Europas größte Digitalbank Revolut hat vertrauliche Kundendaten an Cyberkriminelle übermittelt – und das, ohne es zunächst zu bemerken. Die Angreifer verschickten über eine authentische E-Mail-Domain einer Regierungsbehörde gefälschte Auskunftsanfragen und erhielten daraufhin hochsensible Informationen zu mindestens 700 Kundinnen und Kunden, wie das „Manager Magazin“ unter Berufung auf eigene Recherchen und die „Financial Times“ berichtet. Unter den abgeflossenen Daten befinden sich Passkopien, Privatanschriften, Kontonummern und sogar Aufzeichnungen zu Bitcoin-Transaktionen. Auch deutsche Kunden sind betroffen – nach bisherigen Erkenntnissen eine niedrige zweistellige Zahl. Die Täter erpressen das Fintech-Unternehmen inzwischen über den Messengerdienst Telegram und drohen mit der Veröffentlichung weiterer Dokumente. Die britische Datenschutzaufsicht ICO hat bereits eine Untersuchung eingeleitet.
unternehmer.de zu Google hinzufügenMehr Nachrichten rund um Cybercrime und Sicherheit findest du am Ende dieses Beitrags.
Täuschung mit Fake-Behörden-Konto
Der Angriff funktionierte über ein nicht autorisiertes E-Mail-Konto, das direkt innerhalb der Domain-Infrastruktur einer staatlichen Stelle eingerichtet worden war. Die Nachricht erfüllte sämtliche Kriterien der Domain-Authentifizierung und wirkte daher wie eine reguläre behördliche Datenanfrage. Da Finanzinstitute gesetzlich verpflichtet sind, solchen offiziellen Ersuchen nachzukommen, leitete Revolut die angeforderten Informationen weiter.
Der Schwindel flog erst auf, als die Neobank im Nachgang bei der betreffenden Behörde rückfragte und dabei auf das unautorisierte Konto aufmerksam wurde. Welche Regierungsstelle konkret betroffen war, hält Revolut unter Verschluss. Die Betreiber des Telegram-Accounts, über den später erbeutete Daten veröffentlicht wurden, gaben gegenüber der „WirtschaftsWoche“ allerdings an, eine Polizei-Mailadresse eines südeuropäischen Landes genutzt zu haben. Ob diese Behauptung zutrifft, lässt sich bislang nicht verifizieren.
Private Kundendaten in Händen der Kriminellen
Die erbeuteten Daten bilden ein umfassendes Profil der Betroffenen: Neben Kopien von Reisepässen und Führerscheinen gelangten auch Verifizierungs-Selfies, Geburtsdaten, Wohnadressen, Telefonnummern und E-Mail-Adressen in die Hände der Täter. Hinzu kommen IBANs, Kontoauszüge sowie vollständige Transaktionsverläufe – einschließlich Bitcoin-Aktivitäten.
Revolut beziffert die Zahl der bislang identifizierten Betroffenen auf rund 680 bis 700 Personen, darunter 27 in Deutschland. Der Krypto-Sicherheitsforscher ZachXBT hatte bereits am Abend des 11. September über die Benachrichtigungsmails an betroffene Kunden berichtet und dabei die Vermutung geäußert, dass vor allem wohlhabende Einzelpersonen gezielt ausgewählt wurden. Auch „T Online“ weist darauf hin, dass durchgesickerte Wohnadressen und Transaktionsdaten in der Vergangenheit bereits für gezielte Angriffe auf Krypto-Investoren missbraucht worden seien.
Erpressung über Telegram mit prominenten Opfern
Die mutmaßlichen Täter erhöhen inzwischen den Druck auf Revolut. Laut dem Analysedienst International Cyber Digest wurden in einer Telegram-Gruppe bereits Ausweisdokumente und Selfies des Tennisspielers Alexander Shevchenko sowie von Felix Römer, dem Geschäftsführer des Krypto-Casinos Gamdom, veröffentlicht. Sollte Revolut nicht zahlen, wollen die Erpresser weitere Daten offenlegen. Laut „Techradar“ fordern die Kriminellen 10.000 Bitcoin – umgerechnet rund 780 Millionen Dollar.
Römer selbst erklärte auf der Plattform X, dass er und andere Kunden bereits vor zwei Monaten mit den gestohlenen Daten unter Druck gesetzt worden seien. Auch ein deutscher Unternehmer ist offenbar betroffen: In der Telegram-Gruppe tauchte ein mutmaßliches Foto seines Personalausweises auf, wie die „WirtschaftsWoche“ berichtet. Ob die Erpresser tatsächlich mit den ursprünglichen Hackern identisch sind, bleibt ungeklärt.
Britische Datenschutzaufsicht schaltet sich ein
Nach Bekanntwerden des Vorfalls sperrte Revolut die betrügerische E-Mail-Adresse umgehend für sämtliche internen Systeme und setzte sowohl die betroffene Regierungsbehörde als auch Strafverfolgungs-, Datenschutz- und Finanzaufsichtsbehörden in Kenntnis. Alle identifizierten Betroffenen seien direkt kontaktiert worden, erklärte das Unternehmen. Zudem habe man „vorbeugende Schutzmaßnahmen“ für die betroffenen Kunden ergriffen.
Am Montag bestätigte die britische Datenschutzaufsicht ICO (Information Commissioner’s Office), den Vorfall zu untersuchen. Revolut hatte die Behörde wenige Tage zuvor informiert. Die IT-Systeme der Neobank sowie die Kundeneinlagen seien zu keinem Zeitpunkt gefährdet gewesen, betont das Unternehmen. Für betroffene Kunden könnten DSGVO-Rechte relevant werden: So haben sie Anspruch auf Auskunft darüber, welche ihrer Daten weitergegeben wurden. Auch Schadensersatzforderungen kommen grundsätzlich in Betracht.
Angriff trifft Revolut zur denkbar schlechtesten Zeit
Der Sicherheitsvorfall kommt für die Londoner Neobank zu einem denkbar ungünstigen Moment. Erst Anfang September hatte Revolut von der US-Bankenaufsicht eine vorläufige Genehmigung erhalten, um in der ersten Jahreshälfte 2027 eine eigene Bank in den Vereinigten Staaten aufzubauen. Die amerikanischen Regulierungsbehörden gelten als besonders streng.
Darüber hinaus steht ein möglicher Börsengang im Raum. Medienberichten zufolge könnte das Fintech dabei eine Bewertung von bis zu 200 Milliarden Dollar anstreben – nach einer letzten Bewertung von 115 Milliarden Dollar bei einem Anteilsverkauf im Juli. Das 2015 gegründete Unternehmen zählt nach eigenen Angaben mittlerweile über 80 Millionen Kunden in mehr als 30 Ländern und verfügt über eine vollwertige Banklizenz der Europäischen Zentralbank, vergeben über die litauische Zentralbank. Guthaben auf dem Girokonto sind damit bis zu 100.000 Euro über die gesetzliche Einlagensicherung geschützt.
Mehr zu Themen rund um Datenschutz und Cybersicherheit liest du hier:
- Phishing mit Teams-Benachrichtigungen: Angreifer missbrauchen Microsoft-Anwendung
- KI-Betrug: Einsatz künstlicher Intelligenz macht Phishing-Mails noch gefährlicher
- KI-Agent Jadepuffer startet einen Ransomware-Angriff – und verliert prompt den Schlüssel
- Gigantisches Datenleck: Hacker stehlen über 124 Millionen Passwörter
- WordPress-User aufgepasst: Plugins mit Backdoor infiziert
