Sicherheitsrichtlinien

1. Kontosicherheit

Nutzer sind verpflichtet, ein sicheres, nicht anderweitig verwendetes Passwort zu verwenden und ihre Zugangsdaten vertraulich zu behandeln. Passwörter werden niemals im Klartext gespeichert, sondern ausschließlich als kryptografischer Hash über unseren Authentifizierungsdienst (Supabase Auth) abgelegt. Anmeldeversuche sind pro IP-Adresse und pro Konto in ihrer Häufigkeit begrenzt, um automatisierte Angriffe auf Passwörter zu erschweren. Die Zurücksetzung eines Passworts erfolgt ausschließlich über einen zeitlich befristeten Link an die hinterlegte, bestätigte E-Mail-Adresse. Verdächtige Aktivitäten im eigenen Konto sind dem Betreiber unverzüglich unter service.qayb@gmail.com zu melden; wir sperren betroffene Konten in solchen Fällen vorsorglich, bis der Sachverhalt geklärt ist.

2. Zahlungssicherheit

Zahlungen werden ausschließlich über zertifizierte Zahlungsdienstleister abgewickelt: Kredit- und Debitkarten über Stripe, PayPal-Zahlungen über die PayPal Commerce Platform und Kryptowährungen über CoinGate. Karten- und PayPal-Zugangsdaten werden ausschließlich beim jeweiligen Zahlungsdienstleister eingegeben und verarbeitet — QAYB erhält, speichert und protokolliert weder vollständige Zahlungskartendaten noch PayPal-Zugangsdaten. Eingehende Statusmeldungen der Zahlungsdienstleister (Webhooks) werden vor der Verarbeitung serverseitig auf ihre Echtheit geprüft, damit Zahlungsstatus nicht durch gefälschte Anfragen manipuliert werden können. Auszahlungen an Verkäufer erfolgen erst nach abgeschlossener Verifizierung des jeweiligen Verkäuferkontos beim Zahlungsdienstleister.

3. Datei- und Bild-Uploads

Hochgeladene Bilder und Dateien werden serverseitig auf Dateigröße und -typ geprüft und in isolierten Speicherbereichen abgelegt. Digitale Produktdateien sind nicht öffentlich abrufbar und werden erst nach erfolgreichem Kauf über einen zeitlich begrenzten, signierten Link freigegeben. Ein Link berechtigt ausschließlich den kaufenden Nutzer und läuft nach kurzer Zeit ab; er kann nicht dauerhaft weitergegeben werden.

4. Zugriffsrechte

Verkäufer können ausschließlich eigene Produkte bearbeiten, Käufer sehen ausschließlich eigene Bestellungen. Administratoren haben erweiterten Zugriff zur Plattformverwaltung. Diese Regeln werden nicht nur in der Benutzeroberfläche, sondern technisch in der Datenbank über Zugriffsrichtlinien auf Zeilenebene (Row Level Security) durchgesetzt und gelten damit auch für direkte Aufrufe unserer Programmierschnittstellen. Serverseitige Zugangsschlüssel mit erweiterten Rechten werden ausschließlich auf dem Server verwendet und niemals an den Browser ausgeliefert. Die gesamte Übertragung zwischen Browser und Plattform erfolgt ausschließlich verschlüsselt über HTTPS.

5. Produkt- und Inhaltsprüfung

Neue und geänderte Angebote werden vor der Veröffentlichung automatisiert durch ein KI-Sprachmodell auf mutmaßlich rechtswidrige Inhalte und Betrugsverdacht geprüft und zusätzlich durch das Admin-Team freigegeben; bereits veröffentlichte Angebote werden mehrfach täglich erneut automatisiert geprüft. Einzelheiten zu den unzulässigen Angeboten und zum Vorgehen bei Verstößen regelt die Seite „Verbotene Produkte“.

6. Meldung von Sicherheitslücken

Wir begrüßen die verantwortungsvolle Offenlegung von Sicherheitslücken. Bitte melde vermutete Schwachstellen ausschließlich per E-Mail an service.qayb@gmail.com — nach Möglichkeit mit einer Beschreibung, die uns das Nachvollziehen ermöglicht. Wir bestätigen den Eingang in der Regel innerhalb von 72 Stunden und informieren dich über den weiteren Verlauf. Bitte greife dabei nicht auf fremde Konten oder Daten zu, verändere oder lösche keine Daten und beeinträchtige nicht die Verfügbarkeit der Plattform. Bei Meldungen, die sich an diese Vorgaben halten, werden wir keine rechtlichen Schritte gegen die meldende Person einleiten. Bitte veröffentliche eine Schwachstelle erst, nachdem sie behoben wurde.

7. Datenschutz

Welche personenbezogenen Daten zu welchem Zweck verarbeitet werden, welche Empfänger eingebunden sind und welche Rechte dir zustehen, ist gesondert in der Datenschutzerklärung beschrieben.