Die britische Finanzfirma Revolut hat bestätigt, personenbezogene Daten ihrer Kunden an einen unbekannten Dritten übergeben zu haben - weil die Anfrage von einer echten Adresse einer echten staatlichen Institution kam. Keine Datenbank wurde geknackt, kein System überwunden. Jemand schrieb von einer Domain, der alle vertrauen, und Revolut antwortete.

Die Liste des Übergebenen ist lang. Geburtsdatum, Wohnanschrift, E-Mail, Telefonnummer, dazu Kopien von Ausweisdokumenten - Pässe und Führerscheine. Laut der Mitteilung, die die Firma an betroffene Kunden schickte, könnten auch Verifizierungs-Selfies, Kontoauszüge und Transaktionshistorien im Paket gewesen sein. Mit anderen Worten: alles, was man braucht, um sich bei einer Bank als jemand anderes auszugeben.

Ein Revolut-Sprecher beschrieb den Fall als „ausgefeilten externen Identitätsbetrug, bei dem ein unbefugter Dritter eine legitime Domain einer Regierungsbehörde nutzte, um betrügerische Auskunftsersuchen zu stellen“. Die Zahl der Betroffenen? „Begrenzt“ - und keine einzige konkrete Zahl. Weder welcher Markt betroffen ist, noch welche Behörde ausgenutzt wurde. Nur die Versicherung, Systeme und Gelder der Kunden seien unberührt, was stimmt und zugleich an der Sache vorbeigeht: Niemand stiehlt das Geld in dem Moment, in dem er die Dokumente bekommt.

Wer auf der Liste stand

Der als ZachXBT bekannte Krypto-Ermittler veröffentlichte als Erster den Inhalt der Nachricht an die Kunden und sagte, der Angriff scheine auf Nutzer mit hohen Guthaben gerichtet zu sein. Das ist kein zufälliges Fischernetz - das ist eine Auswahl. Wenn jemand im Voraus weiß, wessen Dokumente er anfordert, lautet die Frage nicht mehr nur, wie er hineinkam, sondern woher er wusste, nach wem er fragen muss.

Revolut sagt, man habe die Adresse gesperrt, sobald der Betrug entdeckt wurde, und die Behörde, die Polizei und die Regulierer informiert. Die Firma hat weltweit mehr als 80 Millionen Nutzer und arbeitet in über 30 Ländern als Bank; in den vergangenen Monaten erhielt sie Banklizenzen in Frankreich und Großbritannien sowie eine bedingte Genehmigung der US-Aufsicht für eine nationale Bank, die für die erste Hälfte 2027 geplant ist. Zugleich bereitet sie einen Börsengang mit einer Bewertung von bis zu 200 Milliarden Dollar vor - fast dreimal so viel wie die 75 Milliarden vom November.

Die Schwachstelle ist nicht technischer Natur

Hier ist, was man sich merken sollte. Kein Passwort fiel, kein Server wurde erobert. Gefallen ist die Annahme, eine Anfrage von einer Behördendomain sei automatisch eine echte Anfrage - Verfahren, nicht Software. Banken in dieser Region arbeiten nach derselben Logik: Es kommt ein Schreiben mit Briefkopf, es wird geantwortet. Wie viele von ihnen würden erkennen, dass die Adresse echt ist, der Mensch dahinter aber nicht?

Der Ingenieur, der den Schutz gebaut hat, kann makellos arbeiten, und die Daten gehen dennoch über den Dienstweg hinaus, weil jemand eine Domain las und aufhörte zu prüfen. Das repariert man nicht mit einer weiteren Verschlüsselungsschicht.