Revolut-Datenleck September 2026: Ausweiskopien und Kontodaten weg

Die schnelle Antwort: Die Neobank Revolut hat am 12. September 2026 bestätigt, dass Kundendaten an einen unbefugten Dritten herausgegeben wurden. Die Anfragen kamen von einer E-Mail-Adresse innerhalb der echten Domain einer Behörde. Betroffen sein können Pass- oder Führerscheinkopien, Verifizierungs-Selfies, Name, Geburtsdatum, Beruf, Adresse, Telefonnummer, IBAN, Kontoauszüge und vollständige Transaktionslisten einschließlich Bitcoin-Transaktionen. Betroffene wurden per E-Mail informiert. Revolut spricht von einer begrenzten Zahl, nennt aber keine Größenordnung.

Was Revolut am 12. September bestätigt hat

Am Abend des 11. September 2026 tauchten in sozialen Netzwerken erste Auszüge aus einer E-Mail auf, die Revolut an betroffene Kundinnen und Kunden verschickt hatte. Der bekannte Krypto-Ermittler ZachXBT machte den Vorfall öffentlich und schätzte, dass er begrenzt sei und sich gezielt gegen vermögende Nutzer richte. Unter den Empfängern war auch Mark Karpelès, der frühere Chef der Bitcoin-Börse Mt. Gox, der Teile der Nachricht veröffentlichte. Am 12. September bestätigte Revolut den Vorfall gegenüber mehreren Medien. Nach der Darstellung, die Revolut gegenüber TechCrunch abgab, habe man einen "ausgeklügelten externen Identitätsbetrug" festgestellt, bei dem ein unbefugter Dritter die legitime E-Mail-Domain einer Behörde genutzt habe, um betrügerische Auskunftsersuchen zu stellen. Die Adresse sei nach Entdeckung gesperrt, die betroffene Behörde, Strafverfolger, Datenschutz- und Finanzaufsicht seien informiert worden. Die Systeme von Revolut und die Guthaben der Kunden seien nicht betroffen.

Der entscheidende Satz steht in der Benachrichtigung an die Betroffenen selbst: Die Anfrage sei von einem nicht autorisierten E-Mail-Konto ausgegangen, das direkt innerhalb der Domain-Infrastruktur einer offiziellen Behörde angelegt worden sei. Das ist etwas anderes als eine gefälschte Absenderadresse. Wer ein Postfach in der echten Domain einer Behörde betreibt, besteht jede technische Echtheitsprüfung, weil die Mail tatsächlich von dort kommt. Für die Mitarbeiter bei Revolut, die täglich Auskunftsersuchen von Ermittlungsbehörden bearbeiten, sah die Anfrage folglich aus wie jede andere auch. Genau darauf war der Angriff angelegt.

Drei Fragen lässt Revolut offen, und sie sind für Ihre Einordnung die wichtigsten. Erstens die Zahl: Es sei eine "begrenzte Zahl" von Kunden betroffen, eine Größenordnung nennt die Bank nicht. Zweitens die Länder: Ob der Vorfall auf bestimmte Märkte beschränkt ist, sagt Revolut nicht, und auch nicht, welche Behörde in welchem Land nachgeahmt wurde. Drittens der Zeitraum: Wann die Anfragen eingingen und wie lange die Herausgabe lief, bleibt unklar. Zur Einordnung der möglichen Reichweite: Revolut zählt nach Angaben vom Januar 2026 rund drei Millionen Kunden allein in Deutschland, weltweit sind es rund 70 Millionen. Auch wenn der Vorfall gezielt geführt wurde, kommt damit jede Kundin und jeder Kunde grundsätzlich infrage.

Bin ich betroffen? Die Prüfung in vier Fragen

Anders als bei vielen Vorfällen gibt es hier ein klares Signal: Revolut hat die Betroffenen nach eigenen Angaben direkt per E-Mail informiert. Das ist eine gute Nachricht, aber sie hat einen Haken, den Sie kennen sollten. Nach einem öffentlich gewordenen Vorfall folgen erfahrungsgemäß innerhalb weniger Tage Nachahmer-Mails, die genau diese Benachrichtigung kopieren und einen Link zur "Überprüfung Ihres Kontos" beilegen. Die echte Nachricht von Revolut fordert Sie zu keiner Eingabe von Zugangsdaten auf. Die folgenden vier Fragen führen Sie durch die Einordnung.

Ein Detail, das in den Meldungen kaum vorkommt: Auch wer sein Revolut-Konto vor Jahren geschlossen hat, kann im Bestand stehen. Banken müssen Identifizierungsunterlagen nach dem Geldwäschegesetz fünf Jahre nach Ende der Geschäftsbeziehung aufbewahren, die Ausweiskopie und das Selfie liegen also auch nach der Kündigung weiter vor. Ein Auskunftsersuchen einer Behörde erfasst diese Altbestände genauso wie aktive Konten.

Welche Daten im Spiel sind und welches Risiko daraus folgt

Die Liste in der Benachrichtigung ist lang, und es lohnt sich, sie nicht als Ganzes zu lesen, sondern in vier Blöcken. Jeder davon steht für eine eigene Betrugsmasche, und die Kombination macht sie gefährlicher, als es jeder Block für sich wäre.

• Ausweiskopie plus Verifizierungs-Selfie: Das ist der schwerste Posten. Genau diese beiden Dinge verlangt jede Bank, jede Kryptobörse und jeder Mobilfunkanbieter bei der Online-Kontoeröffnung, um Ihre Identität zu prüfen. Der Fachbegriff dafür lautet KYC, "Know Your Customer", also die gesetzlich vorgeschriebene Identifizierung. Wer beides besitzt, hat ein fertiges Paket, um sich bei anderen Anbietern als Sie auszugeben: Konten in Ihrem Namen, über die Geld gewaschen wird, Verträge, für die Sie die Rechnung bekommen. Wie sich ein einmal abgeflossenes Ausweisdokument dauerhaft auswirkt und warum die Verlustanzeige dabei der falsche Reflex ist, haben wir am Beispiel des Passagierdaten-Lecks mit 220 Millionen Passnummern ausführlich erklärt.
• IBAN, Kontoauszüge und Auszahlungen: Eine IBAN allein reicht für eine Lastschrift. Im SEPA-Verfahren prüft Ihre Bank nicht, ob Sie dem Einzug zugestimmt haben, sie führt ihn aus und Sie müssen ihn nachträglich widerrufen. Gefährlicher noch sind die Auszüge: Wer Ihre echten Umsätze kennt, kann Sie anrufen, sich als Sicherheitsabteilung ausgeben und "die Zahlung von 84,90 Euro an den Elektronikhändler vom Dienstag" nennen. Dieses Detailwissen ist das, was solche Anrufe glaubwürdig macht.
• Vollständige Transaktionshistorie einschließlich Bitcoin: Für Krypto-Nutzer ist das der Block mit der längsten Wirkung. Die Liste verbindet Ihren Klarnamen und Ihre Wohnadresse mit Wallet-Adressen, Beträgen und Zeitpunkten. Damit ist nicht nur bekannt, dass Sie Kryptowährungen halten, sondern ungefähr wie viel. Das ist die Grundlage für gezielte Erpressung, für sehr persönlich formulierte Phishing-Mails und im Extremfall für Angriffe, die nicht mehr digital stattfinden. Dass der Vorfall nach Einschätzung von ZachXBT gezielt vermögende Kunden traf, ist vor diesem Hintergrund kein Zufall.
• Name, Geburtsdatum, Beruf, Adresse, Telefonnummer, E-Mail: Die Stammdaten sind hier der Kitt. Sie verbinden die anderen drei Blöcke zu einem Personenprofil, das keine Rückfrage mehr offenlässt. Der Beruf ist dabei die unscheinbarste und zugleich nützlichste Angabe für Angreifer: Er verrät, wie viel bei Ihnen zu holen ist und mit welcher Geschichte man Sie am ehesten erreicht.

Was alle vier Blöcke gemeinsam haben: Nichts davon lässt sich zurücksetzen. Ein Passwort ändern Sie in einer Minute, Ihr Geburtsdatum, Ihr Gesicht und Ihre Transaktionsgeschichte bleiben, wie sie sind. Was Sie beeinflussen können, ist die Zahl der Stellen, an denen dieses Profil mit weiteren Fragmenten aus anderen Quellen zusammengeführt werden kann. Ihre Bestände bei über 100 Datenbrokern löschen lassen und damit die Anzahl der Orte verringern, an denen Name, Adresse und Geburtsdatum bereits zusammen vorliegen.

Wie eine gefälschte Behördenanfrage überhaupt funktioniert

Banken erhalten täglich Auskunftsersuchen von Polizei, Staatsanwaltschaften, Steuer- und Zollbehörden. In dringenden Fällen, etwa bei Gefahr für Leib und Leben, gibt es beschleunigte Verfahren, bei denen die Bank Daten herausgibt, bevor ein förmlicher Beschluss vorliegt. Genau dieses Vertrauen nutzen Angreifer seit einigen Jahren aus. Der Ablauf ist immer derselbe: Ein Behördenkonto wird kompromittiert oder ein Postfach in einer Behördendomain angelegt, dann gehen mit gestohlenem Briefkopf und dringlichem Ton Anfragen an Plattformen und Finanzdienstleister. Weil die Mail technisch echt ist, greifen weder Spamfilter noch Absenderprüfung. Die einzige Verteidigung wäre ein Rückruf über einen unabhängig ermittelten Kontakt bei der Behörde, und genau dieser Schritt fehlt in der Praxis oft, wenn es schnell gehen soll.

Für Sie als Kundin oder Kunde folgt daraus eine unbequeme Einsicht: Sie haben diesen Vorfall durch nichts verursacht und hätten ihn durch nichts verhindern können. Kein Passwort, keine Zwei-Faktor-Authentifizierung und keine Vorsicht Ihrerseits spielt hier eine Rolle, weil der Angriff nicht an Ihrer Tür stattfand, sondern am Hinterausgang der Bank. Umso wichtiger ist es, dass Sie die Folgen kontrollieren, denn das ist der einzige Teil, der noch in Ihrer Hand liegt.

Eine Randnotiz zur Einordnung: Bereits Ende Juli 2026 hatte ein Krimineller in einem Untergrundforum eine Datenbank mit angeblich 75 Millionen Revolut-Datensätzen für 500 US-Dollar angeboten. Revolut prüfte die Stichprobe und erklärte, keine der enthaltenen Nutzer- und Kartenkennungen entspreche einer echten Revolut-Kennung, der Bestand sei sehr wahrscheinlich gefälscht, wie heise online am 28. Juli 2026 berichtete. Der jetzt bestätigte Vorfall ist davon unabhängig. Er betrifft deutlich weniger Menschen, aber jede einzelne Person deutlich tiefer.

Was Sie jetzt konkret tun sollten

Die übliche Reihenfolge nach einem Leak, also Passwort ändern und Sitzungen beenden, hilft hier nur am Rande, denn Zugangsdaten sind nicht betroffen. Das Gewicht liegt auf drei Dingen: der Echtheit der Benachrichtigung, dem Schutz Ihres Kontos vor Folgemissbrauch und dem Erkennen der Nachwelle.

• Schritt 1, die Benachrichtigung in der App gegenprüfen: Öffnen Sie die Revolut-App und sehen Sie im Hilfebereich oder in den Mitteilungen nach, ob dort dieselbe Information steht. Klicken Sie keinen Link aus der E-Mail an und geben Sie nirgends Zugangsdaten ein. Eine echte Vorfallsmeldung verlangt keine Bestätigung Ihrer Identität. Wer Sie jetzt dazu auffordert, nutzt den Vorfall als Köder.
• Schritt 2, das Konto selbst härten: Aktivieren Sie in der App die biometrische Sperre und einen Passcode, der nicht aus Ihrem Geburtsdatum abgeleitet ist, denn das Geburtsdatum liegt jetzt möglicherweise vor. Prüfen Sie die Liste der angemeldeten Geräte und entfernen Sie alles, was Sie nicht kennen. Wo Sie SMS-Codes als zweiten Faktor nutzen, stellen Sie auf eine App oder einen Passkey um; unsere Anleitung zum Einrichten von Passkeys geht die gängigen Dienste einzeln durch.
• Schritt 3, Lastschriften und Umsätze wöchentlich kontrollieren: Sehen Sie in den nächsten Monaten regelmäßig alle Abbuchungen durch, nicht nur bei Revolut, sondern auf allen Konten, deren IBAN in den Auszügen als Gegenkonto stand. Eine nicht autorisierte SEPA-Lastschrift können Sie bis zu 13 Monate nach der Belastung zurückbuchen lassen, eine autorisierte innerhalb von acht Wochen ohne Angabe von Gründen. Je früher Sie widersprechen, desto einfacher ist es.
• Schritt 4, die Beweislast umdrehen: Ab sofort gilt: Wer Sie anruft und Ihre Umsätze, Ihre IBAN oder Ihre Bitcoin-Bestände korrekt nennt, ist dadurch nicht glaubwürdiger, sondern verdächtiger. Revolut ruft Sie nicht an, um Geld "in Sicherheit zu bringen", und kein echter Mitarbeiter bittet Sie, Guthaben oder Coins auf ein anderes Konto zu übertragen. Legen Sie auf und melden Sie sich über den Chat in der App. Wie solche Anrufe inzwischen mit geklonten Stimmen geführt werden, zeigt unser Bericht über KI-gestützte Schockanrufe und woran Sie sie erkennen.
• Schritt 5, Identitätsmissbrauch früh erkennen: Missbrauch einer Ausweiskopie zeigt sich selten dort, wo man sucht. Er zeigt sich in Post zu Konten, Verträgen oder Bestellungen, die Sie nie abgeschlossen haben. Widersprechen Sie solcher Post sofort schriftlich, erstatten Sie Anzeige und lassen Sie bei Auskunfteien einen Hinweis auf Identitätsmissbrauch hinterlegen, damit neue Anfragen in Ihrem Namen auffallen. Das BSI beschreibt die typischen Anzeichen und Folgen eines Identitätsdiebstahls im Detail.
• Schritt 6, für Krypto-Nutzer: Wallet-Adressen als enttarnt behandeln: Jede Adresse, an die Sie von Revolut aus Bitcoin gesendet oder von der Sie empfangen haben, ist jetzt möglicherweise mit Ihrem Namen und Ihrer Wohnadresse verknüpft. Nutzen Sie diese Adressen nicht weiter, verschieben Sie größere Bestände auf frische Wallets und sprechen Sie mit niemandem am Telefon über Ihre Bestände, egal wie viel die Person bereits zu wissen scheint.

Diese Schritte schließen die akuten Türen. Was sie nicht ändern: Ob und wann dieser Datensatz weiterverkauft wird, entscheiden andere. Deshalb ist die zweite Hälfte des Schutzes nicht das Aufräumen von heute, sondern das Wissen, wann Ihre Daten tatsächlich in Umlauf geraten. Darknet-Überwachung für Ihre E-Mail-Adresse einrichten und den Moment nicht verpassen, in dem aus dem Vorfall ein Handel wird.

Was die DSGVO von Revolut verlangt

Für deutsche Kundinnen und Kunden ist die Vertragspartnerin die Revolut Bank UAB mit Sitz in Vilnius. Federführende Datenschutzaufsicht ist deshalb die litauische Staatliche Datenschutzinspektion, nicht eine deutsche Landesbehörde. An der Rechtslage ändert das nichts, denn die DSGVO gilt in Litauen wie in Deutschland. Nach Art. 33 DSGVO muss Revolut den Vorfall binnen 72 Stunden nach Bekanntwerden der Aufsicht melden. Nach Art. 34 DSGVO sind die Betroffenen unverzüglich zu benachrichtigen, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat. Bei Ausweiskopien, Selfies und vollständigen Kontoauszügen ist diese Schwelle ohne Zweifel erreicht, und Revolut hat die Benachrichtigung nach eigener Darstellung auch vorgenommen.

Wer betroffen ist, hat zwei weitere Hebel. Erstens das Auskunftsrecht nach Art. 15 DSGVO: Sie können von Revolut verlangen, Ihnen mitzuteilen, welche Ihrer Daten genau herausgegeben wurden, an welchem Datum und in welchem Umfang. Die pauschale Liste aus der Benachrichtigung ersetzt diese Auskunft nicht. Zweitens ein möglicher Schadenersatzanspruch nach Art. 82 DSGVO, wenn Ihnen durch den Vorfall ein materieller oder immaterieller Schaden entstanden ist. Der Kontrollverlust über ein Ausweisdokument und die eigene Finanzhistorie könnte nach der jüngeren Rechtsprechung des Europäischen Gerichtshofs als solcher Schaden in Betracht kommen. Welche Voraussetzungen dafür gelten, wie Gerichte bislang entschieden haben und was Sie dokumentieren sollten, lesen Sie in unserem Überblick zu Entschädigung nach Datenlecks: Wann Betroffenen Schadenersatz zustehen kann. Eine Beschwerde können Sie nach Art. 77 DSGVO auch bei der Aufsichtsbehörde in Ihrem eigenen Bundesland einreichen, die sie an die litauische Stelle weiterleitet.

Häufige Fragen zum Revolut-Datenleck

Warum die Benachrichtigung von heute nicht das Ende ist

Wer die Daten jetzt besitzt und was er damit vorhat, weiß niemand, auch Revolut nicht. Erfahrungsgemäß landen solche Bestände nicht am Tag des Vorfalls im Darknet. Bei einem gezielten Zugriff auf vermögende Kunden werden sie zunächst selbst ausgenutzt oder im kleinen Kreis weitergegeben und erst Wochen oder Monate später breiter gehandelt oder in Sammlungen veröffentlicht. Wer heute prüft und nichts findet, kann also längst betroffen sein, ohne es zu wissen. Unser Darknet-Radar beobachtet Ihre hinterlegte E-Mail-Adresse fortlaufend und meldet sich sofort, sobald sie infolge eines Hacks oder einer Datenpanne im Darknet auftaucht oder gehandelt wird, also genau in dem Moment, in dem die Daten tatsächlich kursieren, und nicht erst, wenn die erste Lastschrift oder der erste Vertrag in Ihrem Namen aufgetaucht ist. Im Tarif Tiefenreinigung kommt der Schadensersatz-Service hinzu: Sind Sie von einem Vorfall betroffen, weisen wir Sie auf passende Sammel- oder Musterklagen und auf mögliche Ansprüche nach Art. 82 DSGVO hin, damit Sie Ihre Rechte gegenüber dem verantwortlichen Unternehmen wahrnehmen können. Wir informieren über laufende Verfahren und leisten keine eigene Rechtsberatung. Der Unterschied zum kostenlosen Check bleibt wichtig: Er zeigt Ihnen, was heute bereits veröffentlicht ist. Das dauerhafte Monitoring ist das, was Sie erreicht, wenn später etwas auftaucht.