Warum es sicher ist
Zwei getrennte Aufzeichnungen, und beide müssen übereinstimmen.
Ein Gutschein funktioniert wie eine Geschenkkarte: Wer ihn hat, kann ihn einlösen. Entscheidend ist deshalb, ob der Gutschein vor Ihnen echt und noch nicht eingelöst ist. Dafür halten wir den Eintrag an zwei Orten fest, die dieselbe Person nicht beide ändern kann.
bullmark
Bewahrt den Gutschein selbst auf: wer ihn hat, was er wert ist und ob er schon eingelöst wurde.
Sendet den Fingerabdruck (Hash) nie den Inhalt
axowl
Bewahrt den Fingerabdruck dieses Eintrags auf: einen kurzen Code, der aus ihm berechnet wird. Die Ankunftszeit hält Axowls eigene Uhr fest.
Axowl sieht nie, was in einem Gutschein steht. Es erhält nur den Fingerabdruck und speichert ihn mit einem eigenen Zeitstempel. So bleiben beide Seiten unabhängig. Wird ein Gutschein geändert, ändert sich auch sein Fingerabdruck, und den bei Axowl gespeicherten Fingerabdruck können wir nicht ändern.
Was abgedeckt ist
Der Fingerabdruck wird aus diesen Angaben berechnet
Der Fingerabdruck deckt nicht die ganze Datenbankzeile ab, sondern die Liste unten. So sehen Sie genau, was geschützt ist. Ändert sich eine dieser Angaben, passt der Fingerabdruck nicht mehr.
Das Produkt die Marke wer ihn hält sein Einlösecode seine Seriennummer der Endkundenpreis der Preis, den er gewährt wann er abläuft ob er eingelöst wurde wann er eingelöst wurde die E-Mail des Inhabers
Die letzten drei kamen im August 2026 hinzu und sind die wichtigsten. Davor konnte man einen eingelösten Gutschein in der Datenbank auf „unbenutzt“zurücksetzen, und er bestand trotzdem jede Prüfung. Die Einlösung war an anderer Stelle erfasst, der Fingerabdruck blieb also gleich. Das geht nicht mehr.
Zwei Dinge bleiben bewusst außen vor, weil sie sonst Fehlalarme auslösen würden. Eine Reservierung ist eine vorübergehende Sperre und ändert nichts am Wert des Gutscheins. Ein Gutschein, der dreißig Sekunden an der Kasse gehalten wird, wurde nicht verändert. Der Status abgelaufen fehlt, weil das Ablaufdatum bereits im Fingerabdruck steckt und jeder ihn daraus ableiten kann. Wäre auch der Status enthalten, würde ein Gutschein, der am Montag die Prüfung bestand, am Dienstag durchfallen, obwohl ihn niemand angefasst hat. Eine Prüfung, die Fehlalarme gibt, beachtet bald niemand mehr.
Wie jeder Angriff gestoppt wird
Vier Wege, von innen zu betrügen, und was jeden stoppt
Einen Gutschein in der Datenbank ändern
Jemand senkt den Preis, verschiebt das Ablaufdatum oder trägt den eigenen Namen ein. Der Fingerabdruck ändert sich und passt nicht mehr zu dem, der bei Axowl liegt. Den Fingerabdruck auf unserer Seite neu zu berechnen hilft nicht, denn der entscheidende liegt nicht in unserer Datenbank.
Denselben Gutschein zweimal einlösen
Ob ein Gutschein eingelöst wurde, gehört jetzt zum Fingerabdruck. Ihn auf „unbenutzt“zurückzusetzen ändert also den Fingerabdruck. Jede Einlösung wird außerdem als eigener, nicht mehr änderbarer Eintrag erfasst, der an den vorherigen anschließt. Zwei Aufzeichnungen müssten dieselbe Lüge enthalten, und eine davon gehört nicht uns.
Einen erzeugen, der nie ausgegeben wurde
Beim Ausgeben wird die ganze Charge als ein Eintrag festgehalten, der sich nicht mehr ändern lässt: wie viele, zu welchem Preis, bis zu welchem Datum. Wurden 100 ausgegeben, widerspricht ein 101. Gutschein einem Eintrag, den es schon gibt. Außerdem trägt jeder neue Fingerabdruck die Zeit von Axowls Uhr, nicht von unserer. Er kann heute entstehen, aber nie mit einem Datum vom letzten Jahr.
Ihn heimlich auf jemand anderen übertragen
Der Inhaber gehört zum Fingerabdruck. Ein Gutschein kann also nicht den Besitzer wechseln, indem jemand ein Feld ändert. Bei der Übergabe wird der Gutschein des Gebenden geschlossen, und der Empfangende erhält einen eigenen mit derselben Seriennummer. Beide Schritte bleiben erfasst, eine Übergabe zeigt also nie nur eine Seite.
Kopierte Codes
Was, wenn jemand meinen QR-Code kopiert?
Ein QR-Code (das Quadrat zum Scannen) ist nicht der Gutschein selbst. Er verweist nur auf einen nummerierten Gutschein in unseren Aufzeichnungen. Ein Foto eines QR-Codes ist also genau so viel wert wie dieser Gutschein in dem Moment, in dem jemand es vorzeigt. Alle Fälle unten lassen sich so erklären.
Ein erfundener Code
Beim Einlösen schlägt das System den Code in unseren Aufzeichnungen nach. Es liest keinen Wert aus dem Bild. Ein nie ausgegebener Code führt zu nichts, egal wie echt der QR-Code darum aussieht. Niemand kann einen Gutschein zeichnen und ihn damit entstehen lassen.
Eine Kopie eines echten
Eine Kopie trägt denselben Code, ist also derselbe Gutschein und kein zweiter. Die erste Einlösung wird an diesem Gutschein festgehalten und lässt sich nicht mehr ändern. Jeder spätere Versuch, mit der Kopie oder dem Original, erhält die Antwort, dass er bereits eingelöst wurde. Zehn Screenshots sind immer noch ein Gutschein.
Ein Screenshot, aufbewahrt vor dem Verkauf
Wird ein Gutschein weitergegeben, als Geschenk oder Weiterverkauf, wird der Gutschein des Gebers geschlossen. Der Empfänger erhält einen neuen mit einem neuen Code unter derselben Seriennummer. Der Code im alten Screenshot führt jetzt zu einem geschlossenen Gutschein. Einen Gutschein zu verkaufen und ihn dann schnell vor dem Käufer einzulösen funktioniert nicht.
Ein Code, den jemand anderes zuerst sah
Dieses Risiko besteht wirklich, und wir sagen das offen. Wer den Code hat, kann den Gutschein einlösen, und eine Marke, die einen Code annimmt, erfährt nicht, wer das Telefon hält. Das Scannen eines QR-Codes verrät den Code nicht. Ein Scan zeigt, dass der Gutschein echt und noch nicht eingelöst ist. Den Code selbst sehen nur der angemeldete Inhaber und die ausgebende Marke. Aber ein Code, den Sie posten oder vorlesen, kann von jemand anderem genutzt werden. Behandeln Sie ihn wie eine Geschenkkartennummer. Eine Marke, die diese Lücke schließen will, kann uns fragen, welche Gutscheine ihr angemeldeter Kunde tatsächlich hält, und ihn aus dieser Liste wählen lassen, statt einen Code einzutippen. Dann lässt sich ein kopierter Code nirgends eingeben.
Was auch geschieht, es wird festgehalten. Ausgabe, Übergabe, Reservierung und Einlösung hinterlassen je einen Eintrag, der sich nicht mehr ändern lässt und an den vorherigen anschließt. Eine Marke kann für jeden ihrer Gutscheine den vollständigen Verlauf abrufen, Inhalte eingeschlossen, und jeden Fingerabdruck selbst neu berechnen. Wer einen Gutschein wann eingelöst hat, lässt sich also klären, ohne sich auf unser Wort zu verlassen.
Brand Credit
Können wir heimlich mehr davon erzeugen?
Brand Credit funktioniert ähnlich wie Geld: Eine Marke lädt es auf, gibt damit Gutscheine aus und lässt sich auszahlen, was sie verdient. Die faire Frage ist deshalb, ob wir unseren eigenen Aufzeichnungen unbemerkt eine Zeile hinzufügen könnten, und nicht nur, ob Außenstehende eindringen können.
Einträge kommen nur hinzu
Einträge werden hinzugefügt, nie bearbeitet oder gelöscht. Eine Korrektur ist ein neuer Eintrag, der angibt, was er korrigiert. Fehler und Korrektur bleiben also beide sichtbar. Es gibt keinen Saldo, aus dem eine unangenehme Zeile entfernt wurde.
Jeder Eintrag ist gesperrt und verknüpft
Jeder Eintrag trägt den Fingerabdruck des vorherigen. Wer einen alten Eintrag ändert, macht alle späteren ungültig. Eine einzige heimliche Änderung hieße also, die ganze Kette an zwei Orten neu zu schreiben, und einer davon gehört nicht uns.
Auch Insider sind nicht ausgenommen
Zugriff auf unsere Datenbank bedeutet nicht Kontrolle über die Aufzeichnungen. Wer volle Rechte an unserer Produktionsdatenbank hat, kann eine Zeile ändern. Er kann aber nicht dafür sorgen, dass der Fingerabdruck bei Axowl danach dazu passt. Deshalb liegt die zweite Kopie dort, wo unsere Administratoren keine Administratorrechte haben.
Sie können es prüfen, ohne uns zu fragen
Eine Marke kann die IDs ihrer eigenen Einträge einem Buchprüfer geben. Der berechnet die Fingerabdrücke aus der offenen Kette neu und prüft, ob die Summen stimmen. Die Prüfung läuft nicht über Bullmark, wir können sie also nicht beeinflussen.
Empfehlungsprämien
Können gefälschte Registrierungen die Prämie kassieren?
Eine Prämie für jeden neuen Nutzer verleitet dazu, falsche Nutzer anzulegen. Deshalb wird nicht für eine Registrierung gezahlt, sondern für eine Person, die bleibt.
Bei der Registrierung wird nichts gezahlt
Die erste Anmeldung erzeugt nur einen wartenden Eintrag. Die Prämie wird 7 Tage später gezahlt, und nur, wenn dieselbe Person sich an einem anderen Tag erneut angemeldet hat. Ein Konto, das sich registriert und nie wiederkommt, wird ohne Zahlung geschlossen.
Ein Postfach, eine Prämie
Adressvarianten, die im selben Postfach landen, etwa ein +Tag oder die Punkte in einer Gmail-Adresse, zählen als eine Person. Wegwerf-Adressen können sich anmelden, werden aber nie prämiert.
Grenzen pro Gerät und bei plötzlichen Schüben
Pro Marke können höchstens drei prämierte Registrierungen von einem Gerät stammen. Registrierungs-E-Mails an neue Adressen sind pro Netzwerk und pro App in der Häufigkeit begrenzt, und davor steht eine standardmäßig aktive Bot-Prüfung. Ein Vertrag, der plötzlich einen Schub an Registrierungen erhält, zahlt nicht weiter, und die Marke wird informiert.
Der Höchstverlust der Marke steht vorab fest
Jeder Vertrag mit Prämie hat ein Budget, und wartende Prämien werden darauf angerechnet. Der Empfehler und die Leute der Marke werden nie gezählt. Jede Prämie, gezahlt oder abgelehnt, bleibt als nicht mehr änderbarer Eintrag bestehen, den Marke und Empfehler beide sehen.
Darüber hinaus enthält das System eine Reihe weiterer Schutzmechanismen, die aus Sicherheitsgründen nicht offengelegt werden können.
Was wir nicht behaupten
Wir prüfen eine E-Mail-Adresse, mehr nicht.
Wir prüfen keine Reisepässe, betreiben keinen Dienst zur Identitätsprüfung und behaupten nicht zu wissen, wer hinter einer Adresse steht. Der Fingerabdruck belegt, dass ein Eintrag nicht verändert wurde. Er macht eine ungeprüfte Behauptung nicht wahr. Ein Unternehmen, das beides vermischt, verkauft Ihnen ein Gefühl von Sicherheit.
Genau das versprechen wir: Dieser Gutschein wurde zu diesem Preis an diese E-Mail-Adresse zu dieser Zeit ausgegeben und seither nicht verändert. Die E-Mail-Adresse ist die, mit der sich das Konto authentifiziert hat, nie eine Eingabe in einem Formular. Alles jenseits dieser Adresse können wir nicht beweisen, und wir sagen Ihnen das lieber jetzt, als dass Sie es später herausfinden.
Prüfen Sie es selbst
Sie müssen uns nicht glauben
Jeder gesperrte Eintrag ist lesbar, und die Berechnung dahinter ist öffentlich. Geben Sie die Kette der Einträge unserem JavaScript-SDK oder einem beliebigen Werkzeug, das SHA-256 berechnet (ein Standardverfahren für den Fingerabdruck), und berechnen Sie die Fingerabdrücke selbst neu. Die Prüfung läuft vollständig auf Ihrer Seite und fragt Bullmark nichts.
GET /integrity/events/VoucherInstance/{id}
Es liefert Fingerabdrücke und Prüfergebnisse, nie Gutscheininhalte oder Einlösecodes. So kann es offen bleiben, ohne zu einem Weg zu werden, fremde Gutscheine zu lesen.
Loslegen
Ohne Vorkasse.
Startup eintragen So funktioniert es