Die britische Neobank Revolut hat bei einem raffinierten Betrugsfall die Daten von rund 680 Kunden an Cyberkriminelle weitergegeben. Die Täter hatten sich über eine echte Behörden-Domain als Regierungsmitarbeiter ausgegeben; nun fordern sie ein Lösegeld von 10.000 Bitcoin – umgerechnet rund 782 Millionen Dollar. Die britische Datenschutzaufsicht hat eine Prüfung eingeleitet.
Die britische Digitalbank Revolut muss sich mit einem schweren Datenvorfall auseinandersetzen, der für das Unternehmen zum denkbar ungünstigsten Zeitpunkt kommt. Nach Angaben der Bank sind rund 680 Kunden betroffen, deren sensible Daten an Cyberkriminelle weitergegeben wurden. Die Täter hatten sich zuvor über eine legitime E-Mail-Domain einer Regierungsbehörde als Behördenmitarbeiter ausgegeben und betrügerische Auskunftsanfragen gestellt [1] [2].
Die Zahl von rund 680 Betroffenen wurde zuerst von der „Financial Times“ berichtet, die von „fast 700“ Fällen sprach [3]. Revolut selbst hatte zunächst nur von einer „begrenzten“ Zahl betroffener Kunden gesprochen, die man direkt kontaktiert habe [1]. Der Vorfall beschäftigt inzwischen die britische Datenschutzaufsicht Information Commissioner’s Office (ICO), die eine Prüfung eingeleitet hat [1] [3].
So kamen die Täter an die Daten
Der Angriff folgte einem ungewöhnlichen Muster: Statt Systeme zu hacken, nutzten die Täter eine Schwachstelle im Vertrauensverhältnis zwischen Finanzinstituten und Behörden. Ein unbefugter Dritter erlangte offenbar Zugang zu einer echten E-Mail-Adresse einer Regierungsbehörde und verschickte darüber Datenabfragen an Revolut [1] [2].
Finanzinstitute sind gesetzlich verpflichtet, offiziellen Anfragen von Strafverfolgungs- oder Regierungsbehörden nachzukommen. Da die Mails von einer verifizierten Regierungsdomain kamen und gültige Authentifizierungsmerkmale trugen, behandelte das Compliance-Team von Revolut sie als echte rechtliche Anfragen und gab die geforderten Daten heraus [2] [3]. Erst durch eine spätere Nachfrage der Bank bei der Behörde fiel der Betrug auf [2].
„Revolut hat kürzlich einen ausgeklügelten externen Betrugsversuch identifiziert, bei dem ein unbefugter Dritter eine legitime E-Mail-Domain einer Regierungsbehörde nutzte, um betrügerische Auskunftsanfragen zu stellen“, sagte ein Sprecher des Unternehmens gegenüber dem manager magazin [1]. Welche Behörde imitiert wurde, ist bislang nicht bekannt; Revolut macht dazu keine Angaben [1] [2].
Welche Daten entwendet wurden
Die herausgegebenen Daten umfassen mehrere Kategorien sensibler Informationen. Nach Angaben des Fintechs und der „Financial Times“ gehören dazu Identitätsdaten wie Name, Geburtsdatum und Beruf, Kontaktdaten wie Post- und E-Mail-Adresse sowie Telefonnummern [2] [3]. Hinzu kommen Kopien von Identitätsdokumenten wie Reisepässen und Führerscheinen sowie das bei der Kontoeröffnung aufgenommene Verifizierungs-Selfie [2] [3].
Besonders heikel ist der Abfluss von Finanzdaten: Betroffen sind Kontoauszüge, IBAN-Nummern, Abhebungsbelege sowie vollständige Transaktionshistorien – einschließlich der Bitcoin-Aktivitäten der Kunden [2] [3]. Die biometrischen Gesichtserkennungsdaten, mit denen Revolut Selfies mit Ausweisdokumenten abgleicht, wurden nach Unternehmensangaben nicht weitergegeben [3].
Die Betroffenen verteilen sich über mehrere Länder. Nach Angaben von RTÉ sind zwölf Kunden in Irland betroffen, nach Berichten von El Español 25 in Spanien und 27 in Rumänien [3]. Auch eine niedrige zweistellige Zahl deutscher Kunden ist betroffen, darunter der Digitalunternehmer Felix Römer [1].
Die Erpressung
Nach dem Datenabfluss haben die Täter einen Erpressungsversuch gestartet. Eine Gruppe, die sich selbst „Revolut Smilik“ nennt, fordert ein Lösegeld von 10.000 Bitcoin – zum Zeitpunkt der Forderung umgerechnet rund 782 Millionen Dollar [3]. Die Gruppe drohte, täglich weitere Daten zu veröffentlichen, falls Revolut nicht zahlt [3].
Auf Telegram wurden bereits Ausweisdokumente und Selfies veröffentlicht, unter anderem des Tennisspielers Alexander Shevchenko sowie von Felix Römer, dem CEO des Online-Krypto-Casinos Gamdom [2]. Ob die veröffentlichten Dokumente tatsächlich echt sind und ob hinter dem Erpressungsversuch wirklich die Hacker stehen, ist bislang nicht unabhängig verifiziert [2]. Der frühere Mt.-Gox-Chef Mark Karpelès bestätigte öffentlich, eine Benachrichtigung erhalten zu haben [3].
Der On-Chain-Ermittler ZachXBT, der die Benachrichtigungen an Revolut-Kunden zuerst öffentlich machte, vermutet, dass gezielt vermögende Einzelpersonen ins Visier genommen wurden [2] [3]. Die Telegram-Gruppe wurde inzwischen gesperrt [3].
Reaktion von Revolut und Behörden
Revolut betont, dass die eigenen Systeme, Datenbanken und Kundengelder nicht kompromittiert wurden [1] [2]. Nach der Entdeckung habe man die betreffende Adresse umgehend gesperrt und sowohl die zuständige Regierungsbehörde als auch Strafverfolgungs-, Datenschutz- und Finanzaufsichtsbehörden informiert [1].
Die britische Datenschutzaufsicht ICO bestätigte, einen Bericht erhalten zu haben und die Informationen zu prüfen [3]. Auch die Finanzaufsicht Financial Conduct Authority (FCA) erklärte, mit dem Unternehmen in Kontakt zu stehen, um die Auswirkungen zu verstehen [3]. Revoluts europäische Banklizenz liegt bei der Revolut Bank UAB in Litauen, die von der Europäischen Zentralbank und der litauischen Zentralbank beaufsichtigt wird [3].
Konsequenzen für betroffene Kunden
Für die betroffenen Kunden ist das Risiko vor allem langfristiger Natur. Die Kombination aus Identitätsdokumenten, Verifizierungs-Selfies und vollständigen Transaktionshistorien – gerade bei vermögenden, kryptoaktiven Kunden – bietet Angreifern vielfältige Ansatzpunkte für Identitätsdiebstahl und gezielte Erpressung [3]. Einzelne Betroffene berichteten in sozialen Medien, dass die mutmaßlichen Betrüger direkt mit ihnen Kontakt aufgenommen hätten [1].
Revolut hat die betroffenen Kunden direkt informiert und zugesagt, sie zu unterstützen [1]. Kundengelder und private Schlüssel wurden nach Unternehmensangaben nicht entwendet [3]. Ob Revolut auf die Lösegeldforderung eingeht, ist nicht bekannt; nach Angaben von City AM standen beide Seiten bislang nicht in direktem Kontakt [3].
Einordnung
Der Fall trifft Revolut in einer heiklen Phase. Das 2015 gegründete Unternehmen ist mit mehr als 80 Millionen Kunden in über 30 Ländern Europas größtes Fintech und wurde zuletzt mit rund 115 Milliarden Dollar bewertet [1]. Anfang September erhielt Revolut zudem eine eingeschränkte Genehmigung der US-Bankenaufsicht OCC für eine nationale Banklizenz und strebt einen Markteintritt in den USA an [2] [3].
Der Vorfall zeigt, dass selbst gut geschützte Finanzinstitute anfällig für Angriffe auf ihre Prozesse bleiben – gerade dort, wo gesetzliche Auskunftspflichten auf verifizierte Absenderadressen treffen. Ob andere Banken oder Fintechs ähnliche Mails erhalten haben, ist bislang unklar [2]. Die britischen Aufsichtsbehörden dürften den Fall nun auch als Anlass nehmen, die Verifikationsprozesse für behördliche Datenanfragen genauer unter die Lupe zu nehmen [3].