Die Registrierung dauert etwa eine Minute, und genau deshalb denkt fast niemand darüber nach. Drei der Entscheidungen in dieser Minute — die E-Mail-Adresse, das Passwort und ob du Zwei-Faktor-Authentifizierung aktivierst — bestimmen, ob ein verlorener Code wiederauffindbar ist und ob das Konto das nächste Datenleck übersteht.
Quelle: Verfügbarkeit des Gast-Checkouts und das Prämienprogramm — offizielle Bitrefill-Website
Die Adresse ist die Kontokennung und der Zustellkanal für jeden Code, den du kaufst. Nimm eine private Adresse, die du kontrollierst — keine Arbeitsadresse, die beim Jobwechsel verschwindet, und keine Wegwerfadresse. Diese eine Entscheidung bestimmt, ob eine Kontowiederherstellung später möglich ist.
Nicht über eine Suchanzeige und nicht über einen Link aus einer Nachricht. Das Registrierungsformular ist der Ort, an dem ein Phishing-Klon E-Mail-Adresse und Passwort in einem Schritt abgreift, und der Klon sieht genauso aus wie das Original.
Keine Variante eines Passworts, das du woanders benutzt. Credential Stuffing — geleakte E-Mail-Passwort-Paare auf vielen Seiten durchprobieren — ist der häufigste Weg, wie Konten in diesem Bereich übernommen werden, und ein einmaliges Passwort macht das vollständig wirkungslos.
Deine Bestellhistorie wird Einlösecodes enthalten, die jeder ausgeben kann, der sie liest. Eine Authenticator-App ist SMS vorzuziehen, weil SIM-Swap-Angriffe genau auf solche Konten zielen. Speichere die Wiederherstellungscodes offline.
Der Katalog wird nach Land gefiltert, und das Land bestimmt, welche regionalen Produkte du siehst. Es von Anfang an richtig zu setzen verhindert den teuersten gewöhnlichen Fehler dieses Ablaufs: einen gültigen Code für die falsche Region.
Ein Kauf über zehn Euro testet deine Wallet, das gewählte Netzwerk, die Zustell-E-Mail und den Einlöseprozess zu vernachlässigbaren Kosten. Das vor einer großen Bestellung zu tun ist der Unterschied zwischen einem günstig entdeckten und einem teuer entdeckten Problem.
Es liegt nahe, ein Shopkonto als geringwertig zu behandeln. Ist es nicht, und der Grund ist konkret: Die Bestellhistorie enthält Einlösecodes. Ein Gutscheincode ist ein Inhaberpapier. Wer ihn liest, kann ihn ausgeben, sofort, ohne Rückbuchung und ohne Erstattung. Praktisch gesehen ist ein Konto mit drei nicht eingelösten Codes eine Wallet mit Geld darin.
Das verändert das Bedrohungsmodell. Du schützt kein Einkaufsprofil, du schützt ausgebbaren Wert, und die beiden offensichtlichen Angriffe sind Credential Stuffing und ein kompromittiertes Postfach. Ein einmaliges Passwort erledigt das erste. Zwei-Faktor-Authentifizierung auf Shopkonto und Postfach deckt das meiste vom zweiten ab.
Ein nicht eingelöster Code ist jeder künftigen Kompromittierung dieses Kontos und dieses Postfachs ausgesetzt. Nach dem Einlösen lebt das Guthaben auf dem Händlerkonto und ist durch deren eigene Sicherheit geschützt. Wert von einem Code auf ein Guthaben zu verschieben ist wirklich eine Risikominderung — mach es also am Tag des Kaufs.
Der europäische MiCA-Rahmen und die begleitenden Regeln zum Geldtransfer legen regulierten Kryptodienstleistern erhebliche Identifikationspflichten auf. Ein Händler, der Gutscheinkarten verkauft, steht regulatorisch anders da als eine Börse, die Kundengelder hält — deshalb ist die Registrierung hier üblicherweise leichter als die Eröffnung eines Börsenkontos. Das ist eine Regelungsfrage und kann sich je nach Rechtsraum und Bestellhöhe verschieben: prüfe die aktuellen Bedingungen, statt die Antwort vom Vorjahr zu übernehmen.
Wo 2026 der Papierkram definitiv landet, ist der Einstieg. Krypto zu kaufen ist fast überall ein vollständig identifizierter Vorgang, und Abhebungen in die Selbstverwahrung ziehen manchmal zusätzliche Prüfungen nach sich. Rechne damit, dass dieser Schritt länger dauert als der Kauf selbst.
Mach deinen ersten Kauf nicht zu einer Karte über zweihundert Euro. Nimm eine über zehn und teste damit vier getrennte Dinge: dass deine Wallet den Wert auf dem von der Rechnung genannten Netzwerk senden kann, dass die Zahlung im Kursfenster ankommt, dass die Zustell-E-Mail dich tatsächlich erreicht, und dass der Code auf dem Konto einlösbar ist, das du im Sinn hattest.
Jedes dieser vier kann aus Gründen scheitern, die nichts mit der Plattform zu tun haben. Das bei zehn Euro zu entdecken ist eine Lehre. Bei zweihundert ist es ein Verlust. Die vollständige Anleitung behandelt jede Phase in der richtigen Reihenfolge.
Da die Adresse das Konto ist, lohnen sich dreißig Sekunden Nachdenken. Drei Optionen, geordnet.
Eine private Adresse bei einem großen Anbieter ist der pragmatische Standard. Sie wird in fünf Jahren noch existieren, hat eine eigene Wiederherstellung, und ihr Spamfilter ist streng, aber vorhersehbar. Setze den Absender einmal auf die Liste erlaubter Adressen, und die Zustellung ist keine Variable mehr.
Ein dauerhafter Alias, den du kontrollierst — eine Plus-Adresse, eine Subdomain-Adresse oder ein verwalteter Alias-Dienst — ist besser für die Privatsphäre und genauso beständig, mit einer Einschränkung: Vergisst du, welchen Alias du genutzt hast, hast du dich selbst ausgeschlossen. Notiere ihn im Passwortmanager-Eintrag neben dem Passwort, nicht im Gedächtnis.
Eine Arbeits- oder Universitätsadresse ist die schlechteste verfügbare Wahl. Sie verschwindet, wenn deine Verbindung zur Organisation endet, und nimmt Wiederherstellungsweg und alle nicht eingelösten Codes mit; außerdem ist ihr Filter derjenige, der Nachrichten von kryptonahen Domains am wahrscheinlichsten stillschweigend verwirft.
Vier Dinge, in etwa neunzig Sekunden, die fast jedes behebbare Problem davon abhalten, ein unbehebbares zu werden.
Für die meisten Produkte hat ein Gast-Checkout bisher genügt. Aber im Konto sammelt sich das Prämienguthaben, und dort liegt die Bestellhistorie — und die Historie ist der einzige realistische Weg, einen verlorenen Code wiederzufinden. Wenn du mehr als einmal kaufen willst, registriere dich. Prüfe die aktuellen Anforderungen auf der offiziellen Website.
Die Registrierung war in der Regel ein leichter Vorgang — eine E-Mail-Adresse statt einer Dokumentenprüfung — weil ein Händler, der dir ein Produkt verkauft, nicht dasselbe ist wie eine regulierte Börse, die deine Mittel hält. Das kann je nach Land, Produkt und Bestellhöhe variieren und ist genau die Art Regel, die sich ändert: prüfe es, statt es voraussetzen.
Technisch ja, praktisch unklug. Funktioniert die Adresse nicht mehr, verlierst du den Wiederherstellungsweg und alle Codes, die noch im Postfach liegen. Ein Weiterleitungsalias, den du dauerhaft kontrollierst, ist in Ordnung; eine Adresse, die nach zehn Minuten verfällt, ist ein Weg, eine Bestellung zu verlieren.
Zwei-Faktor-Authentifizierung, wegen des Inhalts des Kontos. Ein Angreifer braucht weder deine Wallet noch deine Karte — ein nicht eingelöster Gutscheincode in deiner Bestellhistorie ist direkt ausgebbar, ohne Möglichkeit der Rückbuchung.
Üblicherweise nicht als Code. Die Registrierung eröffnet die Möglichkeit, Bitcoin-Prämienguthaben auf Käufe zu sammeln, plus die Teilnahme am Empfehlungsprogramm. Beides ist echt; keines erscheint als Prozentsatz auf deiner ersten Bestellung. Siehe die Gutscheinseite für die ehrliche Aufschlüsselung.
Niemand Seriöses braucht jemals deine Seed-Phrase oder deine privaten Schlüssel — kein Shop, kein Support, kein Gewinnspiel. Schreibe diese zwölf oder vierundzwanzig Wörter auf Papier, halte sie offline und behandle jede Nachfrage als bestätigten Betrugsversuch.
