Revolut hat sensible Kundeninformationen an einen Unbefugten herausgegeben, der sich mit einer gefälschten Behördenanfrage Zugang verschaffte. Betroffen sein konnten Pass- und Führerscheinkopien, Verifizierungsfotos, Adressen, Telefonnummern, Kontodaten sowie vollständige Transaktionshistorien einschließlich Bitcoin-Transaktionen.
Das Brisante daran ist, dass die Systeme von Revolut nach eigenen Angaben nicht gehackt wurden. Die Daten wurden herausgegeben, weil die Anfrage von einer echten Domain einer Regierungsbehörde kam und übliche E-Mail-Prüfungen bestand. Erst bei einer späteren Kontrolle stellte sich heraus, dass das verwendete Postfach nicht autorisiert war.
Welche Daten offengelegt wurden
Aus einer Mitteilung an betroffene Kunden und Stellungnahmen des Unternehmens geht eine außergewöhnlich breite Datenmenge hervor. Dazu gehören Namen, Geburtsdaten, Berufe, Post- und E-Mail-Adressen, Telefonnummern, IBANs, Kontoauszüge, Abhebungen und Transaktionsverläufe. Auch Kopien staatlicher Ausweisdokumente und Selfies aus der Identitätsprüfung konnten enthalten sein.
Revolut erklärte, dass abgeleitete biometrische Gesichtsdaten nicht betroffen gewesen seien. Ebenso gebe es keinen Hinweis darauf, dass Passcodes oder Zugangsdaten weitergegeben wurden. Kundengelder seien nicht entwendet worden. Das begrenzt den unmittelbaren Schaden, beseitigt aber nicht das Risiko eines späteren Identitätsmissbrauchs.
Eine echte Behörden-Domain reichte als Türöffner
Die falsche Anfrage soll von einem unbefugt eingerichteten oder übernommenen Postfach innerhalb der echten Domain einer Behörde gekommen sein. Dadurch bestanden technische Prüfungen wie SPF, DKIM und DMARC. Diese Verfahren können zeigen, dass eine Nachricht über autorisierte Systeme einer Domain versendet wurde. Sie beweisen jedoch nicht, dass die Person hinter der Anfrage tatsächlich befugt ist, Kundendaten zu verlangen.
Genau hier liegt das organisatorische Versagen. Bei der Herausgabe von Passbildern und kompletten Finanzhistorien darf eine korrekte Absendertechnik nicht die unabhängige Prüfung des Aktenzeichens, der Rechtsgrundlage und eines bekannten Behördenkontakts ersetzen. Der Angreifer musste Revolut nicht technisch überwinden, wenn der interne Prozess die Daten freiwillig auslieferte.
Bitcoin-Historien machen Betroffene besonders verwundbar
Eine Bitcoin-Transaktionshistorie verrät nicht nur, dass jemand Kryptowährungen genutzt hat. Zusammen mit Name, Wohnadresse, Telefonnummer und Ausweiskopie kann sie ein detailliertes Vermögensprofil erzeugen. Ein Täter könnte externe Wallet-Adressen zuordnen, mögliche Bestände abschätzen und seine Opfer mit glaubwürdigen Details ansprechen.
Das erhöht die Gefahr von maßgeschneidertem Phishing, gefälschten Steuer- oder Polizeianfragen, SIM-Swapping und betrügerischen Konto-Wiederherstellungen. Bei vermögenden Krypto-Nutzern kommt ein physisches Sicherheitsrisiko hinzu, wenn Wohnanschrift und mutmaßliche Bestände gemeinsam bekannt werden. Ob tatsächlich gezielt wohlhabende Kunden ausgewählt wurden, ist bislang allerdings nicht bestätigt.
Die Zahl der Betroffenen bleibt geheim
Revolut spricht lediglich von einer begrenzten Zahl betroffener Kunden und will diese direkt informiert haben. Wie viele Menschen betroffen sind, in welchem Land sich der Vorfall ereignete und welche Behörde imitiert wurde, hat das Unternehmen nicht öffentlich genannt. Daher lässt sich derzeit auch nicht bestätigen, ob deutsche Kunden darunter sind.
Nach eigenen Angaben blockierte Revolut die E-Mail-Adresse und informierte die betreffende Behörde, Strafverfolger, Datenschutzbehörden und Finanzaufsichten. Für eine unabhängige Bewertung fehlen trotzdem zentrale Angaben wie Zeitpunkt, Umfang und Auswahlkriterien der herausgegebenen Datensätze.
Der Preis der dauerhaften KYC-Sammlung
Banken und Kryptodienstleister müssen ihre Kunden identifizieren und Transaktionen zur Geldwäschebekämpfung überwachen. Dadurch entstehen zentrale Archive aus Ausweiskopien, Gesichtern, Adressen und Finanzbewegungen. Revoluts britische Datenschutzerklärung sieht vor, personenbezogene Daten grundsätzlich bis zu sieben Jahre nach Ende der Kundenbeziehung aufzubewahren, in bestimmten Fällen auch länger.
Für Anleger bedeutet das, dass eine Kontoschließung die vorhandenen Identitätsdaten nicht sofort verschwinden lässt. Der Vorfall zeigt den Zielkonflikt zwischen staatlich verlangter Identifizierung und Datensparsamkeit. Je mehr sensible Informationen zentral gesammelt und über Jahre verfügbar gehalten werden, desto größer ist der mögliche Schaden bei einer falschen Herausgabe.
Was Revolut-Nutzer jetzt tun sollten
- Mitteilungen in der App prüfen – Betroffene sollen direkt informiert worden sein. Links aus E-Mails sollten nicht ungeprüft geöffnet werden.
- Unverlangte Anrufe ablehnen – Revolut, Polizei oder Steuerbehörden fordern keine Seed Phrase und keine Testüberweisung an eine Sicherheitsadresse.
- Mobilfunkkonto absichern – Eine zusätzliche Kunden-PIN beim Anbieter kann SIM-Swapping erschweren.
- Wallet-Spuren prüfen – Wer Bitcoin von Revolut an eine eigene Adresse überwiesen hat, sollte davon ausgehen, dass diese Zuordnung bekannt sein könnte.
- Vorfälle dokumentieren – Verdächtige Kontaktversuche, Kontoänderungen und neue Kreditanfragen sollten sofort festgehalten und gemeldet werden.
Kein Hack und trotzdem ein schweres Datenleck
Die Formulierung, Revolut sei nicht gehackt worden, ist technisch relevant, darf aber nicht vom Ergebnis ablenken. Sensible Kundendaten gelangten an einen Unbefugten, weil eine falsche Anfrage als echt behandelt wurde. Für Betroffene ist es zweitrangig, ob ein Angreifer eine Datenbank knackte oder einen Herausgabeprozess täuschte.
Der Fall ist deshalb größer als ein einzelner Fehler bei Revolut. Er zeigt, wie KYC-Pflichten private Identität und finanzielle Vergangenheit in zentralen Datenbeständen verbinden. Wer mehr Datensammlung fordert, muss auch beantworten, wie falsche Behördenanfragen zuverlässig erkannt und Betroffene vor einem lebenslang verwertbaren Identitätsprofil geschützt werden.
Quellen
- Reclaim The Net – Bericht zur falschen Behördenanfrage
- Reuters – Bestätigung des Vorfalls und Stellungnahme von Revolut
- The Block – Umfang der KYC- und Bitcoin-Daten
- Revolut – Datenschutzerklärung und Speicherfristen
Disclaimer
Keine Anlageberatung: Dieser Artikel dient ausschließlich der journalistischen Information und Einordnung. Er ersetzt keine Rechts- oder Datenschutzberatung.
Schreibe einen Kommentar
Du musst angemeldet sein, um einen Kommentar abzugeben.