Beim Revolut Datenleck wurden nach einer gefälschten Behördenanfrage Pässe, Adressen und vollständige Bitcoin-Transaktionshistorien von Kunden offengelegt. Die Zahl der Betroffenen hat das Fintech bislang nicht genannt.

Gefälschte Behördenmail durchbricht Revoluts Sicherheitssystem

Das Revolut Datenleck geht laut einem Bericht von CoinDesk vom 12. September 2026 auf eine gefälschte Anfrage einer Behörde zurück, die das Fintech-Unternehmen als echt einstufte. Die Nachricht kam von einem nicht autorisierten Konto, das die offizielle Domain der Behörde nutzte, und trug gültige Domain-Authentifizierungsmerkmale.

Weil die technischen Prüfungen unauffällig blieben, beantwortete Revolut die Anfrage wie ein reguläres behördliches Auskunftsersuchen. Erst ein späterer Kontakt mit der echten Behörde deckte auf, dass die Anfrage nie von dort stammte. Zu diesem Zeitpunkt waren die Kundendaten bereits übermittelt.

Auffällig ist, wie wenig technischer Aufwand für die Täuschung nötig war: Ein einzelnes kompromittiertes Konto auf einer vertrauenswürdigen Domain reichte aus, um ein etabliertes Sicherheitsverfahren auszuhebeln.

Bitcoin-Daten und Reisepässe massenhaft preisgegeben

Nach eigenen Angaben umfassten die übermittelten Unterlagen Pässe oder Führerscheine, Verifizierungs-Selfies, Namen, Geburtsdaten, Berufe, Wohnadressen, E-Mail-Adressen, Telefonnummern, IBANs, Kontoauszüge, Auszahlungsprotokolle und vollständige Transaktionshistorien einschließlich sämtlicher Bitcoin-Aktivität. Damit lagen neben den Identitätsdaten auch die komplette Handels- und Bewegungshistorie einzelner Kunden offen.

Revolut zählt nach eigenen Angaben mehr als 45 Millionen Kunden weltweit, ein Teil davon handelt Bitcoin direkt über die App des Anbieters. Das Unternehmen erklärte, Kundengelder seien zu keinem Zeitpunkt gefährdet gewesen, machte aber keine Angaben zur Zahl der betroffenen Konten. Berichten zufolge könnten gezielt vermögende Kunden im Fokus gestanden haben. Weitere Angaben zum Vorfall hat das Unternehmen im eigenen Newsroom bislang nicht ergänzt.

Das Ausmaß des Revolut Datenlecks unterscheidet sich damit von klassischen Phishing-Fällen: Betroffen sind nicht Zugangsdaten einzelner Konten, sondern vollständige Kundenprofile samt Bitcoin-Historie, wie sie sonst nur Aufsichtsbehörden mit richterlichem Beschluss erhalten.

Eigenverwahrung schützt vor Behördenzugriff

Der Vorfall zeigt ein strukturelles Problem zentraler Verwahrstellen: Wer Bitcoin auf einer Plattform hält, überlässt damit einem Dritten neben den Coins auch die gesamte Transaktionshistorie, die dieser auf Anfrage herausgeben kann, ob echt oder gefälscht. Bei Selbstverwahrung mit eigenen privaten Schlüsseln existiert diese zentrale Angriffsfläche nicht in derselben Form.

Wir berichteten über frühere Fälle, in denen Nutzerdaten bei zentralen Anbietern in falsche Hände gerieten.

Offen bleibt, wie viele Kunden vom Revolut Datenleck betroffen sind und ob Aufsichtsbehörden Konsequenzen ziehen. Es verdeutlicht, dass Verwahrungsrisiko über Kursfragen hinausgeht und auch die Kontrolle über die eigene Identität betrifft.