Revolut-Datenleck: Wenn die falsche Behörde anfragt

Revolut hat Kundendaten herausgegeben, weil Anfragen wie amtliche Auskunftsbegehren aussahen. Das Unternehmen bestätigte den Vorfall am 12. September gegenüber Reuters: Ein unberechtigter Dritter habe eine E-Mail-Adresse unter einer echten Behördendomain benutzt. Damit steht eine Frage im Zentrum, die über die Sicherheit einer Banking-App hinausgeht: Wie prüft eine Bank, wer private Unterlagen verlangen darf?

Was belegt ist – und was Angreifer behaupten

Die Financial Times berichtete von rund 680 betroffenen Kunden. In ihrem Bericht über die mutmasslichen Täter heisst es unter Berufung auf diese, die meisten Betroffenen stammten aus der Schweiz und Frankreich. Die Angreifer behaupten, über ein kompromittiertes italienisches Behörden-Mail-System über Monate Daten erlangt zu haben. Eine unabhängig bestätigte Aufschlüsselung für die Schweiz liegt den hier ausgewerteten Quellen nicht bei. Aus «680 Betroffenen» werden deshalb keine «680 Schweizer Opfer».

Die FT nennt unter anderem Ausweis- und Adressdaten als offengelegte Informationen. Revolut erklärte laut ihrem Bericht, die eigenen Systeme und Kundengelder seien sicher. Diese Aussage ist relevant, beantwortet aber eine andere Frage: Daten können ihre Vertraulichkeit verlieren, ohne dass gleichzeitig Geld vom Konto verschwindet.

Auch bei der Erpressung ist Genauigkeit nötig. Reuters berichtete am 16. September über eine von der FT beschriebene Forderung von drei Millionen Dollar. Revolut erklärte dazu, weder direkt kontaktiert worden zu sein noch eine direkte Forderung erhalten zu haben. Eine öffentlich verbreitete Drohung und eine beim Unternehmen eingegangene Zahlungsaufforderung sind nicht dasselbe.

Eine bekannte Schwachstelle im Behördenverkehr

Bereits am 4. November 2024 warnte das FBI in einer öffentlichen Mitteilung vor genau dieser Angriffsklasse: Kriminelle nutzten kompromittierte amerikanische und ausländische Behörden-Mailkonten für betrügerische Notfall-Datenanfragen an US-Unternehmen. In solchen Verfahren erzeugt die behauptete Dringlichkeit zusätzlichen Druck, Auskünfte rasch herauszugeben.

Die Warnung belegt nicht den konkreten Ablauf bei Revolut. Sie zeigt jedoch, dass die grundsätzliche Gefahr seit Jahren dokumentiert ist. Eine echte Domain bestätigt allein noch nicht, dass die Person dahinter befugt ist und der Inhalt einer Anfrage stimmt.

Das FBI empfiehlt den Empfängern, unter anderem die angeführten Rechtsgrundlagen, auffällige Signaturen und Logos auf Plausibilität zu prüfen. Bei Zweifeln sollen sie mit Absender und zuständiger Behörde Rücksprache halten. Die Mitteilung dokumentiert auch eine abgewiesene betrügerische Anfrage an PayPal. Solche Angriffe müssen also nicht erfolgreich sein.

Für Revolut bleiben damit konkrete Fragen: Welche Prüfung fand vor der Herausgabe statt? Wurde die zuständige Stelle unabhängig verifiziert? Und wurde kontrolliert, ob Umfang und Inhalt der verlangten Daten zum angeblichen Zweck passten? Die ausgewerteten öffentlichen Stellungnahmen beantworten diese Fragen nicht.

Schweizer Expansion braucht nachprüfbares Vertrauen

Der Vorfall fällt in eine Phase, in der Revolut seine Rolle in der Schweiz ausbauen will. Am 16. September teilte das Unternehmen mit, bei der FINMA eine Schweizer Banklizenz beantragt zu haben. Über fünf Jahre sollen mehr als 150 Millionen Franken investiert werden. Beides sind Unternehmensangaben; die Investition ist eine Ankündigung, kein bereits ausgegebener Betrag.

Nach eigener Darstellung zählt Revolut hierzulande über 1,3 Millionen Kunden. Diese werden derzeit von der in Litauen lizenzierten Revolut Bank UAB betreut. Die geplante Schweizer Bank würde eine neue lokale Struktur schaffen. Das Verfahren ist laut Revolut hängig, sein Ausgang offen.

Eine Lizenzankündigung klärt jedoch keinen Datenvorfall auf. Umgekehrt lässt das Datenleck allein keinen belastbaren Schluss auf den späteren FINMA-Entscheid zu. Für Kunden zählt vorerst die nachvollziehbare Auskunft, welche eigenen Unterlagen betroffen sind und welche Prüfungen künftig eine erneute Herausgabe verhindern sollen.