Revolut: Wenn eine offizielle Adresse zum Trojanischen Pferd wird

Im September 2026 informierte Revolut betroffene Kunden darüber, dass ein unbefugter Dritter mit betrügerischen Informationsanfragen an ihre Daten gelangt war. Die Nachrichten kamen jedoch von der E-Mail-Domain einer Behörde. Genau deshalb ist der Fall lehrreich: Der Angreifer musste keine Lücke im Banksystem öffnen. Er nutzte das Vertrauen in einen amtlich erscheinenden Kanal.

Revolut spricht von einer begrenzten Zahl betroffener Kunden, ohne eine genaue Zahl zu nennen. Italienische Medien berichteten von etwa 680 Personen und einem kompromittierten Postfach für zertifizierte E-Mail. Diese Einzelheiten werden noch untersucht und sind nicht vollständig von der Bank bestätigt. Der Kern steht fest: Informationen wurden an jemanden übermittelt, der sie nicht erhalten durfte.

Es geht damit um mehr als einen Beschäftigten, der auf einen falschen Link klickte. Die Schwäche lag in einer Entscheidungskette aus Betrieb, Rechtsabteilung, Compliance und dem Team für Behördenanfragen. Wenn eine solche Kette die Echtheit einer Adresse mit der Rechtmäßigkeit einer Anfrage verwechselt, ist die Schwachstelle organisatorisch.

Welche Daten offengelegt wurden

Nach der Mitteilung an betroffene Kunden konnten Namen, Geburtsdaten, Post- und E-Mail-Adressen, Telefonnummern, Kopien von Pässen oder Führerscheinen, Verifikationsselfies, Kontoauszüge und Transaktionsverläufe betroffen sein. Revolut erklärte, die eigenen Systeme und Kundengelder seien nicht beeinträchtigt worden.

Dass kein Geld unmittelbar gestohlen wurde, macht den Vorfall nicht harmlos. Ein Ausweisdokument ist bereits sensibel. Zusammen mit Adresse, Gesicht, Bankdaten und Transaktionen entsteht ein genaues finanzielles Profil. Es kann Identitätsbetrug, einen glaubwürdigen Anruf eines angeblichen Betrugsteams oder gezielten Druck auf Personen mit sichtbaren Vermögenswerten ermöglichen.

Die Falle eines tatsächlich offiziellen Kanals

Öffentlich gewordene Informationen aus Italien führten die Ermittlungen zu einem kompromittierten PEC-Postfach. PEC, die italienische zertifizierte E-Mail, liefert Nachweise über Versand und Empfang und ist für Verwaltungsabläufe wichtig. Sie garantiert nicht, dass der rechtmäßige Inhaber sein Postfach noch kontrolliert, dass die Person an der Tastatur die behauptete Befugnis besitzt oder dass ein Anhang echt ist.

Das italienische CERT-AGID stellt dies ausdrücklich klar: Die Zertifizierung betrifft Übertragung und Zustellung. Sie beweist nicht, dass das Absenderkonto unversehrt ist. Nur wenige Tage nach Bekanntwerden des Revolut-Vorfalls warnte das CERT erneut vor Schadsoftware, die über übernommene PEC-Postfächer versandt wurde.

Eine legitime Domain belegt höchstens die unmittelbare technische Herkunft. Sie belegt weder die menschliche Identität noch die Befugnis, Rechtsgrundlage oder den zulässigen Umfang der verlangten Daten.

Ein überzeugendes Formular ist keine Rechtsgrundlage

In dem Fall soll außerdem ein Dokument eingesetzt worden sein, das als Europäische Ermittlungsanordnung ausgegeben wurde. Auch hier genügt die Form nicht. Die EU-Richtlinie regelt ein Verfahren zwischen zuständigen Behörden des Anordnungs- und des Vollstreckungsstaats. Bei Bankinformationen muss begründet werden, warum die Daten relevant sind, welche Konten oder Vorgänge betroffen sind und welches Recht bei der Vollstreckung gilt.

Die richtige Frage lautet daher nicht, ob ein Dokument amtlich aussieht. Die empfangende Organisation muss feststellen, welche Behörde es ausgestellt hat, über welchen Weg es übermittelt werden sollte, wer es anerkennen oder vollstrecken muss, welche juristische Person die Daten hält und ob jede verlangte Datenkategorie erforderlich ist.

Eine Rechtsprüfung ohne Identitätsprüfung lässt Identitätsmissbrauch durch. Eine Identitätsprüfung ohne Begrenzung kann hundert Dossiers freigeben, obwohl nur eines zulässig war. Die Abwehr muss alle Nachweise zusammenführen.

Wo der Vorgang hätte stoppen müssen

Ein belastbarer Prozess für Behördenanfragen darf nicht vom Bauchgefühl eines Mitarbeiters abhängen. Er muss Ausnahmen erschweren, sichtbar machen und eine Umkehr ermöglichen.

• Jede Anfrage erhält Aktenzeichen, betroffene juristische Person, behauptete Behörde, Rechtsgrundlage, Zielpersonen, verlangte Felder und Zeitraum.
• Die Identität wird über einen zweiten, bereits bekannten Kanal geprüft: amtliches Verzeichnis, öffentliches Zentraltelefon oder registrierter Behördenkontakt. Kontaktdaten aus der eingegangenen Nachricht sind dafür ungeeignet.
• Befugnis und Rechtsgrundlage prüft eine Person, die den Export nicht vorbereitet hat. Bei grenzüberschreitenden Anfragen ist auch der vorgesehene Weg zwischen Behörden zu bestätigen.
• Ausweisdokumente, Kontoauszüge und Transaktionsverläufe benötigen eine Freigabe durch zwei Personen. Dringlichkeit erhöht die Kontrolldichte.
• Der Export wird auf das erlaubte Minimum begrenzt. Nicht ausdrücklich erfasste Personen, Felder und Zeiträume bleiben ausgeschlossen.
• Die Übergabe erfolgt über einen sicheren, zeitlich begrenzten und mit dem Vorgang verknüpften Bereich. E-Mail ist kein Kanal für Massendatenexporte.
• Anfrage, Prüfungen, Entscheidungen, Datenbankabfragen, erzeugte Dateien, Empfänger und Ablauf des Zugriffs werden unveränderbar protokolliert.

Diese Regeln gelten nicht nur für Banken. Ein Verein, eine Kanzlei, ein IT-Dienstleister oder ein KMU kann Ausweiskopien, Lohnunterlagen, Spenderlisten, Sicherungen oder Gesundheitsdaten speichern. Eine amtlich wirkende Anfrage trifft dort möglicherweise auf weniger Kontrollen und ebenso wertvolle Informationen.

Warum Sicherheitswerkzeuge nicht ausreichten

E-Mail-Filter, Mehrfaktor-Authentifizierung und Malware-Erkennung sind unverzichtbar. Sie beantworten vor allem, ob ein Konto und eine Nachricht technisch plausibel sind. In diesem Fall verlieh gerade das verwendete Konto der Anfrage Glaubwürdigkeit.

Nötig war eine fachliche Kontrolle, die feststellt: Selbst wenn der Transport authentisch ist, kennen wir noch nicht die Befugnis, das korrekte Verfahren und die Verhältnismäßigkeit. Darum verlangt die DSGVO auch organisatorische Maßnahmen. Vertraulichkeit hängt nicht nur von Verschlüsselung ab, sondern ebenso von Verfahren gegen unbefugte Offenlegung.

Ein gutes Verfahren schafft zudem einen Eskalationsweg. Behauptet der Absender besondere Eile, droht mit Sanktionen oder verweigert eine unabhängige Prüfung, muss der Sachbearbeiter die Bearbeitung aussetzen können. Dringlichkeit wird so zu einem dokumentierten Risikosignal.

Nach der Offenlegung reicht eine Sperre nicht

Revolut erklärte, die verwendete Adresse gesperrt und die betroffene Behörde, Strafverfolgung und Aufsichtsstellen informiert zu haben. Das sind notwendige erste Schritte. Eine vollständige Reaktion muss jedoch rekonstruieren, wer welche Daten über welchen Link oder welche Datei wie lange erhielt und worauf tatsächlich zugegriffen wurde.

Für Betroffene geht das Risiko über ihr Revolut-Passwort hinaus. Ein Anrufer kann bereits Adresse, Ausweisdokument und einzelne Transaktionen kennen. Unerbetene Kontakte sollten als potenziell feindlich gelten. Kunden sollten nur die App oder bereits gespeicherte offizielle Kontaktdaten nutzen, Kontobewegungen und Kreditanfragen beobachten und gezielte Drohungen rasch melden. Ein Passwortwechsel ist oft sinnvoll, zieht aber keine offengelegte Passkopie zurück.

Die Organisation muss frühere Anfragen über denselben Weg prüfen, Beweise sichern, Personen nach ihrem tatsächlichen Risiko informieren und das neue Verfahren mit Szenarien testen, in denen eine authentische, aber übernommene Adresse verwendet wird.

Was der Revolut-Fall zeigt

Cybersicherheit endet nicht an der Grenze des Informationssystems. Sie entscheidet sich auch in dem Moment, in dem ein befugter Mitarbeiter Daten für eine scheinbar rechtmäßige Anfrage exportiert. Dort müssen Technik, Recht, Compliance und Betrieb zusammenwirken.

Revolut beschrieb keinen Einbruch in seine Infrastruktur. Gerade das macht den Fall lehrreicher als einen klassischen Hack. Ein Angreifer fand eine Tür, die für Behörden vorgesehen war, und zeigte genau die Merkmale, die die Organisation mit Vertrauen verband.