Revolut gibt Kundendaten preis: Bitcoin-Verlauf durch Behörden-Trick

Revolut hat bestätigt, dass sensible Kundendaten, darunter die vollständige Bitcoin-Transaktionshistorie, an eine unbefugte Person weitergegeben wurden. Möglich wurde dies, weil das Fintech auf eine vermeintlich legitime Anfrage einer Regierungsbehörde reagiert hatte. Die von Revolut preisgegebenen Bitcoin-Daten verließen das Unternehmen nicht durch einen Systemhack, sondern durch die Vordertür: Mitarbeiter übergaben sie in der Überzeugung, einer echten Behördenanfrage nachzukommen. Kein Server wurde geknackt, kein Passwort gestohlen.

Dieser Vorfall verdient eine genaue Betrachtung, denn das Problem lag nicht bei der Sicherheit der IT-Systeme oder der verwahrten Gelder, die beide unberührt blieben. Es ging um etwas Subtileres: die Frage, ob die anfragende Partei tatsächlich die war, die sie vorgab zu sein. Was genau geschah und warum dieser Fall als Musterbeispiel gelten kann, zeigen die folgenden Abschnitte.

Was genau geschah

Laut einer Bestätigung von Revolut selbst erhielt das Unternehmen Informationsanfragen über ein Postfach, das tatsächlich innerhalb der echten Domain-Infrastruktur einer Regierungsbehörde operierte. Es handelte sich also nicht um eine ähnlich klingende, aber leicht abweichende Adresse, ein Trick, der leichter zu erkennen wäre. Die Anfrage bestand die normalen technischen Authentifizierungsprüfungen, weil sie aus technischer Sicht tatsächlich von dieser Domain stammte.

Revolut bezeichnete den Vorfall als „ausgeklügelten externen Identitätsbetrug“ und erklärte, dass die Zahl der betroffenen Kunden begrenzt sei. Weder die genaue Zahl der Betroffenen noch die als Tarnung genutzte Behörde wurden offengelegt, eine bewusste Entscheidung, um anderen Unternehmen das Auffinden ähnlicher Nachrichten in eigenen Archiven zu erschweren. Nach Entdeckung der Unregelmäßigkeit sperrte Revolut die kompromittierte Adresse in allen internen Systemen und informierte die reale Behörde, Strafverfolgungsbehörden, Finanzaufsichten sowie zuständige Datenschutzbehörden.

Welche Daten wurden offengelegt

Den Benachrichtigungen an die betroffenen Kunden zufolge gehören zu den möglicherweise weitergegebenen Informationen: Ausweisdokumente, Wohnadressen, Kontaktdaten, Kontoauszüge, internationale Bankverbindungen, Abhebungshistorien sowie die vollständige Transaktionshistorie einschließlich Bitcoin-Bewegungen. Bei einem konkreten Punkt, nämlich Verifikationsselfies und biometrischen Daten, sind die kursierenden Informationen widersprüchlich. Einige Rekonstruktionen zählen sie zu den preisgegebenen Daten, während die offizielle Mitteilung von Revolut an betroffene Kunden laut Berichten angab, dass keine Gesichtsbiometrie betroffen sei. Hier ist Vorsicht angebracht, bis mehr Klarheit herrscht.

Ein in der Branche vielbeachteter Forscher, spezialisiert auf Blockchain-Transaktionsanalyse, beobachtete, dass der Vorfall offenbar gezielt Kunden mit hohem Vermögen ins Visier nahm. Das wirft eine Sorge auf, die über einfachen Datenschutz weit hinausgeht. Die Kombination aus verifizierter Identität, Wohnadresse und detaillierter Krypto-Besitzhistorie ist genau jener Datensatz, der sogenannte „Schraubenschlüssel-Angriffe“ ermöglicht: physische Übergriffe auf bekannte Inhaber großer Kryptovermögen. Zu den Personen, die öffentlich bestätigten, betroffen zu sein, gehört auch der ehemalige Geschäftsführer einer historischen Krypto-Handelsplattform, die heute vor allem durch ihren spektakulären Zusammenbruch bekannt ist.

Kein isolierter Vorfall

Ein Kontextelement macht diesen Vorfall noch bedeutsamer. Nur drei Tage zuvor hatte ein anderer großer Hersteller von Hardware-Wallets für Kryptowährungen einen in seiner Grundnatur ähnlichen Vorfall bestätigt: Ein für offizielle Kommunikation genutztes Konto war kompromittiert worden und versandte eine gefälschte Sicherheitswarnung an hunderttausende Abonnenten. Dieses Muster hatten wir bereits analysiert, als wir über die gefälschten Sicherheits-E-Mails berichteten, die BitBox- und Trezor-Nutzer betrafen.

Der gemeinsame Faden beider Vorfälle, trotz unterschiedlicher Details, ist derselbe: In keinem Fall wurde eine kryptografische Technologie gebrochen, sondern ein bereits bestehender Vertrauenskanal missbraucht, den Nutzer oder die Unternehmen selbst als sicher voraussetzten. Dasselbe Grundprinzip hatten wir auch bei anderen jüngeren Vorfällen in der Branche beobachtet, etwa beim verdächtigen Peg-out bei Liquid Network oder beim Exploit, der sechs Blockchains im Cosmos-Ökosystem traf. Es ist fast nie die grundlegende Kryptografie, die versagt, sondern die menschlichen und organisatorischen Prozesse, die darum herum aufgebaut wurden.

Security incident at Brevo, our third-party email provider

Trezor's third-party marketing e-mail provider, Brevo has been breached in an attack. Trezor has quickly taken down the domain and is investigating the situation.

TrezorTrezor TeamSharing insights on crypto, security & self-custody

Was betroffene Kunden jetzt tun sollten

Wer Revolut nutzt und befürchtet, betroffen zu sein, sollte den Status direkt über die offizielle App oder die offizielle Website prüfen, ohne auf eventuelle Links in erhaltenen E-Mails zu klicken. Gerade in den Tagen nach einem solchen Vorfall nutzen Betrüger die allgemeine Verwirrung aus, um ihrerseits gefälschte Nachrichten zu versenden. Das Risiko ist real und konkret.

Wer erhebliche Mengen an Kryptowährungen besitzt und dessen Identitätsdaten nun möglicherweise mit dem eigenen digitalen Vermögen verknüpft sind, sollte konkrete Vorsichtsmaßnahmen für die eigene physische und digitale Sicherheit treffen. Verdächtige Kommunikation, die echte persönliche Daten verwendet, um glaubwürdig zu wirken, verdient besondere Aufmerksamkeit. Einmal abgeflossene Informationen lassen sich nicht „zurückrufen“. Korrekte Verwahrungspraktiken zu kennen bleibt grundlegend, wie wir in unserem Leitfaden zu sicherer Kryptoverwahrung erläutern.

Die größere Lektion

Der Fall Revolut beleuchtet eine unbequeme, aber wichtige Realität. Wenn eine echte, verifizierte und dokumentierte Identität zusammen mit einer detaillierten Krypto-Besitzhistorie an unbefugte Dritte gelangt, entsteht ein Risiko, das weit über klassische IT-Sicherheitsbedenken hinausgeht. Es wird zu einer Frage der persönlichen, physischen Sicherheit, die die Krypto-Welt nur zu gut kennt und die sich zu den üblichen Sorgen über Hacks und Code-Schwachstellen hinzuaddiert.

Für Beobachter ergibt sich eine doppelte Lektion. Einerseits zeigt dieser Vorfall, dass KYC-Anforderungen, obwohl für die Regulierungskonformität notwendig, einen echten Kompromiss bedeuten: Je mehr Identifikationsdaten gesammelt und mit der Finanzaktivität einer Person verknüpft werden, desto größer ist der potenzielle Schaden, wenn diese Daten in die falschen Hände geraten. Dies gilt für BaFin-regulierte Anbieter und Neobanken gleichermaßen. Andererseits sollten Vorfälle wie dieser, die sich innerhalb weniger Tage bei verschiedenen Unternehmen der Branche ereigneten, jeden Finanzdienstleister, ob traditionell oder krypto-nativ, dazu veranlassen, nicht nur die technischen Abwehrmaßnahmen zu stärken, sondern vor allem die menschlichen Prozesse, mit denen Anfragen scheinbar legitimer Behörden geprüft werden. Sicherheit erweist sich einmal mehr als ebenso sehr eine Frage von Menschen und Verfahren wie von Code und Kryptografie.