Am 12. September 2026 bestatigte Revolut, dass es sensible KYC-Kundendaten an einen unbefugten Dritten weitergegeben hat. Keine Server wurden gehackt. Kein Malware wurde eingesetzt. Keine Zero-Days wurden ausgenutzt. Der Angreifer sandte einfach eine E-Mail, die so aussah, als kam sie von einer Regierungsbehorde, und Revolut kam nach.
Dies ist die Sicherheitslucke, die jedes Fintech, jede Bank und jede regulierte Finanzplattform auf dem Planeten erschrecken sollte. Nicht wegen dessen, was gestohlen wurde, sondern wegen der trivialen Leichtigkeit, mit der es gestohlen werden konnte.
Was Passiert Ist
Eine unbefugte Partei erstellte oder kompromittierte ein E-Mail-Konto innerhalb der Domain-Infrastruktur einer legitimen Regierungsbehorde. Diese E-Mail trug gueltige Domain-Authentifizierungsanmeldeinformationen (SPF, DKIM, DMARC), was bedeutete, dass sie alle automatischen Prufungen bestand, die bestatigen sollten, dass eine Nachricht tatsaechlich von einer Regierungsautoritat stammt.
Revolut erhielt die Anfrage. Mitarbeiter bearbeiteten sie. Die Daten wurden ubergeben. Der Betrug wurde erst spaeter entdeckt, als Revolut unabhangig die Regierungsbehorde kontaktierte, um die Anfrage zu uberprufen, und die Behorde bestatigte, sie nie gesendet zu haben.
Was Gestohlen Wurde
Das offengelegte Datenpaket war ein vollstandiges KYC-Dossier:
- Identitatsdaten: vollstandiger Name, Geburtsdatum, Beruf
- Kontaktdaten: Postadresse, E-Mail-Adresse, Telefonnummer
- Dokumentenkopien: Reisepass und/oder Fuhrerschein
- Verifizierungsdaten: Gesichtsverifizierungs-Selfie (keine biometrische Telemetrie, laut Revolut)
- Finanzdaten: Kontoauszuge mit IBAN, Kontostatus, Eröffnungsdatum, Wallet-Referenznummern und vollstandige Transaktionshistorie einschliesslich Bitcoin
Der Kryptosicherheitsforscher ZachXBT bewertete den Vorfall als gezielt auf wohlhabende Nutzer, was darauf hindeutet, dass es sich um eine Prazisionsoperation handelte, die auf den Aufbau von Profilen wohlhabender Personen abzielte.
Warum Das Zahlt: Die Vertrauenskette Ist die Angriffsflache
Jedes Fintech und jede Bank der Welt unterliegt einer Compliance-Pflicht, auf legitime Regierungsdatenanfragen zu reagieren. Das ist nicht optional. Es ist in KYC/AML-Vorschriften in jeder Gerichtsbarkeit verankert. Wenn eine Regierungsbehorde Kundendaten anfordert, wird von regulierten Institutionen erwartet, dass sie schnell nachkommen.
Revolut's Sicherheitslucke nutzte keine Schwachstelle in ihrem Code, ihrer Cloud-Infrastruktur oder Mitarbeitendanmeldedaten aus. Sie nutzte die Vertrauenskette zwischen Regierungsbehorden und regulierten Finanzinstitutionen aus. Der Angreifer verstand, dass:
- Regierungsanfragen normale Datenzugriffsfreigaben umgehen
- Domain-Authentifizierung (SPF/DKIM/DMARC) den Absender validiert, nicht die Absicht
- Compliance-Teams darauf trainiert sind, schnell auf Regierungsanfragen zu reagieren
- Ruckrufverifizierung in den meisten Organisationen nicht Standardpraxis ist
Dies ist Social Engineering auf institutioneller Ebene. Der Angreifer musste keinen Mitarbeiter dazu bringen, auf einen Phishing-Link zu klicken. Er musste einen gesamten Compliance-Prozess taeuschen.
Das Systemische Problem
Revolut ist hier nicht einzigartig betroffen. Jedes Fintech, jede Neobank und jede Finanzinstitution, die Regierungsdatenanfragen per E-Mail erhält, ist derselben Exposition ausgesetzt. Der Angriffsvektor ist:
- Regierungsanfragen per E-Mail, die die Domain-Authentifizierung bestehen
- Keine Rueckrufverifizierung bei der anfragenden Behorde ueber einen separaten, voreingestellten Kanal
- Compliance-Dringlichkeit, die Geschwindigkeit vor Verifizierung priorisiert
- Begrenzte Offenlegung (Revolut lehnte es ab, die Regierungsbehorde oder betroffene Maerkte zu nennen)
Die Tatsache, dass Revolut nicht offengelegt hat, welche Regierungsbehorde imitiert wurde, bedeutet, dass andere Finanzinstitutionen identische Anfragen vom selben kompromittierten Posteingang erhalten haben koennten, ohne es jemals zu wissen.
Was Fintechs und Banken Jetzt Tun Sollten
Wenn Sie Compliance oder Sicherheit an einer regulierten Finanzinstitution leiten, verlangt dieser Vorfall:
-
Rueckrufverifizierung fuer alle Regierungsdatenanfragen implementieren. Jede Anfrage sollte ueber einen separaten, voreingestellten Kommunikationskanal (Telefonnummer, sicherer Portal oder persoenlicher Kontakt) verifiziert werden, bevor Daten freigegeben werden.
-
Ihre rechtlichen Anfragelogbooks prufen. Ohne zu wissen, welche Behorde bei Revolut imitiert wurde, sollte jedes Fintech eingehende Regierungsanfragen der letzten 6 Monate auf Anomalien pruefen.
-
Einen obligatorischen Zeitverzug fuer nicht-dringende Regierungsanfragen einfuehren. Compliance-Teams sollten die Befugnis haben, ein 24-48-stuendiges Verifizierungsfenster vor der Erfuellung von Datenanfragen ohne Gerichtsbeschluss durchzusetzen.
-
Compliance-Teams in institutionellem Phishing schulen. Das ist nicht der CEO-Betrug-ueberweisungs-Scam. Das ist eine raffinierte Imitation einer Regierungsautoritaet mit gueltigen Domain-Anmeldeinformationen.
-
E-Mail-Authentifizierungsueberwachung einsetzen. Ueberwachen Sie neu erstellte Konten innerhalb von Regierungsdomains, die Anfragen an Ihre Organisation senden.
-
Bedrohungsintelligenz zu Regierungsimitationskampagnen einbinden. Revolut's Sicherheitslucke koennt Teil einer breiteren Kampagne sein, die Fintechs als Ziel hat.
Das Groessere Bild
Revolut erwog offenbar einen Borsengang, der das Unternehmen mit 200 Milliarden Dollar bewerten koennte. Kuerzlich erhielt es eine bedingte Genehmigung fuer eine US-Banklizenz und expandiert nach Indien, Mexiko, Frankreich und den VAE. Diese Sicherheitslucke trifft den Kern dessen, was Fintechs vertrauenswuerdig macht.
Die unbequeme Wahrheit ist, dass KYC-Compliance einen Honigtopf erzeugt. Je mehr Kundendaten ein Fintech erhebt, desto wertvoller werden diese Daten fuer Angreifer. Und der Regierungsanfragenkanal ist die Hintertuer, die jede technische Kontrolle umgeht.
Vertrauen ist nicht nur ein Markenasset. Es ist die Angriffsflache. Und im Moment ist sie weit offen.
Quellen
- TechCrunch: Revolut bestaetigt Datenschutzverletzung durch gefaelschte Regierungsanfragen (12. Sep. 2026)
- SecurityAffairs: Revolut gab KYC-Daten preis nachdem gefaelschte Regierungs-E-Mail Sicherheitspruefungen bestand (12. Sep. 2026)