Revolut gibt Bitcoin-Daten und Pässe an Betrüger weiter: Datenpanne trifft Nutzer
Die Digitalbank Revolut hat nach einem gefälschten Behördenersuchen sensible Kundendaten an Betrüger herausgegeben. Laut einem Bericht von CoinDesk vom 12. September 2026 wurden dabei Bitcoin-Transaktionshistorien, Reisepassscans, Selfies und Wohnadressen offengelegt. Revolut erkannte die Anfrage nicht als Fälschung und behandelte sie wie ein legitimes Auskunftsersuchen einer Behörde. Kundenfonds wurden nicht angetastet, die persönlichen Daten jedoch sind unwiderruflich in fremde Hände gelangt.
Was genau wurde herausgegeben und an wen
Revolut gab laut CoinDesk mindestens vier Datenkategorien preis: Bitcoin-Aktivitätsdaten, also Transaktionshistorien und Wallet-Zuordnungen; Reisepassfotos im Klartext; Selfies, die zur Identitätsverifizierung eingereicht wurden; sowie Heimadressen. Die Daten landeten bei den Initiatoren des gefälschten Behördenbriefs, nicht bei einer echten Strafverfolgungsbehörde. Die Quelle nennt keine genaue Zahl betroffener Konten. Bekannt ist: Revolut hat weltweit mehr als 45 Millionen Nutzer, davon mehrere Millionen in Deutschland. Wie viele davon konkret betroffen sind, hat das Unternehmen bislang nicht öffentlich beziffert.
Revolut ist in Deutschland über eine litauische Banklizenz tätig und unterliegt damit europäischem Recht, auch der DSGVO. Eine Datenpanne dieser Art löst nach DSGVO Artikel 33 eine Meldepflicht bei der zuständigen Aufsichtsbehörde binnen 72 Stunden aus. Ob Revolut diese Frist eingehalten hat, ist aus der Quelle nicht ersichtlich.
Der entscheidende Irrtum: Kein Geld weg heißt nicht kein Schaden
In Medienberichten zu Datenpannen taucht häufig der Satz auf: „Kundenfonds sind sicher." Das stimmt hier technisch, führt aber in die Irre. Denn die freigegebenen Daten ermöglichen drei ernsthafte Angriffe, die Geld kosten können, ohne dass Revolut selbst etwas entwendet wurde.
- Gezielte Phishing-Angriffe: Wer Bitcoin-Aktivitätsdaten und Passfoto einer Person kombiniert, kann hochgradig glaubwürdige gefälschte Nachrichten verfassen, zum Beispiel eine vermeintliche Steuerprüfung oder eine Aufforderung, ein Wallet zu verifizieren.
- SIM-Swap-Angriffe: Mit Reisepassfoto und Heimadresse ist eine Identitätsverifizierung bei Mobilfunkanbietern möglich. Ein erfolgreicher SIM-Swap hebelt SMS-basierte Zwei-Faktor-Authentifizierung aus.
- Physische Bedrohung: Wer Bitcoin hält und dessen Adresse bekannt ist, ist ein potenzielles Ziel für sogenannte Wrench-Attacks, also Übergriffe mit dem Ziel, Wallet-Zugangsdaten unter Druck herauszugeben.
Unsere Einordnung: Diese drei Szenarien sind keine theoretischen Konstrukte. In den vergangenen 24 Monaten sind mehrere dokumentierte Fälle bekannt, in denen geleakte Krypto-Kundendaten zu physischen Übergriffen führten, darunter der Ledger-Datenbankdiebstahl aus dem Jahr 2020, dessen Folgen bis 2022 spürbar waren.
Was neu ist gegenüber früheren Revolut-Vorfällen
Revolut hatte bereits 2022 eine Datenpanne, bei der laut damaligen Berichten Daten von rund 50.000 Nutzern kompromittiert wurden. Der aktuelle Vorfall unterscheidet sich in einem wesentlichen Punkt: Diesmal war nicht ein technischer Einbruch der Auslöser, sondern ein Social-Engineering-Angriff gegen Revoluts interne Prozesse. Betrüger haben ein behördliches Auskunftsersuchen gefälscht und Revolut damit überlistet, die Daten aktiv und freiwillig herauszugeben. Das ist eine andere Qualität. Ein technischer Angriff lässt sich durch bessere Sicherheitsarchitektur abwehren. Ein Prozessversagen erfordert organisatorische Gegenmaßnahmen: Wie verifiziert ein Unternehmen die Echtheit behördlicher Anfragen? Revolut hat sich dazu bislang nicht geäußert, zumindest nicht in der vorliegenden Quelle.
Wie Bitcoin-Aktivitätsdaten Trader besonders exponieren
Unsere Einordnung: Für aktive Trader ist die Offenlegung von Bitcoin-Aktivitätsdaten ein anderes Risiko als für Gelegenheitskäufer. Ein vereinfachtes Beispiel zeigt den Unterschied. Nehmen wir an, jemand hat in den vergangenen 12 Monaten 50 Trades über Revolut abgewickelt, mit einem durchschnittlichen Volumen von je 2.000 Euro. Das ergibt ein sichtbares Handelsvolumen von 100.000 Euro. Wer diese Daten plus Heimadresse kennt, weiß nicht nur, dass diese Person Krypto hält, sondern auch, wie aktiv sie handelt und in welchen Größenordnungen.
Voraussetzung dieser Einschätzung: Die Transaktionsdaten enthalten tatsächlich Volumenangaben und nicht nur Zeitstempel. Was die Daten im Detail umfassen, nennt die Quelle nicht vollständig. Umkehrung: Enthielten die Daten nur Zeitstempel ohne Beträge, wäre das Risikoprofil deutlich geringer, aber immer noch vorhanden.
Drei Dinge, die du jetzt konkret tun kannst
Wenn du Revolut-Kunde bist oder warst, gibt es drei Schritte, die sofort sinnvoll sind:
- Prüfe deine Sicherheitseinstellungen: Ändere das Passwort bei Revolut und bei jedem anderen Dienst, bei dem du dasselbe Passwort verwendest. Aktiviere App-basierte Zwei-Faktor-Authentifizierung (TOTP), falls noch nicht geschehen, und deaktiviere SMS-basierte 2FA dort, wo es geht.
- Überwache deine digitale Identität: Prüfe, ob deine E-Mail-Adresse auf Seiten wie haveibeenpwned.com in bekannten Datenlecks auftaucht. Bestelle eine Schufa-Selbstauskunft, um ungewöhnliche Kreditanfragen zu erkennen, die auf Identitätsmissbrauch hindeuten könnten.
- Verfolge die offizielle Revolut-Kommunikation: Das Unternehmen ist verpflichtet, betroffene Nutzer zu informieren. Halte Ausschau nach einer direkten Nachricht von Revolut. Kommt keine, kannst du über das DSGVO-Auskunftsrecht aktiv anfragen, welche deiner Daten verarbeitet und an Dritte weitergegeben wurden.
Wer nicht direkt betroffen ist, aber trotzdem handeln sollte
Auch wer kein Revolut-Konto hat, kann von diesem Vorfall lernen. Der eigentliche Angriffsvektor war kein Revolut-spezifischer Fehler, sondern ein universelles Problem: Finanzdienstleister verarbeiten sensible Daten und erhalten regelmäßig behördliche Anfragen. Jeder Anbieter, der Krypto-Kundendaten hält, von der Neobank bis zum Krypto-Broker, ist ein potenzielles Ziel für gefälschte Behördenanfragen. Das bedeutet: Die Frage „Welche meiner Daten liegen wo?" ist für jeden Krypto-Anleger relevant, unabhängig vom genutzten Anbieter. Wer Bitcoin und andere Vermögenswerte auf verschiedene Plattformen verteilt, senkt das Risiko, dass ein einziges Datenleck sein gesamtes Profil offenlegt.
Sonderfall: Personen mit erhöhtem Risikoprofil
Für eine Gruppe ist der Vorfall besonders ernst: Menschen, die Krypto in größeren Mengen halten und deren Heimadresse nun bekannt ist. Die Kombination aus Reisepassfoto, verifizierter Wohnadresse und Bitcoin-Aktivitätsdaten erlaubt es, eine sehr genaue Zielperson zu konstruieren. Das ist keine abstrakte Gefahr. In Europa gab es in den Jahren 2023 bis 2025 mehrere dokumentierte Fälle, in denen Krypto-Investoren aufgrund geleakter Daten physisch bedroht oder überfallen wurden. Wer sich in dieser Gruppe sieht, sollte ernsthaft prüfen, ob eine Änderung der Wohnadresse in offiziellen Dokumenten, also Abmeldung und Ummeldung, eine sinnvolle Schutzmaßnahme ist, und das mit einer darauf spezialisierten Rechtsberatung klären.
Offene Fragen und was jetzt zählt
Drei Dinge solltest du in den nächsten Tagen beobachten: erstens, ob Revolut eine offizielle Stellungnahme mit genauen Nutzerzahlen veröffentlicht; zweitens, ob die litauische Datenschutzbehörde (VDAI) eine Untersuchung einleitet oder bereits eine Meldung erhalten hat; drittens, ob Revolut konkrete Prozessänderungen bei der Prüfung behördlicher Anfragen ankündigt.
Offene Fragen: Wie viele Konten sind tatsächlich betroffen? Die Quelle nennt keine Zahl. Das wird sich zeigen, wenn Revolut zur Meldung verpflichtet ist und die Aufsichtsbehörde Zahlen veröffentlicht. Unsere Einordnung: Wurden die Daten bereits weiterverkauft oder in einschlägigen Foren gehandelt? Das ist die unbequeme Frage, denn wenn ja, ist das Risikofenster für Phishing-Angriffe bereits offen, nicht erst wenn Revolut kommuniziert.
Häufige Fragen zum Revolut-Datenleck
Muss ich mein Revolut-Konto jetzt schließen? Das musst du nicht. Wichtiger ist, die Sicherheitseinstellungen zu aktualisieren und SMS-basierte 2FA durch App-basierte Authentifizierung zu ersetzen. Ob das Konto selbst ein Risiko darstellt, hängt davon ab, ob du zu den betroffenen Nutzern gehörst.
Wie erfahre ich, ob ich betroffen bin? Revolut ist nach DSGVO verpflichtet, betroffene Personen direkt zu informieren. Erhältst du keine Nachricht, kannst du eine DSGVO-Auskunftsanfrage stellen, in der du fragst, ob deine Daten an Dritte weitergegeben wurden.
Können die Täter mit den Daten Geld stehlen? Direkt über Revolut nicht, weil Kontofunds unberührt blieben. Indirekt, über Phishing, SIM-Swap oder Identitätsmissbrauch bei anderen Diensten, ist das Risiko real und sollte durch sofortige Passwort- und 2FA-Änderungen minimiert werden.
Was unterscheidet diesen Vorfall von einem normalen Hackerangriff? Revolut wurde nicht technisch kompromittiert. Die Daten wurden aktiv herausgegeben, weil das Unternehmen eine gefälschte Behördenanfrage nicht als solche erkannte. Das ist ein Prozessfehler, kein Einbruch in Systeme.
Die Angaben in diesem Artikel beziehen sich auf den Bericht von CoinDesk vom 12. September 2026. Wie viele Nutzer konkret betroffen sind und welche Datenkategorien im Einzelfall offengelegt wurden, ist aus der Quelle nicht vollständig ersichtlich. Dieser Artikel ersetzt keine Berechnung für deinen Fall und keine individuelle Prüfung deiner Datenlage. Er lässt bewusst offen: genaue Nutzerzahlen, vollständige Liste der offengelegten Datenfelder und den Stand des behördlichen Verfahrens, weil dazu keine belegbaren Angaben vorliegen. Stand: 12. September 2026, der Vorfall gilt laut Quelle als laufend.
Die Fakten
- Revolut gab Daten nach gefälschter Behördenanfrage heraus: Bitcoin-Aktivitäten, Reisepassfotos, Selfies, Wohnadressen
- Kundenfonds wurden nicht entwendet
- Revolut hat weltweit über 45 Millionen Nutzer, genaue Zahl Betroffener nicht bekannt
- Revolut operiert in Deutschland über litauische Banklizenz, DSGVO gilt
- DSGVO-Meldepflicht bei Datenpanne: 72 Stunden nach Kenntnis an Aufsichtsbehörde
- Angriffsvektor: Social Engineering gegen interne Prozesse, kein technischer Einbruch
- Bitcoin-Aktivitätsdaten und Heimadresse kombiniert ermöglichen gezielte Phishing- und SIM-Swap-Angriffe
- Quelle: CoinDesk, 12. September 2026
Quellen: CoinDesk: Bitcoin activity, passports exposed after Revolut falls for fake government request
Der kostenlose 3:1 Guide zeigt dir, wie du aus Schlagzeilen Trades mit klar begrenztem Risiko machst.
Zum kostenlosen GuidePassend dazu
Dieser Artikel ist eine allgemeine Einordnung zu Bildungszwecken und keine Anlage-, Rechts- oder Steuerberatung. Der Handel mit Kryptowährungen und Hebelprodukten ist mit erheblichen Risiken verbunden.