Revolut-Datenpanne: Wie gefälschte Behördenanfragen Kundendaten offenlegten

Revolut hat bestätigt, dass sensible Kundendaten an einen unbefugten Dritten weitergegeben wurden. Auslöser waren betrügerische Auskunftsersuchen, die von einer E-Mail-Adresse unter einer echten Behörden-Domain kamen. Die Mitteilung vom 12. September ist vor allem deshalb bemerkenswert, weil die Angreifer offenbar nicht in Revoluts Kernsysteme eindringen mussten: Sie nutzten das Vertrauen in einen offiziell wirkenden Kommunikationsweg aus. Revolut teilte mit, betroffene Kunden kontaktiert zu haben; Kundengelder und die Systeme des Unternehmens seien nicht betroffen. 134

Was Revolut bestätigt hat

Nach Angaben von Revolut gingen die gefälschten Informationsanfragen von einer Adresse auf der Domain einer legitimen Behörde aus. Daraufhin seien Kundendaten an einen Unbefugten übermittelt worden. Das Unternehmen bezeichnete den Vorfall als „raffinierten externen Identitätsbetrug“, sperrte die betreffende Adresse nach Entdeckung und informierte zuständige Behörden. 13448

Wichtig ist die Abgrenzung: Die vorliegenden Berichte belegen nicht, dass Angreifer Revoluts zentrale Bankinfrastruktur kompromittiert oder auf Kundengelder zugegriffen haben. Belegt ist jedoch, dass ein Verfahren zur Bearbeitung sensibler externer Anfragen getäuscht wurde. 134

Wie die Täuschung offenbar funktionierte

Der bestätigte Kernpunkt ist eng gefasst, aber folgenreich: Die Anfragen kamen über eine echte Behörden-Domain. Eine technisch glaubwürdig wirkende Absenderdomain kann eine Anfrage routinemäßig erscheinen lassen – insbesondere wenn Teams gesetzliche oder behördliche Auskunftsersuchen unter Zeitdruck bearbeiten. 135

In späteren Berichten wurde der Absender mit Italiens PEC-Infrastruktur in Verbindung gebracht. PEC ist ein italienisches System für zertifizierte elektronische Post. Genannt wurde dabei die Domain pec.interno.it des italienischen Innenministeriums. Revolut und italienische Behörden haben diese Zuordnung in den hier vorliegenden Materialien jedoch nicht unabhängig bestätigt. Sie gilt daher als berichteter Hinweis, nicht als gesicherte Rekonstruktion des Angriffs. 37

Die grundsätzliche Lehre: Eine echte E-Mail-Domain allein ist kein ausreichender Nachweis dafür, dass eine Anfrage nach besonders sensiblen Daten rechtmäßig ist. Solche Ersuchen sollten über einen bekannten, unabhängigen Kontaktweg der Behörde überprüft und vor einer Datenfreigabe eskaliert werden.

Wie viele Kunden sind betroffen?

Revolut sprach zunächst von einer „sehr begrenzten“ Zahl betroffener Kunden, ohne eine konkrete Zahl zu nennen. 1

Spätere Berichte bezifferten die Zahl weltweit auf rund 680 Kunden, darunter zwölf Kunden in Irland. Revolut hatte diese Zahl in seiner ersten öffentlichen Stellungnahme nicht selbst bestätigt. Sie ist deshalb als Medienangabe zu verstehen, nicht als unmittelbar vom Unternehmen veröffentlichte Zahl. 33

Zudem kursierten Aussagen eines mutmaßlichen Angreifers, wonach die Aktion etwa sechs Monate gedauert und Zugriff auf italienische Strafverfolgungssysteme umfasst habe. Das ist eine unbestätigte Behauptung des mutmaßlichen Täters – keine Feststellung von Revolut oder Behörden. 3637

Welche Daten könnten offengelegt worden sein?

Von TechCrunch eingesehene Kundenbenachrichtigungen nennen Identitäts- und Kontaktdaten wie Geburtsdaten, Post- und E-Mail-Adressen, Telefonnummern sowie Kopien von Reisepässen oder Führerscheinen. Möglicherweise gehörten auch Verifizierungs-Selfies, Kontoauszüge und Transaktionshistorien dazu. 35

Andere Berichte nannten IBANs, Auszahlungsdaten und Bitcoin-Transaktionsaktivitäten als Teil des mutmaßlich erlangten Materials. 510

Diese Kombination ist besonders sensibel: Identitätsdokumente können Identitätsbetrug und missbräuchliche Kontowiederherstellungen erleichtern. Kontakt- und Finanzdaten wiederum machen Phishing-Nachrichten deutlich glaubwürdiger.

Warum Bitcoin-Transaktionsdaten das Risiko erhöhen

Ein Name, eine Adresse, ein Ausweisdokument und ein Verifizierungs-Selfie können eine reale Person mit Finanzaktivitäten verknüpfen. Kommt eine Bitcoin-Transaktionshistorie hinzu, kann es leichter werden, geprüfte Identitätsdaten mit Aktivitäten auf einer öffentlich einsehbaren Blockchain zu verbinden. 1035

Das bedeutet nicht, dass jede Wallet oder jede spätere Transaktion automatisch einer Person zugeordnet werden kann. Die Kombination kann aber das Risiko gezielter Phishing-Angriffe, Identitätsbetrugs, Erpressungsversuche und Krypto-Betrugs erhöhen. Anders als ein Passwort lassen sich Ausweisdokumente und historische Blockchain-Daten nicht einfach austauschen.

Veröffentlichte Datensätze und angebliche Lösegeldforderung

Berichten zufolge begannen die Angreifer, Kundendaten zu veröffentlichen, und drohten mit weiteren täglichen Leaks. Genannt wurden Dateien, die dem Tennisspieler Alexander Shevchenko und Felix Römer, dem CEO des Online-Krypto-Casinos Gamdom, zugeschrieben wurden. Cointelegraph berichtete, Römer habe sich geäußert, nachdem seine Daten im Leak aufgetaucht seien. 2

Eine angebliche Forderung über 10.000 BTC, damals umgerechnet etwa 780 Millionen US-Dollar, verbreitete sich in Beiträgen und Sekundärberichten. Revolut und Strafverfolgungsbehörden bestätigten die Forderung in den zitierten Materialien nicht. Sie sollte daher als unbestätigte Erpressungsbehauptung behandelt werden, nicht als bestätigte Lösegeldverhandlung. 1213

Was betroffene Kunden jetzt tun sollten

Wer eine Benachrichtigung von Revolut erhalten hat, sollte sie aufbewahren und den offiziellen Hinweisen des Unternehmens folgen. Besondere Vorsicht ist bei Nachrichten geboten, die persönliche Angaben nennen, angeblich von Revolut oder einer Aufsichtsbehörde stammen oder mit Zeitdruck arbeiten.

Sinnvolle Schutzmaßnahmen sind:

• Revolut- und E-Mail-Passwörter ändern, falls sie an anderer Stelle wiederverwendet werden, und die stärkste verfügbare Zwei-Faktor-Authentifizierung aktivieren.
• Unaufgeforderte Anrufe, SMS und E-Mails grundsätzlich skeptisch behandeln – auch wenn sie korrekte persönliche Daten enthalten.
• Niemals Einmalcodes, Wiederherstellungscodes oder Seed-Phrases an Anrufer oder Absender weitergeben.
• Bank-, Karten- und Kryptobörsenkonten auf ungewöhnliche Aktivitäten prüfen und verdächtige Kontaktversuche dokumentieren.
• Bei offengelegten Ausweisdokumenten das Risiko eines längerfristigen Identitätsbetrugs berücksichtigen; es endet nicht zwingend mit dem Austausch einer Karte.

Im Vereinigten Königreich empfiehlt das Information Commissioner’s Office (ICO), sich bei Sorgen über einen unsicheren Umgang eines Unternehmens mit Daten zunächst an das Unternehmen zu wenden; zudem stellt die Behörde öffentliche Beratungswege für Datenschutzfragen bereit. 23

Die Lehre für Finanzunternehmen

Der Vorfall zeigt, dass sensible Behörden- oder Strafverfolgungsanfragen nicht allein anhand der Absenderdomain geprüft werden dürfen. Zusätzliche Schutzmaßnahmen können eine unabhängige Rückrufprüfung über vertrauenswürdige Kontaktdaten, ein Vier-Augen-Prinzip bei besonders sensiblen Datenfreigaben, strikte Datenminimierung, revisionssichere Vorgangsprotokolle und klare Verfahren gegen Social Engineering unter Berufung auf Autorität umfassen.

Für Kunden ist die Schlussfolgerung ebenso klar: Eine offiziell wirkende E-Mail-Adresse ist ein Hinweis, der überprüft werden muss – kein Vertrauensbeweis. Bei einem Datenabfluss mit Identitätsunterlagen und Finanzhistorie kann der nachfolgende Betrug gravierender sein als die ursprüngliche Offenlegung.

Was weiterhin offen ist

Die Quellen stützen, dass Revolut nach betrügerischen Anfragen von einer echten Behörden-Domain Kundendaten offenlegte und dass die Kernsysteme sowie Kundengelder nach Unternehmensangaben nicht betroffen waren. 1

Wesentliche Punkte sind in den vorliegenden Berichten weiterhin ungeklärt: die genaue Rolle der PEC-Infrastruktur, der behauptete Zeitraum von sechs Monaten, die vollständige Zahl der Betroffenen, der behauptete Zugriff auf italienische Systeme und der Stand möglicher Schritte britischer Aufsichtsbehörden. Ohne offizielle Bestätigung sollten diese Angaben nicht als gesicherte Tatsachen dargestellt werden. 133637