Revolut räumt Datenabfluss nach gefälschter Behördenanfrage ein und nennt keine Betroffenenzahl

Revolut hat einen Abfluss von Kundendaten eingeräumt: Ein unbefugter Dritter habe über die E-Mail-Domain einer echten Behörde betrügerische Auskunftsersuchen gestellt, daraufhin seien Daten herausgegeben worden. So schildern es TechCrunch und Cointelegraph übereinstimmend, beide berichteten am 12. September 2026. Eine eigene Mitteilung des Unternehmens liegt nicht vor. Stand: 14. September 2026.

Wie viele Menschen betroffen sind, sagt Revolut nicht. Gegenüber beiden Redaktionen sprach das Unternehmen von einer „begrenzten“ Zahl von Kundinnen und Kunden, eine konkrete Zahl nannte es nicht. Das ist der Kern dieser Meldung: Die Größe des Vorfalls ist genau die Angabe, die fehlt.

Was Revolut offenlässt: Zahl, Markt und Behörde

Auf die Frage von TechCrunch, ob der Vorfall auf einen bestimmten Markt begrenzt ist, antwortete das Unternehmen nicht; die beteiligte Behörde nannte es ebenfalls nicht. Ob deutsche Kundinnen und Kunden dabei sind, geht aus den vorliegenden Berichten nicht hervor.

Revolut hat nach eigenen Angaben weltweit mehr als 80 Millionen Kundinnen und Kunden, Stand September 2026, und arbeitet in mehr als 30 Ländern als Bank. Beides sind Mindestwerte, ein Anteil der Betroffenen ergibt sich daraus nicht.

Ein Sprecher von Revolut erklärte gegenüber TechCrunch, das Unternehmen habe die betroffenen Kundinnen und Kunden direkt kontaktiert. Von außen prüfen lässt sich das nicht. Wer keine Nachricht bekommen hat, kann daraus nicht schließen, nicht betroffen zu sein.

Welche Angaben offenliegen können

In der Benachrichtigung an Betroffene, die TechCrunch eingesehen hat, heißt es, die Daten könnten zusätzlich Verifizierungs-Selfies, Kontoauszüge und Transaktionshistorien enthalten haben. Cointelegraph gibt dieselbe Kundenmitteilung anders wieder und führt Kontoauszüge und Transaktionshistorie als enthalten auf. Eingesehen hat die Mail nur eine der beiden Redaktionen.

Cointelegraph berichtet zudem mit ausdrücklichem Vorbehalt, die Angreifer hätten offenbar begonnen, erbeutetes Material online zu stellen; bestätigt hat das weder eine zweite Redaktion noch Revolut. Welche Identitäts- und Transaktionsdaten Anbieter überhaupt vorhalten, steht im Beitrag zu den Melde- und Identitätspflichten nach CARF und DAC8.

Systeme und Guthaben unberührt, das Risiko liegt woanders

Für dein Geld gibt Revolut Entwarnung: Systeme und Kundengelder seien von dem Vorfall nicht betroffen, teilte das Unternehmen beiden Redaktionen mit. Unabhängig geprüft ist diese Aussage nicht, und die Folgerisiken beantwortet sie ohnehin nicht.

Die Folgerisiken liegen bei den Identitätsdaten. Offengelegte Ausweisdokumente und Bilder zur Gesichtsverifikation können das Risiko eines Identitätsdiebstahls erhöhen, ordnet Cointelegraph ein.

Der Krypto-Rechercheur ZachXBT äußerte laut TechCrunch, der Vorfall habe sich offenbar gegen vermögende Nutzerinnen und Nutzer gerichtet. Das ist die Vermutung einer Einzelperson ohne offengelegte Datengrundlage. Über die Auswahl der Konten und über andere Kundengruppen sagt sie nichts.

Was ein Anbieter melden muss

Erfährt eine Behörde von so einem Vorgang? Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit beschreibt die Pflicht so: Eine Verletzung des Schutzes personenbezogener Daten ist unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Datenschutzaufsichtsbehörde zu melden; fehlende Informationen dürfen schrittweise nachgereicht werden.

Kommt ein voraussichtlich hohes Risiko für die betroffenen Personen hinzu, sind zusätzlich diese Personen unverzüglich zu benachrichtigen. Dass Revolut Kundinnen und Kunden angeschrieben hat, bedeutet aber nicht, dass eine Behörde ein hohes Risiko festgestellt oder das Unternehmen ein solches eingeräumt hätte.

Verstöße gegen diese Pflichten können mit Geldbußen bis zu 10 Millionen Euro oder bis zu 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet werden, je nachdem, welcher Betrag höher ist und sofern die Voraussetzungen vorliegen. Das ist ein abstrakter Rahmen, kein Verfahren gegen Revolut.

Revolut gibt gegenüber TechCrunch an, die betreffende E-Mail-Adresse nach der Entdeckung gesperrt und die betroffene Behörde, Strafverfolgungsbehörden sowie zuständige Aufsichtsbehörden informiert zu haben. Zeitpunkt und Namen der Stellen nennt das Unternehmen nicht, und bestätigt hat den Vorgang keine dieser Stellen.

Was du jetzt selbst tun kannst

Ob eigene Daten und Passwörter im Internet offenliegen, lässt sich mit den Leakcheckern der Universität Bonn und des Hasso-Plattner-Instituts prüfen, auf die das BSI verweist; beides sind externe Dienste. Ein Treffer belegt nicht, dass er aus diesem Vorfall stammt, ein leeres Ergebnis schließt eine Betroffenheit nicht aus.

Für die Zugänge selbst empfiehlt das BSI starke Passwörter, besonders bei Banken, Online-Shops, sozialen Medien und E-Mail-Postfächern, dazu eine aktivierte Zwei-Faktor-Authentisierung. Wo diese Einstellungen bei einer großen Handelsplattform liegen, zeigt die Übersicht zu Konto und Verifizierung bei Coinbase.

Dort endet, was du selbst ausrichten kannst. Immer wieder werden Datenbanken von Diensteanbietern gestohlen, wogegen sich eine einzelne Privatperson kaum absichern kann, schreibt das BSI. Gegen den Weg, auf dem die Daten hier abgeflossen sein sollen, hilft kein starkes Passwort.

---

Offen bleiben die Zahl der Betroffenen, die betroffenen Märkte, die missbrauchte Behördendomain und der Zeitpunkt des Abflusses; ob eine Meldung an eine Aufsichtsbehörde erfolgt ist, ist nicht belegt. Sobald eine Mitteilung von Revolut vorliegt, eine Behörde den Vorgang nennt oder eine Betroffenenzahl bekannt wird, wird der Artikel mit sichtbarem Hinweis aktualisiert.