Revolut-Datenleck: Warum der nächste Betrug Ihren Namen kennen könnte

Am Abend des 11. September begann eine Kundenbenachrichtigung von Revolut im Internet zu kursieren, die von dem On-Chain-Ermittler ZachXBT und anderen geteilt wurde. Am nächsten Tag bestätigte das Unternehmen den Vorfall.

Ein unbefugter Dritter hatte von einer E-Mail-Adresse einer legitimen Regierungsbehörde aus Anfragen für Kundendaten gestellt. Die Mitarbeiter von Revolut bearbeiteten diese Anfragen und gaben die Daten frei. Das Unternehmen bezeichnete den Vorfall als "einen ausgeklügelten externen Täuschungsversuch".

Laut der Kundenbenachrichtigung trugen die Anfragen authentische Domain-Authentifizierungsdaten, was Revolut dazu veranlasste, sie als echt zu betrachten. Nachdem der Betrug erkannt wurde, blockierte Revolut die Adresse und informierte die Behörde, die Strafverfolgungsbehörden und die zuständigen Regulierungsbehörden. Die Systeme des Unternehmens wurden nicht gehackt, und es wurden keine Kundengelder berührt.

Der Financial Times zufolge wurden etwa 680 betroffene Personen kontaktiert. Revolut selbst hat keine genaue Zahl veröffentlicht und beschreibt die betroffene Gruppe als "sehr begrenzt". Welche Behörde imitiert wurde und über welchen Zeitraum die Anfragen bearbeitet wurden, wurde nicht bekannt gegeben.

Welche Daten betroffen sind

Den betroffenen Kunden wurde mitgeteilt, dass die offengelegten Daten den vollständigen Namen, das Geburtsdatum, den Beruf, die Wohnadresse, die E-Mail-Adresse und die Telefonnummer sowie Kopien von Pässen oder Führerscheinen und das bei der Anmeldung eingereichte Gesichtserkennungsbild umfassen. Auch Kontoauszüge mit IBANs und Abhebungsprotokollen wurden offengelegt. Die Transaktionshistorie umfasste auch Bitcoin-Aktivitäten.

Am 13. September tauchten Dateien, die angeblich Revolut-Kunden gehören, auf Telegram auf, begleitet von einem Versprechen, täglich mehr zu veröffentlichen, bis das Unternehmen zahlt. Berichten zufolge wurde ein Lösegeld von 10.000 Bitcoin gefordert. Revolut hat sich zu dieser Forderung nicht geäußert, und weder das Unternehmen noch die Strafverfolgungsbehörden haben bestätigt, wer die Dateien veröffentlicht oder ob alle authentisch sind.

Warum dies nicht nur eine Randnotiz ist

Der Vorfall zeigt, dass keine Systeme gehackt wurden. Die Anfragen kamen über den dafür vorgesehenen Kanal und wurden von dem Team bearbeitet, das dafür zuständig ist. Banken sind gesetzlich verpflichtet, auf rechtmäßige Informationsanfragen von Behörden zu reagieren. Die Lücke besteht zwischen der Frage, ob die Nachricht wirklich von der angegebenen Domain stammt, und ob die Anfrage tatsächlich autorisiert ist. Die Nachrichten bestanden die Domain-Authentifizierung.

Die Technik ist nicht neu. Bereits 2022 berichtete Bloomberg, dass Apple und Meta Nutzerdaten an Personen weitergegeben hatten, die gefälschte Notfallanfragen von kompromittierten E-Mail-Konten von Strafverfolgungsbehörden gesendet hatten. Discord bestätigte, dass es dasselbe getan hatte.

Warum es besonders für Krypto-Inhaber wichtig ist

Die offengelegten Daten umfassen nicht nur persönliche Informationen, sondern auch eine finanzielle Historie. On-Chain-Transaktionen sind öffentlich und dauerhaft; was privat war, war die Verbindung zwischen ihnen und einem rechtlichen Namen. Wo ein Revolut-Konto Transfers zu oder von externen Wallets aufzeichnet, ist diese Verbindung nun in jemandes Besitz, und die beteiligten Adressen können überwacht werden.

Ein großer eingehender Transfer in einigen Monaten wird für jemanden sichtbar sein, der bereits weiß, wo Sie wohnen. Laut CertiK gab es in der ersten Hälfte dieses Jahres 52 bestätigte physische Angriffe auf Krypto-Inhaber weltweit, ein Drittel mehr als im gleichen Zeitraum 2025. Solange Krypto-Bestände mit identifizierbaren Finanzdaten verknüpft bleiben, bleibt physische Gewaltanwendung ein attraktiver Weg für Angreifer.

Was als nächstes kommt

Jedes große Datenleck von Identitätsdaten wurde von einer Welle von Kontakten begleitet, die diese Daten nutzen. Es ist zu erwarten, dass dies bei Revolut nicht anders sein wird. Die ersten Nachrichten werden sich direkt auf das Leck beziehen und vorgeben, von Revolut zu stammen, um betroffene Kunden zu kontaktieren.

Es wird auch Nachrichten von Dritten geben, die nicht Revolut sind, aber wissen, dass Sie es nutzen. Ein Wallet-Anbieter könnte Sie über eine mögliche Gefährdung informieren. Ein vermeintlicher Regulator könnte mit einer Fallnummer auf Sie zukommen.

Was jetzt zu tun ist

Wenn Sie die Benachrichtigung erhalten haben, gehen Sie davon aus, dass alle darin enthaltenen Informationen im Umlauf sind, und handeln Sie entsprechend. Ersetzen Sie, wo möglich, Ihre Dokumente, und überwachen Sie Kredit- oder SIM-Änderungen, die Sie nicht initiiert haben. Revolut hat erklärt, dass es betroffene Kunden unterstützt; fragen Sie über den In-App-Chat, was diese Unterstützung beinhaltet.

Schützen Sie Ihre Telefonnummer, da sie der Rücksetzkanal für die meisten Ihrer Konten ist. Bitten Sie Ihren Anbieter um eine Port-Out-PIN oder eine SIM-Sperre. Verschieben Sie Zwei-Faktor-Codes von SMS in eine Authentifizierungs-App oder einen Hardware-Schlüssel, wo immer der Dienst dies zulässt.