Revolut-Datenleck: Wenn die KYC-Akte selbst zum Sicherheitsrisiko wird

Am 12. September 2026 bestaetigte die britische Fintech-Bank Revolut ein Datenleck, das zeigt, wie verwundbar zentral gespeicherte KYC-Daten grundsaetzlich sind - unabhaengig davon, wie gut die eigentliche IT-Infrastruktur eines Anbieters gesichert ist.

Was genau passiert ist

Kein Hacker musste in Revoluts Systeme eindringen. Stattdessen nutzten die Angreifer eine kompromittierte E-Mail-Adresse innerhalb der echten Domain einer Regierungsbehoerde, um eine scheinbar legitime behoerdliche Datenanfrage zu stellen. Revolut beantwortete die Anfrage wie vorgesehen - und uebermittelte damit vertrauliche Kundendaten an Kriminelle.

Nach eigenen Angaben von Revolut blieben Systeme, App und Kundengelder unangetastet. Betroffen war ausschliesslich eine "begrenzte Anzahl" an Kundinnen und Kunden - eine genaue Zahl nannte das Unternehmen bislang nicht.

Welche Daten konkret betroffen waren

Laut den Benachrichtigungen an betroffene Kunden umfasste das Leck:

Identitaetsdaten: vollstaendiger Name, Geburtsdatum, Post- und E-Mail-Adresse, Telefonnummer, Beruf

Ausweisdokumente: Kopien von Reisepass oder Fuehrerschein, sowie die bei der Kontoeroeffnung eingereichten Verifizierungs-Selfies

Finanzdaten: Kontoauszuege, IBANs, Auszahlungsprotokolle und vollstaendige Transaktionshistorien - einschliesslich Bitcoin-bezogener Transaktionen

Gezielt gegen vermoegende Nutzer?

Der bekannte On-Chain-Ermittler ZachXBT vermutet, dass der Angriff gezielt auf vermoegende Nutzer abzielte. Laut Berichten von International Cyber Digest forderten die Angreifer zudem ein Loesegeld von Revolut und drohten andernfalls mit der Veroeffentlichung weiterer Daten - offenbar wurden bereits personenbezogene Informationen zu einzelnen Betroffenen oeffentlich geteilt.

Auffaellig: Nur wenige Tage zuvor meldete auch der Schweizer Bitcoin-Zahlungsdienstleister Swiss Bitcoin Pay einen aehnlich gelagerten moeglichen Vorfall - betroffen sollen dort E-Mail-Adressen, Bitcoin-Adressen, IBANs, Transaktionshistorien und gehashte Passwoerter sein.

Warum das mehr ist als ein Einzelfall

Der Revolut-Vorfall reiht sich in ein groesseres Muster ein. Erst kuerzlich wurde bekannt, dass beim IT-Dienstleister IDMerit rund eine Milliarde KYC-Datensaetze aus 26 Laendern offen zugaenglich waren. Das zugrunde liegende Problem ist strukturell: Banken und Fintechs sind gesetzlich verpflichtet, eingereichte Ausweisdokumente und Kundendaten ueber Jahre hinweg aufzubewahren. In der EU und Grossbritannien schreiben Geldwaesche-Vorschriften aktuell eine Aufbewahrung von mindestens fuenf Jahren nach Ende der Geschaeftsbeziehung vor. Erst ab Juli 2027 duerfen Unternehmen unter der neuen EU-AML-Verordnung teilweise nur noch auf Referenzen statt vollstaendiger Kopien zurueckgreifen.

Das bedeutet: Jede Bank, jeder Krypto-Broker und jedes Fintech, das KYC-Pflichten unterliegt, sitzt zwangslaeufig auf einem wachsenden Berg hochsensibler, langfristig gespeicherter Dokumente - ein einziger erfolgreicher Social-Engineering-Versuch reicht aus, um sie offenzulegen. Technische Sicherheit allein schuetzt davor nicht, wie der Revolut-Fall eindruecklich zeigt: Es musste kein einziges System kompromittiert werden.

Was das mit uns zu tun hat

Genau dieses strukturelle Risiko ist einer der Kerngruende, warum wir bei dontkyc.me Dienste listen, die von vornherein auf die Erhebung solcher Daten verzichten. Ein Dienst, der nie einen Ausweis oder ein Selfie verlangt, kann diese Daten auch nicht Jahre spaeter versehentlich an Betrueger herausgeben - unabhaengig davon, wie ausgefeilt der Angriff ist.

Praktischer Hinweis fuer alle, die selbst KYC-pflichtige Dienste nutzen müssen: Wer bereits Ausweisdokumente bei einer Bank oder einem Broker hinterlegt hat, kann das im Nachhinein nicht mehr rueckgaengig machen. Sinnvoll ist zumindest, bei jedem Anbieter separate, starke Passwoerter und 2FA zu nutzen, sowie besonders wachsam gegenueber ungewoehnlichen Kontaktversuchen zu sein, die sich als Bank oder Behoerde ausgeben.

Quellen: TechCrunch, The Block, The Register