Revolut hat ein Datenleck bestätigt, bei dem ein unbekannter Dritter über das E-Mail-Konto einer echten Behörden-Domain ein gefälschtes Auskunftsersuchen stellte. Der Angreifer erhielt dadurch Kundendaten, darunter Ausweiskopien und vollständige Bitcoin-Transaktionshistorien.
Revolut ist eine britische Digitalbank, die Konten, Zahlungen, Wertpapierhandel und Krypto-Dienste in einer App bündelt. Zum Krypto-Angebot gehören die eigenständige Handelsplattform Revolut X und der Euro-Stablecoin EURR. Nach eigenen Angaben bediente das Unternehmen im August 2026 weltweit 80 Millionen Kunden. Der Vorfall trifft die Digitalbank allerdings mitten in der Expansion. Anfang September 2026 erteilte die US-Bankenaufsicht OCC eine bedingte Zulassung für eine nationale Banklizenz. Zuvor war im August die Einführung des Stablecoins EURR in Dänemark, Polen und Portugal angelaufen. Betroffene Kunden erhielten im September 2026 Benachrichtigungs-E-Mails. Wie viele Konten betroffen sind und welche Behörde die Angreifer imitierten, liess das Unternehmen jedoch offen.
Abonnieren Sie unseren Newsletter
Die besten Artikel der Woche direkt in ihre Mailbox geliefert.
Wie eine gefälschte Behördenanfrage Revolut täuschte
Sicherheitsforscher dokumentieren betrügerische Notfall-Auskunftsersuchen seit 2021. Der Fachbegriff für das Muster lautet Fraudulent Emergency Data Request. Kriminelle übernehmen oder fälschen zunächst das E-Mail-Konto einer echten Polizei- oder Behörden-Domain. Über dieses Konto fordern sie Nutzerdaten als angeblichen Notfall an. Weil die Notfall-Ausnahme den regulären Prüfweg über einen Gerichtsbeschluss umgeht, antworten Unternehmen typischerweise innerhalb von 30 bis 60 Minuten. Genau diese Eile macht den Vektor attraktiv. Apple, Meta, Discord und Verizon fielen bereits auf die Masche herein, ursprünglich durch die Gruppe Lapsus$ und das Recursion Team. Das FBI warnte 2024 offiziell vor dem Muster.
Im Fall Revolut nutzte der Angreifer ein Konto auf einer legitimen Behörden-Domain. Ein Sprecher sprach gegenüber TechCrunch von einem ausgeklügelten externen Impersonation-Betrug. Nach der Identifikation sperrte die Digitalbank die betrügerische Adresse. Der Vorfall habe weder Systeme noch Kundengelder berührt. Eine eigene Mitteilung zum Vorfall veröffentlichte das Unternehmen bisher nicht.
"Revolut hat kürzlich einen ausgeklügelten externen Impersonation-Betrug identifiziert, bei dem ein unbefugter Dritter eine legitime Behörden-Domain-E-Mail nutzte, um betrügerische Informationsanfragen zu stellen." - Revolut-Sprecher gegenüber TechCrunch
Revolut informierte nach eigenen Angaben die betroffene Behörde selbst, ferner Strafverfolgungsbehörden, Datenschutzaufsichten und Finanzregulatoren. Welche Stelle die Angreifer imitierten, bleibt hingegen offen. Ungeklärt ist ebenso, ob der Angreifer das E-Mail-Konto kompromittierte oder die Domain technisch fälschte. Beide Varianten sind aus früheren Fällen bekannt. Für Finanzinstitute wiegt der Vektor schwer, zumal sie behördliche Auskunftsersuchen routinemässig beantworten müssen. Eine Rückfrage über einen zweiten Kanal kostet zudem Zeit, die eine als dringend deklarierte Anfrage nicht lässt.
Welche Daten der Angriff offenlegte
Die Kundenbenachrichtigung listet einen breiten Satz potenziell offengelegter Daten. Dazu zählen Name, Geburtsdatum, Post- und E-Mail-Adresse sowie Telefonnummer. Hinzu kommen Kopien von Ausweisdokumenten wie Pass und Führerschein, Verifizierungs-Selfies aus der KYC-Prüfung, Kontoauszüge und vollständige Transaktionshistorien. Die Liste deckt damit den kompletten Onboarding-Prozess einer regulierten Bank ab. Revolut spricht weiterhin von einer begrenzten Zahl direkt informierter Kunden. Kundengelder selbst blieben nach Darstellung des Anbieters unangetastet.
Mark Karpelès, früherer CEO der Krypto-Börse Mt. Gox, veröffentlichte eine Kopie der Benachrichtigung und erklärte, selbst betroffen zu sein. Diese Fassung nennt zusätzlich IBANs, Auszahlungsprotokolle und vollständige Transaktionshistorien inklusive Bitcoin-Transaktionen. Damit liegt die Verbindung zwischen Bankkonto und Bitcoin-Bewegungen einzelner Kunden potenziell in fremder Hand. Der On-Chain-Ermittler ZachXBT hält den Umfang für begrenzt, vermutet jedoch eine gezielte Auswahl vermögender Nutzer. Offen blieb ebenfalls, ob sich der Vorfall auf einen einzelnen Markt beschränkt.
Ein Vorfall dieser Tragweite gilt regulatorisch als Fall mit hohem Risiko nach Artikel 33 und 34 der DSGVO. Ausweisdokumente, biometrische Selfies und die vollständige Finanzhistorie lösen somit eine Benachrichtigungspflicht gegenüber den Betroffenen aus. Zuständig ist die litauische Datenschutzbehörde VDAI, weil der Anbieter seine europäische Banklizenz über die Einheit Revolut Bank UAB hält. Diese untersteht ausserdem der Bank von Litauen und der EZB. Wann Revolut die Aufsicht erstmals unterrichtete, geht aus den Sprecherangaben hingegen nicht hervor.
Kombinierte KYC- und Bitcoin-Daten als Sicherheitsrisiko
Ein Datensatz aus Ausweiskopie, Wohnadresse und sichtbarem Bitcoin-Bestand ist mehr als ein Datenschutzproblem. Er funktioniert als Zielliste. In der Branche gelten solche Kombinationen als Wegbereiter für sogenannte Wrench Attacks, also physische Erpressung zur Herausgabe von Krypto-Zugängen. Wer weiss, wie viel Bitcoin eine Person hält und wo sie wohnt, benötigt folglich keinen technischen Angriff mehr. Ausweiskopien und Selfies erleichtern zusätzlich die Übernahme weiterer Konten. Eine gestohlene Kartennummer lässt sich ersetzen. Eine offengelegte Identität hingegen nicht.
Die Fallzahlen steigen deutlich. Ein CertiK-Report zählte im ersten Halbjahr 2026 52 verifizierte Wrench Attacks mit rund 124.1 Mio. USD Schaden. Ein Jahr zuvor lagen die Zahlen bei 39 Vorfällen, was einem Anstieg von 33% entspricht. Der Schaden lag damals bei gut 10 Mio. USD. Der Sprung bei der Schadenssumme fällt folglich deutlich grösser aus als der bei der Fallzahl. Ausweiskopien und Adressen bleiben zudem über Jahre verwertbar.
Revolut reiht sich in eine Serie von Krypto-Datenlecks ein
Der Vorfall steht nicht allein. Im August 2026 traf ein Leck beim Wallet-Anbieter SafePal rund 39'798 Kunden. Private Schlüssel und Guthaben blieben unberührt. Bei Trezor gelangten über den Versanddienstleister ShipMonk Daten von rund 67'000 US-Kunden nach aussen. Ein separates Leck beim E-Mail-Dienstleister des Hardware-Wallet-Herstellers ermöglichte zudem Phishing über die legitime Trezor-Domain. Die Angriffsfläche lag in beiden Fällen somit bei Dienstleistern des Herstellers.
Den grössten Präzedenzfall lieferte Coinbase im Mai 2025. Bestochene Support-Mitarbeiter im Ausland gaben Daten von rund 70'000 Kunden preis, darunter Namen, Adressen, Ausweisbilder, Transaktionshistorien und Kontostände. Die Erpresser forderten 20 Mio. USD. Coinbase zahlte trotzdem nicht. Die geschätzten Wiederherstellungskosten lagen letztlich zwischen 180 und 400 Mio. USD. Insgesamt übertrafen die Folgekosten die Forderung um ein Vielfaches. Anfang 2026 folgte bei Coinbase schliesslich ein kleinerer Insider-Vorfall mit rund 30 betroffenen Kunden.
Letztlich zielen die Angreifer in all diesen Fällen nicht auf die Verwahrung, sondern auf den Zugang zur Kundendatenbank. Krypto-nahe Anbieter sammeln ausserdem aus regulatorischen Gründen besonders vollständige Identitätsdaten. Selbstverwahrung schützt daher nur teilweise, weil die Ausweisdaten bereits bei der Registrierung entstehen. Für Revolut kommt der Zeitpunkt ungünstig. Die bedingte OCC-Zulassung und der EURR-Start erhöhen die regulatorische Aufmerksamkeit. Gleichzeitig beginnt die Aufarbeitung des Vorfalls erst.
