Revolut gab Kundendaten nach gefälschter Behördenanfrage heraus
Revolut hat gegenüber TechCrunch bestätigt, dass eine gefälschte Anfrage einer vermeintlichen Regierungsbehörde zur Herausgabe sensibler Kundendaten geführt hat. Betroffen sind unter anderem Ausweiskopien, Verifizierungs-Selfies, Kontoauszüge und Transaktionshistorien. Der Fall zeigt, dass der Prozess für behördliche Auskunftsersuchen in jedem Unternehmen ein Angriffsziel ist.
Ein Datenabfluss ohne Exploit, ohne Malware und ohne kompromittierten Server: Die Neobank Revolut hat bestätigt, dass sie auf eine betrügerische Anfrage hereingefallen ist, die wie ein legitimes Auskunftsersuchen einer Regierungsbehörde aussah. Daraufhin gab das Unternehmen sensible Kundendaten an die Angreifer heraus, darunter Kopien von Ausweisdokumenten und Kontoauszüge. Für Admins und IT-Verantwortliche ist das keine Bankenmeldung, sondern eine Prozessfrage: Auch in einem Betrieb mit zwanzig Mitarbeitern landen Anfragen von Polizei, Staatsanwaltschaft, Finanzamt oder Datenschutzaufsicht im Postfach. Wer prüft dort, ob die Anfrage echt ist, bevor personenbezogene Daten das Haus verlassen?
Dringender Patch ist hier nicht nötig, denn es gibt keine Schwachstelle, die sich einspielen ließe. Nötig ist eine organisatorische Prüfung, und die lässt sich ohne Wartungsfenster erledigen. Der Aufwand liegt bei wenigen Stunden, der Schaden im Fehlerfall bei einer meldepflichtigen Datenschutzverletzung.
Was ist passiert?
Revolut hat gegenüber TechCrunch in einem Bericht vom 12. September 2026 einen Datensicherheitsvorfall bestätigt. Nach Angaben des Unternehmens erhielt Revolut eine Anfrage, die den Anschein erweckte, von einer legitimen Regierungsbehörde zu stammen. Das Unternehmen stufte sie als echt ein und gab daraufhin Kundendaten an den Absender heraus. Erst später stellte sich heraus, dass die Anfrage betrügerisch war.
Nach der Kundenbenachrichtigung, die TechCrunch vorlag, umfasst der Abfluss eine ungewöhnlich breite Palette an Datenarten. Genannt werden Geburtsdaten, Post- und E-Mail-Adressen, Telefonnummern, Kopien von Ausweisdokumenten inklusive Reisepässen und Führerscheinen, Verifizierungs-Selfies sowie Kontoauszüge und Transaktionshistorien. CoinDesk berichtete am selben Tag zusätzlich über offengelegte Bitcoin- und Transaktionshistorien sowie Wohnadressen. Revolut erklärte, dass Kundengelder sicher geblieben seien.
Ein technisches Detail macht den Fall für Administratoren besonders lehrreich: Die betrügerische Anfrage passierte laut den Berichten die Domain-Authentifizierung des Absenders. Die Mail war also aus Sicht der Mailsicherheit formal in Ordnung. Sie kam nicht als offensichtliche Fälschung mit gespoofter Absenderdomain an, sondern durchlief die automatische Prüfung sauber.
Revolut ist eine 2015 von Nikolay Storonsky und Vlad Yatsenko gegründete Neobank mit Sitz in London. Das Unternehmen verfügt über eine europäische Bankenlizenz und wird für das Deutschlandgeschäft durch die BaFin beaufsichtigt.
Wer ist betroffen?
Ein Revolut-Sprecher sprach gegenüber TechCrunch von einer begrenzten Zahl betroffener Kunden. Diese seien direkt kontaktiert worden. Eine konkrete Zahl hat das Unternehmen nicht veröffentlicht, und sie liegt bisher auch aus keiner anderen belastbaren Quelle vor.
- Betroffen sind Revolut-Kunden, die eine direkte Benachrichtigung erhalten haben. Wer keine Mitteilung bekommen hat, gehört nach Darstellung des Unternehmens nicht zum betroffenen Kreis.
- Nicht betroffen sind Guthaben und Konten als solche. Revolut erklärt ausdrücklich, dass Kundengelder sicher geblieben sind. Es handelt sich um einen Datenabfluss, nicht um einen Zahlungsvorfall.
- Nicht betroffen sind Unternehmen technisch. Es gibt keine Schwachstelle in einem Produkt, keine CVE und keinen Patch, der in fremden Umgebungen eingespielt werden müsste.
- Organisatorisch betroffen ist dagegen praktisch jede Organisation, die personenbezogene Daten verarbeitet und Auskunftsersuchen von Behörden erhalten kann. Der Angriffsweg ist übertragbar und setzt keine Bank voraus.
Wie kritisch ist das?
Für die unmittelbar betroffenen Kunden ist der Vorfall schwerwiegend, weil die abgeflossene Kombination aus Ausweiskopie, Verifizierungs-Selfie, Adresse, Geburtsdatum und Transaktionshistorie sehr schwer zu entwerten ist. Ein Passwort lässt sich ändern, eine Ausweiskopie nicht. Genau diese Kombination ist die Grundlage für Identitätsmissbrauch und für Video- oder Foto-Identifikationsverfahren bei Dritten.
Hinzu kommt das Risiko qualifizierter Folgeangriffe. Wer Kontoauszüge und Transaktionshistorien kennt, kann Betrugsanrufe und Phishing-Mails mit echten, überprüfbaren Details anreichern. Solche Nachrichten überstehen die üblichen Plausibilitätsprüfungen von Empfängern deutlich besser als generische Massenware.
Für Unternehmen ohne Revolut-Bezug ist die Kritikalität anders gelagert und trotzdem real: Der Vorfall ist ein funktionierender Beleg dafür, dass der Prozess für Behördenanfragen ein lohnendes Angriffsziel ist. Wer diesen Prozess nicht dokumentiert hat, hat kein technisches Problem, sondern eine offene organisatorische Flanke.
Was sollten Admins jetzt tun?
Die folgenden Schritte sind nach Priorität geordnet. Punkt eins ist die Bestandsaufnahme, alles Weitere baut darauf auf.
- Inventar des Auskunftsprozesses erstellen. Zuerst klären, an welchen Adressen und in welchen Postfächern Behördenanfragen überhaupt eingehen können. Typisch sind die allgemeine info-Adresse, das Postfach der Geschäftsführung, die Buchhaltung, die Personalabteilung und der Empfang. Jede dieser Stellen ist ein möglicher Einstiegspunkt.
- Prüfen, ob ein dokumentierter Freigabeprozess existiert. Wenn die Antwort auf die Frage, wer eine Behördenanfrage freigeben darf, nicht in einem Dokument steht, ist das der erste Befund. Der Prozess muss schriftlich festhalten, wer prüft, wer freigibt und in welcher Form die Herausgabe erfolgt.
- Rückruf über selbst recherchierte Nummern verbindlich machen. Die Echtheit einer Anfrage wird niemals über Kontaktdaten aus der Anfrage selbst verifiziert. Verbindlich ist ausschließlich die Telefonnummer oder Adresse, die aus einer unabhängigen Quelle stammt, etwa dem offiziellen Webauftritt der Behörde oder einem amtlichen Verzeichnis.
- Vier-Augen-Prinzip für jede Datenherausgabe einführen. Keine Freigabe personenbezogener Daten durch eine einzelne Person. Gerade unter Zeitdruck und bei angeblich eiligen Ermittlungsanfragen ist die zweite Person die wirksamste Bremse.
- Jede Herausgabe protokollieren. Festzuhalten sind Eingangsdatum, Absender, Rechtsgrundlage, geprüfte Rückrufnummer, freigebende Personen, herausgegebene Datenarten und Umfang. Das ist keine Bürokratie, sondern die Grundlage der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO und der Nachweispflicht für geeignete Maßnahmen nach Art. 32 DSGVO.
- Postfächer und Logs rückwirkend sichten. Prüfen, ob in den vergangenen Monaten bereits Anfragen dieser Art eingegangen sind und wie darauf reagiert wurde. Ein bereits erfolgter Abfluss ist meldepflichtig und wird nicht durch eine Prozessverbesserung geheilt.
- Empfang, Buchhaltung und Personalabteilung gezielt schulen. Die technische Abteilung ist in diesem Szenario selten der Empfänger. Die Schulung muss dort ansetzen, wo solche Schreiben tatsächlich ankommen, und ausdrücklich die Erlaubnis enthalten, eine Anfrage zu verzögern und rückzufragen.
- Eskalationsweg für Zweifelsfälle benennen. Wer unsicher ist, muss wissen, an wen abgegeben wird, ohne dafür Nachteile zu befürchten. Ein Prozess ohne klaren Ausstiegspunkt wird unter Druck umgangen.
Warum SPF, DKIM und DMARC hier nicht reichen
SPF, DKIM und DMARC sind wichtig und gehören auf jede Domain. Sie beantworten aber nur eine einzige Frage: Ist diese Mail tatsächlich über einen Server verschickt worden, der für die angegebene Absenderdomain autorisiert ist. Sie beantworten nicht die Frage, ob diese Domain einer echten Behörde gehört.
Genau dort liegt die Lücke. Wer eine eigene Domain registriert und für sie korrekte SPF-, DKIM- und DMARC-Einträge setzt, versendet formal einwandfrei signierte Mails. Der Bericht zum Revolut-Fall beschreibt entsprechend, dass die Anfrage die Domain-Authentifizierung des Absenders passierte. Eine automatische Mailprüfung liefert in einem solchen Fall ein grünes Ergebnis und bestätigt damit lediglich, dass der Absender derselbe ist, der er zu sein vorgibt, nicht dass er befugt ist.
Die praktische Konsequenz für den Freigabeprozess: Ein bestandener Authentifizierungscheck darf kein Kriterium für die Freigabe sein. Entscheidend bleiben die unabhängige Verifikation der Behörde über selbst recherchierte Kontaktdaten und die Prüfung der genannten Rechtsgrundlage. Auffällig sind außerdem neu registrierte Domains, leicht abgewandelte Schreibweisen bekannter Behördendomains und Anfragen, die auf ungewöhnliche Rückkanäle drängen.
Was tun, wenn eigene Mitarbeiter betroffen sind
Revolut ist im deutschsprachigen Raum als privates Zweit- oder Reisekonto verbreitet. Es ist daher realistisch, dass einzelne Beschäftigte eine Benachrichtigung erhalten haben. Das ist zunächst Privatsache, hat aber betriebliche Berührungspunkte.
- Gezieltes Spear-Phishing einkalkulieren. Wer echte Kontodaten und Transaktionen einer Person kennt, kann sie glaubwürdig kontaktieren. Kommt diese Person beruflich an Zahlungsfreigaben oder Stammdatenänderungen heran, ist der berufliche Kontext direkt betroffen.
- Auf Missbrauch der Ausweiskopie hinweisen. Ausweiskopie und Verifizierungs-Selfie zusammen sind der Rohstoff für Kontoeröffnungen und Vertragsabschlüsse im fremden Namen. Betroffene sollten Auskunfteien und die eigene Hausbank informieren und Kontobewegungen enger beobachten.
- Keine Identitätsprüfung per zugesandter Ausweiskopie akzeptieren. Wer im eigenen Unternehmen Prozesse betreibt, die eine eingesandte Ausweiskopie als Nachweis genügen lassen, sollte diese Prozesse überdenken. Solche Kopien sind in großem Umfang im Umlauf.
- Meldewege im Unternehmen offenhalten. Beschäftigte müssen einen auffälligen Anruf oder eine Mail melden können, ohne offenlegen zu müssen, bei welcher Bank sie privat Kunde sind.
Was bisher nicht bestätigt ist
Rund um den Vorfall kursieren Angaben, die nicht aus einer offiziellen Revolut-Mitteilung stammen und deshalb als unbestätigt einzuordnen sind. Dazu zählen die Darstellungen, das Leck beschränke sich schwerpunktmäßig auf vermögende Kunden, hinter dem Angriff stehe ein Akteur namens KYC und für die Aktion sei eine eigene Domain registriert worden. Diese Punkte stammen aus Beiträgen auf X und aus der deutschsprachigen Aufbereitung im Blog von Günter Born vom 13. September 2026. Sie sind nicht unabhängig bestätigt und sollten nicht als gesicherte Fakten weitergegeben werden.
Klar zu trennen ist der aktuelle Vorfall außerdem von einer älteren Meldung. Die Berliner Zeitung berichtete am 28. Juli 2026 über ein Darknet-Angebot mit angeblich 75 Millionen Revolut-Einträgen für 500 Dollar. Revolut bestritt damals einen Sicherheitsvorfall. Das ist ein separater, früherer Vorgang und steht in keinem belegten Zusammenhang mit der jetzt bestätigten Herausgabe nach gefälschter Behördenanfrage. Wer beides vermischt, erzeugt eine Zahl, die für den aktuellen Fall nicht belegt ist.
Einordnung für Unternehmen
Der Fall ist kein klassischer Hack. Es gab keinen Einbruch in ein System, sondern eine Täuschung eines Menschen in einem Freigabeprozess. Das ist für kleine und mittlere Unternehmen die unbequemere Variante, weil sie sich nicht durch ein Produkt lösen lässt. Kein Virenschutz, keine Firewall und kein Mailgateway hätte hier ausgelöst, denn aus technischer Sicht war alles korrekt.
Der Prozess für behördliche Auskunftsersuchen ist in vielen kleineren Organisationen faktisch nicht definiert. Er läuft implizit über die Geschäftsführung oder über die Person, die zufällig die Mail geöffnet hat. Behördenanfragen erzeugen dabei zuverlässig zwei Effekte, die Angreifer ausnutzen: Respekt vor der Autorität und den Eindruck, schnell reagieren zu müssen. Beides senkt die Prüfbereitschaft genau dann, wenn sie am nötigsten wäre.
Aus Sicht der DSGVO ist die Lage eindeutig. Eine Herausgabe an einen unberechtigten Empfänger ist eine Verletzung des Schutzes personenbezogener Daten und kann eine Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO auslösen. Die Nachweispflicht nach Art. 5 Abs. 2 DSGVO verlangt, dass die eigene Prüfung belegbar ist, und Art. 32 DSGVO verlangt geeignete organisatorische Maßnahmen, nicht nur technische. Ein dokumentierter Freigabeprozess mit Protokoll ist damit kein Zusatz, sondern genau die Maßnahme, deren Fehlen im Ernstfall erklärt werden muss.
Der praktische Mindeststandard bleibt überschaubar: eine schriftliche Regel, wer prüfen und freigeben darf, ein verbindlicher Rückruf über unabhängig recherchierte Nummern, das Vier-Augen-Prinzip und ein Protokoll jeder Herausgabe. Das kostet keine Lizenz und lässt sich in einer Betriebsbesprechung verabschieden.
Passende Anleitungen auf S-EDV
- Phishing erkennen und melden: Leitfaden für das Team zeigt, wie Beschäftigte verdächtige Nachrichten melden, ohne den Vorgang selbst entscheiden zu müssen.
- Security-Awareness und Phishing-Simulation im KMU hilft beim Aufbau wiederkehrender Schulungen für Empfang, Buchhaltung und Personalabteilung.
- DSGVO: technische und organisatorische Maßnahmen in der Praxis erklärt, wie organisatorische Maßnahmen nach Art. 32 DSGVO dokumentiert und nachgewiesen werden.
