Das britische Finanztechnologie-Unternehmen Revolut hat einen gravierenden Sicherheitsvorfall öffentlich bestätigt. Wie das Unternehmen am Samstag, dem 12. September 2026, einräumte, wurden vertrauliche Kundendaten an unbefugte Dritte herausgegeben. Hintergrund des Vorfalls ist ein gezielter Täuschungsangriff: Cyberkriminelle reichten gefälschte behördliche Auskunftsersuchen bei dem Fintech ein und brachten dessen Prüfteams dazu, sensible Datensätze bereitzustellen. Ermöglicht wurde die Manipulation dadurch, dass die Angreifer eine legitime E-Mail-Domain einer tatsächlich existierenden Regierungsbehörde verwendeten, wodurch die internen Kontrollsysteme des Unternehmens umgangen wurden.
Der Umfang der abgeflossenen Informationen ist beachtlich. Nach entsprechenden Berichten umfassen die weitergegebenen Datensätze grundlegende persönliche Identifikationsmerkmale der betroffenen Nutzerinnen und Nutzer. Dazu gehören vollständige Namen, Geburtsdaten sowie Post- und E-Mail-Adressen und hinterlegte Telefonnummern. Schwerer wiegt jedoch, dass die Kriminellen auch hochsensible Dokumente erbeuteten, die Kunden im Rahmen behördlich vorgeschriebener Legitimationsprüfungen hinterlegen müssen. Dazu zählen vollständige Kopien amtlicher Ausweisdokumente wie Reisepässe und Führerscheine.
Darüber hinaus offenbarten weitere Medienberichte, dass auch Finanz- und Verifizierungsdaten an die Betrüger übermittelt wurden. Zu den kompromittierten Inhalten gehören sogenannte Verifizierungs-Selfies, mit denen Nutzer ihre Identität im Abgleich mit ihren amtlichen Dokumenten belegen, sowie offizielle Kontoauszüge und die jeweiligen internationalen Bankkontonummern (IBANs). Ebenfalls betroffen sind vollständige Transaktionshistorien, aus denen detaillierte Zahlungsströme hervorgehen. Darunter befinden sich nachweislich auch Datensätze über getätigte Bitcoin-Transaktionen.
Die Täter nutzten bei ihrem Vorgehen eine Methode des Social Engineerings, die gezielt auf bürokratische Schnittstellen zwischen Finanzinstituten und Strafverfolgungsbehörden abzielt. Da die Ersuche von einer authentischen behördlichen Adresse stammten, stuften die zuständigen Abteilungen bei Revolut die Anfragen zunächst als legitim ein. Nach der Entdeckung des Fehlers leitete das Unternehmen Gegenmaßnahmen ein. Ein Sprecher von Revolut erklärte gegenüber der Nachrichtenagentur Reuters den Ablauf der ersten Schritte: „Upon detection, we immediately blocked the address and alerted the relevant government agency as well as enforcement agencies, data protection, and financial regulators.“ Demnach wurde die missbrauchte E-Mail-Adresse unverzüglich gesperrt und der Vorfall den zuständigen Stellen gemeldet, darunter der betroffenen Regierungsbehörde, Strafverfolgungsbehörden sowie Datenschutz- und Finanzaufsichtsstellen.
Zugleich bemühte sich das Unternehmen um Schadensbegrenzung und betonte die Integrität seiner technischen Infrastruktur. Der Unternehmenssprecher hob hervor: „Revolut systems and customer funds are unaffected.“ Ein unbefugter Zugriff auf die internen Serverarchitekturen oder Datenbanken von Revolut habe somit nicht stattgefunden; die Herausgabe erfolgte über die regulären Auskunftskanäle. Auch die Gelder der Kundschaft seien von dem Vorfall zu keinem Zeitpunkt direkt betroffen gewesen.
Wie viele Nutzerinnen und Nutzer von der Datenweitergabe betroffen sind, bleibt vorerst unklar. Das Unternehmen teilte lediglich mit, dass es sich um eine begrenzte Anzahl an Kundinnen und Kunden handele, nannte jedoch keine konkrete Ziffer. Alle betroffenen Personen seien von Revolut direkt kontaktiert und über den Vorfall in Kenntnis gesetzt worden. Fragen zu den Hintergründen des Angriffs blieben indes weitgehend unbeantwortet: Revolut gab bislang nicht bekannt, um welche staatliche Behörde es sich bei der missbrauchten E-Mail-Domain handelt. Ebenso unklar ist, auf welche Weise die Kriminellen die Kontrolle über die behördliche Adresse erlangt hatten oder ob das IT-System der entsprechenden Behörde kompromittiert worden war.
Offen bleibt auch das genaue Motiv hinter der Zielauswahl. Der On-Chain-Ermittler ZachXBT gab an, dass die gefälschten Auskunftsersuchen spezifisch auf vermögende Einzelpersonen ausgerichtet gewesen seien. Revolut hat diese Angaben bislang weder bestätigt noch dementiert. Der Vorfall verdeutlicht jedoch eine wachsende Herausforderung für Finanzdienstleister: Wenn Angreifer verifizierte Kommunikationskanäle von Behörden nutzen, geraten standardisierte Verifizierungsprozesse für Datenherausgaben an ihre Grenzen.