Revolut hat ein Datenleck bestätigt, bei dem ein unbekannter Dritter eine betrügerische Anfrage nach Kundeninformationen stellte. Der Angreifer nutzte ein E-Mail-Konto einer legitimen Regierungsdomäne, um Kopien von Ausweisdokumenten und vollständige Bitcoin-Transaktionshistorien zu erhalten.

Revolut, eine britische Digitalbank, bündelt Girokonten, Zahlungen, Wertpapierhandel und Kryptodienstleistungen in einer Anwendung. Zum Kryptogeschäft gehören auch die eigenständige Handelsplattform Revolut X und der Euro-Stablecoin EURR. Nach Angaben des Unternehmens hatte Revolut im August 2026 weltweit 80 Millionen Kunden.

Der Datenbruch ereignet sich, während Revolut seine regulierten Bank- und Kryptogeschäfte ausweitet. Anfang September 2026 erteilte die US-Bankenaufsicht, das Office of the Comptroller of the Currency (OCC), dem Unternehmen eine bedingte Genehmigung für eine nationale Banklizenz. Im August begann Revolut mit der Einführung seines EURR-Stablecoins in Dänemark, Polen und Portugal.

Betroffene Kunden erhielten im September 2026 Benachrichtigungs-E-Mails. Revolut hat nicht offengelegt, wie viele Konten betroffen waren oder welche Behörde der Angreifer imitiert hat.

Wie die betrügerische Anfrage Revolut täuschte

Sicherheitsforscher dokumentieren seit 2021 betrügerische Anfragen nach Nutzerdaten unter Berufung auf Notfallregelungen. In der Branche ist dieses Muster als Fraudulent Emergency Data Request bekannt. Kriminelle übernehmen typischerweise ein E-Mail-Konto, das einer echten Polizei- oder Regierungsdomäne zugeordnet ist, oder fälschen dessen Absender. Anschließend nutzen sie das Konto, um unter dem Vorwand eines dringenden Notfalls Nutzerdaten anzufordern.

Die Notfallausnahme umgeht den üblichen Prüfprozess, der im Allgemeinen einen Gerichtsbeschluss voraussetzt. Unternehmen können daher innerhalb von 30 bis 60 Minuten antworten. Diese Geschwindigkeit macht das Verfahren für Angreifer attraktiv. Apple, Meta, Discord und Verizon sind bereits Opfer dieses Vorgehens geworden, an dem zunächst die Gruppen Lapsus$ und das Recursion Team beteiligt waren. 2024 warnte das FBI offiziell vor diesem Muster.

Im Fall von Revolut nutzte der Angreifer ein Konto einer legitimen Regierungsdomäne. Ein Unternehmenssprecher beschrieb den Vorfall gegenüber TechCrunch als ausgeklügelten externen Identitätsbetrug. Die Digitalbank blockierte die betrügerische Adresse anschließend. Nach Angaben von Revolut waren weder die Systeme des Unternehmens noch Kundenguthaben betroffen. Zum Zeitpunkt des Berichts hatte das Unternehmen keine separate Stellungnahme zu dem Vorfall veröffentlicht. TechCrunch berichtete hier über den Vorfall:

„Revolut hat kürzlich einen ausgeklügelten externen Identitätsbetrug festgestellt, bei dem ein unbefugter Dritter die E-Mail-Adresse einer legitimen Regierungsdomäne nutzte, um betrügerische Informationsanfragen zu stellen.“ — Revolut-Sprecher gegenüber TechCrunch

Revolut erklärte, das Unternehmen habe die betroffene Behörde, Strafverfolgungsbehörden, Datenschutzaufsichten und Finanzaufsichtsbehörden informiert. Welche Behörde die Angreifer jedoch imitiert hatten, ist weiterhin unklar. Ebenso unklar ist, ob der Angreifer das staatliche E-Mail-Konto kompromittierte oder die Domäne technisch fälschte. Frühere Fälle umfassten beide Methoden.

Das Vorgehen stellt Finanzinstitute vor besondere Herausforderungen, da sie regelmäßig auf behördliche Informationsanfragen reagieren. Die Überprüfung einer dringenden Anfrage über einen zweiten Kommunikationskanal kann länger dauern, als das Notfallverfahren zulässt.

Welche Informationen möglicherweise offengelegt wurden

Die Benachrichtigung an Kunden führt eine breite Palette potenziell offengelegter Informationen auf. Dazu gehören Namen, Geburtsdaten, Post- und E-Mail-Adressen sowie Telefonnummern. Außerdem werden Kopien von Ausweisdokumenten, darunter Reisepässe und Führerscheine, sowie Verifizierungs-Selfies aus dem Know-Your-Customer-Prozess (KYC), Kontoauszüge und vollständige Transaktionshistorien genannt.

Die Informationen umfassen damit einen großen Teil der bei einer regulierten Bank gespeicherten Daten aus der Kontoeröffnung und Kontohistorie. Revolut bezeichnete die Zahl der direkt benachrichtigten Kunden dennoch als begrenzt. Das Unternehmen erklärte, Kundenguthaben seien nicht betroffen gewesen.

Mark Karpelès, der frühere CEO der Kryptobörse Mt. Gox, veröffentlichte eine Kopie der Benachrichtigung und erklärte, dass er zu den betroffenen Kunden gehöre. In seiner Version wurden zusätzlich IBANs, Abhebungsprotokolle und vollständige Transaktionshistorien einschließlich Bitcoin-Transaktionen aufgeführt. Dadurch könnten Verbindungen zwischen den Bankkonten einzelner Kunden und ihren Bitcoin-Aktivitäten offengelegt werden.

Der On-Chain-Ermittler ZachXBT schätzte den Umfang als begrenzt ein, vermutete jedoch, dass die Angreifer möglicherweise vergleichsweise wohlhabende Nutzer ausgewählt hatten. Unklar bleibt auch, ob der Vorfall mehr als einen Markt betraf.

Nach den Artikeln 33 und 34 der Datenschutz-Grundverordnung (DSGVO) kann ein Vorfall mit Ausweisdokumenten, biometrischen Selfies und vollständigen Finanzhistorien als Datenschutzverletzung mit hohem Risiko gelten, die eine Benachrichtigung der betroffenen Personen erfordert. Die litauische Staatliche Datenschutzinspektion (VDAI) ist zuständig, weil Revolut seine europäische Banklizenz über Revolut Bank UAB hält. Dieses Unternehmen untersteht außerdem der Aufsicht der Bank von Litauen und der Europäischen Zentralbank (EZB). Aus den Aussagen des Sprechers geht nicht hervor, wann Revolut die Aufsichtsbehörden erstmals informierte.

Die Kombination aus KYC- und Bitcoin-Daten schafft Sicherheitsrisiken

Ein Datensatz mit einem Ausweisdokument, einer Wohnadresse und sichtbaren Bitcoin-Beständen stellt mehr als ein Datenschutzproblem dar. Er kann als Zielliste dienen. In der Kryptobranche gelten solche Kombinationen als Grundlage für sogenannte Wrench-Angriffe, bei denen Kriminelle körperlichen Zwang einsetzen, um Opfer zur Herausgabe des Zugangs zu ihren Krypto-Vermögenswerten zu zwingen.

Wer weiß, wie viel Bitcoin eine Person besitzt und wo sie lebt, muss möglicherweise keinen technischen Angriff starten. Kopien von Ausweisdokumenten und Selfies können außerdem die Übernahme anderer Konten erleichtern. Eine Bank kann eine gestohlene Kartennummer ersetzen, eine offengelegte Identität jedoch nicht.

Die Zahl der gemeldeten Fälle ist stark gestiegen. Ein Bericht von CertiK zählte im ersten Halbjahr 2026 52 bestätigte Wrench-Angriffe mit Schäden von rund USD 124,1 Millionen. Im gleichen Zeitraum des Vorjahres verzeichnete der Bericht 39 Vorfälle, was einem Anstieg der Fallzahl um 33% entspricht. Die Schäden hatten damals etwas mehr als USD 10 Millionen betragen. Der Anstieg der finanziellen Schäden war damit deutlich größer als der Anstieg der Vorfallzahl. Ausweisdokumente und Wohnadressen können Kriminellen zudem über Jahre hinweg Nutzen bringen.

Revolut reiht sich in eine Serie von Kryptodatenlecks ein

Der Vorfall bei Revolut folgt auf mehrere andere Datenlecks bei Kryptounternehmen. Im August 2026 betraf ein Leak beim Wallet-Anbieter SafePal rund 39.798 Kunden, wobei Private Keys und Kontostände nicht offengelegt wurden. Bei Trezor gelangten Daten von etwa 67.000 US-Kunden über den Versanddienstleister ShipMonk nach außen. Ein separates Datenleck beim E-Mail-Dienstleister des Hardware-Wallet-Herstellers ermöglichte außerdem Phishing-Nachrichten über die legitime Trezor-Domäne. In beiden Fällen lag die Angriffsfläche bei einem vom Hersteller genutzten Dienstleister.

Der größte vergleichbare Präzedenzfall ereignete sich im Mai 2025 bei Coinbase. Bestochene Support-Mitarbeiter im Ausland gaben Informationen zu rund 70.000 Kunden weiter. Die Daten umfassten Namen, Adressen, Bilder von Ausweisdokumenten, Transaktionshistorien und Kontostände. Die Erpresser forderten USD 20 Millionen, doch Coinbase zahlte nicht. Die geschätzten Kosten für die Bewältigung des Vorfalls beliefen sich schließlich auf USD 180 Millionen bis USD 400 Millionen. Damit lagen die Folgekosten um ein Vielfaches über der Forderung. Anfang 2026 folgte bei Coinbase ein kleinerer Insider-Vorfall mit etwa 30 betroffenen Kunden.

Bei diesen Vorfällen zielten die Angreifer auf den Zugang zu Kundendatenbanken und nicht auf die unmittelbare Verwahrung von Krypto-Vermögenswerten. Kryptodienstleister erfassen aus regulatorischen Gründen besonders umfassende Identitätsdaten. Selbstverwahrung bietet gegen diese Art der Offenlegung daher nur begrenzten Schutz, weil ein großer Teil der Identifikationsdaten bereits bei der Registrierung erhoben wird.

Für Revolut erhöht der Zeitpunkt den regulatorischen Druck. Die bedingte OCC-Genehmigung des Unternehmens und die Einführung von EURR erfolgen, während die Untersuchung des Datenlecks erst beginnt. Zu den offenen Tatsachenfragen gehören die Zahl der aufgerufenen Konten, die Frage, ob der Vorfall mehr als einen Markt betraf, die Art und Weise, wie die falsche staatliche Identität erlangt oder imitiert wurde, sowie die Bewertung der Reaktion und des Benachrichtigungsprozesses von Revolut durch die zuständigen Behörden.