Revolut-Datenleck: Bin ich betroffen, und was ist mit meiner Bitcoin-Historie?

Wenn du ein Konto bei Revolut führst und wissen willst, ob dich der Datenvorfall vom 11. und 12. September 2026 betrifft, gibt es genau zwei belastbare Wege: die Benachrichtigung, die das Unternehmen an die betroffenen Kunden verschickt hat, und eine eigene Auskunft nach Artikel 15 der Datenschutz-Grundverordnung. Alles andere ist Vermutung. Wer keine Nachricht bekommen hat, darf daraus noch keine Entwarnung ableiten; belegt ist damit allein, dass keine Benachrichtigung angekommen ist.

Der Vorgang unterscheidet sich von den Datenlecks, die diese Branche sonst beschäftigen. Es wurde kein Server aufgebrochen, keine Schadsoftware eingeschleust und kein Passwort geknackt. Ein Unbefugter hat bei Revolut Kundendaten angefordert, und die Anfrage kam über die echte, korrekt authentifizierte E-Mail-Domain einer Regierungsbehörde. Revolut behandelte sie als rechtmäßig und gab die Unterlagen heraus. Für Halter von Bitcoin ist das besonders unangenehm, weil zu den herausgegebenen Unterlagen die vollständige Transaktionshistorie gehört.

Was Revolut herausgegeben hat und was nach Unternehmensangaben unberührt blieb

Die Datenkategorien stammen aus der Berichterstattung von CoinDesk vom 12. September 2026, die sich auf die Benachrichtigungen an Betroffene stützt. Genannt werden Reisepässe und Führerscheine, die Selfies aus der Identitätsprüfung, Namen, Geburtsdaten, Berufsangaben, Wohnanschriften, E-Mail-Adressen, Telefonnummern, IBANs, Kontoauszüge, Auszahlungsprotokolle und die gesamte Transaktionshistorie einschließlich sämtlicher Bitcoin-Aktivität.

Revolut teilte gegenüber BeInCrypto mit, es habe einen ausgefeilten externen Identitätsangriff festgestellt, bei dem ein unbefugter Dritter über die E-Mail-Domain einer legitimen Regierungsbehörde betrügerische Auskunftsersuchen gestellt habe; Systeme und Kundengelder seien davon unberührt. Nach Unternehmensangaben wurden Polizei, Datenschutz- und Finanzaufsicht eingeschaltet sowie die betroffene Behörde darüber informiert, dass innerhalb ihrer Domain ein unbefugtes Konto arbeitet. Welche Behörde das ist, nennt Revolut mit Verweis auf die laufenden Ermittlungen nicht. Auch die Zahl der Betroffenen bleibt offen; von einer begrenzten Zahl ist die Rede, und der Ermittler zachXBT, über dessen Hinweis der Fall öffentlich wurde, ordnete das Ziel als kleinen Kreis vermögender Nutzer ein.

Was nach den Benachrichtigungen ausdrücklich nicht abgeflossen ist: Zugangsdaten, Passcodes und die biometrischen Vorlagen der Gesichtserkennung. Diese Unterscheidung ist wichtig, weil sie bestimmt, welche Schutzmaßnahme überhaupt etwas bewirkt. Ein Angreifer, der dein Passwort nicht hat, wird durch ein neues Passwort auch nicht ausgesperrt.

Woran du erkennst, ob du zu den benachrichtigten Revolut-Kunden gehörst

Revolut hat die Betroffenen nach eigenen Angaben einzeln angeschrieben; Berichte von Kunden datieren diese Nachrichten auf den 11. September 2026. Eine öffentliche Liste gibt es nicht, und aus guten Gründen wird es sie auch nicht geben. Die Prüfung liegt damit bei dir.

Die Benachrichtigung von Revolut und der Unterschied zur Phishing-Mail

Eine Benachrichtigung nach Artikel 34 DSGVO ist die Mitteilung eines Unternehmens an betroffene Personen, dass deren Daten bei einer Verletzung des Schutzes personenbezogener Daten mit hohem Risiko abgeflossen sind. Darin stehen der Vorfall, die betroffenen Datenkategorien und die empfohlenen Maßnahmen. Woran du sie erkennst: Eine solche Mitteilung fordert dich nicht auf, über einen Link Zugangsdaten einzugeben, eine Zahlung freizugeben oder eine Wallet mit einer Wiederherstellungsphrase zu verbinden.

Genau hier beginnt die zweite Welle. Ein Datenleck dieser Art erzeugt binnen Tagen gefälschte Nachrichten, die sich als Reaktion des Unternehmens ausgeben, und die Angreifer verfügen diesmal über Namen, Wohnanschrift, IBAN und Kontobewegungen. Das macht die Fälschungen ungewöhnlich glaubwürdig. Prüfe jede eingehende Nachricht in der Revolut-App selbst statt über einen Link aus der Mail, und halte dich an die Regeln, die wir in unserem Ratgeber zur Prüfung der echten Absenderdomain zusammengestellt haben.

Auskunft nach Artikel 15 DSGVO als belastbarer Nachweis

Artikel 15 DSGVO gibt dir das Recht, von einem Unternehmen Auskunft darüber zu verlangen, welche personenbezogenen Daten es über dich verarbeitet und an welche Empfänger es diese offengelegt hat. Genau der zweite Teil ist hier der entscheidende: Das Auskunftsersuchen zwingt zu einer Aussage darüber, ob deine Unterlagen Teil der Herausgabe waren. Die Frist beträgt einen Monat und lässt sich bei komplexen Fällen um zwei weitere Monate verlängern, worüber das Unternehmen dich unterrichten muss.

Formuliere das Ersuchen schriftlich, nenne den Vorfall mit Datum, verlange ausdrücklich Auskunft über die Empfänger deiner Daten und bitte um eine Kopie der Benachrichtigung, falls eine an dich versandt wurde. Hebe die Antwort auf. Wer später Ansprüche geltend machen oder eine Beschwerde einreichen will, braucht diesen Schriftwechsel als Grundlage.

Warum die Bitcoin-Transaktionshistorie der gefährlichste Teil des Pakets ist

Ein Ausweis lässt sich ersetzen, eine IBAN ändern, eine Wohnanschrift im Ernstfall sogar wechseln. Die Bitcoin-Historie dagegen verweist auf eine öffentliche Datenbank, die niemand zurücknehmen kann. Wer deine Ein- und Auszahlungen bei einem Anbieter kennt, kennt Beträge, Zeitpunkte und in vielen Fällen die Gegenstellen auf der Kette.

Vom Kontoauszug zur Cluster-Analyse deiner Bitcoin-Adressen

Cluster-Analyse bezeichnet das Verfahren, mehrere Bitcoin-Adressen anhand gemeinsamer Merkmale einer einzigen wirtschaftlichen Einheit zuzuordnen, etwa weil sie zusammen in einer Transaktion als Eingänge auftreten. Solange niemand weiß, wem ein Cluster gehört, bleibt es eine anonyme Menge von Adressen. Ein Auszahlungsprotokoll mit Betrag und Zeitstempel liefert den fehlenden Ankerpunkt, und ab diesem Moment hängt an dem Cluster ein Name mit Wohnanschrift.

Daraus folgt eine unangenehme Rechnung. Der Angreifer sieht nicht nur, dass du Bitcoin besitzt, sondern kann über die verknüpften Adressen abschätzen, wie viel davon noch da ist und ob es sich bewegt. Welche Folgen ein solches Paket aus Identität, Wohnanschrift und nachvollziehbarem Vermögen haben kann, haben wir am französischen Fallgeschehen beschrieben: Entführungen und Erpressungen mit Krypto-Bezug begannen dort regelmäßig mit genau solchen Listen.

Emergency Data Request: der Mechanismus hinter der gefälschten Behördenanfrage

Ein Emergency Data Request ist ein Auskunftsersuchen einer Strafverfolgungsbehörde, das ein Unternehmen wegen Gefahr im Verzug ohne richterlichen Beschluss und ohne die sonst übliche Prüfung beantwortet. Das Verfahren existiert, weil es Fälle gibt, in denen Stunden zählen. Es ist zugleich seit Jahren ein bekanntes Einfallstor, weil die einzige Prüfinstanz die Einschätzung eines Mitarbeiters ist, der eine dringliche, amtlich aussehende Anfrage vor sich hat.

Der Ablauf ist in der Fachliteratur gut dokumentiert: Jemand verschafft sich Zugang zu einem behördlichen Postfach oder legt innerhalb einer Behördendomain ein Konto an, schreibt von dort eine dringliche Auskunftsanfrage und erhält die Daten, weil der Empfänger geschult ist, Behörden zügig zu bedienen. Genau dieses Muster beschreibt Revolut in seiner Stellungnahme, wenn das Unternehmen von einem unbefugten Konto innerhalb der Domain einer Behörde spricht.

Warum die Prüfung von Absenderdomain, SPF und DMARC hier nicht getragen hat

SPF, DKIM und DMARC sind technische Verfahren, mit denen der Empfänger einer Mail nachweisen kann, dass sie tatsächlich von der angegebenen Domain verschickt wurde und unterwegs nicht verändert worden ist. Diese Verfahren beantworten eine einzige Frage: Kommt die Nachricht wirklich von dieser Domain? Zur Frage, ob die Person hinter dem Postfach dazu berechtigt ist, sagen sie nichts.

Das ist die Gegenprobe zu einer Empfehlung, die wir selbst ausgegeben haben. Die Prüfung der Absenderdomain bleibt richtig und fängt den ganz überwiegenden Teil der Angriffe ab. Unwirksam wird die Prüfung erst in dem Moment, in dem ein Angreifer ein Konto innerhalb der echten Domain kontrolliert, denn dann ist jede technische Prüfung bestanden und trotzdem stimmt nichts. Wer ausschließlich auf dieses Signal baut, hält eine bestandene Authentifizierung für eine bestandene Berechtigungsprüfung.

Was eine Passwortänderung nach diesem Datenleck bringt und was nicht

Die übliche Empfehlung nach einem Datenleck lautet: Passwort ändern, Zwei-Faktor-Authentisierung einschalten, Geräte prüfen. Das ist hier nur zur Hälfte richtig, und die Hälfte, die nicht trägt, ist die wichtigere. Abgeflossen sind nach den Benachrichtigungen keine Zugangsdaten, sondern Identitätsnachweise und Kontohistorie. Ein neues Passwort nimmt dem Angreifer nichts weg, weil er das alte nie hatte.

Was tatsächlich hilft, richtet sich gegen die Folgeangriffe. Dazu gehört, in der App eine harte Bestätigung für Auszahlungen zu verlangen, telefonische Rückfragen von angeblichen Mitarbeitern grundsätzlich abzulehnen und aufzulegen, sowie bei jedem Anruf, der sich auf deine echten Kontodaten beruft, davon auszugehen, dass diese Daten aus dem Vorfall stammen können. Der Anrufer, der deine letzte Überweisung kennt, ist damit kein Beweis mehr für die Echtheit des Anrufs.

Sofortmaßnahmen: Identitätsmissbrauch, Kontosicherheit, Krypto-Bestand

Die Maßnahmen zerfallen in zwei Gruppen. Die eine betrifft deine Identität und ist unabhängig davon sinnvoll, ob Krypto im Spiel ist. Die andere betrifft den Bestand und die Frage, wo er künftig liegen soll.

Ausweisdaten lassen sich nicht zurückrufen

Ein abgeflossener Ausweisscan bleibt draußen. Was bleibt, ist Beobachtung: Prüfe regelmäßig deine Bonitätsauskunft auf Anfragen und Verträge, die du nicht kennst, und lasse dir bei deiner Bank die Regeln für Kontoeröffnungen und Adressänderungen erklären. Wenn ein Verdacht auf Identitätsmissbrauch entsteht, gehört er zur Anzeige, weil der Nachweis des Missbrauchszeitpunkts später über die Haftung entscheidet. Die deutsche Finanzaufsicht hat zu diesem Muster bereits gewarnt; wir haben die BaFin-Warnung zum Identitätsmissbrauch im Krypto-Umfeld im Detail aufbereitet.

Wohnanschrift plus Bitcoin-Bestand: das physische Risiko ernst nehmen

Der unangenehmste Teil dieses Pakets liegt außerhalb der digitalen Welt. Wer über Wohnanschrift, Ausweisbild und Vermögensnachweis verfügt, hat alles zusammen, was für einen Angriff vor der Haustür gebraucht wird. Praktisch heißt das: keine öffentlichen Hinweise auf Krypto-Bestände in sozialen Netzwerken, Paketzustellungen von Hardware-Zubehör nicht an die Wohnadresse, und im Gespräch mit Bekannten keine Beträge nennen. Wer größere Summen selbst verwahrt, findet im Vergleich der Hardware-Wallets die Geräte, die eine Zugangssperre über eine zusätzliche Passphrase erlauben, sodass ein erzwungener Zugriff nicht den gesamten Bestand freigibt.

Diese Vorsicht ist keine Panikreaktion. Das entspricht dem, was die Betroffenen früherer Lecks in dieser Branche im Nachhinein beschrieben haben, und es kostet nichts außer Gewohnheit.

Wo deutsche Revolut-Kunden sich beschweren können

Deutsche Kunden stehen in aller Regel in einem Vertragsverhältnis mit der Revolut Bank UAB mit Sitz in Litauen, die als Kreditinstitut von der litauischen Zentralbank und der Europäischen Zentralbank zugelassen ist; daneben betreibt das Unternehmen eine deutsche Zweigniederlassung. Für den Datenschutz führt nach den eigenen Datenschutzhinweisen des Anbieters die litauische Datenschutzaufsicht als federführende Behörde. Prüfe die Angaben in deinen eigenen Vertragsunterlagen, denn die zuständige Gesellschaft kann sich je nach Produkt und Abschlussdatum unterscheiden.

Sinnvoll ist diese Reihenfolge: zuerst das Auskunftsersuchen nach Artikel 15 an das Unternehmen, dann die Beschwerde bei einer Datenschutzaufsicht, sobald die Antwort vorliegt oder die Frist verstrichen ist. Eine Beschwerde bei der für deinen Wohnort zuständigen Landesdatenschutzbehörde bleibt dir nach der Datenschutz-Grundverordnung offen; sie leitet den Vorgang bei grenzüberschreitenden Fällen an die federführende Behörde weiter. Ohne den vorherigen Schriftwechsel fehlt der Beschwerde die Grundlage.

Wie du deine Krypto-Bestände nach einem Datenleck neu ordnest

Ein Datenvorfall bei einem Anbieter ist ein guter Anlass, die eigene Aufteilung zu prüfen, und zwar ohne Hast. Die entscheidende Frage ist dabei weniger, welcher Anbieter als der sicherste gilt. Sinnvoller ist die Überlegung, wie viel Vermögen bei einem einzelnen Anbieter überhaupt liegen muss. Ein Handelskonto braucht den Betrag, mit dem tatsächlich gehandelt wird. Alles darüber hinaus ist eine Entscheidung, die auch anders ausfallen kann.

Selbstverwahrung bedeutet, die privaten Schlüssel zu den eigenen Beständen selbst zu halten, statt sie einem Anbieter anzuvertrauen. Das verschiebt das Risiko, es beseitigt es nicht: Wer selbst verwahrt, trägt das Verlustrisiko allein und braucht ein Sicherungskonzept für die Wiederherstellungsphrase, das einen Wohnungsbrand und einen Umzug übersteht. Für viele Anleger ist eine Aufteilung der vernünftige Mittelweg, bei der ein kleiner Teil handelsbereit beim Anbieter bleibt und der Rest in Eigenverwahrung wandert.

Wichtig ist dabei die Reihenfolge: erst das Sicherungskonzept, dann der Umzug der Bestände. Wer in der Aufregung nach einer schlechten Nachricht Beträge verschiebt, macht in dieser Woche erfahrungsgemäß die teuersten Fehler.

Was der Fall über KYC-Daten bei Krypto-Anbietern und Neobanken zeigt

KYC steht für „Know Your Customer" und bezeichnet die gesetzlich vorgeschriebene Identitätsprüfung, die Banken und Krypto-Dienstleister vor der Kontoeröffnung durchführen müssen. Diese Prüfung ist nicht verhandelbar, und sie erzeugt bei jedem regulierten Anbieter einen Datensatz aus Ausweisbild, Selfie, Anschrift und Kontobewegungen. Der Vorfall bei Revolut zeigt, dass die Angriffsfläche dieses Datensatzes nicht nur aus Servern besteht, sondern auch aus den Verfahren, mit denen ein Unternehmen Auskunftsersuchen beantwortet.

Für die Auswahl eines Anbieters lässt sich daraus eine praktische Frage ableiten: Wie geht das Haus mit behördlichen Auskunftsersuchen um, veröffentlicht es dazu Zahlen, und wie schnell informiert es Betroffene? Wer einen neuen Handelsplatz sucht, findet im Überblick der regulierten Krypto-Börsen die Anbieter mit einer Lizenz im europäischen Aufsichtsrahmen. Eine Lizenz ist dabei kein Schutzversprechen gegen diesen Angriffsweg, sondern die Zusage, dass eine Aufsicht zuständig ist und Meldepflichten greifen.

Der Vorfall reiht sich in eine Kette ein, die deutsche Krypto-Anleger in diesem Jahr mehrfach getroffen hat. Die Textsorte ist immer dieselbe, weil die Fragen dieselben sind; unsere Aufbereitung zum Trezor-Datenleck und der Prüfung der eigenen Betroffenheit lässt sich Schritt für Schritt auf diesen Fall übertragen.

Revolut-Datenleck: Was du daraus mitnimmst

1. Betroffenheit belegen, nicht schätzen. Prüfe in der Revolut-App, ob eine Benachrichtigung vorliegt, und stelle unabhängig davon ein Auskunftsersuchen nach Artikel 15 DSGVO mit ausdrücklicher Frage nach den Empfängern deiner Daten. Wer anschließend den Anbieter wechseln will, sortiert die Kandidaten über die Übersicht der regulierten Krypto-Börsen vor.
2. Den Bestand vom Identitätsdatensatz entkoppeln. Lege fest, welcher Betrag handelsbereit beim Anbieter bleiben muss, und bringe den Rest in Eigenverwahrung, mit Sicherungskonzept vor dem Umzug. Die Geräteauswahl samt Passphrase-Funktion steht im Hardware-Wallet-Vergleich.
3. Die zweite Welle einplanen. Rechne für die kommenden Wochen mit Anrufen und Nachrichten, die deine echten Kontodaten kennen, und behandle jede Kontaktaufnahme als unbestätigt, bis du sie in der App selbst gesehen hast. Wenn du dabei eine Software-Lösung für den handelsbereiten Teil brauchst, hilft der Vergleich der Software-Wallets bei der Auswahl.

(Stand: 12. September 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)

Quellen: CoinDesk zu den betroffenen Datenkategorien und die Stellungnahme von Revolut bei BeInCrypto.