Kunden von Revolut mit Wohnsitz in der Schweiz von Datendiebstahl betroffen

Bei fast 700 Revolut-Kunden wurden Kontodaten offengelegt, nachdem Kriminelle sich als italienische Strafverfolgungsbeamte ausgegeben hatten. Die Angreifer setzten die Onlinebank unter Druck, Informationen herauszugeben, die angeblich für den Abschluss einer Untersuchung benötigt wurden. Revolut kam der Anfrage nach, weil das Unternehmen davon ausging, sie stamme von einer legitimen Behörde. Anschliessend gelangten die Daten in die Hände der Kriminellen.

Die Hacker veröffentlichten später online eine Lösegeldforderung. Sie verlangen von Revolut 3 Millionen US-Dollar, damit sie die Kundeninformationen nicht weiterverbreiten. Im Ausgangsbericht werden die genauen betroffenen Datenkategorien nicht genannt. Auch ist unklar, ob Verhandlungen über die Zahlung laufen.

Einige der betroffenen Kunden haben ihren Wohnsitz in der Schweiz. Ihre Zahl ist nicht bekannt. Diese Ungewissheit lässt Schweizer Kunden im Unklaren darüber, wie stark sie betroffen sind und ob sie mit einer direkten Kontaktaufnahme, einer Überwachung ihrer Konten oder anderen Schutzmassnahmen von Revolut rechnen sollten.

Der Vorfall rückt einen international tätigen Fintech-Anbieter in der Schweiz unmittelbar ins Rampenlicht. Revolut bedient Kunden über Landesgrenzen hinweg, während das Unternehmen seine regulatorischen Ambitionen vor Ort vorantreibt. Für die Nutzer wirft der Datendiebstahl praktische Fragen dazu auf, wie eine Digitalbank behördliche Anfragen überprüft und nach einer Datensicherheitspanne kommuniziert.

Der Datendiebstahl begann mit einer Täuschung, die auf Revoluts eigenes Prüfverfahren abzielte. Die Kriminellen gaben sich als italienische Strafverfolgungsbehörde aus und setzten die Bank unter Druck, Kontodaten offenzulegen. Ihr Erfolg zeigt, wie eine überzeugend wirkende behördliche Anfrage zum Zugang zu sensiblen Finanzinformationen führen kann, selbst bei einer etablierten Bankplattform.

Aus der verfügbaren Darstellung des Vorfalls geht nicht hervor, welche Person oder Gruppe den Angriff verübte. Ebenso wenig wird erklärt, wie die Betrüger ihre Täuschung aufbauten, welche Prüfungen Revolut vornahm oder ob die Anfrage intern weitergeleitet wurde. Diese Einzelheiten werden für Kunden und Aufsichtsbehörden wichtig sein, wenn sie beurteilen, ob das Versagen auf einen einzelnen manipulierten Austausch oder eine umfassendere Schwachstelle in den Abläufen zurückzuführen war.

Auf die Offenlegung folgte die Lösegeldforderung. Mit deren Veröffentlichung im Internet haben die Angreifer eine weitere Drucksituation für die Bank geschaffen: Sie muss entscheiden, wie sie reagiert, während sie zugleich die betroffenen Kunden schützt und eine weitere Verbreitung der Daten begrenzt.

Revolut hat seine Reaktion im Ausgangsbericht nicht öffentlich bekannt gegeben. Auch eine Aufschlüsselung der betroffenen Konten in der Schweiz wurde nicht veröffentlicht. Diese fehlenden Angaben werden den weiteren Verlauf der Geschichte prägen.

Der Zeitpunkt rückt Revoluts Expansionspläne in der Schweiz stärker ins Rampenlicht. Das Unternehmen hat eine Schweizer Banklizenz beantragt und strebt damit eine formellere Präsenz auf dem Markt an. Der Datendiebstahl ereignet sich, während die Firma ihre Position bei Schweizer Kunden stärken will. Damit werden betriebliche Schutzvorkehrungen Teil der öffentlichen Debatte über das Gesuch.

Eine Schweizer Lizenz würde Revoluts Bankambitionen vor Ort in einen anspruchsvolleren regulatorischen Rahmen stellen. Der Vorfall allein belegt nicht, dass das Unternehmen gegen eine Schweizer Rechtsvorschrift verstossen hat, und aus dem verfügbaren Bericht geht nicht hervor, wie weit das Bewilligungsverfahren fortgeschritten ist. Er bietet Aufsichtsbehörden und Konsumenten jedoch einen konkreten Fall zur Prüfung: Wie authentifiziert ein Anbieter Anfragen ausländischer Behörden, und wie schnell informiert er Betroffene, wenn Daten offengelegt wurden?

Die grenzüberschreitende Dimension ist bedeutsam. Die angeblichen Beamten waren Italiener, die Bank ist international tätig und einige betroffene Kunden leben in der Schweiz. Diese Kombination kann die Kommunikation, die Ermittlungen und die Klärung der Zuständigkeit erschweren, insbesondere wenn Kontoinhaber einen Dienst nutzen, dessen Hauptsitz sich im Ausland befindet.

Schweizer Kunden benötigen klare Informationen zu den betroffenen Daten, den involvierten Konten und den ihnen zur Verfügung stehenden Schutzmassnahmen. Revolut hat diese Angaben im Ausgangsbericht nicht gemacht.

Grosse Banken investieren viel in Cybersicherheit, doch keine Institution kann das Risiko von Identitätsbetrug als gelöst betrachten. Im Ausgangsbericht wird darauf hingewiesen, dass grosse Banken in der Schweiz und im Ausland in der Regel beträchtliche Summen für moderne Sicherheitsinfrastrukturen ausgeben. Gleichzeitig werden Kriminelle immer raffinierter und zunehmend fähig, Schutzvorkehrungen zu umgehen.

Für Schweizer Konsumenten geht es unmittelbar darum, was bekannt ist. Im Bericht steht weder, wie viele Kunden in der Schweiz betroffen waren, noch, welche Daten die Kriminellen erlangten oder ob direkt auf Konten und Guthaben zugegriffen wurde. Diese Unterschiede sind wichtig. Gestohlene persönliche Angaben können spätere Phishing-Angriffe ermöglichen, auch wenn ein Angreifer kein Geld von einem Konto abhebt.

Kunden sollten unerwarteten Nachrichten, die angeblich von Revolut, der Polizei oder einer anderen Behörde stammen, mit Vorsicht begegnen. Sie sollten die offiziellen Support-Kanäle nutzen, keine Passwörter oder Sicherheitscodes weitergeben und ihre Konten auf ungewöhnliche Aktivitäten überprüfen. Dies sind allgemeine Vorsichtsmassnahmen und kein Beleg dafür, dass alle Schweizer Kunden betroffen waren.

Der Vorfall gibt Revolut zudem klare Fragen auf, die das Unternehmen im Zuge seines Schweizer Gesuchs beantworten muss. Kunden und Aufsichtsbehörden werden eine Erklärung für das Versagen der Überprüfung, eine genaue Darstellung der betroffenen Personengruppe und rechtzeitige Hinweise für Menschen erwarten, deren Informationen offengelegt wurden. Bis diese Angaben vorliegen, bleibt das Ausmass der Auswirkungen in der Schweiz unklar.