Das Fintech-Unternehmen Revolut hat einen schwerwiegenden Datenvorfall offengelegt: Unbekannte Angreifer haben sich als Regierungsbehörde ausgegeben und auf diesem Wege persönliche Daten einer bislang ungenannten Zahl von Kunden erbeutet. Betroffen sind nach Unternehmensangaben neben Ausweiskopien auch umfangreiche Kontoinformationen und Transaktionshistorien.
Betrug per E-Mail: Wie die Angreifer an die sensiblen Daten gelangten
Revolut, das in mehr als 160 Ländern aktiv ist und weltweit über 80 Millionen Kunden sowie 800.000 Geschäftskunden betreut, bestätigte den Vorfall in Benachrichtigungen an die betroffenen Nutzer. Den Angaben zufolge kontaktierten die Täter das Unternehmen per E-Mail und gaben sich als Vertreter einer legitimen Regierungsbehörde aus. Der entscheidende Trick: Die Nachricht wurde über die offizielle E-Mail-Domain der Behörde versendet und trug gültige Authentifizierungsmerkmale. Dadurch erschien die Anfrage als seriöse behördliche Aufforderung zur Herausgabe von Kundendaten – ein Vorgehen, das in der Branche als Social Engineering bekannt ist und auf das Vertrauen in offizielle Kommunikationswege abzielt.
„Revolut hat eine Anfrage nach Kundeninformationen erhalten, die von einer legitimen Regierungsbehörde zu stammen schien. Die Anfrage kam von einem nicht autorisierten E-Mail-Konto, das direkt über die offizielle E-Mail-Domain der Regierungsbehörde versendet wurde“, erklärte das Unternehmen gegenüber den betroffenen Kunden. „Da die Kommunikation gültige Domain-Authentifizierungsdaten trug, wurde sie in der berechtigten Annahme erfüllt, dass es sich um eine authentische Anfrage einer Regierungsbehörde handelte.“ Genau diese Schwachstelle – das Fehlen einer zusätzlichen Verifizierung bei ungewöhnlichen, aber formal korrekten Anfragen – machten sich die Angreifer zunutze.
Welche Daten genau betroffen sind
Die an die Täter übermittelten Datensätze umfassen eine breite Palette hochsensibler Informationen. Konkret handelt es sich um Identitätsdaten der betroffenen Personen wie vollständiger Name, Geburtsdatum und Beruf. Hinzu kommen Kontaktdaten einschließlich Postanschrift, E-Mail-Adresse und Telefonnummer. Besonders kritisch ist jedoch der Abruf von Dokumenten- und Verifikationsdaten: Darunter fallen Kopien von Ausweisdokumenten wie Reisepass oder Führerschein sowie biometrische Selfies, die Kunden im Rahmen des Know-Your-Customer-Verfahrens (KYC) bei der Kontoeröffnung eingereicht hatten.
Darüber hinaus gelangten die Angreifer an finanzielle Details. Dazu zählen Kontoauszüge mit IBAN-Nummern, Abhebungsbelege sowie vollständige Transaktionshistorien – einschließlich sämtlicher Bitcoin-Transaktionen. Diese Kombination aus Identitäts- und Finanzdaten birgt ein erhebliches Missbrauchspotenzial, etwa für Identitätsdiebstahl, betrügerische Kontoeröffnungen oder gezielte Phishing-Angriffe auf die Betroffenen.
Auf Nachfrage von Reuters bestätigte Revolut, dass die Zahl der betroffenen Kunden „sehr begrenzt“ sei, ohne jedoch eine konkrete Zahl zu nennen. Das Unternehmen betonte: „Die Systeme von Revolut und die Kundengelder sind nicht betroffen. Nach der Erkennung haben wir die Adresse umgehend blockiert und die zuständige Regierungsbehörde sowie Strafverfolgungsbehörden, Datenschutzbehörden und Finanzaufsichtsbehörden informiert.“
Gezielter Angriff auf vermögende Nutzer?
Der unabhängige Krypto-Betrugsermittler ZachXBT äußerte sich am Wochenende in seinem Telegram-Kanal zu dem Vorfall. Er erklärte, dass der Bruch zwar wahrscheinlich nur eine begrenzte Anzahl von Revolut-Kunden betreffe, es aber so aussehe, „als sei er gezielt auf Personen mit hohem Vermögen ausgerichtet gewesen“. Diese Einschätzung deutet darauf hin, dass die Täter nicht wahllos Daten abgriffen, sondern spezifische Konten auswählten, bei denen eine höhere Wahrscheinlichkeit für größere Geldbeträge oder wertvolle Krypto-Bestände bestand. Eine offizielle Bestätigung dieser Vermutung durch Revolut steht bislang aus; das Unternehmen äußerte sich auf Nachfrage von BleepingComputer zunächst nicht zu weiteren Details des Vorfalls.
Kein Einzelfall: Revolut kämpft erneut mit einem Datenleck
Der aktuelle Vorfall ist nicht der erste dieser Art in der Geschichte des Unternehmens. Bereits im September 2022 hatte Revolut einen Hack offengelegt, bei dem Angreifer die persönlichen, Kontakt- und Finanzdaten von 50.150 Kunden gestohlen hatten. Schon damals folgte eine Welle von Phishing-Angriffen, die gezielt auf die betroffenen Nutzer abzielte, um weitere Zugangsdaten zu erlangen oder betrügerische Transaktionen auszulösen. Die Wiederholung eines solchen Vorfalls innerhalb von vier Jahren wirft Fragen zur Robustheit der internen Sicherheits- und Verifikationsprozesse auf, insbesondere im Umgang mit eingehenden Anfragen von externen Stellen.
Für Kunden bedeutet das Datenleck in erster Linie ein erhöhtes Risiko. Die Kombination aus Ausweiskopien, biometrischen Selfies und vollständigen Transaktionshistorien ist ein nahezu perfektes Paket für Identitätsbetrug. Betroffene sollten umgehend ihre Kontoaktivitäten überwachen, verdächtige Transaktionen melden und wachsam gegenüber unaufgeforderten Kontaktaufnahmen sein, die angeblich von Revolut oder anderen Finanzinstituten stammen. Besondere Vorsicht gilt bei E-Mails oder Anrufen, die nach weiteren persönlichen Daten oder Zugangscodes fragen – seriöse Unternehmen fordern solche Informationen niemals unaufgefordert an.
Was Kunden jetzt tun sollten und welche Fragen offen bleiben
Revolut hat die betroffenen Kunden nach eigenen Angaben direkt per E-Mail informiert. Kunden, die unsicher sind, ob ihr Konto betroffen ist, können den support direkt kontaktieren. Darüber hinaus empfiehlt es sich, die eigenen Ausweisdokumente im Auge zu behalten: Sollten Kopien in falsche Hände geraten, kann dies – je nach Land – die Beantragung neuer Dokumente oder zumindest eine Meldung bei den Behörden erforderlich machen. Auch die Überwachung der eigenen Bonität und gegebenenfalls die Einrichtung einer Bonitätsauskunftssperre können sinnvolle Schritte sein.
Offen bleiben derweil mehrere Fragen. So ist unklar, wie viele Kunden exakt betroffen sind, welche konkrete Regierungsbehörde als Tarnung diente und wie lange die Angreifer bereits Zugriff auf die Daten hatten, bevor der Vorfall entdeckt wurde. Ebenso wenig hat Revolut bislang kommuniziert, ob es Hinweise auf eine missbräuchliche Verwendung der erbeuteten Daten gibt. Die zuständigen Aufsichtsbehörden dürften diese Punkte im Rahmen ihrer Untersuchungen klären.
Ein Weckruf für die Branche und die Lehren aus dem Vorfall
Der Vorfall bei Revolut zeigt exemplarisch, dass auch moderne Finanztechnologie-Unternehmen anfällig für klassische Social-Engineering-Angriffe sind – selbst wenn die technische Infrastruktur grundsätzlich sicher ist. Die Täter nutzten eine Schwachstelle im menschlichen und prozessualen Bereich: das Vertrauen in offizielle Kommunikationswege. Für die gesamte Branche ergibt sich daraus die klare Aufgabe, interne Abläufe zur Verifikation von Drittanfragen zu überdenken. Eine reine Domain-Prüfung reicht offensichtlich nicht aus. Vielmehr sollten Unternehmen bei Anfragen nach sensiblen Kundendaten zusätzliche Sicherheitsstufen implementieren, etwa einen Rückruf bei der anfragenden Behörde über offizielle, unabhängig ermittelte Kanäle oder eine Zwei-Personen-Kontrolle innerhalb des Unternehmens.
Der Fall dürfte zudem die Diskussion über den Umgang mit Biometrie-Daten befeuern. Während solche Verfahren bei der Kontoeröffnung den Komfort und die Sicherheit erhöhen sollen, zeigen Vorfälle wie dieser, wie wertvoll und angreifbar diese Daten in falschen Händen sind. Anders als ein Passwort können biometrische Merkmale nicht einfach geändert werden. Finanzinstitute stehen daher vor der Herausforderung, die Vorteile solcher Technologien gegen die langfristigen Risiken für die Kunden abzuwägen – und gleichzeitig die Prozesse hinter den Kulissen so weit zu härten, dass Anfragen von außen keinerlei Angriffsfläche mehr bieten. Revolut wird sich diesen Fragen ebenso stellen müssen wie die Aufsichtsbehörden, die den Umgang mit personenbezogenen Daten in der Finanzbranche künftig womöglich strenger regulieren werden.
