Revolut gab Pässe, Selfies und Bitcoin-Historien von Kunden auf eine gefälschte Behördenanfrage heraus

Revolut hat einer Gruppe von Kunden mitgeteilt, dass es ihre Ausweisdokumente, Verifizierungs-Selfies, Kontoauszüge und die vollständige Transaktionshistorie, Bitcoin eingeschlossen, an jemanden herausgegeben hat, der sie im Namen einer Behörde angefordert hatte. Niemand ist eingebrochen. Die Anfrage kam von einem Postfach auf der echten Domain der Behörde, bestand die Prüfungen, die die Absenderdomain bestätigen, und wurde "in der begründeten Annahme, dass es sich um eine authentische Behördenanfrage handelt" erfüllt. Die Warn-E-Mails gingen am 11. September 2026 hinaus.

Was Revolut den Betroffenen mitteilte

Die Mitteilung, die ZachXBT am 12. September als Screenshot veröffentlichte, ist kurz und ungewöhnlich genau darin, was hinausging. Revolut "erhielt eine Anfrage nach Kundeninformationen, die von einer legitimen Behörde zu stammen schien". Die Anfrage "kam von einem nicht autorisierten E-Mail-Konto, direkt über die offizielle E-Mail-Domain der Behörde versandt". Weil sie "gültige Domain-Authentifizierungsdaten trug, wurde sie in der begründeten Annahme erfüllt, dass es sich um eine authentische Behördenanfrage handelt". Das Unternehmen erklärt, es habe die zuständigen Aufsichtsbehörden informiert und vorsorgliche Schutzmaßnahmen ergriffen; sein Support-Konto fügte nur hinzu, man nehme Datenschutz "sehr ernst".

Die Liste der herausgegebenen Daten sollte man zweimal lesen. Identitätsdaten: vollständiger Name, Geburtsdatum, Beruf. Kontaktdaten: Postanschrift, E-Mail, Telefon. Dokumente und Verifizierung: eine Kopie von Pass oder Führerschein und das Bild zur Gesichtsprüfung, also das Selfie von der Anmeldung, mit dem Zusatz, dass "keine biometrischen Gesichtstelemetriedaten" betroffen seien. Finanzdaten: Kontoauszüge mit IBAN, Kontostatus, Eröffnungsdatum und Wallet-Referenznummer, Auszahlungsdaten und die vollständige Transaktionshistorie einschließlich Bitcoin. Die Mitteilung nennt Kategorien, die offengelegt worden sein könnten, kein Inventar pro Kunde, und erwähnt weder Passwörter noch Kartennummern noch private Schlüssel.

Wie eine gefälschte Anfrage die Prüfungen besteht

Die Formulierung "gültige Domain-Authentifizierungsdaten" erklärt das Versagen besser, als Revolut wohl beabsichtigt hat. E-Mail-Authentifizierung, also die Einträge SPF, DKIM und DMARC, die Mailserver prüfen, belegt, dass eine Nachricht wirklich von der angegebenen Domain kam. Sie belegt nichts darüber, wer an der Tastatur saß. Nutzte der Absender ein Konto auf der tatsächlichen Domain der Behörde, bestehen alle technischen Prüfungen, denn technisch ist die E-Mail echt. Übrig bleibt nur die prozedurale Abwehr: die Behörde unter einer bekannten Nummer zurückrufen, einen Gerichtsbeschluss oder ein unterschriebenes Formular verlangen, eine E-Mail nicht als ausreichend für einen Pass und ein komplettes Kontobuch gelten lassen.

Der Trick ist nicht neu. 2022 kam heraus, dass Apple und Meta Nutzerdaten an Kriminelle gegeben hatten, die gefälschte Notfallanfragen von gehackten E-Mail-Konten von Strafverfolgungsbehörden verschickten. Diese Anfragen funktionierten, weil sie dringend wirkten und von der richtigen Domain kamen, dieselben zwei Eigenschaften wie hier. Verändert hat sich die Beute. Ein soziales Netzwerk hält eine IP-Adresse und eine Telefonnummer. Ein reguliertes Fintech hält die komplette Know-your-customer-Akte, also genau die Dokumente, mit denen sich Konten eröffnen, Prüfungen bestehen und Mobilfunkanbieter zum Übertragen einer Nummer überreden lassen.

Was diese Akte ermöglicht

Legt man die Kategorien zusammen, hat der Empfänger, was ein gezielter Angriff braucht. Name, Geburtsdatum, Adresse und Dokumentkopie reichen für Identitätsdiebstahl und für die Verifizierung bei vielen Anbietern. Telefonnummer plus Ausweisdokumente sind der Startkoffer für einen SIM-Swap, und ein SIM-Swap ist der Weg, auf dem per SMS versandte Zwei-Faktor-Codes bei jemand anderem landen. Die Transaktionshistorie mit Bitcoin-Auszahlungen an bestimmte Wallets verrät, wer Krypto hält, wie viel bewegt wurde und wohin, weshalb ZachXBTs Hinweis auf vermögende Nutzer zählt: Dieselben Daten, die Onlinebetrug ermöglichen, ermöglichen auch, an einer Adresse aufzutauchen. Revolut war in diesem Monat nicht das einzige Unternehmen, das Bank- und Kryptodaten herausgab; es ist das erste, das es auf eine Anfrage tat, die sich als gefälscht erwies.

Wenn Sie die E-Mail erhalten haben

1. Prüfen Sie nur über die App. Revoluts eigene Anleitung sagt, die Echtheit eines Kontakts über den Support-Chat in der App zu prüfen; rechnen Sie mit Anrufen und Nachrichten von Leuten, die jetzt Ihren Namen, Ihre Bank und Ihren Kontostand kennen und sich als Revolut, Polizei oder Finanzamt ausgeben.
2. Sperren Sie Ihre Rufnummer. Verlangen Sie beim Anbieter eine PIN für Portierung und SIM-Tausch und verlegen Sie Zwei-Faktor-Codes weg von SMS, wo immer ein Dienst eine Authenticator-App oder einen Hardware-Schlüssel erlaubt.
3. Gehen Sie davon aus, dass die Dokumentkopie dauerhaft draußen ist. Fragen Sie die ausstellende Behörde, ob Pass oder Führerschein mit neuer Nummer neu ausgestellt werden können; wo nicht, bleiben Betrugswarnung oder Kreditsperre bei den Auskunfteien Ihres Landes als Ausweg.
4. Behandeln Sie jede Börse und jede Wallet aus der offengelegten Historie als bekanntes Ziel. Ändern Sie Passwörter, prüfen Sie Auszahlungs-Whitelists und Login-Warnungen und überlegen Sie, ob Guthaben auf einer Adresse, die jetzt mit Ihrem Namen verknüpft ist, dort bleiben sollte.
5. Verlangen Sie von Revolut schriftlich die vollständige Auskunft: was gesendet wurde, wann, an wen, und welche Aufsicht informiert wurde. Nach britischem und EU-Datenschutzrecht steht Ihnen das zu, und die Antwort bestimmt, was Sie sonst noch tun müssen.