Revolut gab KYC-Daten von Kunden heraus, nachdem eine gefälschte Behördenanfrage die E-Mail-Prüfungen bestanden hatte

Eine vertrauenswürdige Behördenidentität verbarg eine unbefugte Anfrage

Revolut bestätigte am 12. September 2026, sensible Kundendaten an eine unbefugte Partei weitergegeben zu haben, nachdem das Unternehmen eine betrügerische behördliche Datenanfrage erhalten hatte.

Nach Angaben von TechCrunch kursierten ab dem 11. September Benachrichtigungen an Kunden. Berichten über den Vorfall zufolge kam die Nachricht über eine Infrastruktur, die einer echten Behörde gehörte, und enthielt gültige Zugangsdaten für deren offizielle Domain.

Dadurch konnte die E-Mail die Authentifizierungsprüfungen von Revolut passieren. Die Mitarbeiter behandelten sie folglich als legitime rechtliche oder regulatorische Anfrage und stellten die angeforderten Kundeninformationen bereit.

Später nahm Revolut über einen unabhängigen Kommunikationsweg Kontakt zu der Behörde auf. Diese erklärte, die Anfrage nicht gestellt zu haben. Damit war der Absender als unbefugt entlarvt – allerdings erst, nachdem die Daten bereits herausgegeben worden waren.

Es handelte sich nicht um einen klassischen Einbruch in die Systeme von Revolut. Es wurde weder eine Malware-Infektion noch die Ausnutzung einer Software-Schwachstelle, ein unbefugter Zugriff auf Unternehmensserver oder eine Kompromittierung von Kundenguthaben gemeldet. Stattdessen missbrauchte der Angreifer eine vertrauenswürdige externe Identität, um sich über einen scheinbar gültigen Verwaltungsprozess Zugriff auf Daten zu verschaffen.

Der Name der betroffenen Behörde wurde nicht veröffentlicht.

Pässe, Selfies und Transaktionsverläufe waren potenziell betroffen

Die offengelegten Datensätze umfassten potenziell einen großen Teil der Informationen, die Revolut zur Identitätsprüfung, Kundenüberprüfung und Finanzüberwachung erhebt.

Zu den möglicherweise betroffenen Daten gehörten:

• Vollständige Namen, Geburtsdaten und Berufe.
• Postanschriften, E-Mail-Adressen und Telefonnummern.
• Kopien von Reisepässen oder Führerscheinen.
• Selfies von Kunden, die während der Identitätsprüfung eingereicht wurden.
• Kontoauszüge mit IBANs, Kontostatus und Eröffnungsdaten der Konten.
• Referenznummern von Wallets und Abhebungsdaten.
• Vollständige Transaktionsverläufe, einschließlich Bitcoin-Transaktionen.

Revolut erklärte, biometrische Gesichts-Telemetriedaten seien nicht kompromittiert worden. Diese Unterscheidung ist technisch relevant: Bei einem Verifizierungs-Selfie handelt es sich um ein Bild, während sich biometrische Telemetriedaten in der Regel auf Messwerte oder Templates beziehen, die von Systemen zur Analyse körperlicher Merkmale erzeugt werden.

Dennoch bleiben die offengelegten Bilder sensibel. Ein Reisepass oder Führerschein zusammen mit einem passenden Selfie kann Kriminellen dabei helfen, sich als Kunde auszugeben, manuelle Identitätsprüfungen zu umgehen, betrügerische Konten zu erstellen oder spätere Social-Engineering-Versuche glaubwürdiger wirken zu lassen.

Die Finanzinformationen erhöhen das Risiko zusätzlich. Transaktionsverläufe können Gegenparteien, Ausgabemuster, Kontoaktivitäten und Hinweise auf den persönlichen Vermögensstand offenlegen. Bitcoin-Daten können eine Verbindung zwischen Kryptowährungsaktivitäten und einer verifizierten realen Identität herstellen und Angreifern so ermöglichen, detaillierte Profile einzelner Kunden zu erstellen.

Es gibt keine Hinweise darauf, dass den offengelegten Informationen zufolge Geld gestohlen wurde. Das Ausbleiben eines unmittelbaren finanziellen Diebstahls schließt jedoch längerfristige Risiken wie Identitätsbetrug, Erpressung und hochgradig personalisiertes Phishing nicht aus.

Die E-Mail-Authentifizierung bestätigte die Domain, nicht die Befugnis des Absenders

Die vorliegenden Hinweise deuten eher auf ein Versagen bei der Validierung der Anfrage als auf einen Fehler in den internen Zugriffskontrollen von Revolut hin.

Der Angreifer scheint in der Lage gewesen zu sein, Nachrichten aus der legitimen Domain-Umgebung der Behörde zu versenden. Zwei mögliche Wege wurden identifiziert: Entweder wurde ein bestehendes Behördenkonto kompromittiert, oder innerhalb dieser Umgebung wurde ein unbefugtes Konto angelegt. Welcher Fall eingetreten ist, ist nicht bekannt.

Da die Nachricht über die offizielle Infrastruktur übermittelt wurde, konnte sie die technischen Prüfungen erfüllen, mit denen Revolut eingehende E-Mails bewertete. Kontrollen wie SPF, DKIM und DMARC können dabei helfen festzustellen, ob eine Nachricht von einer bestimmten Domain autorisiert, für sie signiert oder mit ihr korrekt verknüpft ist.

Sie können jedoch keine rechtliche Befugnis feststellen.

Eine korrekt authentifizierte E-Mail kann trotzdem aus einem kompromittierten Postfach, von einem böswilligen Insider oder von einem ohne ordnungsgemäße Genehmigung erstellten Konto stammen. Die Domain-Authentifizierung beantwortet Fragen zur Nachrichtenverarbeitung und zur Übereinstimmung mit einer Domain. Sie beweist jedoch nicht, dass die Person hinter dem Konto berechtigt ist, Kundendaten anzufordern.

In diesem Fall wurde die Täuschung durch eine unabhängige Rückfrage bei der Behörde aufgedeckt. Die entscheidende Schwachstelle bestand darin, dass diese Bestätigung erst nach der Offenlegung und nicht davor erfolgte.

Mit dem Vorfall ist weder eine CVE-Kennung noch ein Exploit oder eine Malware-Familie verbunden. Betroffene Softwareversionen gibt es ebenfalls nicht, da der Vorfall keiner Produkt-Schwachstelle zugeschrieben wurde.

Zahl der betroffenen Kunden und geografischer Umfang bleiben unbekannt

Revolut bezeichnete die betroffene Gruppe als eine begrenzte Zahl von Kunden und erklärte, diese Personen direkt kontaktiert zu haben. Die genaue Zahl, die betroffenen Länder und die Frage, ob sich die Anfragen auf einen einzelnen Markt beschränkten, wurden nicht veröffentlicht.

Der Krypto-Sicherheitsforscher ZachXBT bewertete den Vorgang als offenbar auf vermögende Kunden ausgerichtet. Revolut hat diese Einschätzung nicht bestätigt, sie steht jedoch im Einklang mit dem Wert der angeforderten Informationen.

Ein gezielt vorgehender Angreifer könnte Kontoauszüge und Kryptowährungsverläufe nutzen, um wohlhabende Personen zu identifizieren, deren Vermögenswerte zu schätzen, ihre finanziellen Beziehungen zu kartieren und sie für weitere Betrugsversuche oder Erpressung auszuwählen. Kontaktdaten und Identitätsdokumente würden anschließend das Material liefern, um solche Kontaktaufnahmen überzeugender zu gestalten.

Die Identität des Angreifers ist unbekannt. Unklar ist auch, ob die Daten für direkten Finanzbetrug, Nachrichtengewinnung, Erpressung, die Übernahme von Kundenidentitäten oder einen anderen Zweck angefordert wurden.

Revolut betreut weltweit 80 Millionen Kunden. Der Vorfall betrifft daher nur einen kleinen, bisher gemeldeten Teil der Nutzerbasis. Die Auswirkungen für einzelne Personen könnten jedoch erheblich sein, da jedes offengelegte Datenpaket Identitätsnachweise, Kontaktmöglichkeiten und Finanzaktivitäten miteinander verbindet.

Die Offenlegung erfolgt zudem zu einem Zeitpunkt, an dem Revolut seine regulatorische Stellung ausbauen will. Das Unternehmen hatte vor Kurzem eine bedingte Genehmigung erhalten, in den Vereinigten Staaten zu einer nationalen Bank zu werden, und erwog Berichten zufolge einen Börsengang mit einer Bewertung von 200 Milliarden US-Dollar.

Revolut sperrte den Absender und informierte die Behörden

Revolut erklärte, seine Systeme und die Guthaben der Kunden seien nicht betroffen gewesen. Nach der Entdeckung des Vorfalls ergriff das Unternehmen folgende Maßnahmen:

• Es sperrte die für die Anfrage verwendete E-Mail-Adresse.
• Es informierte die betroffene Behörde.
• Es benachrichtigte die Strafverfolgungsbehörden.
• Es meldete den Vorfall den Finanzaufsichtsbehörden.
• Es kontaktierte die betroffenen Kunden direkt.

Die Sperrung einer einzelnen Adresse kann weitere Anfragen aus diesem bestimmten Postfach verhindern. Sie zeigt jedoch nicht, ob andere Konten innerhalb derselben Behördenumgebung missbraucht wurden. Da die Identität der Behörde nicht veröffentlicht wurde, können andere Finanzinstitute außerdem nur eingeschränkt prüfen, ob in ihren eigenen Unterlagen zu behördlichen Anfragen Nachrichten von derselben Quelle eingegangen sind.

Revolut hat weder die Adresse des Absenders noch andere technische Indikatoren veröffentlicht. Es wurden keine Hinweise bekannt, dass ähnliche Anfragen andere regulierte Unternehmen erreicht haben.

Finanzinstitute, die behördliche Anfragen bearbeiten, sollten Anfrageprotokolle aufbewahren und nach ungewöhnlichen oder neu beobachteten Behördenpostfächern suchen. Anfragen nach Identitätsdokumenten, Verifizierungs-Selfies, vollständigen Kontoauszügen, Wallet-Kennungen oder Kryptowährungsverläufen erfordern besondere Aufmerksamkeit, da sie ungewöhnlich sensible Datenkategorien miteinander verbinden.

Die Offenlegung von Daten mit hohem Risiko sollte eine Bestätigung über einen unabhängigen Kommunikationsweg voraussetzen, bei dem eine zuvor etablierte Kontaktmethode verwendet wird – nicht eine Telefonnummer, einen Link oder einen Kontakt, der in der eingehenden Nachricht angegeben ist. Institute können außerdem Verzeichnisse autorisierter Ansprechpartner für Behördenanfragen führen und vor der Herausgabe umfangreicher Kundendateien eine zusätzliche Genehmigung verlangen.

Betroffene Kunden sollten mit überzeugenden Identitätsbetrugsversuchen rechnen

Kunden, die von Revolut benachrichtigt wurden, sollten ihre offengelegten Identitäts- und Finanzdaten als dauerhaft kompromittiert betrachten. Pässe, Transaktionsverläufe und Verifizierungsbilder lassen sich nicht einfach wieder geheim halten, indem man ein Passwort ändert.

Betroffene Personen sollten Nachrichten oder Anrufe kritisch prüfen, in denen auf echte Revolut-Aktivitäten, Bitcoin-Transaktionen, Informationen zur Kontoeröffnung, Adressen oder andere korrekte Details Bezug genommen wird. Die Kenntnis solcher Fakten beweist nicht, dass der Anrufer Revolut, eine Aufsichtsbehörde oder eine Strafverfolgungsbehörde vertritt.

Kunden sollten die offizielle Revolut-App selbstständig öffnen oder etablierte Supportkanäle nutzen, statt Links in unerwarteten Nachrichten zu folgen. Außerdem sollten sie ihre Konten auf unbefugte Aktivitäten überwachen und darauf achten, ob versucht wird, Finanzprodukte in ihrem Namen zu eröffnen.

Die wahrscheinlichste Gefahr besteht nicht in einer Wiederholung der ursprünglichen Anfrage. Es geht vielmehr darum, echte KYC-Daten zu nutzen, damit der nächste Betrugsversuch legitim wirkt.