Das Datenleck bei Revolut geht auf eine einzige, höflich formulierte E-Mail von einer offiziell wirkenden Behördenadresse zurück. Die britische Neobank gab daraufhin sensible Kundendaten heraus, darunter Ausweiskopien und Verifizierungs-Selfies. Betroffen sei nur eine begrenzte Zahl von Kunden, teilte das Unternehmen mit.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Die Angreifer knackten keine Firewall, sondern nutzten das Vertrauen in eine offizielle Absenderadresse. Genau diese Masche trifft jedes Unternehmen, das Daten auf behördliche Anfrage herausgibt.
Das Wichtigste in Kürze
- Angreifer stellten über eine legitime Behördendomain eine dringende Auskunftsanfrage an Revolut und erhielten daraufhin Kundendaten.
- Offengelegt wurden Name, Geburtsdatum, Anschrift, Ausweiskopien und Verifizierungs-Selfies sowie vollständige Kontoauszüge und Transaktionshistorien.
- Die Mail bestand die technische Prüfung, weil sie wirklich von der Behördendomain stammte. Kontrolliert wurde die Domain, nicht die Befugnis des Absenders.
- Dieselbe Masche traf 2021 bereits Apple, Meta und Discord. Das FBI warnt seit November 2024 vor einer Zunahme.
Wie kam der Betrüger an die Revolut-Daten?
Gefälschte Notfallanfrage steht im Kern des Vorfalls. Ein Unbekannter nutzte die legitime Domain einer Behörde und stellte darüber eine sogenannte Notfall-Datenanfrage, mit der Ermittler in Eilfällen ohne Gerichtsbeschluss Auskunft verlangen. Revolut hielt die Anfrage für echt und lieferte. Das Unternehmen spricht von einem raffinierten externen Identitätsbetrug, bei dem ein unbefugter Dritter eine echte Behördendomain missbrauchte.
Domain echt, Befugnis offen: Genau hier sitzt die eigentliche Schwachstelle. Verfahren wie SPF, DKIM und DMARC beweisen, dass eine Mail wirklich von der angegebenen Domain kommt. Ob der Absender die verlangten Daten überhaupt anfordern darf, bleibt dabei ungeprüft. Die Kontrolle endet an der Technik, bevor die Berechtigung beginnt.
Ohne Gerichtsbeschluss läuft eine Notfall-Datenanfrage bewusst schnell. In den USA dürfen Anbieter bei drohender Lebensgefahr Nutzerdaten freiwillig und sofort herausgeben, ohne die sonst übliche Prüfung. Kriminelle nutzen genau dieses Tempo, weil eine skeptische Rückfrage im behaupteten Notfall unangebracht wirkt. Die Täuschung zielt auf Menschen und Abläufe statt auf Software, ähnlich wie beim Telefonbetrug mit geklonten KI-Stimmen.
Warum ist Revolut kein Einzelfall?
Bekannte Masche: Der Vorfall reiht sich in eine ganze Serie ein. Das FBI warnte bereits im November 2024 vor einer Zunahme gefälschter Notfall-Datenanfragen und beschrieb, wie Täter kompromittierte oder nachgeahmte Behördenkonten nutzen, um bei Unternehmen Daten abzugreifen.[1] Im kriminellen Untergrund kursieren dem Bericht zufolge sogar Anleitungen für dieses Vorgehen.
Prominente Opfer gab es schon vor Revolut. 2021 erbeuteten die Gruppen Lapsus$ und Recursion Team mit gefälschten Notfallanfragen Nutzerdaten von Apple, Meta und Discord. Wie heikel offengelegte Ausweisdaten sind, zeigte zuletzt der Fall, in dem eine Million Reisepässe nach einem Datenleck öffentlich zugänglich waren. Gerade Finanzdienstleister sind ein lohnendes Ziel, wie der Betrugsfall bei Cash App zeigt.
Nicht die Technik hat versagt, sondern der Prozess dahinter. Eine echte Absenderdomain beweist die Herkunft einer E-Mail, niemals die Befugnis des Absenders.
— Michael Dobler, Herausgeber Dr. Web
Was bedeutet das für europäische Unternehmen?
DSGVO-Pflicht greift, sobald Ausweiskopien, Selfies oder Kontodaten in falsche Hände geraten. Ein solcher Vorfall gilt als meldepflichtige Datenschutzverletzung, die das Unternehmen binnen 72 Stunden der Aufsichtsbehörde melden muss. Die Verantwortung bleibt beim Anbieter, auch wenn die Daten über eine getäuschte Freigabe abfließen.
Rückkanal statt Reflex heißt die wichtigste Gegenmaßnahme. Bestätigen Sie jede behördliche Datenanfrage über einen unabhängig recherchierten Kanal, etwa eine offiziell veröffentlichte Rückrufnummer, statt der Absenderadresse zu vertrauen. Für Eilanfragen helfen feste Prüfschritte samt Aktenzeichen und ein Protokoll jeder Freigabe. Wie sich diese Grundlagen im Betrieb verankern lassen, zeigt der Überblick zu den Cybersecurity-Grundlagen für KMU.
Wie eine gefälschte Behördenanfrage sensible Kundendaten freilegte
Der eigentliche Fehler
Die technische Mail-Prüfung (SPF, DKIM, DMARC) bestätigt nur die Domain, nicht die Befugnis des Absenders. Genau diese Lücke zwischen Authentifizierung und Autorisierung nutzen die Täter.
Fazit für die Praxis: Behandeln Sie jede behördliche Datenanfrage als ungeprüft, bis ein unabhängiger Rückkanal sie bestätigt. Eine echte Absenderdomain ist ein schwaches Indiz, kein Freibrief für die Herausgabe sensibler Kundendaten.
FAQ: Datenleck bei Revolut
Sind Kundendaten bei Revolut jetzt generell unsicher?
Nein. Betroffen ist nach Angaben von Revolut nur eine begrenzte Zahl von Kunden, die das Unternehmen direkt informiert hat. Der Vorfall betrifft eine gezielt getäuschte Datenfreigabe, keinen breiten Einbruch in die Systeme der Bank.
Was ist eine Notfall-Datenanfrage (Emergency Data Request)?
Eine Notfall-Datenanfrage erlaubt Ermittlern, bei drohender Lebensgefahr sofort und ohne Gerichtsbeschluss Nutzerdaten von einem Anbieter zu verlangen. Das Tempo dieser Ausnahme nutzen Kriminelle aus, indem sie eine solche Anfrage mit gefälschter Absenderadresse stellen.
Wie erkennen Unternehmen eine gefälschte Behördenanfrage?
Ein sicheres Merkmal liefert nur der unabhängige Rückkanal: eine offiziell veröffentlichte Rückrufnummer der Behörde, ein geprüftes Aktenzeichen und ein fester Freigabeprozess. Die reine Absenderdomain der E-Mail genügt als Nachweis nicht.
Warum half die technische E-Mail-Prüfung nicht?
Verfahren wie SPF, DKIM und DMARC bestätigen nur, dass eine Mail wirklich von der angegebenen Domain stammt. Über die Befugnis des Absenders sagen diese Prüfungen nichts. Stammt die Nachricht von einer echten Behördendomain, besteht sie die technische Kontrolle.
Quelle
[1] FBI Internet Crime Complaint Center (IC3): „Easy Access to Information for Conducting Fraudulent Emergency Data Requests Impacts US-Based Companies and Law Enforcement Agencies“
Mehr Newshunger?
- Berliner Datenleck: 5,8 Terabyte Behördendaten im Darknet
- Datenleck bei Lidl: Warum der Dienstleister das eigentliche Einfallstor war
- Android umgeht die VPN-Sperre: Ein Keepalive im WLAN-Chip verrät die echte IP
- Datenleck bei Netze BW: Kriminelle greifen über einen Zähler-Dienstleister Stromkundendaten ab
- Wie sich eine Backdoor in einem LinkedIn-Jobangebot versteckte
