Revolut-Datenleck: Eine gefälschte Amts-Mail – und der Pass ist weg

Kein Hackerangriff, kein Zero-Day-Exploit, kein geplündertes Konto. Die britische Neobank Revolut hat höchst sensible Kundendaten freiwillig herausgegeben – weil eine Auskunftsanfrage von der echten E-Mail-Domain einer Behörde kam. Das Unternehmen bestätigte den Vorfall am 12. September 2026, Medienberichten zufolge zunächst gegenüber TechCrunch.

Betroffen ist nach Angaben der Bank eine „begrenzte“ Zahl von Kunden. Eine Zahl nennt Revolut nicht. Auch die Behörde, deren Postfach missbraucht worden sein soll, bleibt ungenannt.

Was die Betrüger bekamen: das komplette digitale Ich

Die Benachrichtigungen an Betroffene lesen sich wie ein Komplettpaket für Identitätsdiebstahl. Laut den Berichten und der Mitteilung der Bank wurden herausgegeben:

• Namen, Geburtsdaten, Anschriften, Telefonnummern und E-Mail-Adressen
• Kopien von Reisepässen und Führerscheinen
• Verifizierungsselfies
• Kontoauszüge, IBANs, Kontostatus und vollständige Transaktionshistorien – einschließlich Krypto-Bewegungen

Revolut betont, Systeme und Kundengelder seien unberührt geblieben. Auf die Betroffenen aber wirkt das wie ein schwacher Trost: Ein Passwort kann man ändern. Einen Reisepass, ein Geburtsdatum, ein Gesicht nicht.

Die Technik funktionierte – das war das Problem

Die Anfrage habe die üblichen Prüfmechanismen bestanden, weil sie tatsächlich von einer legitimen Regierungsdomain stammte, heißt es in den Berichten. SPF, DKIM und DMARC prüfen die Herkunft einer Mail, nicht die Rechtmäßigkeit ihres Inhalts. Wer Zugriff auf ein echtes Behördenpostfach hat, umgeht damit jede Kontrolle, an der ein gefälschter Briefkopf scheitern würde.

Revolut spricht von einer „ausgeklügelten Impersonations-Attacke“, habe im vernünftigen Glauben an eine echte Amtsanfrage gehandelt, die Adresse nach Entdeckung gesperrt und Behörden, Polizei sowie Datenschutz- und Finanzaufsicht informiert. Ein Blockchain-Ermittler hatte den Fall Berichten zufolge öffentlich gemacht.

Der eigentliche Skandal heißt Vorratssammlung

Aus Sicht unserer Redaktion ist das kein exotischer Betriebsunfall, sondern die kalkulierbare Folge eines Systems, das Unternehmen zur Dauererfassung ihrer Kunden verpflichtet. KYC- und Geldwäscheregeln verlangen Ausweiskopien, Selfies, Adressnachweise – und die Aufbewahrung über Jahre. Revoluts eigene britische Datenschutzhinweise nennen in der Regel bis zu sieben Jahre nach Ende der Geschäftsbeziehung, in Einzelfällen länger.

Wer sein Konto kündigt, löscht also nicht sein Gesicht aus dem Archiv. Jede zusätzliche Pflicht, Dokumente zu scannen und zu speichern, vergrößert die Angriffsfläche – ob durch Hacks oder, wie hier, durch eine geschickt platzierte Mail.

Dass 2025 bei Discord nach einem Angriff auf einen externen Dienstleister Ausweisdokumente von rund 70.000 Nutzern exponiert wurden, gesammelt für Altersprüfungen, passt ins Muster. Und während Brüssel und Berlin weiter über flächendeckende digitale Identitätsprüfungen und Altersverifikation diskutieren, liefert dieser Fall das Argument der Gegenseite gratis mit.

Was Anleger daraus lernen können

Die Lektion ist unbequem: Jedes rein digitale Vermögen hängt an Datenbanken, Zugängen und Behördenschnittstellen, die Dritte kontrollieren. Wer Werte breit streuen will, kommt an der Frage nicht vorbei, welcher Teil seines Vermögens greifbar und außerhalb fremder Server liegt – physisches Gold und Silber erfüllen genau diese Funktion als Ergänzung in einem diversifizierten Portfolio.

Hinweis: Dieser Beitrag ist journalistische Information und keine Anlage-, Steuer- oder Rechtsberatung. Er spiegelt unsere Einordnung auf Basis der uns vorliegenden Informationen. Jede Anlageentscheidung erfordert eigene Recherche und liegt in der Verantwortung des Lesers.