{"id":3734,"date":"2026-09-20T18:21:15","date_gmt":"2026-09-20T16:21:15","guid":{"rendered":"https:\/\/clifftide.com\/?p=3734"},"modified":"2026-09-20T18:39:58","modified_gmt":"2026-09-20T16:39:58","slug":"revolut-gab-nach-eigenen-angaben-kundendaten-auf-betruegerische-anfragen-hin-weiter","status":"publish","type":"post","link":"https:\/\/clifftide.com\/en\/revolut-gab-nach-eigenen-angaben-kundendaten-auf-betruegerische-anfragen-hin-weiter\/","title":{"rendered":"Revolut gab nach eigenen Angaben Kundendaten auf betr\u00fcgerische Anfragen hin weiter"},"content":{"rendered":"
\"\"<\/figure>\n\n\n\n

Photo Credit: WD Stock Photos – stock.adobe.com<\/sub><\/p>\n\n\n\n

Revolut best\u00e4tigte gegen\u00fcber Reuters<\/a>, sensible Kundendaten weitergegeben zu haben, nachdem das Unternehmen betr\u00fcgerische Anfragen von einer legitimen E-Mail-Domain einer Beh\u00f6rde erhalten hatte.<\/p>\n\n\n\n

Laut Financial Times<\/a> kontaktierte das Unternehmen nach einer ersten Untersuchung rund 680 Kunden.<\/p>\n\n\n\n

F\u00fcr F\u00fchrungskr\u00e4fte wirft der Fall eine unbequeme Frage auf. Wenn eine Anfrage \u00fcber einen Kanal eingeht, dem Ihr Unternehmen bereits vertraut, welche weiteren Schritte sind dann n\u00f6tig, bevor jemand Informationen herausgibt, deren Weitergabe sich nicht r\u00fcckg\u00e4ngig machen l\u00e4sst?<\/p>\n\n\n\n

Was die mutmasslichen Angreifer sagten<\/h2>\n\n\n\n

Laut Financial Times<\/a> erkl\u00e4rten die mutmasslichen Angreifer, sie h\u00e4tten ein staatliches E-Mail-System kompromittiert und sich anschliessend als italienische Strafverfolgungsbeh\u00f6rden ausgegeben. Die Zeitung zitierte zudem eine mit der Angelegenheit vertraute Person, die best\u00e4tigte, dass die Anfragen \u00fcber Italiens zertifiziertes E-Mail-System PEC eingegangen seien und sich der Austausch \u00fcber mehrere Monate erstreckt habe.<\/p>\n\n\n\n

Wie SRF am 18. September erl\u00e4uterte<\/a>, ist PEC in Italien ein offizieller Kanal f\u00fcr rechtliche und beh\u00f6rdliche Korrespondenz.<\/p>\n\n\n\n

Damit ist der Fall f\u00fcr Unternehmen relevant, die routinem\u00e4ssig pr\u00fcfen, ob eine E-Mail-Adresse verd\u00e4chtig aussieht. Auch \u00fcber einen vertrauten, offiziellen Kanal kann eine betr\u00fcgerische Anfrage eingehen.<\/p>\n\n\n\n

Welche Informationen laut den Berichten weitergegeben wurden<\/h2>\n\n\n\n

Laut Financial Times<\/a> umfassten die weitergegebenen Informationen Passdaten, Bankkontonummern, Wohnadressen, Fotos zur Identit\u00e4tspr\u00fcfung und Angaben zu Bitcoin-Aktivit\u00e4ten.<\/p>\n\n\n\n

Die m\u00f6glichen Folgen reichen \u00fcber den Kontostand hinaus. Wie The Guardian am 17. September berichtete<\/a>, \u00e4usserte der betroffene Kunde Mark Karpel\u00e8s Sorge um die Sicherheit seiner Familie.<\/p>\n\n\n\n

F\u00fcr die Unternehmensf\u00fchrung ver\u00e4ndert das die Anforderungen an eine Antwort, die Kunden beruhigen soll. Kunden m\u00fcssen m\u00f6glicherweise verstehen, was jemand anderes nun \u00fcber sie weiss und welche Unterst\u00fctzung sie erhalten k\u00f6nnen.<\/p>\n\n\n\n

Revoluts Reaktion<\/h2>\n\n\n\n

Revolut erkl\u00e4rte gegen\u00fcber Reuters<\/a>, die eigenen Systeme und die Kundengelder seien nicht betroffen. Das Unternehmen habe die E-Mail-Adresse gesperrt, betroffene Kunden kontaktiert und die zust\u00e4ndige Beh\u00f6rde, die Strafverfolgungsbeh\u00f6rden sowie die Aufsichtsbeh\u00f6rden informiert.<\/p>\n\n\n\n

Laut Financial Times vom 14. September<\/a> teilte die britische Datenschutzbeh\u00f6rde Information Commissioner\u2019s Office mit, sie untersuche den Vorfall, nachdem Revolut ihn gemeldet habe.<\/p>\n\n\n\n

Diese Aussagen dokumentieren die Reaktion des Unternehmens und die berichtete Untersuchung durch die Aufsichtsbeh\u00f6rde. Welche Pr\u00fcfungen der Datenweitergabe vorausgingen, bleibt offen.<\/p>\n\n\n\n

Die berichtete L\u00f6segeldforderung<\/h2>\n\n\n\n

Laut Financial Times vom 16. September<\/a> forderte die Gruppe, die sich zu dem Vorfall bekannte, \u00f6ffentlich drei Millionen US-Dollar. Sie drohte, Kundendaten an andere kriminelle Gruppen zu verkaufen, falls sie nicht innerhalb von 24 Stunden bezahlt werde.<\/p>\n\n\n\n

Revolut erkl\u00e4rte am selben Tag gegen\u00fcber Reuters<\/a>, die Personen oder die Gruppe hinter diesen Behauptungen h\u00e4tten das Unternehmen weder direkt kontaktiert noch ihm eine Forderung \u00fcbermittelt.<\/p>\n\n\n\n

Die f\u00fcr diese Ausgabe ausgewertete Berichterstattung l\u00e4sst offen, ob anschliessend eine Zahlung, ein Verkauf oder eine weitergehende Ver\u00f6ffentlichung der Daten erfolgte.<\/p>\n\n\n\n

Warum der Fall \u00fcber Revolut hinaus relevant ist<\/h2>\n\n\n\n

Die Frage f\u00fcr die Unternehmensf\u00fchrung beginnt damit, was ein Unternehmen jemandem erlaubt, nachdem eine vermeintlich offizielle Anfrage eingegangen ist.<\/p>\n\n\n\n

Eine offizielle E-Mail-Adresse, der Briefkopf einer Aufsichtsbeh\u00f6rde oder ein bekannter Kontakt k\u00f6nnen Mitarbeitenden Anlass geben, eine Anfrage ernst zu nehmen. Die Unternehmensf\u00fchrung muss dennoch festlegen, welche Nachweise erforderlich sind, bevor Informationen weitergegeben, Geld \u00fcberwiesen oder Zugriffsrechte erteilt werden.<\/p>\n\n\n\n

Die f\u00fcr diese Ausgabe ausgewertete \u00f6ffentliche Berichterstattung beschreibt Revoluts internen Freigabeprozess nicht vollst\u00e4ndig. Aus ihr geht nicht hervor, ob Mitarbeitende Belege pr\u00fcften, die Beh\u00f6rde separat kontaktierten oder eine zus\u00e4tzliche Freigabe einholten. Wir k\u00f6nnen daher nicht schliessen, dass die beh\u00f6rdliche E-Mail-Adresse allein ausreichte.<\/p>\n\n\n\n

F\u00fchrungskr\u00e4fte k\u00f6nnen aber pr\u00fcfen, ob dies in ihren eigenen Unternehmen m\u00f6glich w\u00e4re.<\/p>\n\n\n\n

Nehmen wir eine Anfrage nach vertraulichen Kundendaten. Wenn ein zweiter Mitarbeitender die Weitergabe freigibt, nachdem er dieselbe E-Mail gelesen hat, welche zus\u00e4tzliche Sicherheit bietet diese Freigabe dann? Wenn der Absender eine Telefonnummer zur \u00dcberpr\u00fcfung angibt, wie stellt das Unternehmen fest, wer dort tats\u00e4chlich antwortet?<\/p>\n\n\n\n

Solche Entscheidungen kann die Unternehmensf\u00fchrung treffen, bevor eine Anfrage eingeht. Dabei geht es um die erforderlichen Nachweise, die verantwortliche Person und die Umst\u00e4nde, unter denen die Bearbeitung ausgesetzt werden muss.<\/p>\n\n\n\n

Zudem macht es in der Praxis einen Unterschied, ob man die Weitergabe von Daten aufschiebt oder versucht, bereits \u00fcbermittelte Daten zur\u00fcckzuholen. Sind Unterlagen einmal an einen unbefugten Empf\u00e4nger verschickt, kann das Unternehmen nicht davon ausgehen, jede Kopie zur\u00fcckzubekommen.<\/p>\n\n\n\n

Wie die Schweiz betroffen ist<\/h2>\n\n\n\n

Laut Financial Times<\/a> erkl\u00e4rten die mutmasslichen Angreifer, die meisten betroffenen Kunden seien in der Schweiz und in Frankreich. Unter 31 weiteren L\u00e4ndern nannten sie auch Deutschland.<\/p>\n\n\n\n

Der Zeitpunkt ist aus gesch\u00e4ftlicher Sicht relevant. Wie Reuters am 16. September berichtete<\/a>, beantragte Revolut eine Schweizer Banklizenz und k\u00fcndigte an, mehr als 150 Millionen Franken im Land zu investieren. Reuters berichtete, dass es f\u00fcr die Expansion entscheidend sei, das Vertrauen der Kunden zu gewinnen.<\/p>\n\n\n\n

F\u00fcr ein Unternehmen, das bei den finanziellen Angelegenheiten seiner Kunden eine gr\u00f6ssere Rolle spielen will, geh\u00f6rt dazu auch eine Erkl\u00e4rung, wie es ihre Daten sch\u00fctzt. Aus der ausgewerteten Berichterstattung geht nicht hervor, dass der Vorfall Auswirkungen auf den Lizenzantrag hatte.<\/p>\n\n\n\n

Was F\u00fchrungskr\u00e4fte jetzt fragen sollten<\/h2>\n\n\n\n

Jedes Unternehmen sollte auf diese Fragen eine Antwort haben.<\/p>\n\n\n\n