Revolut-Datenleck: Angreifer forderten 10.000 Bitcoin

Revolut bestätigte am 12. September 2026, dass ein unbefugter Dritter die E-Mail-Domain einer echten Regierungsbehörde genutzt hat, um gefälschte Auskunftsersuchen zu stellen – und dass daraufhin Kundendaten herausgegeben wurden. "Revolut hat kürzlich einen ausgeklügelten externen Identitätsbetrug festgestellt, bei dem ein unbefugter Dritter die E-Mail-Domain einer legitimen Regierungsbehörde nutzte, um betrügerische Auskunftsersuchen zu stellen", teilte das Unternehmen in einer zuerst von TechCrunch veröffentlichten Stellungnahme mit. Welche Behörde betroffen war, ließ Revolut offen.

Am 14. September bekam der Fall eine neue Dimension: The Register berichtete, die Angreifer hätten ein Lösegeld von 10.000 Bitcoin gefordert – mehr als 782 Millionen US-Dollar. Derselbe Bericht zeichnete ein deutlich weiteres Bild des Datenabflusses als zwei Tage zuvor. Der Blockchain-Ermittler ZachXBT, der die Benachrichtigungsschreiben der Bank an Kunden veröffentlichte, nennt unter den offengelegten Daten Reisepässe und Führerscheine, Verifizierungs-Selfies, Kontoauszüge, IBANs, Auszahlungsdaten und vollständige Transaktionshistorien sowie vollständige Namen, Geburtsdaten, Wohn- und E-Mail-Adressen, Telefonnummern und Berufsangaben.

Genau diese Kombination macht den Fall ungewöhnlich. Eine geleakte E-Mail-Adresse bringt Spam; ein geleakter Reisepass-Scan zusammen mit dem Selfie, das zu seiner Verifizierung aufgenommen wurde, ist dagegen exakt das Paket, mit dem sich Identitätsprüfungen bei anderen Finanzinstituten bestehen lassen. Transaktionshistorien und IBANs kommen als zweites Problem hinzu: Wer sie besitzt, kann auf den tatsächlichen Kontostand, jüngste Zahlungen und Zahlungsempfänger verweisen – und genau das macht einen betrügerischen Anruf oder eine Nachricht glaubwürdig. Revolut zählt weltweit mehr als 80 Millionen Privatkunden und mehr als 800.000 Geschäftskonten; die Zahl der Betroffenen bezeichnete das Unternehmen als "begrenzt" und sprach von einem nur kleinen Teil seiner Kundschaft.

Die Methode wiegt so schwer wie die Daten selbst. Das Ersuchen kam weder über ein gehacktes System noch über ein gestohlenes Passwort, sondern über eine E-Mail-Domain, die tatsächlich einer Behörde gehört – über den Regelweg also, auf dem Banken amtliche Auskunftsersuchen beantworten. Unternehmen, die solche Anfragen in großer Zahl bearbeiten, haben nur begrenzte Möglichkeiten, eine gefälschte von einer echten zu unterscheiden.

Einiges bleibt offen. Revolut hat keine Zahl zu den betroffenen Kunden veröffentlicht, sich nicht dazu geäußert, ob sich der Vorfall auf einen bestimmten Markt konzentrierte, und auch nicht dazu, ob das Lösegeld gezahlt wurde. Nach eigenen Angaben sperrte das Unternehmen die Adresse sofort nach der Entdeckung und informierte die betreffende Behörde, Strafverfolgungsbehörden, Datenschutzbehörden und Finanzaufsichten; betroffene Kunden seien direkt kontaktiert worden. Wer ein solches Schreiben erhält, sollte bei unaufgeforderten Anrufen oder Nachrichten, die auf Kontobewegungen Bezug nehmen, besonders vorsichtig sein.