Kein Einbruch in Server, kein geleertes Konto, keine spektakuläre Zero-Day-Lücke. Revolut hat Kundendaten freiwillig herausgegeben, weil eine E-Mail von einer echten Behördendomain kam. Es ist der Preis der Dauererfassung von Ausweisen. TechCrunch hat die Firmenbestätigung, Kundenmails die Liste.
Wieder einmal zeigt sich, wohin die von Regierungen und Aufsichtsbehörden erzwungene Dauerüberwachung führt. Die britische Neobank Revolut hat sensible Kundendaten – darunter Kopien von Reisepässen, Führerscheinen, Verifizierungsselfies, Adressen, Kontodaten und sogar vollständige Transaktionshistorien inklusive Bitcoin – an einen unbefugten Dritten herausgegeben. Der Grund: Eine gefälschte Anfrage, die von einer echten Regierungs-Domain kam und die üblichen Authentifizierungschecks (SPF, DKIM, DMARC) bestand. Details dazu bei Reclaim The Net, TechCrunch und Reuters.
Revolut selbst spricht von einer „ausgeklügelten Impersonations-Attacke“. Das Unternehmen habe „in dem vernünftigen Glauben“ gehandelt, es handle sich um eine echte behördliche Anfrage. Erst später stellte man den Fehler fest, sperrte die Adresse und meldete den Vorfall. Betroffen sei nur eine „begrenzte“ Zahl von Kunden. Systeme und Kundengelder seien unberührt geblieben. Die Benachrichtigungen an die Betroffenen listen jedoch genau auf, was herausgegeben wurde: Namen, Geburtsdaten, Berufe, Adressen, Telefonnummern, Ausweiskopien, Selfies, Kontoauszüge und komplette Transaktionsverläufe – inklusive Krypto.
Das eigentliche Problem liegt tiefer
Der Vorfall ist kein isolierter Betriebsunfall. Er ist die logische Folge eines Systems, das Unternehmen zwingt, immer mehr und immer länger die sensibelsten Identitätsdaten ihrer Kunden zu speichern. Know-Your-Customer- (KYC) und Anti-Geldwäsche-Regeln (AML) verlangen genau das. Revoluts eigene britische Datenschutzhinweise machen klar: Personenbezogene Daten von UK-Kunden werden in der Regel bis zu sieben Jahre nach Ende der Geschäftsbeziehung aufbewahrt – manchmal länger, „aus rechtlichen Gründen“. Wer sein Konto schließt, hat damit noch lange nicht seine Ausweisdokumente und Selfies aus den Archiven gelöscht.
Genau diese Vorratssammlung macht Datenlecks so gefährlich. Einmal herausgegeben, lassen sich die Informationen für Identitätsdiebstahl, gezielten Betrug und Profiling nutzen – auch wenn zunächst kein Geld gestohlen wurde. Die Kopie des alten Reisepasses oder das Verifizierungsfoto verschwindet nicht einfach wieder.
Nicht nur Banken sind betroffen
Dasselbe Muster zeigt sich auch außerhalb des Finanzsektors. Bei Discord wurden 2025 nach einem Angriff auf einen Drittanbieter-Kundenservice-Provider Ausweisdokumente von rund 70.000 Nutzern exponiert – gesammelt, um Altersprüfungen bei Beschwerden zu bearbeiten. Siehe dazu den Bericht bei Reclaim The Net. Wieder dasselbe Prinzip: Man sammelt hochsensible Identitätsdaten, speichert sie und schafft damit Angriffsflächen – ob durch Hacks oder, wie bei Revolut, durch geschickt gefälschte behördliche Anfragen.
Je mehr Unternehmen gesetzlich oder regulatorisch gezwungen werden, Ausweise, Selfies und Transaktionsdaten aufzubewahren, desto größer wird die Angriffsfläche. Genau das macht die politischen Vorstöße für noch mehr digitale Identitätsprüfungen – vom Online-Zugang bis zu alltäglichen Dienstleistungen – so riskant. Jede zusätzliche Pflicht, Ausweisdokumente zu scannen und zu speichern, multipliziert die Möglichkeiten für Missbrauch.
Der Preis der Überwachungspflicht
Revolut hat nicht gehackt. Niemand ist in die Systeme eingedrungen. Die Bank hat die Daten freiwillig herausgegeben – weil das System so konstruiert ist, dass Behördenanfragen möglichst reibungslos bedient werden sollen. Authentifizierungsprotokolle prüfen die Herkunft einer E-Mail, nicht die Rechtmäßigkeit des Inhalts. Einmal in den Besitz echter Domain-Credentials gelangt, wird die Fälschung zum erfolgreichen Angriff.
Das ist kein technisches Detail, sondern systemisch. Die politische Forderung nach „mehr Kontrolle“ und „sicherer Identifizierung“ produziert genau die Datenbanken, die dann geleakt, missbraucht oder – wie hier – an die Falschen ausgeliefert werden. Wer permanent Ausweise und biometrische Selfies sammeln lässt, darf sich über die Folgen nicht wundern.
Die Revolut-Affäre ist ein Lehrstück: Der Preis der ständigen Identitätserfassung ist nicht abstrakt. Er besteht aus realen Reisepass-Kopien, Selfies und Transaktionshistorien in den Händen Unbefugter.
Links zu früheren TKP-Beiträgen zum Thema finden Sie unterhalb 👇
Bild: Olgierd (Creative Commons licensed only), CC BY 2.0, via Wikimedia Commons
Unsere Arbeit ist spendenfinanziert – wir bitten um Unterstützung.
Folge TKP auf Telegram oder GETTR und abonniere unseren Newsletter.
6 Kommentare
Deren Werbung zur WM war genauso unterirdisch schlecht…
Hat die K. etwa, etwas gegen Lon……?
Das Chaos ist erwartbar und muss daher provoziert sein, gehört zur Inszenierungsagenda. Das betrifft ja IT ganz allgemein. Aber die Leute brauchen das. Die rufen: Reiße mir die Niere raus, oh du große Ungewählte! Es geht eben solange, bis diese Nachfolger der Trojaner sich selbst eliminiert haben und die Vernünftigen nicht mehr in Geiselhaft nehmen können.
Alles, was sie zulassen wird noch kommen, Strahlung, Metalle in der Luft, Injektionen, vergiftetes Wasser und Essen, Krieg. „Ja, finde ich gut!“, sagen sie kokett und machen ihr Kreuz bei den üblichen Verdächtigen.
Und natürlich das Erpresser-Potential generell.
Man baucht sich das doch nur mal andersrum vorstellen.
Mal angenommen, ich wüsste alles von den Leuten aus meiner Nachbarschaft, oder von Vereinskollegen.
Jedes Detail, wohin gegangen, mit wem, wann, wie oft, welche Freunde, Käufe, Liebschaften, Neigungen, intimste Gedanken wenn ein Tagebuch geführt wird, Gespräche im Auto, meine Sport Aktivitäten bis hin zu meiner Herzfrequenz beim joggen, durch eine Smartwatch oder was auch immer für Träcker usw.
Man geht am Ende irgendwo hin, zu einer Behörde und die erzählen einem erstmal per Klick dein Leben und warum und weshalb ich wohl dies und jenes nicht darf, oder soll mich gar rechtfertigen.
Das Problem ist nicht, dass ich irgendwas getan oder nicht getan habe. Das Problem ist diese Überwachung.
Uns allen geht es besser, wenn man nicht alles weiß.
Wenn ich in einem Geschäft arbeite, sagen wir Kaufland und unterhalte mich mit Kunden, danach der Teamleiter ankommt und mir erzählt, dass ich nicht so lange mit Kunden reden soll, er hat das auf Video gesehen, weil die Läden alles überwachen, dann ist die Überwachung das Problem, nicht meine normale Lebensführung die wem nicht passt.
Diese Überwachung vor allem in diesem Systemkonstrukt, bis auf wenige Ausnahmen, ist das Problem und als Verbrechen einzustufen.. Nur weil es ungefragt immer weiter vollzogen wird, ist es noch lange nicht in Ordnung, sondern muss rückgängig gemacht werden…
Erpressungen sind im Camera Wonderland London schon passiert.
Und die üblichen kleinkriminellen konzentrierten sich wo anders!
Wobei die Kleinkriminalität obendrein zunahm!
Ein Teil von mir stimmt Ihnen zu. Ja, Überwachung ist ein Verbrechen.
Ein anderer Teil schreit laut NEIN!
Er schreit, der Teamleiter kann mich aAl (Götzzitat). Ich bin unabhängig und wenn ihm meine normale Lebensführung nicht passt, ist das SEIN Problem. Detto Behörden. Sollen sie mir doch alle den Buckel runterrutschen.
Regeln für Kommentare: Bitte bleibt respektvoll - keine Diffamierungen oder persönliche Angriffe. Keine Video-Links. Manche Kommentare werden erst nach Prüfung freigegeben, was gelegentlich länger dauern kann. Benutzer haften für den Inhalt ihrer Kommentare.
Sie müssen angemeldet sein um Kommentare zu posten. Noch kein Konto? Jetzt registrieren.