Sicherheit & Datenschutz

Authentifizierung

Passwortloser Login

CryptaCount verwendet ein passwortloses Authentifizierungsmodell:

Primäre Methode — Anbieter-Anmeldung mit 5 Anbietern:

• Google, Microsoft, Xero, Intuit (QuickBooks), Zoho

Sekundäre Methode — Einmal-Passcode per E-Mail:

• Einen 6-stelligen Code an Ihre E-Mail-Adresse anfordern
• Den Code eingeben, um sich zu authentifizieren
• Funktioniert sowohl für Login als auch für die Registrierung

Es gibt keine Passwörter, die man sich merken, zurücksetzen oder die gestohlen werden könnten.

Optionale Zwei-Faktor-Authentifizierung

Die Zwei-Faktor-Authentifizierung ist als optionales Add-on für Nutzer verfügbar, die zusätzliche Sicherheit wünschen:

• Aktivieren unter Settings → Security
• Kompatibel mit jeder Authenticator-App (Google Authenticator, Authy, 1Password usw.)
• Backup-Codes werden bei der Einrichtung für die Kontowiederherstellung bereitgestellt
• Kann in den Sicherheitseinstellungen aktiviert, deaktiviert oder zurückgesetzt werden

Sitzungsverwaltung

• Ihre Sitzung bleibt aktiv, sodass Sie sich nicht wiederholt anmelden müssen. Das Aktivieren von „Remember me” verlängert die Sitzungsdauer.
• Alle aktiven Sitzungen unter Settings → Security anzeigen
• Einzelne Sitzungen widerrufen, alle anderen Sitzungen widerrufen oder alles widerrufen

Bot-Schutz

• Login und Registrierung sind durch unsichtbare Bot-Erkennung geschützt, um automatisierte Angriffe zu verhindern
• Die Verifizierung läuft unbemerkt im Hintergrund — kein Lösen von Puzzles erforderlich
• Wenn Sie unerwartet blockiert werden, versuchen Sie, Browser-Cookies zu löschen, störende Erweiterungen zu deaktivieren oder einen anderen Browser zu verwenden

Rate-Limiting

Authentifizierungs- und Datenanfragen werden pro IP und pro E-Mail-Adresse ratenbegrenzt, um Brute-Force-Angriffe und Missbrauch zu verhindern. Authentifizierungsbezogene Aktionen unterliegen strengeren Limits als Datenaktionen.

Datenintegrität — Journal-Hash-Kette

Jeder Buchungssatz wird in einer kryptografisch gesicherten Kette gehasht. Der Hash umfasst den Inhalt des Eintrags und den Hash des vorherigen Eintrags und bildet so eine sequenzielle Kette. Wird ein Eintrag geändert, werden alle nachfolgenden Hashes ungültig, sodass Manipulationen sofort erkennbar sind.

Dies liefert Prüfungsnachweise, dass das Hauptbuch nicht nachträglich geändert wurde — eine grundlegende Anforderung für Finanzprüfungen. Die Hash-Kette kann durch die Abstimmungsprüfung Ledger Integrity verifiziert werden.

Verschlüsselung von CEX-API-Schlüsseln

API-Schlüssel für zentralisierte Börsen werden verschlüsselt gespeichert:

• Schlüssel werden vor der Speicherung verschlüsselt
• CryptaCount benötigt niemals Schreibzugriff auf Börsenkonten — nur Leseberechtigungen
• Den Schlüsselstatus können Sie in Ihren CEX-Verbindungseinstellungen überprüfen

Prüfpfad

CryptaCount führt einen umfassenden Prüfpfad:

• Alle Benutzeraktionen werden mit Zeitstempel, Benutzeridentität und Arbeitsbereichskontext protokolliert
• Ihre persönliche Aktivität unter Settings → Activity Log einsehen
• Sicherheitsspezifische Ereignisse (fehlgeschlagene Anmeldungen, Berechtigungsänderungen) werden separat verfolgt

Zugriffssteuerung

CryptaCount setzt ein rollenbasiertes Zugriffskontrollsystem durch:

Ebene	Rollen	Geltungsbereich
Company	Owner, Manager, Member, Viewer	Zugriff auf Unternehmensebene
Workspace	Owner, Manager, Member, Viewer	Zugriff auf Arbeitsbereichsebene
Permissions	42 granulare Berechtigungen	Pro-Ressource-Aktionen (view, create, edit, delete, sync, post usw.)

Rollenprüfungen werden bei jeder Aktion durchgesetzt, nicht nur in der Oberfläche.

Greift CryptaCount auf meine Wallets oder Börsenkonten zu?

Blockchain-Wallets: CryptaCount liest öffentlich verfügbare On-Chain-Daten für die von Ihnen angegebenen Wallet-Adressen. Es hat niemals Zugriff auf private Schlüssel, Seed-Phrasen oder die Möglichkeit, Transaktionen zu senden.

Börsenverbindungen: API-Schlüssel erfordern nur Leseberechtigungen. CryptaCount benötigt niemals Schreibzugriff. Schlüssel werden verschlüsselt gespeichert (siehe oben).

Ist CryptaCount DSGVO-konform?

Ja. Die Plattform implementiert:

• Zweistufige Cookie-Einwilligung mit Google Consent Mode v2
• Rechtsgrundlage der Datenverarbeitung: Vertragserfüllung für Buchhaltung; Einwilligung für Analysen
• Betroffenenrechte: Auskunft, Berichtigung, Löschung und Portabilität über Kontoeinstellungen
• Datenschutzerklärung und Nutzungsbedingungen: Geo-gesplittet für EU und übrige Welt

Kann ich meine Daten löschen?

Ja:

• Arbeitsbereich löschen — entfernt alle darin enthaltenen Daten (Transaktionen, Buchungssätze, Berichte, Konfiguration). Erfordert die Rolle Owner. Unwiderruflich.
• Wallet entfernen — entfernt die Wallet und alle zugehörigen Transaktionsdaten. Unwiderruflich.
• Konto löschen — entfernt Ihr Benutzerkonto und alle zugehörigen Daten.
• DSGVO-Löschung — formeller Antrag auf Datenlöschung über Kontoeinstellungen oder Support.

Was passiert mit meinen Daten nach einer Kündigung?

Nach der Kündigung wechselt Ihr Arbeitsbereich für 90 Tage in den Nur-Lesen-Modus. Sie können weiterhin alles einsehen und exportieren. Nach 90 Tagen werden die Daten zur Löschung vorgemerkt. Reaktivieren Sie während der Aufbewahrungsfrist, um den vollständigen Zugriff wiederherzustellen.