Eine Grafik mit rotem Hintergrund, die eine digitale IT-Struktur in einem abstrakten Design darstellt. Geeignet für technische Themen.
Die Digitalbank Revolut hat Ausweiskopien, Verifizierungs-Selfies, IBANs und vollständige Transaktionslisten von rund 680 Kunden an Kriminelle herausgegeben – nicht nach einem Einbruch in die IT-Systeme, sondern nach E-Mails, die aus der echten Domain einer Regierungsbehörde kamen.
Betroffen ist auch eine niedrige zweistellige Zahl deutscher Kunden. Der Fall trifft jedes Unternehmen, das Auskunftsersuchen von Behörden beantwortet: Gescheitert ist hier keine Technik, sondern ein Prozess.
Was beim Revolut Datenleck genau passiert ist, warum SPF, DKIM und DMARC nicht geholfen haben und wie Sie ein Auskunftsersuchen im eigenen Haus sicher prüfen, lesen Sie hier.
Das Wichtigste in Kürze
- Rund 680 Kunden sind betroffen, schwerpunktmäßig in der Schweiz und Frankreich, dazu über 30 weitere europäische Länder und eine niedrige zweistellige Zahl in Deutschland
- Herausgegeben wurden Ausweis- und Führerscheinkopien, Verifizierungs-Selfies, Geburtsdatum, Adresse, Telefonnummer, IBAN, Kontoauszüge und vollständige Transaktionslisten inklusive Bitcoin-Bewegungen
- Die Anfragen kamen über ein echtes Behördenpostfach im italienischen PEC-System und bestanden alle technischen Absenderprüfungen
- Aufgefallen ist der Betrug erst, als Revolut eine Anfrage separat bei der Behörde gegenprüfte
- Die Täter fordern rund 6.000 Monero und drohen mit Veröffentlichung; die britische Datenschutzaufsicht ICO untersucht den Vorfall
So lief das Revolut Datenleck ab
Medienberichten zufolge traten die Angreifer als italienische Strafverfolgungsbehörde auf und baten Revolut über mehrere Wochen hinweg wiederholt um vertrauliche Kontodaten einzelner Kunden – Adressen, Telefonnummern, Transaktionshistorien. Revolut kam diesen Anfragen nach.
Die E-Mails liefen über „La Posta Elettronica Certificata“ (PEC), das rechtsverbindliche Zustellsystem für offiziellen Schriftverkehr in Italien, vergleichbar mit einem Einschreiben. Die Täter hatten kein Postfach gefälscht: Sie verfügten über ein Konto innerhalb der echten Behördeninfrastruktur.
Die Auswahl der Opfer war geziel: Die Gruppe, die unter dem Pseudonym „iamnotavillain“ auftritt, beschrieb die Betroffenen als „Krypto-Wale“ und gab an, sie über Blockchain-Analysen identifiziert zu haben – also über öffentlich einsehbare Zahlungsströme. Anschließend fragte sie genau zu diesen Personen Kontodaten bei Revolut ab.
Aufgeflogen ist der Betrug erst, als Revolut eine der Anfragen separat bei der genannten Behörde gegenprüfte. Das Unternehmen sperrte die Adresse, informierte Strafverfolgungs-, Datenschutz- und Finanzaufsichtsbehörden und kontaktierte die Betroffenen. IT-Systeme und Kundengelder seien nicht betroffen, teilte Revolut mit; man habe einen ausgeklügelten externen Betrugsversuch identifiziert.
Die britische Datenschutzaufsicht ICO bestätigte, dass sie den Vorfall untersucht. Revolut untersteht als Bank der litauischen Zentralbank und der EZB.
Inzwischen fordern die mutmaßlichen Täter Lösegeld: rund 6.000 Monero, nach Marktwert etwa drei Millionen Dollar, verbunden mit einem öffentlichen Countdown und der Drohung, die Unterlagen an andere Kriminelle weiterzugeben. Einzelne Betroffene berichteten in sozialen Medien, direkt kontaktiert worden zu sein.
Zahlen zum Revolut Datenleck
rund 680
betroffene Kunden
über 30
betroffene europäische Länder
6
Monate Zugriff auf Behördenpostfächer, nach Angaben der Täter
6.000
Monero Lösegeldforderung
Die Angaben gehen leicht auseinander: Die „Financial Times“ und die daran anschließende Berichterstattung nennen rund 680 Betroffene, das „manager magazin“ spricht von mindestens rund 700 Fällen, Revolut selbst nur von einer begrenzten Zahl. Die Größenordnung ist in allen Quellen dieselbe.
Warum die gefälschte Behördenanfrage funktionierte
Die entscheidende Stelle ist unscheinbar: Die Nachrichten bestanden die technischen Absenderprüfungen. Weil das Konto innerhalb der echten Behördendomain lag, waren SPF, DKIM und DMARC sauber – genau die Mechanismen, auf die Unternehmen sich beim Erkennen gefälschter Absender verlassen. Laut heise verschickte Revolut die Unterlagen deshalb, bevor separat geprüft wurde, ob die Anfrage tatsächlich von der Behörde stammte.
Dazu kommt die Besonderheit von Auskunftsersuchen: Sie sind ein Ausnahmeprozess.
- Sie kommen selten – es gibt keine Routine und oft keinen festgelegten Ablauf.
- Sie kommen von einer Autorität – Nachfragen wirkt unhöflich oder riskant.
- Sie sind häufig als eilbedürftig markiert – Zeitdruck verhindert die Gegenprüfung.
- Sie landen selten bei der IT-Sicherheit, sondern im Support oder in der Verwaltung.
Genau diese Kombination ist der klassische Hebel des Social Engineering – und sie wirkt unabhängig davon, wie gut die technische Abwehr eines Unternehmens ist.
SPF, DKIM und DMARC prüfen die Domain, nicht den Menschen
Die drei Verfahren belegen, dass eine Nachricht von einer bestimmten Domain kommen darf. Sie belegen nicht, dass die Person hinter dem Postfach dazu berechtigt ist. Ein übernommenes echtes Behördenpostfach besteht jede dieser Prüfungen.
Gefälschte Behördenanfragen sind kein Einzelfall
Das Muster ist international bekannt. Das FBI warnte bereits 2024 vor einer Zunahme gefälschter Auskunfts- und Notfallanfragen: Kriminelle kompromittieren Postfächer von Polizei- und Regierungsstellen, häufig per Phishing, und handeln die Zugänge anschließend in einschlägigen Foren. Unter den Unternehmen, die auf solche Anfragen hereingefallen sind, waren nach Berichten von Sicherheitsforschern auch Apple, Meta, Discord und Verizon.
Für deutsche Unternehmen ist die Lage keine andere. Auskunftsersuchen kommen von Polizei, Staatsanwaltschaften, Finanz-, Zoll- und Sozialbehörden – und selten bei der IT-Sicherheit. Sie landen im Support, in der Buchhaltung, im Personalbüro oder in der Geschäftsleitung – dort, wo der Reflex, einer Behörde schnell und vollständig zu helfen, am stärksten ist.
Wie leicht sich solche Anschreiben mit Daten aus früheren Lecks anreichern lassen, zeigt der Beitrag zum Datenleck im Berliner Landesnetz: Echte Namen, echte Zuständigkeiten und echte Vorgangsdaten machen eine Anfrage erst überzeugend.
So prüfen Sie Auskunftsersuchen richtig
1
Zuständigkeit klären
Existiert die Behörde, und ist sie für den genannten Sachverhalt überhaupt zuständig? Stimmen Anschrift und Kontaktdaten mit den öffentlich veröffentlichten überein?
2
Formalien verlangen
Aktenzeichen, benannter Ansprechpartner, Rechtsgrundlage und konkreter Umfang der Anfrage. Fehlt eines davon, wird nichts herausgegeben.
3
Über einen zweiten Kanal rückfragen
Rückruf oder Rückschreiben ausschließlich über die offiziell veröffentlichten Kontaktdaten der Behörde – niemals über Telefonnummern oder Adressen aus der Anfrage selbst.
4
Rechtsgrundlage prüfen lassen
Datenschutzbeauftragte oder Rechtsabteilung bewerten, ob und in welchem Umfang eine Herausgabe zulässig ist.
5
Datenminimierung anwenden
Nur genau das herausgeben, was verlangt und rechtlich gedeckt ist. Kein Sammelexport, keine Beilagen der Vollständigkeit halber.
6
Vier-Augen-Prinzip und Protokoll
Jede Herausgabe von einer zweiten Person freigeben lassen und vollständig dokumentieren: wer, wann, an wen, welche Daten, auf welcher Grundlage.
7
Eilbedürftigkeit misstrauisch behandeln
Zeitdruck ist das häufigste Merkmal gefälschter Anfragen. Eine echte Behörde akzeptiert eine kurze Rückfrage zur Verifikation.
Empfehlungen für IT-Admins und Datenschutz
Technische Filter greifen hier nicht, weil die Nachricht echt ist – dasselbe Muster zeigt sich bei Phishing- und Spam-Wellen im Unternehmen. Wirksam ist daher der organisatorische Teil, und warum der Mensch dabei die beste Kontrolle ist, zeigt der Beitrag zum Sicherheits-Upgrade vor dem Bildschirm.
- Prozess schriftlich festlegen: Eine benannte Stelle nimmt Auskunftsersuchen an, alle anderen leiten weiter und antworten nicht selbst
- Empfänger schulen: Support, Buchhaltung, Personal und Empfang kennen den Ablauf
- Rückkanal vorbereiten: Verifizierte Kontaktdaten der regelmäßig anfragenden Behörden hinterlegen
- Herausgaben protokollieren: Wer welche personenbezogenen Daten wann an wen übermittelt hat, muss ohne Suchen nachweisbar sein
- Meldeprozess vorbereiten: Die 72-Stunden-Frist der DSGVO läuft ab Kenntnis, nicht ab abgeschlossener Analyse
- Awareness aktuell halten: Autoritäts- und Dringlichkeitsdruck gehören in jede Schulung, nicht nur der klassische Link-Klick
Bedeutung für Geschäftsführung und Entscheider
Revolut hatte kein Technikproblem. Das Unternehmen hatte eine Lücke zwischen einer plausiblen Anfrage und einer belastbaren Prüfung.
Genau diese Lücke existiert in den meisten Unternehmen, weil Auskunftsersuchen zu selten vorkommen, um einen eingeübten Ablauf zu haben.
Das Risiko ist unmittelbar. Werden Ausweiskopien, Adressen und Kontodaten herausgegeben, entstehen daraus Identitätsmissbrauch, gezielter Betrug und – wie im aktuellen Fall – Erpressung der betroffenen Personen. Hinzu kommen die Pflichten aus der DSGVO: Meldung an die Aufsichtsbehörde binnen 72 Stunden, Benachrichtigung der Betroffenen bei hohem Risiko und die Nachweispflicht, dass die Herausgabe geprüft wurde.
Der Aufwand für die Gegenmaßnahmen ist gering. Eine verbindliche Zuständigkeit, eine kurze Prüfliste und das Vier-Augen-Prinzip sind Organisationsarbeit von wenigen Stunden, kein IT-Projekt. Die Frage an die Geschäftsführung lautet deshalb nicht, ob die Systeme sicher sind, sondern: Wer im Unternehmen darf personenbezogene Daten an eine Behörde herausgeben – und wie wird diese Anfrage geprüft, bevor die Datei das Haus verlässt?
FAQ zum Revolut Datenleck
Nein. Die IT-Systeme wurden nach Angaben des Unternehmens nicht kompromittiert, Kundengelder sind nicht betroffen. Die Daten wurden regulär herausgegeben - auf eine Anfrage, die aus einem echten, von Kriminellen kontrollierten Behördenpostfach kam.
Name, Geburtsdatum, Adresse, Telefonnummer, IBAN, Kopien von Ausweis oder Führerschein, Verifizierungs-Selfies, Kontoauszüge sowie vollständige Transaktionslisten einschließlich Bitcoin-Bewegungen.
Weil sie die Domain prüfen, nicht die Person dahinter. Die Nachricht kam tatsächlich von der Behördendomain und bestand die Prüfung korrekt. Gegen ein übernommenes echtes Postfach schützt nur eine Rückfrage über einen zweiten Kanal.
Ja. Auskunftsersuchen von Polizei, Staatsanwaltschaft oder Finanzbehörden erreichen Unternehmen jeder Größe, meist außerhalb der IT. Ohne festgelegten Prüfweg entscheidet die einzelne Person am Postfach - genau darauf zielen diese Angriffe.
Vorgang vollständig dokumentieren, Umfang der Übermittlung feststellen, Datenschutzbeauftragte einbinden und die Meldepflicht nach DSGVO binnen 72 Stunden prüfen. Anschließend die betroffene Behörde über den offiziellen Kanal informieren und Strafanzeige erstatten.
Fazit
Das Revolut Datenleck ist kein Beispiel für schlechte IT-Sicherheit, sondern für einen Prozess ohne zweite Instanz. Eine formal einwandfreie Anfrage aus einer echten Behördendomain schlägt jede Absenderprüfung – und wird dann zu dem, was sie vorgibt zu sein: eine legitime Herausgabe.
Der wirksame Schutz ist banal und kostet fast nichts: eine benannte Zuständigkeit, eine kurze Prüfliste und der Rückruf über einen unabhängigen Kanal, bevor Daten das Haus verlassen. Unternehmen sollten das Revolut Datenleck zum Anlass nehmen, einmal durchzuspielen, was passieren würde, wenn morgen eine eilige Anfrage einer Staatsanwaltschaft im Support-Postfach liegt.
Fanden Sie den Blogbeitrag hilfreich und interessant?
Vielen Dank für Ihre Rückmeldung!