Revolut-Datenleck: Eine gefälschte Behördenanfrage genügte

Es brauchte keinen Hack, keine Sicherheitslücke, keine Malware. Eine E-Mail von einer echten Behörden-Adresse genügte – und Revolut händigte Passkopien, Verifizierungs-Selfies und komplette Transaktionshistorien seiner Kunden an Kriminelle aus. Am Freitagabend machte der Krypto-Ermittler ZachXBT den Fall öffentlich, inzwischen hat die Neobank ihn bestätigt. Und er trifft eine Wunde, auf die wir erst vor vier Wochen den Finger gelegt haben: Behördenanfragen an Online-Dienste sind zum Massengeschäft geworden – und niemand prüft ernsthaft, ob der Absender echt ist.

Was passiert ist

Nach Revoluts eigener Darstellung schickte ein „unautorisierter Dritter" Auskunftsersuchen über die E-Mail-Domain einer echten Regierungsbehörde – welche, sagt das Unternehmen nicht. Die Mails bestanden die üblichen Authentizitätsprüfungen, kamen also mutmaßlich aus einem gekaperten Behörden-Postfach. Revolut hielt die Anfragen für legitim und lieferte, was Behörden eben so bekommen: Geburtsdaten, Post- und E-Mail-Adressen, Telefonnummern, Kopien von Pässen und Führerscheinen – und nach übereinstimmenden Berichten auch Verifizierungs-Selfies, Kontoauszüge samt IBAN sowie vollständige Transaktionshistorien inklusive Krypto-Geschäften. Betroffen sei eine „begrenzte Zahl" von Kunden; wie viele genau, verrät Revolut nicht. Auffällig: Die Angreifer suchten sich offenbar gezielt vermögende Kunden mit Krypto-Bezug heraus. Die Bank betont, ihre Systeme seien nicht gehackt worden und Guthaben seien sicher – was stimmt und das Problem doch verfehlt: Für die Betroffenen ist der Schaden nicht das Konto, sondern das Dossier, das jetzt in kriminellen Händen liegt.

Der Trick ist alt – und funktioniert immer noch

Gefälschte Behördenanfragen sind keine neue Masche. Der Sicherheitsjournalist Brian Krebs dokumentiert seit 2022, wie Kriminelle mit gekaperten Polizei-Postfächern sogenannte Notfall-Auskunftsersuchen verschicken – angebliche Gefahr im Verzug, keine Zeit für richterliche Anordnung, bitte sofort liefern. Schon 2021 fielen darauf ausgerechnet Apple und Meta herein und übermittelten Nutzerdaten an Betrüger. Das strukturelle Problem: Ein Anbieter, der täglich Dutzende Behördenanfragen aus aller Welt bekommt, kann deren Echtheit kaum prüfen. Es gibt kein zentrales Register, keine verpflichtende digitale Signatur, keinen Rückkanal – Vorschläge dafür liegen seit Jahren auf dem Tisch und wurden nie umgesetzt. Am Ende entscheidet ein Compliance-Mitarbeiter unter Zeitdruck, ob eine E-Mail echt aussieht.

Und die EU macht das Einfallstor gerade größer

Genau hier wird der Fall politisch. Seit dem 18. August gilt die E-Evidence-Verordnung: Jede Strafverfolgungsbehörde jedes EU-Staats darf Herausgabeanordnungen direkt an Anbieter in der ganzen Union schicken – ohne dass eine Behörde oder ein Gericht im Land des Anbieters mitprüft. Die Fristen sind kurz (zehn Tage, im Notfall acht Stunden), bei Verweigerung drohen Bußgelder bis zu zwei Prozent des Weltumsatzes, und allein in Deutschland sind Hunderttausende Stellen anfrageberechtigt. Die EU hat damit exakt den Kanal, den die Revolut-Betrüger missbraucht haben, zum europäischen Normalverfahren erklärt – Massenbetrieb, Zeitdruck, Strafandrohung. Ein Anbieter, der im Zweifel lieber liefert als haftet, ist keine Fehlfunktion dieses Systems, er ist seine logische Folge. Dass Kriminelle das Verfahren kapern würden, war die zentrale Warnung der Kritiker – der Revolut-Fall zeigt, wie realistisch sie ist.

Warum das Leck für Krypto-Nutzer brandgefährlich ist

Die Kombination der erbeuteten Daten ist das eigentliche Gift: Wer weiß, dass Du nennenswerte Krypto-Bestände hast (Transaktionshistorie), wer Du bist (Pass, Selfie) und wo Du wohnst (Adresse), hat eine fertige Zielliste. Frankreich hat 2025 eine Serie von Entführungen und Überfällen auf Krypto-Besitzer erlebt – dem Ledger-Mitgründer David Balland schnitten die Täter einen Finger ab. Auch die Erpressung von Coinbase-Kunden 2025 begann mit geleakten Kundendaten, damals über bestochene Support-Mitarbeiter. Dazu kommt das Alltagsrisiko: Mit Ausweiskopie und Selfie lassen sich bei Dritten Konten eröffnen und SIM-Karten übernehmen, und Phishing-Anrufe („Ihre Revolut-Sicherheitsabteilung") werden mit echten Kontodaten quälend glaubwürdig.

Was Du daraus mitnehmen solltest

• KYC-Daten sind eine Zeitbombe: Jeder Dienst, der Deinen Ausweis samt Selfie speichert, kann ihn verlieren – an Hacker, an bestochene Mitarbeiter oder wie hier an eine gefälschte Behördenanfrage. Eröffne solche Konten nur, wo es wirklich nicht anders geht.
• Vermögen und Identität trennen: Größere Krypto-Bestände gehören in Selbstverwahrung, nicht dauerhaft sichtbar auf ein KYC-Konto. Wie Du mit Monero, Lightning und No-KYC-Diensten bezahlst, ohne ein Dossier zu hinterlassen, und welche anonymen Karten es gibt, haben wir ausführlich beschrieben.
• Datensparsamkeit im Profil: Separate E-Mail-Adresse pro Finanzdienst, nicht die Wohnadresse als einzige Adresse, Telefonnummer nur wenn erzwungen – jedes Feld, das leer bleibt, kann nicht leaken.
• Falls Du bei Revolut betroffen bist: Rechne mit maßgeschneidertem Phishing per Anruf und Mail; Revolut selbst ruft nicht an und fragt nie nach Codes. Sichere Deine Mobilfunknummer gegen SIM-Swap (Kundenkennwort beim Provider), und erwäge, Ausweisdokumente neu ausstellen zu lassen – die Kopie beim Angreifer wird dadurch wertlos.

Die bittere Pointe zum Schluss: All diese Daten musste Revolut nur deshalb vorhalten, weil KYC-Regeln es verlangen – gesammelt zur Verbrechensbekämpfung, geliefert an Verbrecher. Wie Du Deinen digitalen Fußabdruck so klein hältst, dass ein solches Leck Dich gar nicht erst treffen kann, zeigt Schritt für Schritt unser E-Book „Anonym im Netz – Der praktische Guide 2026".

Quellen: TechCrunch – Revolut confirms customer data breach through fake government requests (12.09.2026, englisch) · KrebsOnSecurity – Hackers Gaining Power of Subpoena Via Fake „Emergency Data Requests" (2022, englisch)