14. September 2026, 17:50 Uhr | Lesezeit: 3 Minuten
Das britische Unternehmen Revolut ist Opfer von Identitätsbetrug geworden. Angreifer sollen sich als Mitarbeiter einer echten Behörde ausgegeben und Auskunftsersuchen an das Unternehmen gestellt haben. Revolut hielt die Anfragen offenbar für legitim und soll daraufhin sensible, personenbezogene Kundendaten herausgegeben haben. Betroffen sind unter anderem Ausweisdokumente, Verifizierungs-Selfies und Transaktionsdaten.
Was über den Vorfall bekannt ist
Nach Angaben von Revolut, die den Vorfall gegenüber Medienportalen offiziell bestätigt haben, wurde das Unternehmen nicht Opfer eines klassischen Cyberangriffs. Stattdessen soll ein unbefugter Dritter eine E-Mail über die Domain einer Behörde verschickt und sich damit als berechtigter Ansprechpartner ausgegeben haben. Für das Fintech-Unternehmen schien die Anfrage glaubwürdig.
Erst später habe sich herausgestellt, dass die E-Mail nicht von einer autorisierten Person stammte. Revolut beschreibt den Vorfall als „ausgeklügelten Betrug durch Identitätsdiebstahl“.
Welche Daten sind betroffen?
Besonders kritisch ist die Art der möglicherweise offengelegten Informationen. Laut einem Bericht des Online-Magazins „TechCrunch“ könnten folgende Daten betroffen sein:
- Identitäts- und Kontaktdaten einschließlich Geburtsdaten
- Post- und E-Mail-Adressen
- Telefonnummern
- Kopien von Ausweisdokumenten, darunter Reisepässe und Führerscheine
- Verifizierungs-Selfies
- Kontoauszüge
- Transaktionsverläufe
Wie ein Revolut-Nutzer am 11. September auf X berichtete, seien außerdem IBANs, Auszahlungsnachweise und vollständige Transaktionsverläufe, einschließlich Bitcoin-Transaktionen, weitergegeben worden. Die eigenen Systeme seien allerdings zu keinem Zeitpunkt kompromittiert worden, betont das Unternehmen. Auch Kundengelder sollen von dem Vorfall nicht betroffen gewesen sein.
Viele Fragen bleiben offen
Revolut spricht von einer „begrenzten“ Zahl betroffener Kunden. Eine konkrete Zahl wurde bislang jedoch nicht genannt. Auch unklar ist, aus welchen Ländern die Betroffenen kommen. Die Bank hat nach eigenen Angaben über 80 Millionen Kunden in über 30 Ländern.
Wie Revolut gegenüber TechCrunch erklärte, reagierte das Unternehmen nach Entdeckung des Vorfalls umgehend. Demnach wurde die E-Mail unmittelbar nach Entdeckung des Vorfalls gesperrt und die betroffene Behörde informiert. Außerdem wurden bereits Strafverfolgungsbehörden sowie Datenschutz- und Finanzaufsichtsbehörden eingeschaltet.
So lässt sich herausfinden, was Apple alles über eine Person weiß
Nach Hackerangriff auf Berlin – so reagieren Nutzer richtig
Welche Rechte haben Betroffene
Auch wenn keine Passwörter oder Kundengelder abgeflossen sein sollen, sind die potenziell offengelegten Informationen äußerst sensibel. Mit Ausweiskopien, persönlichen Daten und Kontoinformationen lassen sich gezielte Betrugsversuche vorbereiten. Betroffene sollten deshalb in den kommenden Wochen besonders aufmerksam auf ungewöhnliche E-Mails, SMS oder Anrufe reagieren.
Auch interessant: Klarna koppelt Kreditkarte künftig an kostenpflichtiges Abo
Für Kunden sieht die Datenschutz-Grundverordnung (DSGVO) mehrere Rechte vor. Laut „Netz Trends“ kann nach Artikel 15 DSGVO Auskunft darüber verlangt werden, welche personenbezogenen Daten betroffen sind und an wen sie möglicherweise weitergegeben wurden. Eine entsprechende Anfrage kann direkt an Revolut Bank UAB gerichtet werden. Außerdem besteht nach Artikel 77 DSGVO die Möglichkeit, Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde am eigenen Wohnort einzureichen. Diese würde anschließend an die für Revolut Deutschland zuständige Behörde in Litauen weitergeleitet.
Möglicher Schadensersatz
Darüber hinaus könnten unter Umständen Schadensersatzansprüche bestehen. Artikel 82 DSGVO sieht Ersatz für materielle und immaterielle Schäden vor. Ob ein solcher Anspruch tatsächlich besteht, hängt jedoch vom jeweiligen Einzelfall ab.
Offen ist zudem die Frage, ob Revolut alle gesetzlichen Meldepflichten eingehalten hat. Nach Artikel 33 DSGVO müssen Datenschutzverletzungen grundsätzlich innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden.