Am 12. September 2026 bestätigte Revolut, was der Blockchain-Ermittler ZachXBT kurz zuvor öffentlich gemacht hatte: Die Neobank mit über 80 Millionen Kunden hat sensible Kundendaten an einen Unbefugten herausgegeben. Die Anfrage kam von der echten E-Mail-Domain einer Behörde, sie bestand alle üblichen Prüfungen – und Revolut lieferte.
Herausgegeben wurden nach Angaben des Unternehmens und der betroffenen Kunden: Name, Geburtsdatum, Beruf, Wohnanschrift, E-Mail-Adresse und Telefonnummer, Kopien von Pass und Führerschein, die Verifizierungs-Selfies, Kontoauszüge samt IBAN sowie vollständige Transaktionshistorien – ausdrücklich inklusive der Krypto-Transaktionen. Revolut spricht von einer „begrenzten" Zahl Betroffener und nennt keine Zahl. ZachXBT ordnete den Vorfall als klein, aber gezielt ein: getroffen habe es vermögende Nutzer.
Es gab keinen Hack – und genau das ist der Punkt#
Revolut betont, die eigenen Systeme, die App und die Kundenkonten seien nicht kompromittiert worden, die Gelder unangetastet. Das stimmt vermutlich sogar. Nur ist es keine Entlastung, sondern die eigentliche Nachricht.
Niemand musste eine Firewall überwinden. Es gab keine Zero-Day-Lücke, kein geleaktes Admin-Passwort, keine Ransomware. Jemand hat gefragt – und die vorgesehene Antwort bekommen. Behördenanfragen sind für eine regulierte Bank kein Ausnahmefall, sondern Tagesgeschäft: Ein KYC-pflichtiges Institut ist gesetzlich dazu verpflichtet, Identitätsdaten vorzuhalten und sie auf Verlangen herauszugeben. Der Kanal, über den die Daten abgeflossen sind, ist der Kanal, für dessen Existenz die Daten überhaupt erhoben werden.
Der Unterschied zu einem normalen Datenleck:
Bei einem Hack versagt eine Schutzmaßnahme. Hier hat keine versagt. Die Herausgabe war der bestimmungsgemäße Betrieb – nur mit dem falschen Empfänger. Gegen diesen Fehlermodus hilft keine bessere Verschlüsselung, keine Zwei-Faktor-Anmeldung und kein Bug-Bounty-Programm.
Warum SPF, DKIM und DMARC hier gar nichts beweisen#
Revolut sagt, man habe „in dem vernünftigen Glauben" gehandelt, die Anfrage sei echt – die Mail habe die Domain-Authentifizierung bestanden. Technisch trifft das zu und ist trotzdem wertlos.
SPF, DKIM und DMARC beantworten genau eine Frage: Wurde diese Mail von einem Server verschickt, der für diese Domain senden darf? Sie beantworten nicht, wer vor der Tastatur saß. Ein gekapertes Behördenpostfach besteht alle drei Prüfungen tadellos. Genau darin besteht die Masche, und sie ist keine Neuentdeckung:
- Bereits 2022 dokumentierte Brian Krebs einen florierenden Handel mit gefälschten Notfall-Datenanfragen („Emergency Data Requests"). Angreifer übernehmen Postfächer von Polizeibehörden – oft über wiederverwendete Passwörter aus älteren Leaks – und stellen darüber Auskunftsersuchen.
- Auf diese Weise gaben unter anderem Apple, Meta und Discord Nutzerdaten an Kriminelle heraus. In einschlägigen Foren wurden kompromittierte Behördenkonten offen zum Kauf angeboten, ausdrücklich mit dem Hinweis, man könne damit bei großen Plattformen Auskünfte erzwingen.
- Der Ablauf ist deshalb so wirksam, weil er auf Zeitdruck setzt: Bei „Gefahr im Verzug" ist ein Richterbeschluss nicht vorgesehen. Wer zu lange prüft, macht sich angreifbar; wer schnell liefert, tut formal das Richtige.
Ein Sachbearbeiter, der eine solche Anfrage auf dem Tisch hat, kann die Echtheit nicht zuverlässig feststellen. Er hat kein Werkzeug dafür – und das ist eine Eigenschaft des Systems, kein individuelles Versagen.
Was so ein Datensatz für einen Bitcoin-Halter bedeutet#
Bei einem Kreditkartenleck sperrt man die Karte. Hier geht das nicht. Was bei Revolut abgeflossen ist, ist kein Zugangsdatum, sondern eine vollständige Personenakte – und sie taugt für Dinge, für die eine Kartennummer nie getaugt hat.
- Ausweis plus Selfie – Die Standardkombination, mit der man sich anderswo verifiziert. Wer beides hat, kann im fremden Namen Konten eröffnen und Verifizierungen bestehen.
- Wohnanschrift und Telefonnummer – Aus einem digitalen Risiko wird ein physisches. Eine Adresse kann man nicht widerrufen, eine Rufnummer ist die Eintrittskarte für SIM-Swapping.
- Vollständige Transaktionshistorie – Nicht nur ein Kontostand, sondern der Verlauf: Kaufzeitpunkte, Beträge, Abflüsse an externe Wallet-Adressen. Daraus liest man eine Größenordnung ab.
- Krypto-Bezug als Merkmal – Das Feld, das aus einer Kundenliste eine Zielliste macht. Es beantwortet die Frage, wer etwas besitzt, das sich unter Zwang in Minuten übertragen lässt.
Dass ZachXBT den Vorfall als gezielt beschreibt, passt exakt dazu. Wer sich die Mühe macht, ein Behördenpostfach zu übernehmen, fragt nicht zufällige Kunden ab. Er fragt die interessanten ab. Ein Datensatz, der Klarname, Wohnadresse und nachweisbare Bitcoin-Bestände in einem Dokument verbindet, ist auf dem kriminellen Markt kein Datensatz mehr, sondern ein Auftrag – für Phishing, das dich beim Namen und beim Kaufdatum nennt, und im schlimmsten Fall für einen Besuch an der Haustür.
Löschen ist keine Option, die dir offensteht#
Die naheliegende Reaktion – Konto schließen, Daten löschen lassen – läuft ins Leere. Genau die Regulierung, die die Erhebung erzwingt, verbietet das Vergessen:
- Nach deutschem Geldwäschegesetz (§ 8 Abs. 4 GwG) sind Ausweiskopien und Identifizierungsunterlagen fünf Jahre nach Ende der Geschäftsbeziehung aufzubewahren, in bestimmten Fällen länger.
- Die EU-Geldwäscheverordnung, die ab dem 10. Juli 2027 unmittelbar gilt, schreibt dieselbe Fünfjahresfrist EU-weit fest. Was das sonst noch bedeutet, steht in unserem Überblick zur EU-Geldwäscheverordnung 2027.
- Revolut selbst nennt in der Datenschutzerklärung für Großbritannien in der Regel bis zu sieben Jahre nach Ende der Geschäftsbeziehung – mit Verlängerung, wenn rechtliche Gründe vorliegen.
Der gekündigte Kunde von 2022 liegt also weiterhin in der Datenbank, mitsamt Passfoto und Selfie. Und anders als ein Passwort lässt sich das nicht rotieren: Ein Gesicht ändert man nicht, eine Wohnadresse selten, und selbst ein neuer Personalausweis macht die alte Kopie nicht wertlos – sie belegt weiterhin, wer du bist und wo du warst.
Revolut ist austauschbar#
Wer das für einen Einzelfall hält, muss nur die letzten Jahre durchgehen. Immer dieselbe Datenkategorie, jedes Mal ein anderer Weg nach draußen:
- 2020 · Ledger – Rund eine Million E-Mail-Adressen und etwa 272.000 vollständige Lieferdatensätze mit Name, Anschrift und Telefonnummer. Es folgten Jahre von Phishing-Wellen und Erpressungsmails an Hardware-Wallet-Besitzer.
- 2025 · Coinbase – 69.461 Betroffene. Kein Einbruch, sondern bestochene Support-Mitarbeiter eines externen Dienstleisters. Abgeflossen sind unter anderem Ausweisdokumente, Anschriften und Kontostände.
- 2025 · Discord – Rund 70.000 Ausweisfotos aus der Altersverifikation, erbeutet nicht bei Discord, sondern bei einem beauftragten Support-Dienstleister.
- 2026 · Revolut – Ausweis, Selfie, Kontoauszüge und Bitcoin-Historie – herausgegeben auf eine Anfrage, die von einer echten Behördendomain kam.
Drei von vier Fällen haben eines gemeinsam: Die Daten lagen am Ende nicht dort, wo der Kunde sie abgegeben hatte. Sie lagen bei einem Dienstleister, bei einem Support-Anbieter, in einem Postfach. Die Angriffsfläche einer Identitätspflicht ist nie das Unternehmen, bei dem du dich ausweist – sie ist die Summe aller Stellen, die den Datensatz im Laufe von sieben Jahren anfassen. Es genügt die schwächste.
Warum „ich habe doch nichts zu verbergen" gegen diesen Befund nicht trägt, haben wir an anderer Stelle ausführlich auseinandergenommen. Die kurze Fassung: Es geht nicht darum, was du verbirgst, sondern darum, was andere mit dem anfangen, was über dich erfasst wurde.
Die Kette endet nicht im Internet#
Wer Datenschutz für eine Geschmacksfrage hält, muss sich ansehen, was in Frankreich passiert ist. Dort ist der Weg von der Pflichtdatenbank bis zur Haustür vollständig dokumentiert.
Im Juni 2025 wurde eine 32-jährige Mitarbeiterin der französischen Finanzverwaltung festgenommen. Sie soll über die Behördensoftware „Mira" – gedacht zur steuerlichen Überwachung, gefüllt mit Adressen, Vermögenswerten und Krypto-Beständen – gezielt bekannte Investoren, Gründer und Vermögende abgefragt und die Datensätze an kriminelle Netzwerke verkauft haben, dem Vernehmen nach für rund 800 Euro pro Person. Die Käufer haben daraus keine Statistik gemacht, sondern eine Arbeitsliste: klingeln, fesseln, Zugangsdaten erzwingen.
Was daraus folgte, steht in den Polizeistatistiken:
- Januar 2025: Ledger-Mitgründer David Balland und seine Partnerin werden entführt und rund 36 Stunden festgehalten. Ihm wird ein Finger abgetrennt; das Video davon geht zusammen mit einer Lösegeldforderung über 10 Millionen Euro an seinen Geschäftspartner.
- 13. Mai 2025: Vermummte überfallen in Paris am helllichten Tag die Tochter und den Enkel von Pierre Noizat, Mitgründer der Börse Paymium, auf dem Weg zur Kita. Nur weil Passanten eingreifen, scheitert die Entführung.
- Die Zahlen dahinter: Frankreich verzeichnete 18 gemeldete Fälle im Jahr 2024 und 67 im Jahr 2025. In den ersten dreieinhalb Monaten des Jahres 2026 waren es 41. Weltweit zählt die seit Jahren gepflegte Liste von Jameson Lopp für 2025 rund 70 körperliche Angriffe auf Halter – das bislang schwerste Jahr, mit einem Anstieg um deutlich über 100 Prozent gegenüber dem Vorjahr.
Die Kette, um die es geht:
Pflicht zur Erhebung → dauerhaft gespeicherte Personenakte → ein Leck, ein bestochener Mitarbeiter oder eine gefälschte Anfrage → eine nach Vermögen sortierte Liste mit Wohnadressen → ein Überfall an der Haustür. Kein Glied dieser Kette ist hypothetisch. Jedes einzelne ist mit Datum und Aktenzeichen belegt.
Man muss niemandem böse Absicht unterstellen, um das Ergebnis zu benennen. Wer die Erhebung dieser Daten fordert, fordert die Existenz dieser Listen – beides ist dasselbe, nur zeitversetzt. Und da diese Folge seit Jahren dokumentiert ist, ist sie keine unvorhersehbare Nebenwirkung mehr, sondern eine in Kauf genommene. Getragen wird das Risiko dabei ausschließlich von denen, die nicht darüber entscheiden konnten: Balland hat nicht beschlossen, dass es eine Mira-Datenbank gibt. Die Angehörigen, die in Frankreich inzwischen die Mehrzahl der Opfer stellen, erst recht nicht.
Die Gegenrechnung, die das rechtfertigen müsste, existiert nicht. Nach Jahrzehnten immer dichterer Melde- und Identifizierungspflichten liegt der Anteil krimineller Erlöse, der in der EU tatsächlich eingezogen wird, bei rund 1,1 Prozent. Ein Instrument, das sein erklärtes Ziel um zwei Größenordnungen verfehlt, aber nachweisbar Entführungsopfer produziert, ist kein Kompromiss zwischen Sicherheit und Freiheit. Es ist eine Maßnahme, die beides kostet.
Solche Daten gehören an keine Stelle, die sie behalten muss#
Aus der Informationssicherheit kennt man dafür eine sehr alte Regel, und sie ist unbequem simpel: Die einzige Kopie, die garantiert nicht abfließt, ist die, die es nicht gibt. Alles andere – Verschlüsselung, Zugriffsprotokolle, Schulungen, Zertifizierungen – verschiebt nur Wahrscheinlichkeiten. Datensparsamkeit verschiebt nichts, sie entfernt das Ziel.
Ein Passfoto, eine Ausweisnummer und ein Gesichtsscan sind dabei die denkbar ungeeignetsten Kandidaten für eine Langzeitspeicherung, weil sie die eine Eigenschaft nicht haben, auf der jede vernünftige Sicherheitsarchitektur aufbaut: Man kann sie nicht wechseln. Ein kompromittiertes Passwort ersetzt man in dreißig Sekunden. Ein kompromittiertes Gesicht begleitet dich.
Über den Weg, auf dem Revolut geantwortet hat, ist öffentlich nichts bekannt. Bekannt ist der Weg hinein: eine E-Mail. Für einen Prozess, an dessen Ende eine vollständige Personenakte das Haus verlässt, ist das kein Verfahren, sondern das Fehlen eines Verfahrens – ohne beidseitig authentifizierten Kanal, ohne Rückruf über eine unabhängig verifizierte Nummer, ohne Vier-Augen-Freigabe.
Dass es anders ginge, ist keine Zukunftsmusik. Man kann prüfen, ohne zu speichern: eine Bestätigung, dass jemand volljährig ist oder eine geprüfte Identität besitzt, ohne dass die zugrunde liegende Ausweiskopie beim Empfänger liegen bleibt. Die Technik dafür ist seit Jahren einsatzreif. Nur zwingt die Regulierung zum Gegenteil – zur Kopie, zur Aufbewahrung über Jahre, zur Herausgabe auf Anfrage. Und dort, wo gerade an einer digitalen Identität gebaut wird, wiederholt sich dasselbe Muster, wie wir beim EUDI-Wallet beschrieben haben.
Was du daraus konkret machst#
Auf die Meldepflichten hast du keinen Einfluss. Auf die Menge dessen, was über dich erhoben wird, sehr wohl – und auf die Frage, ob ein solcher Datensatz überhaupt Bestände beschreibt, die noch bei einem Dienstleister liegen.
1. Bestände runter von der Börse
Ein Handelskonto ist ein Kaufweg, kein Lagerplatz. Was du nach dem Kauf auf die eigene Hardware-Wallet abziehst, steht in keiner Kundenakte mehr als aktueller Bestand – es bleibt zwar in der Transaktionshistorie sichtbar, aber der Datensatz beschreibt dann Vergangenheit statt Beute. Wie das geht, steht in Wie erstelle ich eine Bitcoin-Wallet.
2. Anzahl der Stellen begrenzen
Jeder zusätzliche Anbieter mit Ausweiskopie ist eine weitere Kopie deiner Akte, sieben Jahre haltbar. Ein Konto, das du nur einmal gebraucht hast, ist kein ruhendes Konto, sondern ein liegendes Risiko. Vor jeder neuen Verifizierung: Brauche ich diesen Anbieter wirklich zusätzlich?
3. KYC- und Non-KYC-Bestände sauber trennen
Wer beides in derselben Wallet mischt, verknüpft freiwillig, was getrennt geblieben wäre – und macht die eigene Historie für jeden lesbar, der den Datensatz hat. Grundlagen: Was ist KYC? und Privacy-Techniken kombinieren.
4. Kaufwege nutzen, die gar keine Akte erzeugen
Peer-to-Peer, Stammtisch, Automat: Es gibt legale Wege, Bitcoin privat zu kaufen. Was nie erhoben wurde, kann auch nicht herausgegeben werden – das ist die einzige Schutzmaßnahme, die noch wirkt, wenn alle anderen versagt haben.
5. Damit rechnen, dass deine Akte bereits draußen ist
Keine Beträge in sozialen Netzwerken, Lieferadressen für Hardware-Wallets bedenken (Pakete anonym empfangen), und jede Mail, die dich mit korrektem Namen und echtem Kaufdatum anspricht, erst recht prüfen – siehe die aktuelle Phishing-Welle gegen Hardware-Wallet-Besitzer.
Wenn du eine Benachrichtigung von Revolut bekommen hast, gilt zusätzlich: Setz bei der Bank eine Rückfrage-Regel für telefonische Kontakte durch, richte beim Mobilfunkanbieter eine Portierungssperre gegen SIM-Swapping ein, und behandle jede angebliche Behördenpost zu deinen Krypto-Beständen in den nächsten Monaten als Betrugsversuch, bis das Gegenteil bewiesen ist. Wer deinen Ausweis, dein Selfie und deine Transaktionen kennt, klingt am Telefon überzeugender als jeder Sachbearbeiter.
Fazit#
Das Revolut-Leck ist kein Versagen von Revolut. Es ist eine Demonstration dessen, was eine Identitätspflicht ist, wenn man sie nüchtern beschreibt: eine Verpflichtung, von jedem Kunden eine vollständige Personenakte anzulegen, sie jahrelang zu behalten und sie auf Anfrage herauszugeben – ohne ein Verfahren zu haben, mit dem sich der Anfragende zweifelsfrei prüfen ließe.
Solange dieser Aufbau steht, ist die Frage nicht, ob so ein Datensatz irgendwann bei den Falschen landet, sondern wann und bei wem. Und die Antwort darauf wird nicht im Netz gegeben, sondern an einer Haustür in Frankreich.
Wer die Erhebung dieser Daten für alternativlos hält, muss das ganze Ergebnis verantworten – nicht nur den Teil, der sich in Compliance-Berichten gut liest. Es gibt keine Version dieser Pflicht, in der die Listen entstehen, aber nie in die falschen Hände geraten. Diese Version wurde ausprobiert. Sie hat Menschen Finger gekostet.
Der einzige Teil, den du selbst in der Hand hast, ist, wie viel in deiner Akte steht – und ob sie am Ende auf etwas zeigt, das noch jemand anderem gehört als dir.
Häufige Fragen#
Wurde Revolut gehackt?#
Nein. Revolut gibt an, dass weder Systeme noch App noch Kundenkonten kompromittiert wurden und keine Gelder abgeflossen sind. Die Daten wurden über den regulären Auskunftsweg herausgegeben, nachdem eine Anfrage von der echten E-Mail-Domain einer Behörde eingegangen war und die Authentifizierungsprüfungen bestanden hatte.
Welche Daten sind betroffen?#
Nach Angaben von Revolut und betroffenen Kunden: Name, Geburtsdatum, Beruf, Anschrift, E-Mail und Telefonnummer, Kopien von Pass und Führerschein, Verifizierungs-Selfies, Kontoauszüge mit IBAN sowie vollständige Transaktionshistorien einschließlich Krypto-Transaktionen. Die genaue Zahl der Betroffenen hat Revolut nicht genannt, sondern nur von einer begrenzten Zahl gesprochen.
Kann ich meine Daten bei einer Bank löschen lassen?#
In der Regel nicht. Identifizierungsunterlagen unterliegen einer gesetzlichen Aufbewahrungspflicht: In Deutschland fünf Jahre nach Ende der Geschäftsbeziehung (§ 8 Abs. 4 GwG), ab Juli 2027 EU-weit ebenfalls fünf Jahre. Revolut nennt für Großbritannien in der Regel bis zu sieben Jahre. Ein Löschantrag nach DSGVO greift gegen diese Pflichten nicht.
Warum sind Bitcoin-Halter von solchen Lecks stärker betroffen?#
Weil der Datensatz zwei Dinge verbindet, die sonst getrennt liegen: eine Wohnadresse und einen Vermögenswert, der sich unter Zwang binnen Minuten unwiderruflich übertragen lässt. Eine Immobilie kann man niemandem am Küchentisch überschreiben, einen Seed schon. Genau deshalb waren laut ZachXBT offenbar gezielt vermögende Nutzer betroffen.
Ist KYC nicht notwendig, um Geldwäsche zu bekämpfen?#
Das ist die Begründung. Der Nachweis fehlt: Trotz jahrzehntelang ausgeweiteter Identifizierungs- und Meldepflichten werden in der EU nur rund 1,1 Prozent der kriminellen Erlöse tatsächlich eingezogen. Belegbar sind dagegen die Nebenwirkungen – von den französischen Entführungsserien bis zu jedem einzelnen Datensatz, der über gefälschte Behördenanfragen, bestochene Dienstleister oder Leaks in Umlauf kommt. Ein Instrument, dessen Nutzen im Promillebereich liegt und dessen Schaden sich in Polizeistatistiken zählen lässt, ist kein tragfähiger Kompromiss.
Was schützt überhaupt noch, wenn die Daten schon draußen sind?#
Zwei Dinge. Erstens: Bestände selbst verwahren, damit ein Datensatz auf ein leeres Konto zeigt. Zweitens: physische und soziale Vorsicht – keine Beträge öffentlich nennen, Portierungssperre beim Mobilfunkanbieter, Misstrauen gegenüber jedem Anruf und jeder Mail, die mit korrekten persönlichen Daten Vertrauen erzeugt.
Weiterlesen: Berlin gehackt: Nicht Bitcoin ist das Problem · EU-Geldwäscheverordnung 2027 · Was ist KYC? · Bitcoin kaufen ohne Ausweis
Dieser Artikel erschien zuerst auf bitcoinlighthouse.de – dort findest du auch unsere Bitcoin-Workshops in München.
Comments0
No comments yet. Start the conversation.