Revolut hat Kopien von Reisep\u00e4ssen, Verifizierungs-Selfies und vollst\u00e4ndige Bitcoin-Transaktionsverl\u00e4ufe ausgew\u00e4hlter Kunden an einen Betr\u00fcger \u00fcbergeben, der eine Regierungsbeh\u00f6rde imitierte. Die betroffenen Konten selbst wurden nicht geleert, doch die Kombination aus echter Identit\u00e4t, Wohnadresse und dokumentiertem Kryptow\u00e4hrungsbesitz macht den Fall f\u00fcr verm\u00f6gende Halter zu einem konkreten Sicherheitsproblem, das \u00fcber den klassischen Datenschutz hinausgeht.<\/p>
Mehrere Revolut-Kunden erhielten am Freitag, dem 11. September 2026, eine Warn-E-Mail. Kurz danach l\u00f6ste der On-Chain-Ermittler ZachXBT \u00f6ffentlich Alarm aus. Ausl\u00f6ser war ein nicht autorisiertes Konto, das eine Datenanfrage \u00fcber die echte E-Mail-Domain einer Regierungsbeh\u00f6rde an Revolut schickte.<\/p>
Die Nachricht bestand die internen Authentifizierungspr\u00fcfungen, weshalb Revolut die Dateien verschickte, bevor separat verifiziert wurde, ob die Anfrage tats\u00e4chlich von der Beh\u00f6rde stammte. Erst der sp\u00e4tere Kontakt auf anderem Weg brachte den Betrug ans Licht.<\/p>
Offengelegt wurden vollst\u00e4ndige Namen, Geburtsdaten, Beruf, Wohnadressen, E-Mail-Adressen und Telefonnummern, dazu Ausweiskopien, Reisep\u00e4sse oder F\u00fchrerscheine sowie die Verifizierungs-Selfies aus dem Onboarding. Auf der Bankseite kamen IBAN, Kontostatus, Er\u00f6ffnungsdatum, Kontoausz\u00fcge, Abhebungsprotokolle und der vollst\u00e4ndige Transaktionsverlauf hinzu, einschlie\u00dflich s\u00e4mtlicher Bitcoin-Bewegungen und Wallet-Referenzen. Passw\u00f6rter, Zugangsdaten, Codes und biometrische Daten blieben laut Revolut au\u00dfen vor, von den Konten wurde kein Geld bewegt. Wie viele Personen betroffen sind, hat das Unternehmen nicht bekannt gegeben.<\/p>
Die Protokolle SPF, DKIM und DMARC belegen nur, dass eine E-Mail tats\u00e4chlich von den Servern einer bestimmten Domain verschickt wurde. Sie beweisen nicht, dass die Person an der Tastatur befugt ist, Kundendaten anzufordern. Landet ein echtes Beh\u00f6rdenpostfach in den falschen H\u00e4nden, geben alle automatischen Pr\u00fcfungen gr\u00fcnes Licht, w\u00e4hrend der eigentliche Betrug auf Protokollebene unsichtbar bleibt.<\/p>
Genutzt wurde der Kanal der Notfall-Datenanfragen, \u00fcber den Beh\u00f6rden bei unmittelbarer Gefahr schnell an Nutzerdaten kommen, ohne den langsameren Weg \u00fcber einen gerichtlichen Beschluss. Das System funktioniert bewusst eher auf Vertrauen als auf Verifizierung, was es zugleich angreifbar macht. Bereits 2022 nutzten T\u00e4ter kompromittierte Polizeikonten, um mit gef\u00e4lschten Notfallanfragen Daten von Meta, Apple, Discord und Snap<\/a> zu erhalten. Der Fall Revolut ist dieselbe Methode, angewendet auf Krypto-Verm\u00f6gen statt auf klassische Kontodaten. Welche Beh\u00f6rde konkret imitiert wurde und ob ein Postfach von au\u00dfen gehackt oder von innen missbraucht wurde, bleibt wegen der laufenden Ermittlung offen. F\u00fcr regulierte Verwahrer digitaler Verm\u00f6genswerte, wie sie zuletzt etwa bei institutionellen Custody-Partnerschaften<\/a> entstehen, ist genau diese Trennung zwischen Authentifizierung und Autorisierung der eigentliche Pr\u00fcfstein.<\/p> ZachXBT ordnete den Vorfall nach der Kundenwarnung als begrenzt ein und beschrieb die Betroffenen als offenbar unter den verm\u00f6gendsten Revolut-Kunden ausgew\u00e4hlt. Diese Einsch\u00e4tzung stammt vom Ermittler selbst, eine best\u00e4tigte Opferzahl liegt nicht vor.<\/p> Entscheidend ist die Kombination der Daten: ein echter Name, die Wohnadresse, ein Ausweisdokument mit Foto und der dokumentierte Nachweis, dass die Person Kryptow\u00e4hrungen h\u00e4lt. Genau dieses Set eignet sich f\u00fcr physische Erpressung statt f\u00fcr Fernangriffe auf ein Wallet, weshalb Adressprivatsph\u00e4re f\u00fcr wohlhabende Halter eine Sicherheitsfrage ist, kein Komfortmerkmal. Bei der Einordnung solcher Risiken lohnt sich der Blick auf regulierte Verwahrmodelle, wie sie etwa im Kontext von institutionellem Bitcoin-Zugang \u00fcber gepr\u00fcfte Verwahrer<\/a> diskutiert werden.<\/p> Wer die Warn-E-Mail erhalten hat, sollte mit ma\u00dfgeschneidertem Phishing rechnen, das reale Kontobewegungen oder Kontoausz\u00fcge zitiert und dadurch glaubw\u00fcrdiger wirkt als generische Betrugsversuche. Reisepass und F\u00fchrerschein gelten als kompromittiert und sollten dem jeweiligen Betrugspr\u00e4ventionsdienst gemeldet werden, erg\u00e4nzt durch eine vorsorgliche Sperre von Kreditanfragen.<\/p> Wer Kryptow\u00e4hrungen h\u00e4lt, sollte Best\u00e4nde und Wallet-Besitz nicht \u00f6ffentlich best\u00e4tigen und pr\u00fcfen, wer die eigene Adresse kennt. Betroffene k\u00f6nnen von Revolut au\u00dferdem eine genaue Kopie der \u00fcbergebenen Daten verlangen, einschlie\u00dflich des Nachweises, an wen diese versendet wurden. Laut CoinDesk<\/a> und IT Boltwise<\/a> hat Revolut die betroffenen Nutzer sowie Aufsichtsbeh\u00f6rden informiert und die genutzte Absenderadresse gesperrt, ohne eine konkrete Zahl der Betroffenen zu nennen.<\/p>","protected":false},"excerpt":{"rendered":" Das Revolut-Datenleck legte Identit\u00e4ten und Bitcoin-Verl\u00e4ufe offen: Betroffene m\u00fcssen mit gezieltem Phishing und weiteren Betrugsversuchen rechnen.<\/p>\n","protected":false},"author":782,"featured_media":202513,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[42],"tags":[],"editors":[],"sponsored_companies":[],"class_list":["post-202514","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-finanz-news"],"acf":[],"yoast_head":"\nZachXBT: kleine Gruppe, gezieltes Risiko<\/strong><\/h2><\/span>
Was betroffene Kunden jetzt tun sollten<\/strong><\/h2><\/span>