Erfolgreicher Angriff: Revolut gibt vertrauliche Kundendaten an gefälschte Behörden-E-Mail

Ein schwerwiegender Vorfall bei der Neobank Revolut

Das britische Finanztechnologie-Unternehmen Revolut ist Ziel eines erfolgreichen Betrugsangriffs geworden, bei dem vertrauliche Informationen seiner Kunden an unbefugte Dritte abflossen. Der Vorfall ereignete sich, als das Unternehmen auf eine Anfrage reagierte, die vorgab, von einer offiziellen Regierungsbehörde zu stammen. In der Annahme, es handele sich um ein legitimes Ersuchen, übermittelte Revolut sensible Daten an die Absender. Erst im Nachhinein stellte sich heraus, dass die E-Mail-Adresse, von der die Anfrage ausging, gefälscht war und von Kriminellen kontrolliert wurde. Dieser Vorfall wirft ein Schlaglicht auf die Gefahren von Social Engineering, selbst bei technologisch versierten Finanzinstituten, die eigentlich über strenge Sicherheitsprotokolle verfügen sollten. Die Bank betonte, dass der Fehler in der Kommunikation und der Verifizierung der Anfrage lag, nicht jedoch in einer technischen Schwachstelle ihrer IT-Infrastruktur. Die Entdeckung der Täuschung löste eine sofortige interne Sicherheitsreaktion aus, die unter anderem die Sperrung der betrügerischen E-Mail-Adresse und die Einleitung formeller Meldeprozesse bei den zuständigen Aufsichtsbehörden umfasste. Der Vorfall wurde am 14. September 2026 öffentlich bekannt, nachdem Medienberichte über die Datenpanne die Runde machten.

Die konkreten Auswirkungen auf betroffene Kunden

Obwohl Revolut das Ausmaß des Vorfalls als „sehr begrenzt“ bezeichnet, sind die Auswirkungen für die betroffenen Personen potenziell gravierend. Nach Informationen, die dem US-Magazin Techcrunch vorliegen und die auf einer internen Kundenbenachrichtigung basieren, umfasst der Datensatz eine Vielzahl sensibler Informationen. Dazu gehören neben den E-Mail-Adressen, Postanschriften und Telefonnummern der Kunden auch deren Geburtsdaten. Besonders kritisch ist die Tatsache, dass auch kopierte Ausweisdokumente, wie etwa Reisepässe und Führerscheine, an die Betrüger übermittelt wurden. Diese Art von Informationen ist für Identitätsdiebstahl besonders wertvoll. Die Bank hat bisher keine genaue Zahl der betroffenen Kunden genannt, was bei vielen Nutzern für Verunsicherung sorgt. Die Bank versichert jedoch, dass die IT-Systeme des Unternehmens selbst zu keinem Zeitpunkt kompromittiert wurden und auch die Kundengelder in den Konten sicher seien. Die betroffenen Kunden wurden nach Angaben des Unternehmens direkt kontaktiert, um sie über den Vorfall zu informieren und Unterstützung bei der Eindämmung möglicher Folgeschäden zu leisten. Die Art der Daten, die in falsche Hände geraten sind, macht es für die Betroffenen jedoch schwierig, die Folgen kurzfristig vollständig zu überblicken.

Der Hintergrund und der bisherige Verlauf der Sicherheitslücke

Der Vorfall bei Revolut lässt sich als ein klassisches Beispiel für eine gezielte Täuschung im digitalen Raum einordnen. Die Täter nutzten eine E-Mail-Adresse, die den Anschein einer offiziellen Regierungsstelle erweckte, um das Vertrauen der Bankmitarbeiter zu erschleichen. Da Finanzinstitute regelmäßig mit Behörden zusammenarbeiten, um gesetzliche Anforderungen wie Geldwäscheprävention oder steuerliche Auskünfte zu erfüllen, ist ein solcher Kommunikationsweg grundsätzlich etabliert. Die Angreifer machten sich diese routinemäßigen Abläufe zunutze, indem sie die Identität einer Behörde imitierten. Nachdem Revolut die Täuschung bemerkt hatte, wurde die entsprechende E-Mail-Adresse umgehend in den internen Systemen gesperrt, um weitere Abflüsse zu verhindern. Die Bank leitete daraufhin eine umfassende Meldepflicht ein, die sowohl die echte Regierungsbehörde als auch Strafverfolgungsbehörden, Datenschutzbeauftragte sowie die zuständigen Finanzaufsichtsbehörden umfasst. Die Kommunikation mit den betroffenen Kunden wurde als Teil des Krisenmanagements eingeleitet, um diesen Hilfestellungen bei der Sicherung ihrer Identitäten zu geben. Die Bank versucht nun, den Vorfall intern aufzuarbeiten und die Lücken in der Verifizierung von behördlichen Anfragen zu schließen.

Die beteiligten Akteure und Institutionen

An dem Vorfall sind verschiedene Akteure beteiligt. Auf der Seite des Unternehmens steht Revolut als betroffene Neobank, die den Vorfall gegenüber Medien wie Reuters und Bloomberg bestätigte. Ein Sprecher des Unternehmens fungierte hierbei als Sprachrohr, der die getroffenen Maßnahmen erläuterte. Auf der anderen Seite stehen die unbekannten Täter, die sich als Regierungsbehörde ausgaben, um an die sensiblen Daten zu gelangen. Die Identität dieser Angreifer ist bisher nicht bekannt, und es gibt keine Informationen darüber, welche spezifische Behörde sie zu imitieren versuchten. In die Aufarbeitung sind zudem eine Vielzahl von Institutionen eingebunden: Die echten Regierungsbehörden, die durch den Missbrauch ihres Namens betroffen sind, sowie Strafverfolgungsbehörden, die nun die Ermittlungen in dem Betrugsfall führen. Ebenso wurden Datenschutzbehörden und Finanzaufsichtsbehörden alarmiert, da der Schutz von Kundendaten und die Integrität des Finanzsystems zu ihren Kernaufgaben gehören. Auch das US-Magazin Techcrunch spielt eine Rolle, da es durch die Veröffentlichung der Kundenbenachrichtigung zur Transparenz des Vorfalls beigetragen hat.

Einordnung der Sicherheitslücke und der Unternehmensreaktion

Einzuordnen ist das Geschehen als ein schwerwiegender Vertrauensbruch, der jedoch nicht auf einen direkten Hack der IT-Systeme zurückzuführen ist, sondern auf menschliches Versagen bei der Überprüfung von Anfragen. Den Berichten zufolge zeigt der Vorfall, dass selbst gut gesicherte Unternehmen anfällig für Social Engineering sind, wenn die Angreifer ihre Tarnung überzeugend gestalten. Dass Revolut betont, die IT-Systeme seien nicht betroffen gewesen, ist ein Versuch, das Vertrauen in die technische Sicherheit der Plattform zu wahren. Dennoch bleibt die Tatsache bestehen, dass sensible Dokumente wie Reisepässe in die Hände Unbefugter gelangten, was für die betroffenen Kunden ein erhebliches Risiko für Identitätsmissbrauch darstellt. Die schnelle Reaktion der Bank, die E-Mail-Adresse zu sperren und alle relevanten Behörden zu informieren, entspricht den gängigen Protokollen für Datenpannen. Kritisch zu hinterfragen bleibt jedoch, warum die Verifizierungsprozesse für behördliche Anfragen nicht ausreichten, um eine derart gefälschte Anfrage als solche zu entlarven. Die Intransparenz bezüglich der genauen Anzahl der Betroffenen und der Art der angefragten Begründung lässt Spielraum für Spekulationen über die Qualität der internen Kontrollmechanismen.

Offene Fragen und verbleibende Unsicherheiten

Der vorliegende Quelltext lässt zahlreiche Fragen offen, die für die betroffenen Kunden von hoher Relevanz sind. So nennt Revolut keinerlei konkrete Zahlen zur Anzahl der betroffenen Personen, was eine Einschätzung der Tragweite des Vorfalls für die Öffentlichkeit unmöglich macht. Ebenso bleibt unklar, welche spezifische Regierungsbehörde von den Betrügern imitiert wurde und welcher offizielle Grund für die Anfrage vorgeschoben wurde, um die Herausgabe der Daten zu rechtfertigen. Es fehlen Informationen darüber, wie lange die gefälschte E-Mail-Adresse unbemerkt in den Systemen agieren konnte, bevor der Betrug auffiel. Auch ist nicht bekannt, ob die Bank bereits Hinweise darauf hat, dass die gestohlenen Daten aktiv für kriminelle Zwecke wie Kontoeröffnungen oder Kreditbetrug genutzt wurden. Zudem bleibt offen, welche konkreten Hilfsmaßnahmen Revolut den Kunden anbietet – ob dies etwa die Übernahme von Kosten für Identitätsschutzdienste oder die Unterstützung bei der Erneuerung von Ausweisdokumenten beinhaltet, wird im Text nicht explizit ausgeführt. Die Lücke zwischen der bloßen Information der Kunden und einer umfassenden Aufklärung über die Täter bleibt bestehen.

Wie es weitergeht

Für die Zukunft hat Revolut angekündigt, eng mit den eingeschalteten Strafverfolgungsbehörden und Finanzaufsichtsbehörden zusammenzuarbeiten. Die Bank befindet sich in einem laufenden Prozess der Aufarbeitung, bei dem die Sicherheitsvorkehrungen für die Kommunikation mit externen Stellen vermutlich verschärft werden müssen. Für die betroffenen Kunden steht nun die Phase der Schadensbegrenzung an. Da Revolut den Kunden Hilfe bei der Eindämmung der Folgen zugesichert hat, ist davon auszugehen, dass in den kommenden Wochen weitere Informationen über spezifische Unterstützungsleistungen folgen werden. Die Aufsichtsbehörden werden ihrerseits prüfen, ob Revolut seine Sorgfaltspflichten beim Umgang mit Kundendaten verletzt hat und ob die internen Verifizierungsprozesse den regulatorischen Anforderungen entsprechen. Weitere offizielle Stellungnahmen zu den Ermittlungsergebnissen der Strafverfolgungsbehörden sind zu erwarten, sobald diese Fortschritte bei der Identifizierung der Täter machen. Für das Unternehmen selbst wird es darum gehen, durch verbesserte Sicherheitsmechanismen das Vertrauen der Kunden zurückzugewinnen, das durch diesen Vorfall erheblich belastet wurde.