Revolut hat einen Datenschutzvorfall bestätigt, bei dem personenbezogene und finanzielle Daten von Kunden an einen Angreifer übermittelt wurden. Der Täter gab sich als staatliche Stelle aus und stellte seine Anfrage per E-Mail über die Domain einer Behörde. Nach Angaben des Fintech-Unternehmens verfügte die Kommunikation über gültige Anmeldedaten zur Domain-Authentifizierung und wurde deshalb für echt gehalten.
Wie viele Kunden betroffen sind, nennt Revolut nicht. Das Unternehmen spricht lediglich von einer begrenzten Zahl. Der Umfang der möglichen Datensätze ist dennoch erheblich: Neben Pass- und Führerscheinkopien können vollständige Transaktionshistorien, Kontodaten und Bilder aus der Identitätsprüfung enthalten sein. Revolut teilte zugleich mit, dass seine Systeme und die Guthaben der Kunden nicht betroffen seien.
Von Ausweisdokumenten bis zur Bitcoin-Historie
Zu den übermittelten Informationen zählen laut Revolut vollständige Namen, Geburtsdaten, Berufe, Postanschriften, E-Mail-Adressen und Telefonnummern. Hinzu kommen Dokumente und Daten aus der Identitätsprüfung: Kopien von Reisepässen oder Führerscheinen sowie die Selfies, die Kunden beim Eröffnen eines Kontos für die Identitätskontrolle eingereicht hatten.
Wie die Datenübermittlung laut Revolut zustande kam
Der Ablauf zeigt, wie eine über eine Behörden-Domain versandte Anfrage als authentisch behandelt wurde und zur Übermittlung von Kundendaten führte.
Auch finanzielle Informationen waren Teil der Offenlegung. Genannt werden Kontoauszüge einschließlich IBAN, Aufzeichnungen über Auszahlungen und vollständige Transaktionshistorien. Darin können auch Bitcoin-Transaktionen enthalten sein. Revolut hat bislang nicht öffentlich aufgeschlüsselt, ob bei jedem Betroffenen sämtliche Kategorien oder jeweils nur Teilmengen übermittelt wurden.
Nicht genannt werden Passwörter, PINs, Kartensicherheitscodes oder Anmeldetoken. Es gibt nach den vorliegenden Angaben auch keinen Hinweis darauf, dass der Angreifer Zugang zu Revoluts technischer Infrastruktur oder zu Kundenkonten erlangt hat. Ebenso ist nicht bekannt, ob die erbeuteten Daten bereits für Betrug oder weitere Angriffe verwendet wurden.
Kein Software-Exploit, sondern eine missbrauchte Vertrauenskette
Der Vorfall unterscheidet sich von einem klassischen Einbruch über eine ungepatchte Sicherheitslücke. Es gibt keine CVE, keine betroffene Softwareversion und keinen Patch, den Kunden installieren könnten. Der entscheidende Mechanismus war nach Revoluts Darstellung eine Anfrage, die technisch aus einer glaubwürdig erscheinenden Behördenumgebung kam.
Welche Form der Domain-Authentifizierung verwendet wurde und wie der Angreifer Zugriff auf die betreffende Behörden-Domain oder deren Kommunikationsweg erhielt, ist nicht bekannt. Gültige Domain-Anmeldedaten belegen zwar, dass eine Nachricht über eine autorisierte Infrastruktur verarbeitet wurde. Sie beantworten aber nicht automatisch, ob der konkrete Absender befugt war, die angeforderten Kundendaten zu erhalten.
Genau dort liegt das operative Risiko: Bei Auskunftsersuchen müssen Finanzunternehmen regelmäßig Daten an Behörden übermitteln. Enthält ein solcher Vorgang umfangreiche Identitäts- und Transaktionsdaten, darf die technische Echtheit des Kommunikationskanals nicht die einzige Kontrolle bleiben. Unabhängige Rückbestätigung, Prüfung des konkreten Aktenzeichens, Begrenzung des Datensatzes und eine zusätzliche Freigabe können wichtiger sein als die bloße Authentifizierung der Absender-Domain. Aus dem Vorfall geht allerdings nicht hervor, welche dieser Kontrollen Revolut eingesetzt hat und an welcher Stelle sie versagten.
Revolut nennt keine genaue Zahl der Betroffenen
Revolut erklärte gegenüber BleepingComputer, die verwendete Adresse nach Entdeckung des Vorfalls sofort blockiert zu haben. Außerdem seien die betroffene staatliche Stelle, Strafverfolgungsbehörden sowie Datenschutz- und Finanzaufsichtsbehörden informiert worden. Nach bisheriger Darstellung erhielten betroffene Kunden eine Benachrichtigung per E-Mail.
Die fehlende Zahl erschwert die Bewertung. Revolut ist in mehr als 160 Ländern und Regionen aktiv und gibt weltweit über 80 Millionen Privatkunden sowie 800.000 Geschäftskunden an. Die Aussage, nur eine begrenzte Zahl sei betroffen, kann deshalb für einen kleinen Anteil der Kunden stehen, sagt aber nichts über die absolute Größenordnung aus.
Der Krypto-Ermittler ZachXBT äußerte die Einschätzung, dass sich der Vorfall wahrscheinlich gegen vermögende Nutzer gerichtet habe. Revolut hat eine solche Auswahl der Opfer bislang nicht bestätigt. Die Behauptung sollte daher nicht mit einem belegten Angriffsmuster gleichgesetzt werden.
Bereits im September 2022 hatte Revolut einen anderen Datenschutzvorfall gemeldet, bei dem persönliche, finanzielle und Kontaktdaten von 50.150 Kunden gestohlen wurden. Die damalige Zahl lässt sich nicht auf den aktuellen Fall übertragen; bislang gibt es keine belastbare Angabe, dass beide Ereignisse technisch oder organisatorisch zusammenhängen.
Was betroffene Kunden jetzt beachten sollten
Wer eine Benachrichtigung erhalten hat, sollte zunächst unabhängig von enthaltenen Links über die Revolut-App oder einen selbst aufgerufenen Supportkanal prüfen, ob sie echt ist. Anschließend ist entscheidend, von Revolut eine möglichst genaue Auskunft darüber zu verlangen, welche Dokumente und Datensätze im individuellen Fall übermittelt wurden.
Das größte unmittelbare Folgerisiko liegt nicht zwingend in einem direkten Kontozugriff, sondern in glaubwürdigerem Social Engineering. Ein Betrüger, der Adresse, Telefonnummer, IBAN, Ausweisdaten und frühere Transaktionen kennt, kann bei Anrufen oder Nachrichten deutlich überzeugender auftreten. Kunden sollten daher keine Freigabecodes, Passwörter oder zusätzlichen Dokumente herausgeben – auch dann nicht, wenn der Kontakt echte Kontodetails nennt. Kontobewegungen und Änderungen an Kontakt- oder Sicherheitseinstellungen sollten engmaschig geprüft werden.
Ist eine Pass- oder Führerscheinkopie betroffen, können Kunden außerdem bei der ausstellenden Behörde klären, welche Schutz- oder Meldemöglichkeiten im jeweiligen Land bestehen. Ein Dokumententausch ist nicht automatisch in jedem Fall erforderlich und verhindert auch nicht, dass eine bereits kopierte Identität für Täuschungsversuche verwendet wird.
Der Vorfall macht damit eine Grenze technischer E-Mail-Authentifizierung sichtbar: Ein korrekt authentifizierter Kanal kann trotzdem von der falschen Person genutzt werden. Bei besonders sensiblen Behördenanfragen entscheidet deshalb nicht allein, ob die Nachricht technisch echt wirkt, sondern ob Identität, Zuständigkeit und Umfang der Datenweitergabe getrennt voneinander geprüft werden.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
