Das Wichtigste in Kürze

  • Der Finanzdienstleister Revolut hat am Freitag, 12. September 2026, gegenüber mehreren Medien bestätigt, dass ein unbefugter Dritter über die E-Mail-Domain einer echten Behörde Auskunftsersuchen gestellt hat – und dass das Unternehmen daraufhin Kundendaten herausgab. Eine Zahl der Betroffenen nennt Revolut nicht, sondern spricht von einer „begrenzten“ Zahl.
  • Genannt werden nach übereinstimmenden Berichten Name, Geburtsdatum, Anschrift, Telefonnummer, Ausweisdokumente, das Verifizierungs-Selfie, IBAN, Kontoauszüge sowie vollständige Transaktionslisten einschließlich Bitcoin-Bewegungen. Die eigenen Systeme und die Kundengelder seien nicht betroffen gewesen, erklärte das Unternehmen.
  • Für die deutsche Kundschaft ist die Revolut Bank UAB mit einer Zweigniederlassung in Berlin zuständig – rund drei Millionen Menschen nach Unternehmensangaben vom Januar 2026. Federführende Datenschutzaufsicht ist deshalb nicht eine deutsche Behörde, sondern die litauische Aufsicht in Vilnius.

Ein unbefugter Dritter hat nach Darstellung des Finanzdienstleisters Revolut die echte E-Mail-Domain einer Behörde genutzt, um beim Unternehmen Auskünfte über die Kundschaft anzufordern – und er hat sie bekommen. Das Unternehmen bestätigte den Vorgang am Freitag gegenüber dem US-Fachdienst TechCrunch, und dem Branchendienst The Block.

Was daran für den deutschsprachigen Raum zählt, steht nicht in diesen Meldungen: Wer in Deutschland ein Revolut-Konto führt, ist Kunde einer litauischen Bank mit einer Niederlassung in Berlin. Für eine Datenschutzbeschwerde ist damit nicht die Aufsicht am eigenen Wohnort zuständig, sondern eine Behörde in Vilnius – und die hatte sich am Sonntagvormittag deutscher Zeit noch nicht geäußert.

Revolut spricht von einem „raffinierten externen Identitätsbetrug“

Die Formulierung des Unternehmens ist bei TechCrunch und The Block nahezu wortgleich überliefert. Revolut habe einen „raffinierten externen Identitätsbetrug“ festgestellt, bei dem ein unbefugter Dritter „die E-Mail-Domain einer legitimen Regierungsbehörde“ genutzt habe, um „betrügerische Auskunftsersuchen“ zu stellen (Übersetzung der Redaktion). Gegenüber The Block ergänzte das Unternehmen, die eigenen Systeme und die Kundengelder seien nicht betroffen gewesen.

Nach dieser Darstellung wurde keine Datenbank von außen aufgebrochen. Die Daten gingen vielmehr auf dem regulären Weg hinaus, auf dem eine Bank Behörden Auskunft erteilt – nur stand am anderen Ende nach Angaben des Unternehmens keine Behörde.

Welche Behörde und welches Land das betrifft, teilt Revolut nicht mit. Auch nicht, wann das Ersuchen einging, wie viele Ersuchen es waren und wie viele Konten betroffen sind. Das Unternehmen spricht von einer „begrenzten“ Zahl. Nach eigener Darstellung hat es die betroffene Behörde, Strafverfolgungsbehörden, Datenschutzaufsichten und Finanzaufsichten informiert und die genutzte E-Mail-Adresse gesperrt.

Eine eigene Mitteilung dazu stand am Sonntagvormittag nicht im Newsroom des Unternehmens; der jüngste Eintrag dort datiert vom 3. September 2026 und betrifft eine bedingte Zulassung für eine Bankgründung in den USA. Die Darstellung des Unternehmens ist damit bislang nur über Medienberichte überliefert.

Welche Datenfelder genannt werden – und warum die Kombination das Problem ist

Die Aufzählung der betroffenen Felder stimmt in den Berichten von TechCrunch, The Block und dem Finanzportal TheStreet weitgehend überein. Genannt werden:

  • Name, Geburtsdatum, Beruf, Post- und E-Mail-Adresse, Telefonnummer
  • Ausweisdokumente wie Reisepass oder Führerschein
  • das Selfie aus der Identitätsprüfung
  • IBAN, Kontostatus, Eröffnungsdatum, Kontoauszüge
  • Auszahlungsvorgänge und vollständige Transaktionslisten, einschließlich Bitcoin-Bewegungen

Jedes dieser Felder für sich ist unangenehm. Zusammen ergeben sie etwas anderes: einen vollständigen Identitätssatz mit Wohnanschrift und einer Aufstellung darüber, wie viel Geld über das Konto läuft. Online-Identitätsprüfungen arbeiten im Kern damit, dass sie ein Ausweisbild mit einer Aufnahme der Person abgleichen – beide Bestandteile stehen nach den Berichten auf der Liste der abgeflossenen Felder. Und wo Krypto-Bestände mit einer Postanschrift zusammenfallen, entsteht ein Risiko, das über den Datenschutz hinausgeht – NETZ-TRENDS hat das Anfang September am Datenleck beim Hardware-Wallet-Hersteller Trezor beschrieben, bei dem Lieferadressen von rund 67.000 weiteren Betroffenen abflossen.

Ein Ausweisdokument lässt sich, anders als ein Passwort, nicht zurücksetzen. Ein deutscher Reisepass ist für Erwachsene zehn Jahre gültig, der Personalausweis ebenso.

Nicht der erste Datenvorfall: 2022 waren nach Aufsichtsangaben 50.150 Betroffene gemeldet

Es ist nicht der erste Datenvorfall, mit dem sich die litauische Aufsicht bei Revolut befasst hat. Die Valstybinė duomenų apsaugos inspekcija, die staatliche Datenschutzinspektion Litauens, leitete im September 2022 ein Verfahren gegen die Revolut Bank UAB ein. Damals waren nach ihren Angaben weltweit 50.150 Betroffene gemeldet, davon 20.687 im Europäischen Wirtschaftsraum und 379 in Litauen; Angriffsweg war ebenfalls Social Engineering, damals aber mit Zugriff auf eine Datenbank.

Der Unterschied zwischen beiden Vorgängen liegt weniger in der Technik als in der Informationslage.

Merkmal Vorfall September 2022 Vorfall September 2026
Gemeldete Betroffene weltweit 50.150 k. A.
davon im Europäischen Wirtschaftsraum 20.687 k. A.
Ausweisdokumente betroffen nicht genannt ja
Transaktionslisten betroffen nicht genannt ja
Mitteilung der litauischen Aufsicht 16. September 2022 liegt nicht vor
Quellen: Valstybinė duomenų apsaugos inspekcija (Mitteilung vom 16. September 2022) für 2022; TechCrunch, The Block und TheStreet vom 12. September 2026 sowie eigene Prüfung der Nachrichtenseite der litauischen Aufsicht für 2026. Stand: 13. September 2026, 9 Uhr. „k. A.“ bedeutet: Revolut hat dazu keine Angabe gemacht.

Auf der Nachrichtenseite der litauischen Datenschutzinspektion stand am Sonntagvormittag deutscher Zeit keine Mitteilung zu dem neuen Vorgang; der jüngste Eintrag datiert vom 8. September 2026. Ob dort bereits ein Verfahren läuft, ist damit öffentlich nicht erkennbar.

Warum gefälschte Behördenanfragen funktionieren

Das Muster ist bekannt und wird international seit Jahren beobachtet. Die US-Bundespolizei FBI hat am 4. November 2024 eine Warnung an Unternehmen herausgegeben, die genau diesen Weg beschreibt: Nach Darstellung der Behörde kaufen Kriminelle in Onlineforen Zugangsdaten zu kompromittierten Behörden-Postfächern und stellen darüber Auskunftsersuchen, häufig als Eilsache aufgemacht. Die Behörde zitiert darin das Verkaufsangebot eines Kriminellen in einem Onlineforum, der „hochwertige .gov-E-Mails für Spionage, Social Engineering und Datenerpressung“ anbot (Übersetzung der Redaktion).

Der entscheidende Punkt aus Sicht des empfangenden Unternehmens: Die technische Prüfung schlägt nicht an. Die Absenderdomain ist echt, die Signatur stimmt, der Spam-Filter sieht nichts. Das FBI empfiehlt Unternehmen deshalb, jedes Eilersuchen inhaltlich zu prüfen – Unterschriften und Logos auf Bearbeitungsspuren, die genannten Rechtsgrundlagen auf Zuständigkeit.

Um genau diesen Prüfschritt dreht sich der Vorgang bei Revolut. Was das Unternehmen geprüft hat, bevor es die Daten herausgab, hat es bisher nicht dargestellt.

Was das für rund drei Millionen Konten in Deutschland bedeutet

Revolut zählt nach eigenen Angaben vom 29. Januar 2026 drei Millionen Menschen in Deutschland zu seiner Kundschaft. Vertragspartner ist dabei nicht ein deutsches Institut: Nach der Entgeltinformation des Unternehmens führt die Revolut Bank UAB das Geschäft über die „Revolut Bank UAB, Zweigniederlassung Deutschland“ mit Sitz Unter den Linden 40 in Berlin. Die Bank ist von der Europäischen Zentralbank zugelassen und wird von der litauischen Zentralbank und der EZB beaufsichtigt – von der deutschen Finanzaufsicht BaFin nur insoweit, als die Dienstleistungen über die deutsche Zweigniederlassung erbracht werden.

Für den Datenschutz folgt daraus eine Zuständigkeit, die im Alltag leicht übersehen wird. Weil die Hauptniederlassung in Litauen liegt, ist nach Artikel 56 der EU-weit geltenden Datenschutz-Grundverordnung die litauische Aufsicht federführend. Eine Beschwerde lässt sich nach Artikel 77 zwar auch bei der Aufsichtsbehörde am eigenen gewöhnlichen Aufenthaltsort einlegen – über den Fall entscheidet anschließend aber die federführende Behörde in Vilnius.

Ob und wie viele der deutschen Konten betroffen sind, ist offen. Revolut hat keine Aufschlüsselung nach Ländern veröffentlicht.

Welche Rechte Betroffene in Deutschland haben

Zwei Fristen der Datenschutz-Grundverordnung sind hier einschlägig. Nach Artikel 33 muss ein Unternehmen eine Datenschutzverletzung in der Regel binnen 72 Stunden der zuständigen Aufsichtsbehörde melden. Nach Artikel 34 muss es die Betroffenen selbst „unverzüglich“ benachrichtigen, wenn voraussichtlich ein hohes Risiko für deren Rechte besteht. Revolut hat nach eigener Darstellung Datenschutzaufsichten informiert; Benachrichtigungs-E-Mails an Betroffene gingen nach Angaben von The Block am Freitag heraus. Ob beides fristgerecht geschah, lässt sich von außen nicht überprüfen.

Praxishinweis: Was sich jetzt prüfen lässt

  • Auskunft verlangen. Artikel 15 DSGVO gibt jeder betroffenen Person das Recht zu erfahren, ob und welche Daten an wen weitergegeben wurden. Die Anfrage geht an den Verantwortlichen, hier die Revolut Bank UAB.
  • Auf Folgebetrug achten. Wer Name, Geburtsdatum, IBAN und Kontobewegungen kennt, kann sehr überzeugend im Namen der Bank oder einer Behörde schreiben. Nach dem Abfluss von Daten aus dem Berliner Landesnetz hatte das deutsche Bundesamt für Sicherheit in der Informationstechnik Anfang September vor Phishing-Versuchen gewarnt.
  • Beschwerde ist möglich. Artikel 77 DSGVO erlaubt die Beschwerde bei der Aufsichtsbehörde am eigenen Wohnort; sie wird an die federführende litauische Behörde weitergeleitet.
  • Schadenersatz ist nicht ausgeschlossen. Artikel 82 DSGVO sieht einen Anspruch auf Ersatz materieller und immaterieller Schäden vor. Ob im konkreten Fall ein Schaden vorliegt, hängt vom Einzelfall ab und ist eine Rechtsfrage, die Gerichte entscheiden.

Was offen bleibt

Der bekannt gewordene Sachverhalt stammt bislang fast vollständig aus einer Quelle – dem Unternehmen selbst. Öffentlich wurde der Vorgang nach Darstellung von The Block und TheStreet zuerst über den unter dem Namen ZachXBT bekannten Blockchain-Rechercheur: Er veröffentlichte demnach am Freitag über seinen Telegram-Kanal ein Kundenanschreiben von Revolut und äußerte die Vermutung, der Zugriff habe vermögender Kundschaft gegolten. Revolut hat diese Einschätzung nicht bestätigt; NETZ-TRENDS konnte sie nicht unabhängig überprüfen.

Damit bleiben mehrere Fragen unbeantwortet, die für die Bewertung entscheidend sind: Wie viele Konten sind betroffen, und wie viele davon in Deutschland? Welche Behörde welchen Landes wurde imitiert? Über welchen Zeitraum lief der Vorgang, und wie viele Ersuchen wurden beantwortet? Welche Prüfung durchlaufen behördliche Auskunftsersuchen bei Revolut – und hat sie in diesem Fall stattgefunden?

Belegbar ist bis dahin nur der nächste Schritt: Äußert sich die litauische Datenschutzinspektion, wird daraus erkennbar, ob ein Verfahren läuft. 2022 lag ihre Mitteilung am 16. September vor, fünf Tage nach dem damaligen Vorfall vom 11. September.

Welche Erfahrungen haben Sie mit der Sicherheit Ihrer Bankdaten gemacht – und würden Sie einem Anbieter Ausweisbild und Selfie noch einmal anvertrauen? Schreiben Sie uns Ihre Meinung gerne in die Kommentare.

Quellen

Transparenzhinweis: Bei Recherche, Strukturierung und Erstellung dieses Beitrags kamen KI-gestützte Werkzeuge zum Einsatz. Die verwendeten Quellen sind im Artikel aufgeführt. Die Veröffentlichung erfolgt erst nach manueller redaktioneller Freigabe.

DatenleckDatenschutzDSGVOPhishingRevolut

Kommentar schreiben