Revolut hat nach Informationen der Nachrichtenagentur Reuters vertrauliche Kundendaten an Betrüger übermittelt, nachdem diese eine gefälschte Anfrage einer staatlichen Stelle vorgelegt hatten. Die Täter nutzten dafür eine elektronische Adresse mit staatlicher Internet-Domain – ein Detail, das den Antrag offenbar glaubwürdig erscheinen ließ.
Welche Daten im Einzelfall tatsächlich weitergegeben wurden, ist in der vorliegenden Darstellung nicht abschließend ausgewiesen. Möglich ist jedoch, dass die Betrüger auf besonders sensible Informationen zugreifen konnten: auf Anschriften und Telefonnummern, Kopien von Ausweisdokumenten, für die Identitätsprüfung eingereichte Selbstporträts, Kontoauszüge sowie die Transaktionshistorie von Kundinnen und Kunden.
Der Vorgang zeigt damit nicht lediglich einen missbräuchlichen Zugriff auf einzelne Kontaktdaten. Im Zentrum steht ein Verfahren, bei dem sich die Täter als staatliche Stelle ausgaben und Revolut dazu brachten, eine Anfrage als legitim zu behandeln. Der entscheidende Hebel war somit die vorgetäuschte Herkunft des Schreibens, nicht der direkte technische Zugriff auf ein Kundensystem.
Eine staatliche Internet-Domain wurde zum Täuschungsmittel
Nach der von Reuters berichteten Rekonstruktion verschickten die Betrüger ihre Anfragen von einer elektronischen Adresse mit staatlicher Domain. Eine solche Absenderadresse sollte den Eindruck vermitteln, dass die Aufforderung von einer Behörde stamme. Revolut vertraute auf diese Darstellung und übermittelte daraufhin Kundendaten an die Täter.
Damit bestand die Täuschung aus zwei aufeinander abgestimmten Schritten: Die Betrüger erzeugten zunächst den Anschein einer amtlichen Anfrage und erhielten anschließend Zugang zu Informationen, deren Herausgabe an eine tatsächlich zuständige Stelle möglich erscheinen sollte. Die vorgetäuschte Behördenidentität ersetzte dabei offenbar die ausreichende Prüfung, ob die Anfrage wirklich von der angegebenen Institution stammte.
Die elektronische Adresse war nach dieser Darstellung also kein nebensächliches Detail. Sie bildete den Kern des Betrugs, weil sie die Herkunft der Anfrage scheinbar bestätigte. Für die betroffenen Kundinnen und Kunden bedeutete das, dass nicht sie selbst zur Zielscheibe einer direkten Kontaktaufnahme wurden, sondern ihre bei Revolut gespeicherten Identitäts- und Finanzdaten über eine manipulierte Anfrage angefordert wurden.
Betroffen waren besonders sensible Identitäts- und Finanzdaten
Die mögliche Datenweitergabe umfasst mehrere Kategorien, die zusammen ein detailliertes Bild einer Person ergeben können. Anschrift und Telefonnummer erlauben eine direkte Kontaktaufnahme. Kopien von Dokumenten und Selbstporträts aus der Identitätsprüfung können dagegen Informationen enthalten, die zur Zuordnung oder zur weiteren Täuschung einer Person verwendet werden können.
Hinzu kommen Kontoauszüge und die Geschichte der Transaktionen. Diese Angaben reichen über reine Identifikationsmerkmale hinaus: Sie können finanzielle Bewegungen und die Nutzung des Kontos sichtbar machen. Nach den vorliegenden Informationen könnten genau solche Unterlagen neben den persönlichen Kontaktdaten und Identitätsnachweisen offengelegt worden sein.
Die Formulierung, dass Daten offengelegt worden sein könnten, markiert zugleich die Grenze des derzeit feststehenden Sachverhalts. Bestätigt ist die von Reuters berichtete Übermittlung von Kundendaten an Betrüger nach einer gefälschten Behördenanfrage. Nicht für jede einzelne Datenkategorie ist in der vorliegenden Darstellung ausgewiesen, dass sie tatsächlich in jedem betroffenen Fall weitergegeben wurde.
Die Schwachstelle lag in der Prüfung der Anfrage
Der Fall macht den Mechanismus der Täuschung nachvollziehbar: Die Betrüger mussten nicht selbst nach den Daten suchen, sondern brachten den Anbieter dazu, die angeforderten Informationen herauszugeben. Dafür nutzten sie die äußere Form einer amtlichen Kommunikation und eine Adresse, die wegen ihrer staatlichen Domain als vertrauenswürdig erscheinen konnte.
Die Verantwortung für die Übermittlung lag bei Revolut, während die Kundinnen und Kunden die möglichen Folgen tragen. Sie waren nicht die Urheber der Anfragen und hatten keinen Einfluss darauf, dass die vorgelegte Kommunikation als echt behandelt wurde. Die Betrüger profitierten dagegen davon, dass die Anfrage ihre gewünschte Wirkung entfaltete: Revolut gab Informationen weiter, die andernfalls geschützt geblieben wären.
Besonders schwer wiegt die mögliche Verbindung von Identitäts- und Finanzdaten. Selbstporträts zur Verifizierung, Dokumentkopien, Kontoauszüge und Transaktionsdaten stehen jeweils für unterschiedliche Informationen. Werden sie im Zusammenhang offengelegt, entsteht ein umfassender Datensatz über die betroffene Person und ihre finanziellen Aktivitäten.
Der bestätigte Vorgang bleibt von möglichen Folgen zu trennen
Aus dem berichteten Ablauf folgt nicht automatisch, dass jede der genannten Informationen bei allen betroffenen Kundinnen und Kunden offengelegt wurde. Fest steht jedoch der zentrale Vorgang: Betrüger verwendeten eine gefälschte Anfrage, die angeblich von einer staatlichen Stelle stammte, und Revolut übermittelte daraufhin vertrauliche Kundendaten.
Damit liegt der entscheidende Schaden bereits in der Weitergabe an die falschen Empfänger. Die Anfrage war nicht amtlich, die Absenderadresse diente der Täuschung, und die möglichen Informationen reichen von Kontaktdaten über Identitätsnachweise bis zur finanziellen Historie. Der aktuelle bestätigte Konsequenz des Falls ist deshalb die Übermittlung von Kundendaten an Betrüger infolge einer nicht als echt erkannten Behördenanfrage.
