Was geschehen ist
Anfang September 2026 wurde bekannt, dass die Fintech Revolut sensible Kundendaten an Angreifer herausgegeben hat, die sich als Behörde ausgaben. Der Vorfall wurde am 11. September 2026 öffentlich, nachdem der Krypto-Ermittler ZachXBT eine Benachrichtigungs-E-Mail von Revolut publik gemacht hatte. Revolut bestätigte den Vorfall kurz darauf und sprach von einem “ausgeklügelten externen Impersonation-Betrug”, bei dem ein unbefugter Dritter über eine legitime Behörden-Domain gefälschte Auskunftsersuchen eingereicht habe.
Das Besondere an diesem Fall: Revolut wurde technisch nicht gehackt. Es gab keinen Einbruch in die Systeme, keine ausgenutzte Softwarelücke, keinen Diebstahl von Zugangsdaten im klassischen Sinn. Stattdessen missbrauchten die Angreifer einen legitimen Prozess, nämlich den Kanal, über den Behörden und Strafverfolgung bei Finanzdienstleistern Kundendaten anfordern können.
Der Angriffsweg: gefälschte Behördenanfragen
Nach den vorliegenden Berichten kompromittierten die Angreifer ein E-Mail-System einer italienischen Behörde und gaben sich anschliessend als Strafverfolgungsbehörde aus. Über mehrere Monate hinweg reichten sie gezielte Auskunftsersuchen zu bestimmten Revolut-Konten ein. Weil die Nachrichten von einer echten Behörden-Domain stammten und die technische Absenderprüfung (Domain-Authentifizierung wie SPF und DKIM) bestanden, bearbeitete Revolut die Anfragen in der Annahme, es handle sich um authentische behördliche Ersuchen.
In den Worten von Revolut wurde die Anfrage “unter der begründeten Annahme, dass es sich um ein authentisches Ersuchen einer Behörde handelte”, erfüllt, da die Kommunikation gültige Domain-Authentifizierungsmerkmale aufwies. Genau hier liegt der Kern des Problems: die technische Prüfung bestätigte lediglich, dass die E-Mail tatsächlich von der Domain der Behörde kam. Sie konnte nicht bestätigen, dass hinter der E-Mail auch wirklich ein berechtigter Beamter stand und nicht ein Angreifer, der das Postfach kontrollierte.
Welche Daten betroffen sind
Die herausgegebenen Datensätze waren umfangreich und für die betroffenen Kunden hochsensibel. Nach den Angaben von Revolut und den Analysen von ZachXBT umfassten sie Identitäts- und Kontaktdaten wie Namen, Geburtsdatum, Beruf, Post- und E-Mail-Adressen sowie Telefonnummern. Hinzu kamen Kopien von Ausweisdokumenten, konkret Reisepässe und Führerausweise, sowie die Selfies aus der Identitätsprüfung (KYC-Verifikation).
Besonders heikel ist die finanzielle Dimension: exponiert wurden auch Kontoauszüge samt IBAN, Auszahlungsprotokolle und vollständige Transaktionshistorien, einschliesslich Bitcoin-Transaktionen. Für die betroffenen Personen bedeutet das nicht nur ein Risiko für Identitätsdiebstahl, sondern auch die Offenlegung ihres Vermögens und ihrer Zahlungsströme gegenüber Kriminellen.
Gezielt auf vermögende Kunden
Der Angriff war nicht breit gestreut, sondern präzise auf lohnende Ziele ausgerichtet. Revolut sprach von einer “begrenzten Anzahl” betroffener Kunden; nach Einschätzung von ZachXBT und mehreren Berichten waren mindestens 680 Konten betroffen, mit klarem Fokus auf vermögende Nutzer und sogenannte Krypto-Whales, also Personen mit grossen Kryptobeständen. Diese Selektivität passt zum Vorgehen: Wer über Monate hinweg einzelne Konten abfragt, sucht nicht nach Masse, sondern nach besonders wertvollen Einzelzielen.
Die Erpressung
Nach dem Datenabfluss folgte der Erpressungsversuch. Eine Gruppe, die unter dem Namen “iamnotavillain” auftritt, forderte ein Lösegeld von 6’000 Monero (XMR), zum damaligen Kurs rund 2,9 Millionen US-Dollar, mit einer Frist von 24 Stunden. Zum Beleg der Echtheit sandte die Gruppe der Financial Times ein Video mit gestohlenen Kundendokumenten, darunter Führerausweise, Reisepässe und Identitätsbilder aus der KYC-Prüfung.
Die Wahl von Monero statt Bitcoin ist dabei kein Zufall, denn Monero ist deutlich schwerer nachzuverfolgen. Revolut erklärte, keinen direkten Kontakt oder eine Forderung der Gruppe erhalten zu haben, und bekräftigte, dass die eigenen Systeme und die Kundengelder nicht betroffen seien. Ob und wie die betroffenen Daten letztlich verkauft oder veröffentlicht werden, war zum Zeitpunkt der Berichterstattung offen.
Emergency Data Requests: ein wachsendes Problem
Der Fall Revolut ist kein Einzelfall, sondern ein prominentes Beispiel für eine Angriffsklasse, die in den letzten Jahren stark zugenommen hat: den Missbrauch von behördlichen Auskunftsersuchen, im englischen Sprachraum als Emergency Data Requests oder Law Enforcement Requests bezeichnet.
Plattformen und Finanzdienstleister sind gesetzlich verpflichtet, unter bestimmten Bedingungen Kundendaten an Behörden herauszugeben. In dringenden Fällen, etwa bei akuter Gefahr für Leib und Leben, erlauben viele Rechtsordnungen sogar eine beschleunigte Herausgabe ohne die sonst übliche richterliche Anordnung. Genau diese Ausnahme machen sich Angreifer zunutze. Sie fälschen oder kapern behördliche Absender und stellen dringende Anfragen, die im Namen der Zeitersparnis und der vermeintlichen Notlage weniger streng geprüft werden. In der Vergangenheit waren von dieser Masche bereits grosse Technologiekonzerne betroffen, was zeigt, dass es sich um ein strukturelles Problem des Auskunftsprozesses handelt und nicht um ein Versagen eines einzelnen Anbieters.
Was Unternehmen daraus lernen können
Der Vorfall zeigt, dass die Vertrauenswürdigkeit einer Anfrage sich nicht allein an technischen Merkmalen wie der Absender-Domain festmachen lässt. Für Organisationen, die selbst mit sensiblen Kundendaten arbeiten oder Auskunftsersuchen bearbeiten, ergeben sich mehrere konkrete Schlussfolgerungen.
Verifikation über einen zweiten Kanal: Behördliche Auskunftsersuchen sollten nicht allein anhand der eingehenden E-Mail beurteilt werden. Eine Rückbestätigung über einen unabhängigen, verifizierten Kanal, etwa einen offiziellen Rückrufkontakt der anfragenden Behörde, hätte den Betrug hier mit hoher Wahrscheinlichkeit aufgedeckt.
Domain-Authentifizierung richtig einordnen: SPF, DKIM und DMARC bestätigen die Herkunft einer E-Mail von einer Domain, nicht aber die Legitimität des dahinterstehenden Absenders. Ist das Postfach selbst kompromittiert, bestehen alle technischen Prüfungen, obwohl die Anfrage betrügerisch ist. Diese Grenze muss in den Prozessen bewusst berücksichtigt werden.
Datensparsamkeit und Zugriffskontrolle: Je weniger Daten zentral und leicht abrufbar vorliegen, desto geringer ist der Schaden im Ernstfall. Zugriffe auf besonders sensible Datensätze wie Ausweiskopien und vollständige Transaktionshistorien sollten strengen Kontrollen unterliegen und protokolliert werden.
Anomalien erkennen: Ein einzelnes Auskunftsersuchen mag unauffällig sein. Eine Serie von Anfragen zu auffällig vermögenden Kunden über mehrere Monate hinweg ist es nicht. Wer Muster in behördlichen Anfragen überwacht, kann solche Kampagnen früher erkennen.
Vorbereitung auf den Ernstfall: Ein klarer Prozess für die Bearbeitung und Verifikation behördlicher Ersuchen, kombiniert mit einem einstudierten Vorgehen für den Fall eines Datenabflusses, entscheidet darüber, wie schnell und geordnet eine Organisation reagieren kann.
Für Kunden von Finanzdienstleistern bleibt die unbequeme Erkenntnis, dass sie den Umgang ihres Anbieters mit behördlichen Anfragen kaum beeinflussen können. Umso wichtiger sind Massnahmen im eigenen Einflussbereich, etwa die Aktivierung sämtlicher verfügbarer Sicherheitsfunktionen des Kontos und ein gesundes Misstrauen gegenüber unerwarteten Kontaktversuchen, die sich auf angebliche Vorfälle beziehen..
Verarbeitet Ihr Unternehmen sensible Kundendaten oder behördliche Auskunftsersuchen? Kontaktieren Sie uns für eine Überprüfung Ihrer Prozesse und Sicherheitsvorkehrungen.
Quellen:
– TechCrunch: Revolut confirms customer data breach through fake government requests
– BleepingComputer: Revolut discloses data breach exposing financial info, passports
– PYMNTS: Revolut Hackers Issue $3 Million Ransom for Customer Data
– Help Net Security: What we know about the Revolut data breach so far