Revolut-Kundinnen und -Kunden in der Schweiz von Datendiebstahl betroffen

Fast 700 Revolut-Kundinnen und -Kunden wurden Kriminellen mit ihren Kontodaten ausgeliefert, nachdem Hacker die Digitalbank davon überzeugt hatten, sie seien italienische Strafverfolgungsbeamte. Auch Kundinnen und Kunden mit Wohnsitz in der Schweiz sind betroffen, obwohl Revolut nicht bekannt gegeben hat, wie viele Schweizer Kundinnen und Kunden in den Vorfall verwickelt sind.

Die Angreifer sollen den Anschein einer behördlichen Untersuchung genutzt haben, um die Bank unter Druck zu setzen und zur Herausgabe von Informationen zu bewegen. Nachdem sie die Daten erhalten hatten, veröffentlichten sie online eine Lösegeldforderung und verlangten von Revolut 3 Millionen US-Dollar, damit die Kundendaten vertraulich bleiben.

Der Vorfall bringt Nutzerinnen und Nutzer in der Schweiz in eine schwierige Lage. Die verfügbaren Informationen belegen weder, dass Geld von betroffenen Konten abgehoben wurde, noch geben sie Aufschluss darüber, welche genauen Informationen offengelegt wurden. Kontodaten können Kriminellen dennoch Material für gezielte Phishing-Angriffe, Identitätsbetrug und versuchte Kontoübernahmen liefern.

Zum Zeitpunkt der Berichterstattung war nicht bekannt, wie Revolut auf die Lösegeldforderung reagiert hatte. Die Bank hat auch nicht mitgeteilt, ob Schweizer Behörden oder betroffene Kundinnen und Kunden direkt benachrichtigt wurden. Diese Angaben sind entscheidend dafür, wie gefährdet Nutzerinnen und Nutzer in der Schweiz sein könnten und welche Schutzmassnahmen sie ergreifen sollten.

Die Angreifer mussten nicht in die Kernsysteme von Revolut eindringen, um an die im Bericht beschriebenen Daten zu gelangen. Stattdessen sollen sie ein Vertrauensverfahren ausgenutzt haben: Sie gaben sich als italienische Strafverfolgungsbehörde aus und forderten unter dem Vorwand einer Untersuchung Informationen an.

Diese Taktik ist eine Form von Social Engineering. Kriminelle geben sich als Institutionen aus, deren Anliegen Banken ernst nehmen müssen, und erzeugen dann Dringlichkeit, um an Kundeninformationen zu gelangen. Der Druck kann besonders wirksam sein, wenn eine Anfrage eine grenzüberschreitende Ermittlung und einen laufenden Fall zu betreffen scheint.

Im Bericht werden weder die Kriminellen identifiziert noch die angebliche italienische Behörde genannt. Auch wird nicht erklärt, welche internen Kontrollen versagt haben. Ebenso bleibt offen, ob die Anfrage per E-Mail, über ein Rechtsportal oder über einen anderen Kommunikationskanal gestellt wurde. Diese Umstände sind wichtig, weil Banken sich vor der Herausgabe von Kundendaten üblicherweise auf Überprüfungsverfahren stützen.

Für Revolut-Kundinnen und -Kunden könnte das unmittelbare Risiko über die offengelegten Daten hinausgehen. Kriminelle, die über Informationen zu einer Kontoinhaberin oder einem Kontoinhaber verfügen, können überzeugende Nachrichten verfassen, die scheinbar von einer Bank, einer Polizeibehörde oder einer Finanzaufsicht stammen. Kundinnen und Kunden sollten unerwartete Aufforderungen zur Herausgabe von Codes, zu Überweisungen oder zur Übermittlung von Ausweisdokumenten als verdächtig behandeln und Revolut über die offizielle App kontaktieren.

Der Datenschutzvorfall ereignet sich, während Revolut seine Präsenz in der Schweiz ausbauen will. Laut dem vorliegenden Bericht hat die Digitalbank eine Schweizer Bankenbewilligung beantragt und möchte ihre Marktpräsenz ausweiten.

Dieser Zeitpunkt rückt den Umgang des Unternehmens mit Kundeninformationen stärker ins Blickfeld. Eine Schweizer Bankenbewilligung würde Revolut einem anspruchsvolleren inländischen Regulierungsrahmen unterstellen, der Anforderungen an die Unternehmensführung, das Risikomanagement, die operative Widerstandsfähigkeit sowie den Schutz von Kundenvermögen und -daten umfasst. Das Bewilligungsverfahren selbst garantiert nicht, dass jeder künftige Cybervorfall verhindert wird.

Die gemeldete Offenlegung macht zudem eine Herausforderung für schnell wachsende Digitalbanken deutlich. Ihre Dienstleistungen beruhen auf rascher digitaler Kommunikation, automatisierten Abläufen und grenzüberschreitenden Tätigkeiten. Diese Systeme können den Service für Kundinnen und Kunden beschleunigen, gleichzeitig aber auch zusätzliche Kanäle schaffen, die Kriminelle zu manipulieren versuchen könnten.

Der Fall wirft praktische Fragen für Schweizer Aufsichtsbehörden und Verbraucherinnen und Verbraucher auf. Die Behörden werden wissen wollen, wie Revolut die Anfrage authentifiziert hat, welche Sicherheitsvorkehrungen vor der Herausgabe galten und ob betroffene Kundinnen und Kunden rechtzeitig gewarnt wurden. Kundinnen und Kunden werden zudem auf eine klare Darstellung warten, welche Daten offengelegt wurden und welche Entschädigung oder Unterstützung folgen könnte.

Keine Bank kann Cybersicherheit als einmalige Investition betrachten. Im Ausgangsbericht wird festgehalten, dass grosse Banken in der Schweiz und anderswo viel Geld für fortschrittliche Sicherheitsinfrastrukturen ausgeben. Zugleich wird darauf hingewiesen, dass Kriminelle neue Wege finden, etablierte Schutzvorkehrungen zu umgehen.

Der Vorfall bei Revolut zeigt, weshalb technische Abwehrmassnahmen allein nicht ausreichen. Eine Bank kann ihre Netzwerke mit Verschlüsselung, Überwachung und Zugriffskontrollen schützen und dennoch gefährdet sein, wenn eine Mitarbeiterin, ein Mitarbeiter oder ein automatisierter Prozess eine betrügerische Anfrage von jemandem akzeptiert, der sich als Amtsperson ausgibt. Die Überprüfung rechtlicher Anfragen, die Trennung von Zuständigkeiten und eine rasche Eskalation können ebenso wichtig sein wie die Absicherung der Netzwerkränder.

Kundinnen und Kunden in der Schweiz sollten ihre Konten überwachen und bei Nachrichten, in denen durchgesickerte persönliche Angaben verwendet werden, aufmerksam bleiben. Sie sollten nicht auf Links in unerwarteten E-Mails oder Textnachrichten klicken, niemals Einmalpasswörter weitergeben und verdächtige Kontaktaufnahmen über die offiziellen Kanäle der Bank melden. Werden auf einem Konto nicht autorisierte Aktivitäten festgestellt, sollten Kundinnen und Kunden umgehend Revolut kontaktieren und in Betracht ziehen, den Vorfall der Polizei zu melden.

Die nächsten entscheidenden Informationen müssen von Revolut kommen. Nutzerinnen und Nutzer in der Schweiz müssen wissen, welche Daten offengelegt wurden, wann dies geschah, ob das Unternehmen den Vorfall eingedämmt hat und wie es betroffene Kundinnen und Kunden unterstützen wird.