Sicherheit und Schlüsselverwahrung, die Cookie- und Analyse-Richtlinie, wie lange Zahlungsdaten aufbewahrt werden, sichere Verwahrung der Schlüssel

Diese Übersetzung dient nur der Erleichterung. Rechtsverbindlich ist die englische Fassung.

1. Schlüsselverwahrung

Das ist der wichtige Punkt, lesen Sie ihn zweimal. Standardmäßig werden die Empfangsadressen aus Schlüsselmaterial abgeleitet, das der Betreiber hält, nicht Sie: Zahlungen landen auf Adressen des Betreibers und werden Ihrem Guthaben gutgeschrieben, und von dort zahlen Sie sich aus. Das Signieren ist nicht automatisiert — die Webanwendung hat keinen Weg, der von sich aus eine Überweisung sendet; Abhebungen und Auszahlungen prüft, signiert und sendet der Betreiber außerhalb davon. Ein Händler, der nicht möchte, dass der Betreiber seine Mittel überhaupt hält, kann die Ableitung aus dem eigenen xPub beantragen; dann landen Zahlungen auf Adressen, die nur dieser Händler kontrolliert, und der Betreiber hat deren Schlüssel nie.

2. Integrität von API und Webhooks

2.1 Signatur

API-Anfragen und Webhooks werden mit HMAC-SHA256 signiert, mit einem Zeitfenster zur Begrenzung von Wiedereinspielungen und Idempotenzschlüsseln, damit ein wiederholter Aufruf nicht zweimal wirkt. Signaturen werden in konstanter Zeit verglichen.

2.2 Ausgehende Webhooks

Ausgehende Webhooks sind SSRF-geschützt: nur https, Versand an die vom Händler konfigurierte URL, gebunden an eine geprüfte IP-Adresse, wobei private Bereiche sowie CGNAT und NAT64 gesperrt sind.

3. Zugangsdaten im Ruhezustand

Passwörter werden mit bcrypt gehasht. Das api_secret wird im Ruhezustand mit AES-256-GCM verschlüsselt. Private Schlüssel, Seed-Phrasen und Kartennummern werden überhaupt nicht gespeichert.

4. Kontosicherheit

Optionale TOTP-Zwei-Faktor-Authentifizierung mit Wiederherstellungscodes. Sitzungen werden serverseitig geführt und können widerrufen werden. CSRF-Token schützen zustandsändernde Anfragen. Ratenbegrenzung gilt je IP und je Schlüssel.

5. Härtung von Transport und Browser

HSTS, eine Content Security Policy, X-Frame-Options mit dem Wert DENY, X-Content-Type-Options nosniff und eine Referrer-Policy.

6. Integrität der Gelder

Abrechnungen werden in einem nur ergänzbaren Buch mit einem eindeutigen Idempotenzanker erfasst, sodass derselbe Eingang nicht zweimal gutgeschrieben werden kann. Beratende Sperren serialisieren Guthabenänderungen, sodass gleichzeitige Vorgänge das Guthaben nicht in einen falschen Zustand bringen können.

7. Was wir nicht behaupten

Payora besitzt weder eine PCI-DSS-, SOC-2- oder ISO-27001-Zertifizierung noch eine Zulassung einer Aufsichtsbehörde. Wer Ihnen etwas anderes sagt, irrt. Die Software gibt dem Betreiber gute Voreinstellungen; die Sicherheit einer laufenden Instanz hängt zusätzlich vom Server, vom Hosting und von den Verfahren des Betreibers ab.

8. Ihr Teil

Halten Sie Ihr API-Geheimnis und Ihr Passwort geheim. Aktivieren Sie die Zwei-Faktor-Authentifizierung. Prüfen Sie Webhook-Signaturen, statt dem Inhalt zu vertrauen. Kontrollieren Sie Auszahlungsadressen sorgfältig, einschließlich etwaiger Destination-Tags oder Memos, denn eine gesendete Transaktion lässt sich nicht zurückholen.

9. Eine Schwachstelle melden

Melden Sie Sicherheitsprobleme dem Betreiber unter support@payora.money. Bitte geben Sie genug Details zur Reproduktion an und testen Sie bitte nicht an Konten oder Daten anderer Personen.

Zuletzt aktualisiert: 16. Juli 2026. Wenn wir wesentliche Änderungen an dieser Seite vornehmen, wird die aktualisierte Fassung hier veröffentlicht.

Rechtliches

Alle Richtlinien an einem Ort.

Die Dokumente, die diese Payora-Instanz regeln. Übersetzungen dienen der Bequemlichkeit; rechtlich verbindlich ist die englische Fassung.

NutzungsbedingungenKonten, Verwahrung von Geldern, Gebühren und Haftung.DatenschutzerklärungWelche Daten gespeichert werden, Cookies und Ihre Rechte.Richtlinie zur zulässigen NutzungWofür der Dienst nicht genutzt werden darf und wie das durchgesetzt wird.Cookie-RichtlinieWelche Cookies gesetzt werden und warum.AuftragsverarbeitungsvertragBedingungen der Datenverarbeitung zwischen Händler und Betreiber.UnterauftragsverarbeiterAlle Dritten, die der Dienst kontaktiert.Richtlinie zur DatenaufbewahrungWie lange jede Art von Datensatz aufbewahrt wird.

SicherheitSicherheitsmaßnahmen und wie Schlüssel verwahrt werden.Sie sind hier

RisikohinweisDie realen Risiken beim Annehmen und Halten von Krypto.Rückerstattungen und RückbuchungenKeine Rückbuchungen – und was eine Erstattung wirklich ist.

FAQ

Häufig gestellte Fragen

Klare Antworten, auch auf unbequeme Fragen: Verwahrung, Gebühren und was passiert, wenn etwas schiefgeht.

Hilfebereich

Wo liegen die privaten Schlüssel?

Nicht auf dem Server. Empfangsadressen werden ausschließlich aus öffentlichem Schlüsselmaterial abgeleitet, etwa einem xPub, einem Master Public Key oder einem offline erzeugten Vorrat, und ein Schlüssel, der ausgeben kann, liegt nicht auf dem Server. Auszahlungen signiert der Betreiber auf seinem eigenen Rechner und sendet sie von dort.

Ist Payora nach PCI-DSS, SOC 2 oder ISO 27001 zertifiziert?

Nein. Payora besitzt weder eine solche Zertifizierung noch eine Zulassung einer Aufsichtsbehörde und behauptet dies auch nicht. Die Software liefert gute Voreinstellungen, doch die Sicherheit einer laufenden Instanz hängt zusätzlich von Server, Hosting und Verfahren des Betreibers ab.

Wie wird eine doppelte Gutschrift eines Eingangs verhindert?

Abrechnungen gelangen in ein nur ergänzbares Buch mit einem eindeutigen Idempotenzanker, sodass derselbe Eingang nicht zweimal gutgeschrieben werden kann, und beratende Sperren serialisieren Guthabenänderungen, sodass gleichzeitige Vorgänge nicht um das Guthaben wettlaufen.

Woher weiß ich, dass ein Webhook wirklich von Payora stammt?

Prüfen Sie die HMAC-SHA256-Signatur, statt dem Inhalt zu vertrauen. Signaturen nutzen ein Zeitfenster zur Begrenzung von Wiedereinspielungen und Idempotenzschlüssel, damit ein erneuter Versuch nicht zweimal wirkt, und werden in konstanter Zeit verglichen.