Revolut-Datenleck im September 2026: Was belegt ist, was nicht und welche Fragen offen sind

Am 12. September 2026 teilte Revolut mit, dass sensible Informationen eines Teils ihrer Kunden an eine nicht autorisierte Person übermittelt wurden, nachdem betrügerische Anfragen von einer E-Mail-Adresse einer Regierungsdomain eingegangen waren. In den folgenden Wochen kursierten Zahlen und Rekonstruktionen, teils verbreitet von denen, die den Angriff für sich beanspruchen. Dieser Artikel trennt, was dokumentiert ist, von dem, was nur erklärt, behauptet oder nicht verifiziert ist, und stellt die Fragen zusammen, die offen bleiben. Er enthält weder Daten der betroffenen Personen noch Links zu entwendetem Material.

Zeitlicher Ablauf im Überblick

• 12. September 2026: Revolut gibt den Vorfall bekannt. Darüber berichten unter anderem The Paypers und PYMNTS, die sich auf Reuters und Bloomberg berufen.
• 15. September: Sky TG24 berichtet über die Ermittlungen der Cyberpolizei wegen unbefugten Zugriffs auf ein Computersystem und Computerbetrugs.
• 16. September: Laut Wall Street Journal, zitiert von PYMNTS, wird Revolut von denjenigen, die den Angriff für sich beanspruchen, mit Erpressung gedroht.
• 18. September: Die italienische Datenschutzbehörde (Garante per la protezione dei dati personali) veröffentlicht eine Mitteilung zum Fall.
• 7. Oktober: Laut Reuters, zitiert von PYMNTS, sagt der Verantwortliche von Revolut für Westeuropa, das Unternehmen werde die Kosten für neue Ausweisdokumente der betroffenen Kunden übernehmen.

BELEGT: Was die Datenschutzbehörde Garante sagt

Das einzige Primärdokument einer Behörde, das wir vollständig lesen konnten, ist die Mitteilung der italienischen Datenschutzbehörde vom 18. September 2026. Sie besagt in der Zusammenfassung:

• Es wurde eine sofortige Überprüfung der Zugriffssicherheit der italienischen Banken eingeleitet, um festzustellen, ob es weitere Versuche wie den gegen Revolut gegeben hat;
• die Ämter der Behörde haben das Netzwerk der Datenschutzbeauftragten (DPO) der Banken angeschrieben und darum gebeten, die eigenen Systeme zu prüfen, um «anomale» Mitteilungen aus demselben PEC-Postfach auszuschließen, und die Behörde umgehend zu kontaktieren, falls ähnliche Fälle auftreten, und sie gemäß Artikel 33 DSGVO zu informieren;
• die Behörde hat die litauische Behörde informiert, wo Revolut ihren Hauptsitz hat, und sie gebeten zu bestätigen, ob sie von Revolut in Litauen eine Meldung über eine Verletzung erhalten hat, und sachdienliche Informationen zu teilen, auch um zu klären, ob weitere in Italien tätige Banken betroffen sind;
• die Behörde hat sich auch an das Innenministerium gewandt, um zu klären, ob andere Banken oder Institute betroffen sind und welche Daten kompromittiert wurden;
• der Vorfall habe, so die Behörde, «einige Schwachstellen der in Gebrauch befindlichen offiziellen PEC» offengelegt.

Zwei Präzisierungen. Die Behörde gibt weder an, welches PEC-Postfach verwendet wurde, noch von welcher Stelle. Und die Mitteilung stammt von der italienischen Behörde: Die litauische Behörde, die in erster Linie für das Unternehmen zuständig ist, hat nach unserer Recherche keine Mitteilung zu diesem Vorfall veröffentlicht, die wir finden konnten.

LAUT REVOLUT

Die Position des Unternehmens, wie sie von Sky TG24, PYMNTS und The Paypers wiedergegeben wird:

• das Unternehmen gab den Vorfall am 12. September 2026 bekannt (Datum laut The Paypers und PYMNTS, die Reuters und Bloomberg zitieren);
• Es habe sich um einen «ausgeklügelten externen Identitätsbetrug» gehandelt, bei dem eine nicht autorisierte Person die E-Mail-Adresse einer legitimen Domain einer Regierungsbehörde genutzt habe, um betrügerische Informationsanfragen zu stellen;
• sobald der Betrug entdeckt worden sei, sei die Adresse gesperrt und die betroffene Behörde, die Strafverfolgungsbehörden sowie die Datenschutz- und Finanzaufsichtsbehörden seien informiert worden;
• die Systeme von Revolut und die Gelder der Kunden seien nicht angetastet worden;
• die betroffenen Personen seien direkt kontaktiert worden;
• Anfragen von verifizierten Regierungsdomains würden als verbindliche rechtliche Anfragen behandelt; in diesem Fall seien sie, da sie eine gültige technische Authentifizierung der Domain enthielten, «in der begründeten Erwartung, dass es sich um eine echte Ermittlung handelte» erfüllt worden;
• laut der an die Kunden gesendeten E-Mail, zitiert von PYMNTS, das wiederum TechCrunch zitiert, umfassen die offengelegten Daten Identität und Kontaktdaten (Geburtsdatum, Adressen, Telefon), Dokumente wie Pässe und Führerscheine sowie möglicherweise Verifizierungs-Selfies, Kontoauszüge und Transaktionshistorie.

Die Zahl. Es ist von rund 680 Kunden die Rede. Die Quellen sind sich nicht einig, wer sie genannt hat: Sky TG24 schreibt sie dem Unternehmen zu, während The Paypers und SecurityWeek schreiben, Revolut habe die Zahl nicht bekannt gegeben. Am 7. Oktober sprach der Verantwortliche für Westeuropa laut Reuters, zitiert von PYMNTS, von Unterstützung für die 680 betroffenen Kunden. Aus offiziellen Quellen ist dagegen nicht bekannt, wie viele italienische Kunden betroffen sind.

BEHAUPTET von denen, die angeben, den Angriff verübt zu haben

Alles Folgende stammt von Personen, die ein Interesse daran haben, zu übertreiben oder Aufsehen zu erregen. Wir geben es wieder, weil es Teil der Nachricht ist, nicht weil es bewiesen wäre.

• Eine Person, die sich «IAmNotAVillain» nennt, erklärte gegenüber der Financial Times, laut Sky TG24, sie habe Revolut erstmals vor ein paar Monaten kontaktiert und sich dabei als italienische Polizeibehörde ausgegeben, und das Unternehmen habe auf die Anfragen «wie ein braver Junge» geantwortet.
• Laut SecurityWeek forderte dieselbe Person öffentlich 3 Millionen Dollar und drohte, die Daten zu verkaufen. Revolut antwortete SecurityWeek, man habe von denen, die diese Behauptungen aufstellen, «keinen direkten Kontakt und keine direkte Forderung» erhalten. Andere Medien nennen abweichende Beträge für die Forderung; wir betrachten sie nicht als verifiziert.
• Ebenfalls laut SecurityWeek erklärten die Urheber in getrennten Mitteilungen, die Kampagne habe fünf oder sechs Monate gedauert und den Diebstahl von mehr als 147 GB Daten einer italienischen Polizeibehörde umfasst.
• Laut Wall Street Journal, zitiert von PYMNTS, soll der Urheber Teile von Kundendaten veröffentlicht und gedroht haben, weitere zu veröffentlichen. Revolut sagte auf Anfrage der Zeitung, man habe die Strafverfolgungsbehörden informiert, und kommentierte nicht weiter.

Ein Punkt ist vom Rest getrennt zu halten: Die Vorstellung, Revolut habe die Anfragen «monatelang» und «ohne zu prüfen» erfüllt, ist derzeit eine Behauptung derjenigen, die angeben, den Angriff verübt zu haben. Revolut gibt an, das für rechtliche Anfragen vorgesehene Verfahren angewandt zu haben. Keine unabhängige Quelle, die wir gelesen haben, dokumentiert, über welchen Zeitraum und mit welchen Prüfungen die Anfragen bearbeitet wurden.

NICHT VERIFIZIERT

• Das PEC-Postfach und die Stelle. SecurityWeek schreibt, die kompromittierte Adresse auf pec.interno.it «scheint» einem Mitarbeiter des Innenministeriums zu gehören, und gibt die Analyse des Sicherheitsunternehmens Hudson Rock wieder, die von mehr als 300 mit dieser Domain verbundenen Zugangsdaten und einem wahrscheinlichen Ursprung in bereits gestohlenen Zugangsdaten spricht. Das ist eine Hypothese eines Privatunternehmens, keine Feststellung. BusinessOnline merkt an, dass keine unabhängige Quelle die Kompromittierung dieses konkreten Postfachs bestätigt habe und dass die Details aus Dokumenten stammen, die von den Urhebern selbst verbreitet wurden. Einige Medien haben eine bestimmte Stelle genannt: Das ist nicht bestätigt, und wir geben sie nicht wieder.
• Die Ermittlungen. Sky TG24 berichtet über die Ermittlungen der Cyberpolizei. Laut BusinessOnline soll seit dem 15. September auch ein Verfahren der britischen Datenschutzbehörde (ICO) eröffnet sein; ein Dokument der ICO, das dies bestätigt, haben wir nicht gefunden.
• Die Krypto-Seite. Einige Medien sprechen von Bitcoin-Bewegungen unter den offengelegten Daten. Die E-Mail an die Kunden spricht, wie sie wiedergegeben wird, allgemein von Kontoauszügen und Transaktionshistorie; eine Primärquelle zu den Einzelheiten haben wir nicht.
• Die endgültige Zahl der betroffenen Personen und eine mögliche Beteiligung weiterer Banken oder Institutionen.

Die offenen Fragen

Das Folgende ist keine Anschuldigung: Es sind die Fragen, die auf Grundlage der verfügbaren Dokumente bisher niemand öffentlich beantwortet hat.

1. Welche Prüfungen wendet Revolut auf Datenanfragen von Behörden an, über die technische Authentifizierung der E-Mail-Domain hinaus? Gibt es eine unabhängige Verifizierung, zum Beispiel einen Rückruf bei einem bereits bekannten Kontakt?
2. Wie viele Anfragen wurden erfüllt, über welchen Zeitraum, und wie wurden sie vor der Entdeckung erfasst und überprüft?
3. Was hat die litauische Behörde erhalten, und wann? Wurde die nach Artikel 33 DSGVO vorgesehene Meldung der Verletzung innerhalb von 72 Stunden nach der Entdeckung versandt?
4. Wie viele italienische Kunden sind betroffen, und wurden sie einzeln informiert?
5. Welches PEC-Postfach wurde verwendet, seit wann war es kompromittiert, und wer ist dafür verantwortlich? Die Behörde spricht von «Schwachstellen» der offiziellen PEC: welche, und mit welchen Maßnahmen?
6. Warum wurde die Zahl der betroffenen Kunden erst später mitgeteilt, und von wem?
7. Gelten die angekündigten Maßnahmen (Kosten für neue Ausweisdokumente) für alle Betroffenen in allen Ländern, und welche weiteren Schutzmaßnahmen sind vorgesehen?

Wenn Sie ein digitales Konto nutzen oder Krypto halten: vorsichtige Hinweise

Dies sind allgemeine Hinweise, keine Beratung. In den von uns gelesenen Quellen gibt es keine Anhaltspunkte dafür, dass die Gelder der Kunden gefährdet sind: Das Unternehmen erklärt, Gelder und Systeme seien nicht angetastet worden. Das dokumentierte Risiko betrifft die personenbezogenen Daten.

• Prüfen Sie Mitteilungen nur über die offizielle App. Nach einem solchen Fall nehmen gefälschte E-Mails und Nachrichten zu, die «Unterstützung», «Datenwiederherstellung» oder «Identitätsprüfung» anbieten. Klicken Sie nicht auf erhaltene Links und geben Sie niemandem Codes oder Wiederherstellungsphrasen preis.
• Wenn Sie eine Benachrichtigung über Ihre Betroffenheit erhalten haben, bewahren Sie die Nachricht auf, überlegen Sie in Ruhe, ob Sie Ihr Ausweisdokument ersetzen (das Unternehmen hat laut Reuters erklärt, die Kosten für die betroffenen Kunden zu übernehmen), und kontrollieren Sie regelmäßig Bewegungen und Positionen auf Ihren Namen.
• Antworten Sie nicht und zahlen Sie nicht an Personen, die behaupten, Ihre Daten zu haben. Sichern Sie die Beweise und erstatten Sie Anzeige bei der Polizei. Suchen Sie nicht nach entwendetem Material und verbreiten Sie es nicht.
• Authentifizierung. Bevorzugen Sie Authentifizierungs-Apps oder physische Schlüssel gegenüber SMS und nutzen Sie eine eigene E-Mail-Adresse für Finanzdienste.
• Vertraulichkeit. Wer weiß, dass Sie Krypto halten, kann zum Ziel gezielter Betrugsversuche werden. Vermeiden Sie es, Salden und Bewegungen öffentlich zu machen, und überlegen Sie sorgfältig, wo Sie Ihre Schlüssel aufbewahren.
• Entscheiden Sie nicht aus Panik. Wenn Sie über einen Wechsel des Anbieters nachdenken, tun Sie dies in Ruhe, prüfen Sie zuvor, ob der neue Anbieter zugelassen ist (für Krypto-Dienstleister siehe unseren Leitfaden zur Prüfung im MiCA-Register), und verschieben Sie Gelder nicht überstürzt auf unbekannte Plattformen.

Häufige Fragen