur üblichen Nutzung eines Kontos nicht passen, Frequenzprüfungen und Limits, Sanktionsabgleich der Gegenparteien und automatische Warnungen, die von einem Menschen geprüft und nicht automatisch geschlossen werden.
Infrastruktur
Firewalls und Angriffserkennung, Schwachstellenmanagement und Patching, sichere Entwicklungspraxis, laufende Überwachung und unabhängige Penetrationstests als Teil des Programms vor dem Start – neben der eigenen Sicherheitsprüfung des Herausgeberpartners, die jedes Kartenprogramm vor dem Start bestehen muss.
4. Kontosicherheit
Karte und Guthaben zählen weniger als das Konto, an dem sie hängen. Die meisten Verluste im Privatkundengeschäft beginnen damit, dass jemand anderes in ein Konto gelangt – nicht mit einem technischen Einbruch.
Zwei-Faktor-Authentifizierung
Für jedes Konto verfügbar und für sensible Aktionen verpflichtend: Abhebungen, Änderung der Sicherheitseinstellungen, Hinzufügen eines neuen Geräts. Ein Angreifer, der nur Ihr Passwort hat, kommt nicht weiter.
Geräte- und Sitzungskontrolle
Jedes angemeldete Gerät wird mit seiner letzten Aktivität aufgeführt, und jedes davon lässt sich aus der Ferne abmelden. Wenn Ihnen eine Sitzung verdächtig vorkommt, können Sie sie beenden, ohne auf den Support zu warten.
Benachrichtigungen bei dem, was zählt
Eine Benachrichtigung für jede Zahlung und für Änderungen an Sicherheitseinstellungen, hinterlegter E-Mail-Adresse oder Telefonnummer. Stille ist der Grund, warum Kontoübernahmen tagelang unbemerkt bleiben.
Eine Sperrfrist bei sensiblen Änderungen
Wer die E-Mail-Adresse oder Telefonnummer eines Kontos ändert, kann vorübergehend nur eingeschränkt abheben. Für Sie ist das einmal eine Unannehmlichkeit – für jemanden, der gerade Ihre Zugangsdaten gestohlen hat, ein ernstes Hindernis.
5. Wie Sie sich vor Betrug schützen
Diese Regeln stoppen die Angriffe, die tatsächlich Erfolg haben. Keine davon ist technisch.
Ein eigenes Passwort und Zwei-Faktor-Authentifizierung
Eigen, damit der Einbruch in eine andere Website nicht auch ein Einbruch hier ist. Zwei Faktoren, damit ein gestohlenes Passwort allein nicht reicht. Bevorzugen Sie eine Authenticator-App gegenüber SMS: Eine SIM-Karte lässt sich übernehmen.
Geben Sie nie einen Code weiter
Ihr Passwort, einen Zwei-Faktor-Code, Ihre vollständige Kartennummer und eine Wiederherstellungsphrase brauchen wir nie und fragen wir nie ab. Wer danach fragt, ist nicht wir – ganz gleich, wie die Absenderadresse aussieht.
Erreichen Sie uns, indem Sie die Adresse eintippen
Folgen Sie keinen Links in unerwarteten Nachrichten. Öffnen Sie nelvoi.com selbst. Ein Link, der in einer E-Mail richtig aussieht, ist der billigste Teil eines Phishing-Baukastens.
Misstrauen Sie Eile
Druck, sofort zu handeln, ist das gemeinsame Merkmal fast jedes erfolgreichen Betrugs. Eine berechtigte Anfrage übersteht es, wenn Sie sich eine Stunde Zeit zum Prüfen nehmen.
Sichern Sie Gerät und E-Mail-Konto
Ihre E-Mail ist der Weg zum Zurücksetzen von allem anderen; sichern Sie sie mindestens so gut wie Ihr Geld. Halten Sie Software aktuell und vermeiden Sie Finanzgeschäfte in öffentlichen Netzen.
Prüfen Sie vor dem Bestätigen
Empfänger, Netzwerk, Betrag, Währung. Auf einer Blockchain ist ein Fehler hier endgültig – siehe Abschnitt 7.
6. Wenn etwas schiefgeht
Was zu tun ist, in dieser Reihenfolge. Die ersten beiden Schritte liegen bei Ihnen, und sie sind es, die den Schaden stoppen.
Karte einfrieren
Ein Tippen im Dashboard oder von jedem Gerät aus, auf dem Sie sich anmelden können. Neue Zahlungen werden sofort abgelehnt, und das Guthaben bleibt, wo es ist. Tun Sie das vor allem anderen – es dauert Sekunden und lässt sich rückgängig machen.
Passwort ändern und andere Geräte abmelden
Wenn Sie glauben, dass jemand Zugriff auf das Konto hat und nicht nur auf die Karte, ist das der Schritt, der ihn hinauswirft. Beides finden Sie in den Sicherheitseinstellungen.
An den Support schreiben
[email protected], wenn möglich von der Adresse, die beim Konto hinterlegt ist. Schildern Sie, was passiert ist und wann. Wir antworten innerhalb eines Werktags, und Meldungen über kompromittierte Konten werden vorgezogen.
Wir untersuchen und handeln
Wir können Karten einfrieren, ein Gerät sperren, eine Kartennummer neu ausgeben und den Transaktionsverlauf für eine Reklamation sichern. Was wir nicht können, ist eine abgeschlossene Blockchain-Überweisung rückgängig machen – das kann niemand.
7. Wo die Verantwortung liegt
7.1 Unsere. Die Kontrollen aus Abschnitt 3 aufrechterhalten; Meldungen zügig untersuchen; einfrieren, was eingefroren werden muss; den Transaktionsverlauf sichern; Sie und die Behörden benachrichtigen, wo ein Vorfall es erfordert.
7.2 Ihre. Zugangsdaten und Geräte sicher halten; die Sicherheitsfunktionen nutzen, die wir bereitstellen; Transaktionen vor dem Bestätigen prüfen; alles Unbefugte umgehend melden.
7.3 Was wir nicht rückgängig machen können. Wie in den Nutzungsbedingungen festgelegt, haften wir nicht für Verluste aus Zugangsdaten, die Sie weitergegeben haben, aus unbefugtem Zugriff über kompromittierte Authentifizierung, aus Phishing oder Social Engineering, bei dem Sie die Informationen selbst geliefert haben, oder aus Transaktionen, die Sie autorisiert haben – auch wenn Sie zu dieser Autorisierung getäuscht wurden. Das ist kein versteckter Haftungsausschluss: Es ist der Grund, warum es Abschnitt 5 gibt, und der Grund, warum Betrug mit autorisierten Zahlungen überall im Finanzwesen am schwersten zu beheben ist.
7.4 Was niemand rückgängig machen kann. Eine abgeschlossene Blockchain-Überweisung kann weder von uns noch von unseren Partnern noch von irgendjemand anderem rückgängig gemacht werden. Wo eine Wiederherstellung technisch möglich ist, versuchen wir sie und berechnen für den Versuch nichts.
8. Vorfallmanagement
8.1 Verfahren. Wir unterhalten dokumentierte Verfahren zur Reaktion auf Vorfälle, um sie zu erkennen und einzudämmen, die Ursachen zu untersuchen, Korrekturmaßnahmen umzusetzen und die Betroffenen zu benachrichtigen.
8.2 Benachrichtigung. Betrifft ein Vorfall Ihre personenbezogenen Daten oder Ihr Konto, benachrichtigen wir Sie so, wie und wann das geltende Recht es verlangt – ohne unangemessene Verzögerung, mit dem, was wir wissen, und dem, was wir Ihnen empfehlen. Wir verzögern keine Benachrichtigung, um sie besser klingen zu lassen.
8.3 Strafverfolgung. Wir arbeiten mit Strafverfolgungs- und Aufsichtsbehörden zusammen, die Betrug und Cyberkriminalität untersuchen, und können verdächtige Aktivitäten ohne Mitteilung an Sie melden, wo das Gesetz es erlaubt oder verlangt – die Richtlinie zur Geldwäscheprävention erklärt, warum wir es Ihnen manchmal nicht sagen dürfen.
9. Die Kontrollen liegen bei Ihnen – ohne Antrag bei uns
Der meiste Schaden an einem Konto entsteht in der Stunde, bevor jemand den Support erreicht. Deshalb sind die Mittel, die ihn stoppen, in der App und nicht hinter einer Telefonwarteschlange.
- Einfrieren mit einem Tippen — neue Zahlungen werden sofort abgelehnt, das Guthaben bleibt, wo es ist
- Nummer ersetzen — kostenlos, ohne Konto oder Geld zu verschieben
- Bestätigung auf Ihrem Telefon — 3-D Secure bei Zahlungen mit höherem Risiko, damit eine gestohlene Nummer nicht reicht
- Kartendaten hinter erneuter Anmeldung — die vollständige Nummer wird nur angezeigt, wenn Sie sie anfordern
10. Was das nicht abdeckt
Offen über die Grenzen zu sprechen ist wichtiger als eine längere Liste von Beruhigungen.
Kryptowährung fällt nicht unter die Einlagensicherung. Staatliche Einlagensicherungssysteme schützen Bankeinlagen, keine Krypto-Guthaben. In Krypto gehaltene Vermögenswerte tragen Marktrisiko und sind dagegen nicht versichert.
Blockchain-Überweisungen sind endgültig. Wenn Sie Gelder an die falsche Adresse oder über das falsche Netzwerk senden, kann niemand das rückgängig machen. Prüfen Sie vor dem Senden immer das Netzwerk – das ist die mit Abstand häufigste Art, Geld zu verlieren, und sie hat nichts mit unserer Sicherheit zu tun.
Niemand von NELVOI wird Sie jemals nach Ihrem Passwort, Ihrem 2FA-Code oder Ihrer vollständigen Kartennummer fragen. Wer es tut, gibt sich als wir aus. Unsere einzige Support-Adresse ist [email protected].
11. Fragen zur Sicherheit
Kundengelder werden auf getrennten Konten bei regulierten Partnern verwahrt, getrennt vom Geld des Unternehmens – genau das erlaubt es, sie an die Kunden zurückzugeben, statt sie als Unternehmensvermögen zu behandeln. Das ist nicht dasselbe wie eine Einlagensicherung, und wir werden es nicht so nennen.
Sie werden an einen regulierten Verifizierungsanbieter übermittelt, der die Prüfung durchführt. Wir erhalten das Ergebnis und die gesetzlich erforderlichen Daten – nicht eine Kopie von allem, was Sie hochgeladen haben.
Von einem anderen Gerät anmelden und die Karten einfrieren – oder an [email protected] schreiben, dann frieren wir sie für Sie ein. Ihr Guthaben bleibt, wo es ist: Es hängt an Ihrem verifizierten Konto, nicht an Ihrem Gerät.
Unabhängige Penetrationstests sind Teil des Programms vor dem Start, neben der eigenen Sicherheitsprüfung unseres Herausgeberpartners, die jedes Kartenprogramm vor dem Start bestehen muss.
Nein, und es lohnt sich, beim Warum genau zu sein. Einlagensicherungssysteme – FSCS im Vereinigten Königreich, FDIC in den USA, die EU-Richtlinien zur Einlagensicherung – decken Einlagen bei lizenzierten Banken ab. Ein Kartenguthaben bei einem regulierten E-Geld- oder Herausgeberpartner wird stattdessen durch Trennung gesichert: Ihr Geld wird vom Geld des Unternehmens getrennt gehalten, sodass es Ihres bleibt und nicht zum Vermögen des Unternehmens wird. Krypto-Guthaben sind nirgends durch irgendetwas gedeckt. Ein Anbieter, der behauptet, seine Krypto-Guthaben seien versichert, beschreibt etwas anderes als eine Einlagensicherung.
Wir können ein Konto einfrieren, und in manchen Situationen sind wir gesetzlich dazu verpflichtet. Das Geldwäscherecht verpflichtet regulierte Unternehmen und ihre Partner, Transaktionen unter bestimmten Umständen zurückzuhalten oder abzulehnen, und in manchen Ländern verbietet es zugleich, Ihnen zu diesem Zeitpunkt den Grund zu nennen. Ihr Geld für eigene Zwecke nehmen können wir nicht – getrennt verwahrte Gelder gehören nicht uns. Die Richtlinie zur Geldwäscheprävention beschreibt, was eine Prüfung auslöst und was wir Ihnen sagen dürfen und was nicht.
In den meisten Fällen ist es nicht wiederherstellbar, und das ist die mit Abstand häufigste Art, in Krypto Geld zu verlieren – sie hat nichts mit der Sicherheit eines Anbieters zu tun. USDT über die falsche Chain oder an eine Adresse für einen anderen Vermögenswert zu senden bedeutet in der Regel, dass die Gelder verloren sind. Prüfen Sie das Netzwerk, bevor Sie bestätigen. Wo eine Wiederherstellung technisch möglich ist, versuchen wir es, können es aber nicht versprechen und berechnen für den Versuch nichts.
Wir fragen nie nach Ihrem Passwort, einem Zwei-Faktor-Code, Ihrer vollständigen Kartennummer oder Ihrer Wiederherstellungsphrase – nicht per E-Mail, nicht am Telefon, nicht im Chat, niemals. Unsere einzige Support-Adresse ist [email protected], unsere einzige Website ist nelvoi.com. Fragt eine Nachricht nach einem dieser Dinge, stammt sie nicht von uns, ganz gleich, wie die Absenderadresse aussieht. Leiten Sie sie an [email protected] weiter und löschen Sie sie.
Wir verkaufen keine personenbezogenen Daten. Daten werden mit den Stellen geteilt, die für den Betrieb des Dienstes nötig sind – dem Verifizierungsanbieter, der die Identitätsprüfung durchführt, den Herausgeber- und Bankpartnern, die Guthaben verwahren und Zahlungen abwickeln, und den Kartennetzwerken, die Transaktionen weiterleiten – sowie mit Behörden, wo das Gesetz es verlangt. Die Datenschutzerklärung führt die Kategorien und die Gründe auf.
Unabhängige Penetrationstests sind Teil des Programms vor dem Start, neben der eigenen Sicherheitsprüfung unseres Herausgeberpartners, die jedes Kartenprogramm vor dem Start bestehen muss. Kartenprogramme unterliegen zudem den PCI-DSS-Anforderungen für den Umgang mit Kartendaten – ein Grund, warum vollständige Kartennummern von der Herausgeberplattform verarbeitet und nicht von uns gespeichert werden.
Weiterlesen
- Ist eine Krypto-Karte sicher? Die Risiken sind real, aber es sind nicht die, über die sich die Leute Sorgen machen. Was das Geld tatsächlich schützt – und wovor nichts es schützt. Lesen →
- Verifizierung – und warum kein Weg daran vorbeiführt Jeder Kartenherausgeber fragt, wer Sie sind, bevor er irgendetwas ausgibt. Was dabei tatsächlich geprüft wird – und woran eine Prüfung scheitert. Lesen →
In dieser Kategorie gibt es noch nichts.
Dieses Dokument liegt in mehreren Sprachen vor. Bei Abweichungen zwischen den Fassungen ist die englische Fassung maßgeblich.
