Sehr unschöner Vorgang, der Kunden der "Digitalbank" Revolut betrifft. Die Bank informiert Kunden gerade über ein fettes Datenleck. Die Bank ist auf eine gefälschte Datenanforderung einer angeblichen Behörde hereingefallen und hat sensible Kundendaten (Ausweiskopien etc.) an Betrüger herausgegeben.
Wer ist Revolut?
Revolut ist eine digitale Bank (Neobank) mit Sitz in London. Die Bank bzw. der Neobroker wurde im Jahr 2015 von Nikolay Storonsky und Vlad Yatsenko in London gegründet. Revolut bietet ihre Finanzdienste komplett über eine Smartphone-App an.
Mir ist der Anbieter vor allem wegen diverser Praktiken, die Kunden einschränken, sowie Bußgelder von Italien (11 Mio. Euro) und Litauen (3,5 Mio. Euro) wegen unklarer Praktiken im Bereich Geldwäsche ein Begriff. Aber Revolt hat eine europäische Bankenlizenz und wird durch die Bafin reguliert.
Datenleck bei Revolut
Bereits zum 28. Juli 2026 berichtete die Berliner Zeitung in diesem Artikel, dass ein Cyberkrimineller im Darknet eine Datenbank mit angeblich 75 Millionen Einträgen der Neobank Revolut anbietet. Der Preis von 500 Dollar ließ das Angebot als "unseriös" gelten und das Unternehmen bestreitet einen aktuellen Sicherheitsvorfall.
Zum Samstag, den 12. September 2026, sind mir auf X mehrere Tweets (hier und hier) untergekommen, die über ein Datenleck bei der Revolut-Bank berichten. Die Bank informiert Kunden wohl über einen Vorfall, bei dem viele sensible Kundendaten abgeflossen sind.
Die potenziell offengelegten Daten umfassen Kopien von Pässen und Führerscheinen, Selfies zur Identitätsprüfung sowie persönliche Informationen (Namen, Geburtsdaten, Berufe, Postadressen, E-Mail-Adressen und Telefonnummern). Auch finanzielle Daten (IBAN, Kontoauszüge und vollständige Transaktionshistorien, einschließlich Bitcoin-Operationen) sind angeblich betroffen.
Die Quelle hier schreibt, dass sich das Datenleck hauptsächlich auf Kunden mit "hohem Vermögen" beschränken soll. Die sensiblen Daten dieser Kunden sollen direkt von der Revolt-Neobank an einen Akteur KYC (Kidnap Your Customer) weitergegeben worden sein.
KYC ist es wohl gelungen, die Bank über eine gefälschte behördlichen Anfrage zur Datenweitergabe zu täuschen und die Daten zu erhalten. Meinen Informationen nach hat der Akteur sogar eine eigene Domain dafür registriert. Der Artikel hier fasst einige Informationen zusammen. Auch Techcrunch hat es in diesem Beitrag aufgegriffen. Yahoo Finance hat diesen deutschsprachigen Beitrag veröffentlicht, in dem der Vorfall durch Revolt bestätigt wird.
MVP: 2013 – 2016
Tja, das ist das große Problem … Es nützt einem alles nichts, sein System im Griff zu haben und sauber zu halten, wenn die eigenen Daten dann bei Dritten abfließen, weil diese ihre Systeme nicht im Griff haben.
Da hier laut Artikel hauptsächlich „Big Player" betroffen sind, zieht vielleicht ja mal einer den Klageweg durch … Otto Normalverbraucher und Kleinbetriebe können sich das ja nicht leisten.
Das muss leichter, schneller und auf dem kleinen Dienstweg gehen, damit solche Firmen bei solchen Vorfällen richtig bluten dürfen!
Sind denn solche Anfragen nicht durch eine qualifizierte Signatur gesichert???