Revolut hat vertrauliche Kund:innendaten, darunter Ausweisdokumente, an eine gefälschte Behörden-E-Mail weitergegeben. Betroffen ist nach Angaben der Bank nur eine sehr begrenzte Zahl an Kund:innen, genaue Zahlen nennt Revolut nicht.

Was ist passiert?

Revolut hat auf eine E-Mail reagiert, die aussah wie eine Anfrage einer echten Regierungsbehörde, und daraufhin Kund:innendaten herausgegeben. Erst später fiel auf, dass die Anfrage gefälscht war. Weitergegeben wurden laut den vorliegenden Unterlagen E-Mail-Adressen, Postanschriften, Telefonnummern, Geburtsdaten sowie kopierte Ausweisdokumente wie Reisepässe und Führerscheine. Nachdem der Betrug aufgefallen war, sperrte Revolut die betreffende E-Mail-Adresse und informierte die echte Behörde sowie Strafverfolgungs-, Datenschutz- und Finanzaufsichtsbehörden. Betroffene Kund:innen wurden laut Revolut benachrichtigt. IT-Systeme und Kundengelder seien nicht betroffen gewesen.

Wie konnte das passieren?

Anders als bei einem klassischen Hack wurde hier kein System geknackt, die Daten wurden ganz regulär von einem Mitarbeitenden herausgegeben, weil die Anfrage echt aussah. Genau das macht solche Fälle schwer zu verhindern. Es braucht keine technische Lücke, nur eine überzeugende Fälschung und jemanden, der die Anfrage bearbeitet, bevor der Betrug auffällt. Welche Behörde vorgetäuscht wurde und mit welcher Begründung die Daten angefordert wurden, hat Revolut bisher nicht mitgeteilt.

Warum ist das relevant?

Bei den weitergegebenen Daten handelt es sich nicht um Passwörter oder Kontonummern, sondern um Identitätsnachweise. Genau die lassen sich für Identitätsdiebstahl nutzen, etwa um im Namen der Betroffenen Konten zu eröffnen oder Verträge abzuschließen, teils auch erst mit deutlicher Verzögerung. Der Fall zeigt außerdem, dass auch etablierte Finanzunternehmen nicht nur durch technische Angriffe verwundbar sind, sondern auch durch überzeugend gefälschte Anfragen im Alltag.