Revolut-Datenleck: Die Daten sind jetzt öffentlich – was du als Betroffener tun kannst

Wenn deine Ausweiskopie, dein Verifizierungs-Selfie und deine vollständige Bitcoin-Transaktionshistorie zusammen in einem Paket bei Fremden liegen, dann bringt ein neues Passwort fast nichts. Das ist die Lage für die von Revolut benachrichtigten Kunden seit dem 14. September 2026: Die erbeuteten Unterlagen werden seit dieser Nacht veröffentlicht. Vier Dinge zählen jetzt. Stelle den Umfang deiner eigenen Betroffenheit schriftlich fest. Schließe die Wege, über die eine Ausweiskopie zu Geld wird. Nimm die Verbindung zwischen deiner Wohnanschrift und deinem Krypto-Bestand ernst. Und mache deine Rechte gegenüber der Bank geltend, solange die Fristen laufen.

Dieser Text baut auf unserer ersten Einordnung auf. Ob du überhaupt zu den Betroffenen gehörst und welche Rolle deine Bitcoin-Historie in dem Vorgang spielt, steht in Revolut-Datenleck: Bin ich betroffen, und was ist mit meiner Bitcoin-Historie? vom 12. September. Hier geht es um die Stufe danach: Die Angaben sind draußen, und das ändert die Handlungsfrage.

Revolut Datenleck: was tun, seit die Daten veröffentlicht werden?

Bis zum Wochenende war der Sicherheitsvorfall ein Abfluss von Kundendaten. Seit der Nacht zum 14. September berichtet Cointelegraph, dass Kopien von Ausweisdokumenten und Verifizierungs-Selfies von Revolut-Kunden im Netz aufgetaucht sind. Die Angreifer kündigen nach Darstellung des Fachmediums auf Telegram an, täglich weitere Datensätze nachzulegen, bis Revolut zahle. Ein Betroffener hat Cointelegraph gegenüber bestätigt, dass die veröffentlichten Details zu seinen bei Revolut hinterlegten Unterlagen passen und dass ihn die Neobank am Freitag angeschrieben hat.

Wichtig für die Einordnung: Dass es eine Lösegeldforderung gibt, ist die Darstellung der Angreifer, wiedergegeben von einem Fachmedium unter Berufung auf einen Telegram-Beitrag. Revolut selbst bestätigt eine solche Forderung nicht. In Aggregatoren kursiert zusätzlich eine konkrete Bitcoin-Summe als angebliches Lösegeld. Für diese Zahl gibt es keinen belastbaren Beleg, und sie taucht in diesem Text deshalb nicht als Tatsache auf.

Der praktische Unterschied zur Vorwoche ist trotzdem groß. Solange ein Datensatz nur in der Hand einer Tätergruppe liegt, braucht es einen Käufer, bevor er gegen dich verwendet wird. Sobald er öffentlich abrufbar ist, entfällt dieser Zwischenschritt, und die Zahl der möglichen Betrüger wächst von einer Gruppe auf jeden, der die Datei findet.

Welche Datenfelder Revolut in der Kundenmail auflistet

Der Fachdienst BleepingComputer zitiert die Benachrichtigung, die Revolut an die Betroffenen verschickt hat, im Wortlaut. Danach umfasst der Vorfall den vollständigen Namen, das Geburtsdatum, den Beruf, die Postanschrift, die E-Mail-Adresse und die Telefonnummer. Dazu kommen Kopien von Ausweis oder Führerschein, die Selfies aus der Identitätsprüfung, Kontoauszüge samt IBAN, Auszahlungsaufzeichnungen und die vollständige Transaktionshistorie einschließlich der Bitcoin-Transaktionen.

Revolut spricht von einer begrenzten Zahl betroffener Nutzer, nennt aber keine Zahl. Nach Angaben des Unternehmens waren weder die eigenen Systeme kompromittiert noch die Kundengelder berührt. Beides ist plausibel und beides ändert wenig an deiner Lage. Der Schaden dieses Vorgangs trifft dein Guthaben nicht. Er steckt in den Unterlagen.

Ausgelöst wurde der Abfluss nach Darstellung des Unternehmens durch eine gefälschte Anfrage, die aussah wie das Auskunftsersuchen einer Regierungsbehörde. Solche Notfall-Auskunftsersuchen sind ein etabliertes Verfahren: Behörden fordern bei Gefahr im Verzug Bestandsdaten an, ohne den regulären Instanzenweg abzuwarten. Die gefälschte Anfrage kam von einer echten Behörden-Domain und bestand die technischen Prüfungen der Absenderauthentifizierung. Genau dort lag die Schwachstelle. Eine technisch korrekt signierte E-Mail belegt, dass die Domain stimmt. Ob die Anfrage dahinter rechtmäßig ist, belegt sie nicht.

Warum eine Ausweiskopie kein Fall für die Sperrhotline 116 116 ist

Der erste Reflex vieler Betroffener lautet: Ausweis sperren lassen. Das geht in Deutschland über die kostenlose Sperrhotline 116 116, und es ist in diesem Fall der falsche Schritt. Gesperrt wird dort die Online-Ausweisfunktion, also die eID im Chip deines Personalausweises. Diese Funktion braucht die physische Karte plus die sechsstellige PIN. Eine gescannte Kopie kann sie nicht auslösen.

Dein Ausweis liegt noch in deiner Schublade, und die eID ist nicht das Einfallstor. Das Risiko sitzt bei allen Anbietern, die eine Bilddatei eines Ausweises als Nachweis akzeptieren, also bei Kreditvermittlern, Mobilfunkanbietern, Versandhändlern mit Rechnungskauf und bei manchen Handelsplattformen mit schwacher Prüfung. Eine Sperrung der eID wäre dort wirkungslos und würde dir nur die digitale Behördennutzung nehmen.

Wirksam ist stattdessen ein anderer Satz von Maßnahmen. Erstatte Anzeige bei der Polizei, online über die Internetwache deines Bundeslandes; das Aktenzeichen ist später dein Nachweis gegenüber jedem Gläubiger, der eine in deinem Namen abgeschlossene Forderung eintreibt. Fordere bei den großen Auskunfteien eine kostenlose Datenkopie an und prüfe, ob dort Verträge auftauchen, die du nie geschlossen hast. Und richte eine Wiedervorlage ein, denn Identitätsmissbrauch mit Ausweiskopien zeigt sich oft erst Monate später. Das Bundesamt für Sicherheit in der Informationstechnik führt die einzelnen Schritte für Betroffene von Datenlecks und Doxing im Detail auf.

Ausweisscan und KYC-Selfie zusammen: das Problem mit der Liveness-Prüfung

Ein Ausweisscan allein ist ein bekanntes Risiko. Die Kombination aus Ausweiskopie und dem Selfie aus derselben Identitätsprüfung ist eine andere Größenordnung, weil genau dieses Paar der Standardnachweis bei der Kontoeröffnung ist. Viele Anbieter verlangen ein Foto des Dokuments und ein Bild des Gesichts, und einige gleichen beides automatisiert ab.

Der Schutz dagegen heißt Liveness-Prüfung und soll feststellen, ob vor der Kamera ein lebender Mensch sitzt oder ein abfotografiertes Bild. Gute Verfahren verlangen Kopfbewegungen, wechselnde Lichtmuster oder eine Tiefenerfassung; schwache Verfahren begnügen sich mit einem hochgeladenen Standbild. Wo nur ein Standbild verlangt wird, ist ein geleaktes Verifizierungs-Selfie unmittelbar verwertbar.

Daraus folgt eine konkrete Aufgabe für Krypto-Nutzer: Schau nach, bei welchen Handelsplätzen dein Ausweis hinterlegt ist, und schließe die Konten, die du nicht mehr nutzt. Jede stillgelegte Anmeldung ist eine Kopie deiner Unterlagen weniger im Umlauf. Wo du aktiv bleibst, aktiviere die Zwei-Faktor-Anmeldung über eine Authenticator-App oder einen Sicherheitsschlüssel statt per SMS, denn die Telefonnummer steckt in diesem Datenleck mit drin. Welche Plattformen in Deutschland überhaupt unter Aufsicht arbeiten und wie du das prüfst, steht in unserem Überblick zu regulierten Kryptobörsen.

Bitcoin-Transaktionshistorie in fremder Hand: was Adress-Clustering möglich macht

Der Teil des Pakets, der diesen Vorfall von einem gewöhnlichen Datenleck einer Bank unterscheidet, ist die Transaktionshistorie. Bitcoin ist eine öffentliche Datenbank: Jede Überweisung steht für jeden einsehbar in der Kette. Was der Kette fehlt, ist die Zuordnung einer Adresse zu einem Menschen. Genau diese Zuordnung liefert ein Kontoauszug mit Auszahlungsaufzeichnungen frei Haus.

Adress-Clustering heißt das Verfahren, mit dem sich aus einer einzigen bekannten Adresse ein ganzes Adressbündel ableiten lässt: Wenn mehrere Adressen gemeinsam als Eingänge einer Transaktion auftauchen, gehören sie mit hoher Wahrscheinlichkeit derselben Wallet. Wer eine deiner Auszahlungsadressen kennt, kann von dort aus weiterrechnen und landet häufig bei einer Schätzung deines Gesamtbestandes. Diese Technik ist weder neu noch verboten; Analysefirmen und Ermittler arbeiten seit Jahren damit. Neu ist, dass der Startpunkt dafür jetzt öffentlich herumliegt.

Die naheliegende Frage lautet, ob du deine Adressen wechseln solltest. Für künftige Zahlungen ja, für die Vergangenheit geht es nicht. Eine einmal in der Kette stehende Transaktion lässt sich nicht zurückholen. Praktisch heißt das: Nutze für neue Eingänge frische Adressen, vermeide es, alte und neue Bestände in einer gemeinsamen Transaktion zusammenzuführen, und verzichte bei größeren Beträgen darauf, sie über dieselbe Plattform ein- und wieder auszuzahlen.

Wohnanschrift plus Krypto-Bestand: das physische Risiko nüchtern einordnen

Der On-Chain-Ermittler ZachXBT ordnet den Vorfall so ein, dass das Leck zwar klein wirke, aber gezielt auf vermögende Nutzer gerichtet erscheine. Das ist seine Einschätzung und keine festgestellte Tatsache, verdient aber trotzdem Beachtung, weil sie zur Struktur der Daten passt: Postanschrift, Geburtsdatum und Beruf zusammen mit einer nachvollziehbaren Bitcoin-Historie ergeben ein Profil, das über den üblichen Phishing-Zweck hinausgeht.

Wir haben dieses Muster im Bestand schon zweimal beschrieben, zuletzt beim Trezor-Datenleck im September, bei dem Namen, Telefonnummern und Wohnadressen von Hardware-Wallet-Käufern offengelegt wurden. Die Lehre daraus gilt hier genauso. Sprich in der Nachbarschaft und am Telefon nicht über Beträge. Nimm Paketankündigungen und angebliche Rückrufe des Bankservice mit Misstrauen entgegen, auch wenn dein Name, dein Geburtsdatum und deine letzte Abbuchung korrekt genannt werden. Genau diese Angaben stehen in dem Paket, und ein Anrufer, der sie kennt, hat damit nichts bewiesen.

Konkret heißt das auch: Richte bei deiner Bank und bei deinen Handelsplätzen eine Rückrufregel für dich selbst ein. Kein Vorgang, der am Telefon beginnt, wird am Telefon abgeschlossen. Lege auf und wähle die Nummer aus der App oder vom Kontoauszug. Diese eine Gewohnheit entwertet den größten Teil dessen, was ein Cyberkrimineller mit deinen Unterlagen anfangen kann.

Was tun, wenn dein Revolut-Konto gehackt wurde?

Ein wichtiger Unterschied vorweg: Bei diesem Vorfall wurde kein Konto übernommen. Nach Unternehmensangaben wurden Unterlagen herausgegeben, nicht Zugangsdaten gestohlen. Wenn dein Konto tatsächlich fremdgesteuert wird, gilt ein anderer Ablauf, und der beginnt mit dem Sperren.

Sperre die Karte in der App und, falls kein Zugang mehr besteht, über den Kundenservice der Bank. Melde jede unberechtigte Abbuchung unverzüglich; nach dem Zahlungsdiensterecht bekommst du eine nicht autorisierte Zahlung grundsätzlich erstattet, solange du nicht grob fahrlässig gehandelt hast, und die Bank muss die Autorisierung nachweisen. Ändere anschließend das Passwort deines E-Mail-Postfachs, denn es ist der Generalschlüssel zu allen anderen Zugängen. Prüfe zuletzt die verbundenen Geräte und Anmeldungen in allen Konten, die dieselbe E-Mail-Adresse nutzen, und wirf unbekannte Sitzungen hinaus.

Halte jeden dieser Schritte schriftlich fest, mit Datum und Uhrzeit. Wer später Schadenersatz verlangt oder einer Forderung widerspricht, braucht diese Aufzeichnung.

Die nächsten Wochen: ein Prüfplan mit festen Terminen

Identitätsmissbrauch nach einer Sicherheitsverletzung läuft selten sofort an. Zwischen dem Abfluss und dem ersten Angriff auf deinen Namen liegen oft Wochen, manchmal Monate, weil die Datensätze erst sortiert, zusammengeführt und weitergereicht werden. Ein Prüfplan mit festen Terminen wirkt deshalb besser als ein einzelner hektischer Nachmittag.

Diese Woche: Auskunft nach Artikel 15 absenden, Anzeige erstatten, die Zwei-Faktor-Anmeldung überall auf App oder Sicherheitsschlüssel umstellen. Notiere dir außerdem, welche Postadressen und welche Telefonnummer bei der Neobank hinterlegt waren. Wer später eine Mitteilung mit genau diesen Angaben bekommt, erkennt sofort, aus welcher Quelle der Absender schöpft.

In vier Wochen: Datenkopie bei den Auskunfteien anfordern und auf Einträgen prüfen, die du nicht kennst; jede Kreditanfrage, die du nie gestellt hast, ist ein Alarmzeichen. Im selben Durchgang gehst du die Anmeldeprotokolle deiner wichtigsten Konten durch und meldest jeden Zugriff aus einer Region, in der du nicht warst.

Nach drei und nach sechs Monaten: dasselbe noch einmal. Solange dein Pass als Bilddatei im Umlauf ist, behält er seinen Wert für Betrüger bis zu seinem Ablaufdatum.

Eine Erwartung solltest du dabei fallen lassen. Prüfdienste, die versprechen, deine Daten im Darknet aufzuspüren, durchsuchen in Wirklichkeit eine Datenbank bereits bekannter Sammlungen. Solche Systeme liefern brauchbare Hinweise zu älteren Vorfällen und geben dir trotzdem keine Entwarnung für einen frischen, denn zu sehen ist dort nur, was bereits öffentlich gehandelt wurde. Verlass dich auf die Informationen aus deiner eigenen Artikel-15-Auskunft statt auf eine grüne Ampel.

Deine Rechte nach DSGVO: Auskunft nach Artikel 15, Beschwerde nach Artikel 77

Die Benachrichtigung, die Revolut verschickt hat, ist eine Pflicht aus Artikel 34 der Datenschutz-Grundverordnung: Bei einem voraussichtlich hohen Risiko für die Betroffenen muss das Unternehmen unverzüglich informieren. Diese Mail sagt dir allerdings nur, dass du betroffen bist, nicht in welchem Umfang.

Den Umfang holst du dir über Artikel 15 DSGVO, das Auskunftsrecht. Verlange schriftlich eine Kopie der über dich verarbeiteten Daten und ausdrücklich die Angabe, welche Kategorien an welche Empfänger offengelegt wurden. Die Frist beträgt einen Monat und lässt sich um zwei Monate verlängern, wenn das Unternehmen das begründet. Diese Auskunft ist der einzige belastbare Nachweis darüber, was in deinem Fall tatsächlich herausgegeben wurde, und sie ist kostenlos.

Kommt keine oder eine unbrauchbare Antwort, greift Artikel 77 DSGVO: Beschwerde bei einer Aufsichtsbehörde, ausdrücklich auch bei der Behörde deines gewöhnlichen Aufenthaltsortes. Für deutsche Kunden ist das die Datenschutzaufsicht deines Bundeslandes. Dass Revolut Bank UAB ihren Sitz in Litauen hat und die dortige Behörde nach dem Verfahren der federführenden Aufsicht zuständig ist, ändert daran nichts; deine Landesbehörde nimmt die Beschwerde entgegen und leitet sie weiter. Die Zweigniederlassung Deutschland in Berlin untersteht daneben der Aufsicht der BaFin, die aber für den Datenschutz nicht zuständig ist.

Zum Schadenersatz nach Artikel 82 DSGVO ist die Lage in Deutschland seit dem Urteil des Bundesgerichtshofs vom 18. November 2024 (Aktenzeichen VI ZR 10/24) klarer: Schon der bloße Kontrollverlust über die eigenen Daten kann ein ersatzfähiger immaterieller Schaden sein, ohne dass ein Missbrauch nachgewiesen werden muss. Den Kontrollverlust selbst musst du allerdings darlegen. Über die Höhe entscheidet der Einzelfall, und die bisher zugesprochenen Beträge bewegen sich im unteren dreistelligen Bereich.

Wird Revolut vom Finanzamt überwacht? Was seit 2026 mit DAC8 gilt

Diese Frage taucht bei jedem Vorfall dieser Art auf, und die Antwort hat mit dem Leck nichts zu tun. Überwacht wird niemand. Gemeldet wird seit dem 1. Januar 2026 automatisch: Das Kryptowerte-Steuertransparenzgesetz setzt die europäische Richtlinie DAC8 in deutsches Recht um und verpflichtet Anbieter von Kryptowertedienstleistungen, steuerrelevante Kunden- und Transaktionsdaten zu erfassen und zu übermitteln. Der erste Meldezeitraum ist das Kalenderjahr 2026, übermittelt wird an das Bundeszentralamt für Steuern bis zum 31. Juli 2027.

Für dich hat das zwei Folgen. Die Angaben, die Krypto-Anbieter über dich führen, werden eher mehr als weniger, und eine saubere eigene Aufzeichnung ist keine Kür mehr. Eine gemeldete Summe ist außerdem nicht dein Gewinn: Gemeldet werden Erlöse und Vorgänge, die Anschaffungskosten kennt nur deine eigene Dokumentation. Wer sie nicht führt, verhandelt später gegen eine Zahl, der er nichts entgegensetzen kann. Ein Portfolio-Tracker mit Steuerreport löst genau dieses Problem.

Erpressung, Lösegeld, Millionen Datensätze: was belegt ist und was nicht

Rund um diesen Sicherheitsvorfall laufen mehrere Erzählungen nebeneinander, und die Unterschiede sind für deine Einschätzung wichtig.

Belegt ist die Benachrichtigung an die Betroffenen samt der Liste der Datenfelder, weil Revolut sie selbst verschickt hat und ein Fachdienst sie im Wortlaut wiedergibt. Belegt ist außerdem, dass Kopien von Ausweisdokumenten und Verifizierungs-Selfies öffentlich aufgetaucht sind; ein Betroffener hat die Zuordnung gegenüber Cointelegraph bestätigt.

Behauptet ist die Erpressung. Die tägliche Veröffentlichungsdrohung stammt aus einem Telegram-Beitrag der mutmaßlichen Täter. Ein Unternehmen, das erpresst wird, bestätigt das selten, und Revolut tut es hier nicht. Wer die Forderung erwähnt, sollte dazusagen, wer sie erhebt.

Bestritten ist ein älterer Komplex, der gerade wieder hochkommt: Im Sommer wurde in einschlägigen Foren eine Datenbank mit angeblich zweistelligen Millionenzahlen an Revolut-Datensätzen im Darknet angeboten. Deutsche Medien haben darüber berichtet, Revolut hat der Echtheit widersprochen und auf zusammengetragenes Material aus anderen Quellen verwiesen. Dieser Vorgang ist von dem aktuellen zu trennen. Wer beide zusammenwirft, kommt auf eine Betroffenenzahl, die niemand belegt hat.

Für den Umgang mit den kommenden Tagen heißt das: Rechne mit Phishing, das sehr gut aussieht. Wer Name, Geburtsdatum, IBAN und die letzten Transaktionen kennt, schreibt keine holprige Spam-Mail mehr. Der einzige verlässliche Prüfstein bleibt der Kanal, nicht der Inhalt. Eine echte Bank fordert dich nie per Mail oder Telefon auf, Guthaben auf ein Sicherheitskonto zu übertragen, eine Wiederherstellungsphrase einzugeben oder eine Fernwartungssoftware zu installieren. Beim kleinsten Zweifel gehst du über die App, die du selbst installiert hast.

Selbstverwahrung als Konsequenz: wann eine Hardware-Wallet die Datenspur verkürzt

Dieser Fall zeigt eine Eigenschaft von Verwahrlösungen, die im Alltag unsichtbar bleibt: Wer Kryptowerte bei einem Anbieter hält, hinterlässt dort neben dem Guthaben eine vollständige Identitätsakte. Diese Akte ist der eigentliche Gegenstand des Vorfalls. Eine Hardware-Wallet ändert daran nicht alles, aber sie verkürzt die Spur an einer entscheidenden Stelle: Das Guthaben liegt anschließend nicht mehr bei einem Dritten, und dessen Ausfall oder Datenabfluss trennt dich nicht mehr von deinen Coins.

Ehrlich bleiben muss man trotzdem. Der Kauf selbst erzeugt wieder Daten, wie das erwähnte Trezor-Leck zeigt; bestelle deshalb nie an eine Adresse, die auch dein Wohnort ist, wenn du das vermeiden kannst, und kaufe ausschließlich beim Hersteller oder autorisierten Händlern. Die Einzahlung von einer Börse auf die eigene Wallet ist zudem in der Kette sichtbar und lässt sich mit den Kontoauszügen verknüpfen. Und die Verantwortung für die Wiederherstellungsphrase liegt danach vollständig bei dir. Selbstverwahrung ist eine Verlagerung des Risikos, keine Abschaffung.

Für den Rest, der auf einer Plattform bleiben soll, gilt die Auswahl nach Aufsicht und Verwahrpraxis. Frage nach getrennter Verwahrung, nach dem Verwahrer und nach der Erlaubnis, unter der dieser arbeitet.

Revolut-Datenleck: Was du daraus mitnimmst

1. Stelle deine Betroffenheit schriftlich fest. Fordere heute die Auskunft nach Artikel 15 DSGVO an und notiere das Absendedatum. Ohne diese Liste diskutierst du später über Vermutungen. Parallel prüfst du, welche Handelsplätze deine Ausweiskopie führen, und schließt die ungenutzten Konten; unser Überblick zu regulierten Kryptobörsen zeigt, worauf es bei den verbleibenden ankommt.
2. Trenne Identität und Bestand. Nutze frische Empfangsadressen, führe alte und neue Bestände nicht in einer Transaktion zusammen und verlagere den Teil, den du langfristig hältst, in die eigene Verwahrung. Der Vergleich der Hardware-Wallets nennt die Geräte samt ihrer Schwächen.
3. Bring deine Aufzeichnung in Ordnung, bevor die erste DAC8-Meldung läuft. Lückenlose Anschaffungsdaten sind ab dem Meldezeitraum 2026 dein einziges Gegenargument gegenüber einer gemeldeten Summe. Ein Steuer- und Portfolio-Tracker übernimmt das Sammeln.

(Stand: 14. September 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)