(23.09.26) Revolut ist ein britisches Finanztechnologieunternehmen mit mehr als 80 Millionen Kunden weltweit. Es bietet per App unter anderem Konten, Karten, Zahlungsdienste und Kryptohandel an und ist über seine Bank in Litauen auch in der EU aktiv.

Kriminelle verlangen Berichten zufolge rund drei Millionen US-Dollar von Revolut. Sie drohen, persönliche Daten von etwa 680 Kunden an andere Täter zu verkaufen, falls das Unternehmen nicht zahlt. Das geforderte Zahlungsmittel ist die Kryptowährung Monero (XMR). Der Fall zeigt, wie gefährlich Kundendaten werden können, wenn sie mit Informationen über Kryptowährungen zusammenkommen.

Nach den bisherigen Recherchen verschafften sich die Täter die Daten offenbar über eine besonders tückische Täuschung: Sie nutzten ein kompromittiertes italienisches Behörden-E-Mail-System und gaben sich gegenüber Revolut als Ermittler aus. Auf diesem Weg sollen sie über mehrere Monate Auskünfte angefordert haben. Betroffen sind unter anderem Angaben zu Identität, Anschrift und Konten. Die Täter behaupten, gezielt Menschen mit größeren Krypto-Beständen ausgewählt zu haben. Wie zutreffend diese Selbstdarstellung ist, lässt sich von außen nicht vollständig prüfen.

Eine Unterscheidung ist dabei entscheidend: Nach Darstellung von Revolut wurden weder die internen Systeme gehackt noch Kundengelder entwendet. Das Unternehmen teilte außerdem mit, von den mutmaßlichen Tätern keine direkte Lösegeldforderung erhalten zu haben. Die Forderung wurde öffentlich verbreitet. Ein möglicher Abfluss persönlicher Daten bleibt trotzdem gravierend: Ein sicheres Kontoguthaben schützt die Betroffenen nicht vor Betrugsversuchen oder einer Veröffentlichung ihrer Anschrift.

Warum dieser Datenverlust besonders heikel ist

Wer Name und Telefonnummer eines Bankkunden kennt, kann glaubwürdige Phishing-Nachrichten verfassen. Wer zusätzlich Ausweisdaten, Kontoinformationen oder eine Wohnadresse besitzt, kann seine Täuschung noch genauer auf die Person zuschneiden. Betroffene sollten deshalb mit Anrufen, E-Mails oder Briefen rechnen, die sich auf echte persönliche Angaben beziehen. Dass ein Absender solche Details kennt, beweist nicht, dass er von Revolut stammt.

Bei Krypto-Anlegern kommt ein weiteres Risiko hinzu. Die Täter könnten aus den erlangten Daten schließen, dass sich ein Angriff besonders lohnt. Eine Wohnadresse in Verbindung mit vermutetem Vermögen kann auch für Drohungen außerhalb des Internets relevant werden. Welche Vermögenswerte die einzelnen Betroffenen tatsächlich besitzen, ist dadurch allerdings nicht belegt. Der ehemalige Mt.-Gox-Chef Mark Karpelès gehört laut Berichten zu den Betroffenen und äußerte öffentlich Sorge wegen der Preisgabe seiner Adresse.

Für Finanzanbieter liegt die Lehre nicht allein in besserer IT-Abwehr. Auch eine Anfrage, die scheinbar von einer Behörde kommt, muss sorgfältig auf Berechtigung, Herkunft und Umfang geprüft werden. Nach den bisherigen Berichten war gerade die glaubwürdig wirkende Behördenkommunikation der Weg zu den Daten. Der Fall macht deutlich, dass Schutzmaßnahmen auch dort greifen müssen, wo Mitarbeiter über die Herausgabe sensibler Informationen entscheiden.

Was ist Monero – und warum fordern die Täter XMR?

Monero ist eine eigenständige Kryptowährung mit dem Kürzel XMR. Ihr technischer Schwerpunkt ist die Vertraulichkeit von Zahlungen. Bei Bitcoin lassen sich Transaktionen und Beträge auf der öffentlichen Blockchain nachvollziehen, auch wenn eine Adresse zunächst keinen Klarnamen trägt. Bei Monero sind Angaben zum Absender, Empfänger und Betrag standardmäßig verborgen. Dafür nutzt das Netzwerk unter anderem einmalige Empfangsadressen, Ringsignaturen und vertrauliche Transaktionen.

Das macht Monero für Erpresser attraktiv: Außenstehende können eine Lösegeldzahlung nicht so einfach auf der Blockchain verfolgen und anschließende Geldbewegungen analysieren. Nach den Berichten verlangten die mutmaßlichen Täter eine Zahlung im Gegenwert von etwa drei Millionen US-Dollar in Monero. Die Wahl von XMR passt damit zu ihrem Ziel, den Weg des Geldes zu verschleiern. Sie ist aber kein Beleg, dass bereits gezahlt wurde.

Privatsphäre bei Zahlungen ist für sich genommen kein krimineller Zweck. Sie kann auch Menschen und Unternehmen davor schützen, ihre gesamten Finanzbeziehungen öffentlich offenzulegen. Ebenso wenig bedeutet Moneros Technik, dass Täter grundsätzlich unauffindbar wären: Kommunikation, Geräte, Identitäten und der Umtausch in andere Währungen können Ermittlungsansätze liefern. Die Monero-Blockchain gibt Ermittlern jedoch weniger unmittelbar sichtbare Zahlungsdaten als eine transparente Blockchain.

Was betroffene Kunden jetzt tun sollten

Wenn Sie eine Benachrichtigung von Revolut erhalten haben, öffnen Sie die App selbst und prüfen Sie die Mitteilung dort. Folgen Sie keinen Links aus überraschenden Nachrichten und geben Sie am Telefon weder Zugangsdaten noch Einmalcodes oder Wallet-Informationen preis. Lassen Sie sich nicht durch einen Anrufer unter Zeitdruck setzen – auch dann nicht, wenn er Ihre Anschrift oder Teile Ihrer Kontodaten kennt.

Prüfen Sie außerdem Ihre Kontobewegungen und richten Sie verfügbare Sicherheitsbenachrichtigungen ein. Nutzen Sie für Revolut und Ihr E-Mail-Konto jeweils ein eigenes, starkes Passwort und aktivieren Sie eine zusätzliche Anmeldungssicherung. Wenn Sie eine konkrete Drohung erhalten oder jemand mit Ihren persönlichen Daten eine Zahlung fordert, sichern Sie die Nachricht und wenden Sie sich an die Polizei.

Der Revolut-Fall ist vor allem eine Warnung vor der Verbindung zweier Datensätze: Wer Sie sind und wo Sie wohnen – und der Hinweis, dass Sie möglicherweise Kryptowährungen besitzen. Ob die Täter ihre Drohung umsetzen oder ob Revolut eine Zahlung leistet, ist nach den bislang geprüften Berichten offen. Für betroffene Kunden zählt jetzt, auf gezielte Kontaktversuche vorbereitet zu sein und die eigene digitale wie persönliche Sicherheit ernst zu nehmen.

Mehr Hintergründe unter: www.markus-miller.com