Krypto-Kunden im Visier: Hacker legen neue Details zum Revolut-Datenabfluss vor
Bei der Digitalbank Revolut waren sensible Kundendaten an Unbefugte gelangt. Angaben der mutmaßlichen Täter deuten nun auf länger andauernde und gezieltere Vorgänge hin als bislang bekannt. Der Fall zeigt, wie Cyberkriminelle Vertrauen in offizielle Kommunikationswege ausnutzen.
Lesezeit 7 min
Hacker, die nach eigenen Angaben hinter dem Datenabfluss bei Revolut stehen, haben sich mit ihrer Darstellung an die Wirtschaftszeitung Financial Times gewandt und Material zu dem Angriff vorgelegt. Demnach missbrauchten sie über Monate ein kompromittiertes E-Mail-Postfach einer italienischen Behörde, um sensible Informationen zu rund 680 Revolut-Kunden anzufordern. Die Bank hatte den Vorfall bereits am 12. September bestätigt, jedoch lediglich von einer begrenzten Zahl Betroffener gesprochen. Eigene Systeme und Kundengelder seien unversehrt geblieben.
Amtliche Absender wirkten glaubwürdig
Die mutmaßlichen Täter sollen sich über Monate als Strafverfolger ausgegeben und wiederholt Daten zu bestimmten Kunden angefordert haben. Dazu nutzten die Hacker das italienische System Posta Elettronica Certificata (PEC), also zertifizierte elektronische Post. Laut der staatlichen Digitalagentur AgID können Behörden, Unternehmen und Bürger PEC nutzen. Nachrichten zwischen PEC-Postfächern besitzen dieselbe Rechtswirkung wie ein Einschreiben mit Rückschein. Das System bestätigt Versand und Zustellung und sichert die Integrität einer Nachricht.
Ein kompromittiertes amtliches Postfach konnte deshalb besonders glaubwürdig erscheinen. Der Fall wirft jedoch die Frage auf, wie Revolut Herkunft und Berechtigung solcher Anfragen verifiziert. Für gerichtliche Anordnungen und behördliche Auskunftsersuchen gibt die Digitalbank eine eigene E-Mail-Adresse an. Welche internen Prüfungen bei solchen Ersuchen erfolgen, ist nicht bekannt.
Revolut übermittelte unter anderem Adressen, Telefonnummern und Transaktionshistorien. Das US-Technologiemedium TechCrunch berichtete unter Berufung auf eine von ihm eingesehene Benachrichtigung an Betroffene außerdem über Geburtsdaten, E-Mail-Adressen und Ausweisdokumente. Auch Verifizierungs-Selfies und Kontoauszüge könnten demnach betroffen sein. Revolut erklärte, die für die betrügerischen Anfragen verwendete Absenderadresse nach Entdeckung des Vorfalls sofort gesperrt zu haben. Zudem seien Behörden, Datenschutzstellen und Finanzaufsichten informiert worden.
Nach Angaben der Nachrichtenagentur ANSA liefen die E-Mails weiter, bis Revolut die betroffene italienische Institution direkt kontaktierte. Diese habe anschließend bestritten, Absenderin der Anfragen zu sein. Die auf Kommunikations- und Cyberkriminalität spezialisierte Einheit der italienischen Staatspolizei ermittelt nun wegen unbefugten Systemzugriffs und Computerbetrugs.
Krypto-Vermögen machte Opfer offenbar zum Ziel
Nun meldeten sich bei der Financial Times ein oder mehrere mutmaßliche Täter unter Pseudonym. Sie erklärten, die betroffenen Revolut-Kunden gezielt ausgewählt zu haben. Dafür hätten sie Blockchain-Daten ausgewertet und Konten mit größeren Krypto-Beständen identifiziert. Die Hacker bezeichneten diese Kunden als besonders vermögende Krypto-Anleger.
Die meisten der rund 680 Betroffenen sollen aus der Schweiz und Frankreich stammen. Weitere Kunden lebten nach Darstellung der Täter in 31 überwiegend europäischen Staaten, darunter Deutschland, Großbritannien und Spanien. Unabhängig bestätigt ist diese geografische Verteilung bislang nicht vollständig.
Das Motiv der Hacker bleibt vorerst unklar, aber die erschlichenen Datensätze bergen über den eigentlichen Abfluss hinaus Risiken. Das National Cyber Security Centre (NCSC), die britische Fachstelle für Cybersicherheit und Teil des Nachrichtendienstes GCHQ, warnt, dass Kriminelle gestohlene Informationen für glaubwürdiger wirkende Phishing-Nachrichten nutzen können. Persönliche Daten und Transaktionsinformationen können solche Kontaktversuche stärker auf einzelne Opfer zuschneiden.
Auch eine spätere Erpressung wäre grundsätzlich denkbar: Gestohlene Daten können als Druckmittel dienen, indem Täter mit ihrer Veröffentlichung drohen oder Geld für deren Löschung verlangen. Im Fall von Revolut sagte eine Person mit Kenntnis des Falls allerdings, bis dahin sei keine direkte Lösegeldforderung eingegangen.
Vorfall trifft Revolut mitten in der Expansion
Der Zeitpunkt des Datenlecks ist für Revolut besonders sensibel. Das Unternehmen baut sein Bankgeschäft international aus, während Vertrauen in Prozesse und Infrastruktur für die weitere Expansion eine zentrale Rolle spielt. Besonders deutlich wird das derzeit in der Schweiz, wo viele der mutmaßlich Betroffenen leben.
Vier Tage nach der öffentlichen Bestätigung des Datenvorfalls teilte Revolut mit, bei der Eidgenössischen Finanzmarktaufsicht Finma eine Schweizer Banklizenz beantragt zu haben. In den kommenden fünf Jahren sollen mehr als 150 Mio. Schweizer Franken (rund 183 Mio. USD) in den Markt fließen. Das Unternehmen zählt dort bereits rund 1,3 Mio. Kunden. Mit einer Schweizer Lizenz könnte Revolut unter anderem Gehaltskonten, lokale IBAN-Kontonummern und den Zugang zur Einlagensicherung anbieten. Das Management rechnet damit, die Marktdurchdringung binnen zwei bis drei Jahren auf mehr als 40 % zu steigern.
Einen Tag zuvor hatte Revolut den Erhalt einer Banklizenz in Kolumbien bekanntgegeben. Der Marktstart ist für 2027 geplant. In digitale Bankinfrastruktur und Finanztechnologie will das Unternehmen 62 Mio. USD investieren.
Revolut baut internationales Banknetz aus
Die beiden Schritte gehören zu einer breiteren Internationalisierung. Revolut ist nach eigenen Angaben in mehr als 40 Ländern aktiv. 2026 startete die Gruppe den Bankbetrieb in Großbritannien und Mexiko. Hinzu kamen Banklizenzen in Frankreich, Australien und Kolumbien sowie eine bedingte Genehmigung für eine nationale Bank in den USA.
Weltweit kommt Revolut nach Unternehmensangaben inzwischen auf mehr als 80 Mio. Kunden. Für 2025 meldete die Digitalbank einen Umsatz von 6 Mrd. USD und 2,3 Mrd. USD Vorsteuergewinn. Mit dieser Größe wächst zugleich die Bedeutung verlässlicher Verfahren für sensible Behördenanfragen.
Cyberkriminalität bleibt ein breiteres Sicherheitsproblem
Der Revolut-Fall steht zugleich in einem breiteren europäischen Sicherheitskontext. So veröffentlichten Anfang September Kriminelle Daten, die sie nach einem unbefugten Zugriff auf das Berliner Landesnetz kopiert hatten. In den offiziellen Informationen zu beiden Fällen gibt es bislang keine Hinweise darauf, dass KI eingesetzt wurde. Für Banken und Behörden wächst damit der Druck, technische Zugänge, Identitäten und Auskunftswege über mehrere Ebenen hinweg abzusichern.