Revolut-Datenklau: Was Unternehmen aus dem Fall lernen müssen
Veröffentlicht am: 21.10.2026 um 08:15 Uhr | presseportal, AD HOC NEWS
Cybersecurity wird häufig noch immer als rein technisches Problem betrachtet. Der Revolut-Fall zeigt aber, dass Angreifer gezielt die Schnittstellen zwischen Menschen, Prozessen und IT ausnutzen. Nachfolgend erfahren Sie, welche Schwachstellen der Revolut-Fall offenlegt, warum Cybersecurity weit über Firewalls und technische Schutzmaßnahmen hinausgeht und welche Prozesse Unternehmen jetzt überprüfen sollten, bevor Betrüger an ihre sensibelsten Daten gelangen.
Wenn eine echte E-Mail zur Gefahr wird
Der Fall unterscheidet sich von einem klassischen Cyberangriff. Nach den vorliegenden Informationen verschafften sich die Täter keinen Zugang zu den Systemen von Revolut. Stattdessen nutzten sie ein kompromittiertes Behördenpostfach im italienischen PEC-System und stellten darüber gefälschte Auskunftsersuchen. Da die Nachrichten tatsächlich aus einem echten Behördensystem kamen, konnten übliche technische Prüfungen des Absenders ins Leere laufen. Revolut erklärte entsprechend, dass die eigenen Systeme und Kundengelder nicht betroffen seien.
Genau darin liegt jedoch die entscheidende Schwachstelle. Ein Unternehmen kann seine IT umfassend schützen und dennoch Daten verlieren, wenn ein legitimer Kommunikationsweg missbraucht wird. Bei sensiblen Anfragen reicht es deshalb nicht aus, lediglich die Absenderadresse zu prüfen. Unternehmen sollten zusätzlich sicherstellen, dass die Anfrage tatsächlich von der jeweiligen Behörde veranlasst wurde, etwa durch einen Rückruf über eine öffentlich hinterlegte Telefonnummer. So reicht ein kompromittiertes E-Mail-Konto allein nicht aus, um an vertrauliche Daten zu gelangen.
Cybersecurity endet nicht bei der IT
Dass solche Angriffe funktionieren, ist kein Einzelfall. Die italienische Cybersicherheitsbehörde CERT-AGID hatte bereits im Juni 2026 von mehr als 650 Fällen mit missbrauchten oder illegal erstellten Behördenpostfächern seit Jahresbeginn berichtet. Schon 2024 warnte zudem das FBI vor kompromittierten Behördenkonten, die für gefälschte Anfragen nach sensiblen Daten eingesetzt werden.
Auch andere Vorfälle zeigen, wie Angreifer technische Schutzmaßnahmen umgehen, indem sie Menschen mit legitimen Zugriffsrechten ins Visier nehmen. Bei Coinbase gelangten Kriminelle 2025 beispielsweise an Kundendaten, indem sie ausgelagerte Support-Mitarbeiter bestachen. Rund 70.000 Kunden waren betroffen.
Das Risiko liegt deshalb häufig nicht in einer einzelnen technischen Sicherheitslücke, sondern an den Schnittstellen zwischen IT, Mitarbeitern und organisatorischen Abläufen. Laut Verizon war der menschliche Faktor bei rund 60 Prozent der im Data Breach Investigations Report 2025 untersuchten Datenlecks beteiligt. Schulungen bleiben wichtig, reichen allein jedoch nicht aus.
Unternehmen sollten ihre Abläufe daher so gestalten, dass ein einzelner Fehler nicht unmittelbar zur Herausgabe sensibler Informationen führt. Entscheidend ist nicht nur, ob Mitarbeiter einen Betrugsversuch erkennen, sondern auch, welche Kontrollmechanismen greifen, wenn sie eine Anfrage zunächst für echt halten.
Klare Zuständigkeiten statt Lücken im Prozess
Gerade bei behördlichen oder rechtlichen Auskunftsersuchen können unklare Verantwortlichkeiten zum Risiko werden. Während die IT beispielsweise prüft, ob eine Nachricht technisch authentisch erscheint, beurteilen Rechts- oder Compliance-Abteilungen, welche Daten herausgegeben werden dürfen. Dabei kann jedoch eine entscheidende Frage zwischen den Zuständigkeiten verloren gehen: Wer stellt sicher, dass die konkrete Anfrage tatsächlich legitim ist?
Diese Verantwortung sollte eindeutig geregelt sein. Sinnvoll ist eine zentrale Stelle, bei der sämtliche behördlichen Auskunftsersuchen zusammenlaufen. Bevor sensible Informationen das Unternehmen verlassen, sollte die Anfrage außerdem über einen unabhängig recherchierten Kontakt verifiziert werden.
Hinzu kommen ein Vier-Augen-Prinzip und eine lückenlose Dokumentation. So lässt sich nachvollziehen, wer wann welche Informationen an wen herausgegeben hat und auf welcher rechtlichen Grundlage dies geschah. Gleichzeitig gilt das Prinzip der Datenminimierung: Weitergegeben werden nur die Informationen, die tatsächlich angefordert werden und deren Herausgabe rechtlich gedeckt ist.
Sicherheit muss auch unter Zeitdruck funktionieren
Dringlichkeit gehört häufig zum Vorgehen von Betrügern. Eine vermeintlich behördliche Anfrage, die eine schnelle Reaktion verlangt, erhöht den Druck auf Mitarbeiter und kann dazu führen, dass vorgesehene Kontrollen verkürzt oder übersprungen werden. Sicherheitsprozesse müssen deshalb gerade für solche Situationen klare Vorgaben enthalten.
Technische Systeme können dabei unterstützen und beispielsweise ungewöhnliche Anfragen markieren. Sie können jedoch nicht zuverlässig feststellen, ob eine formal korrekte Nachricht von einem echten Behördenkonto im konkreten Fall tatsächlich legitim ist. Dafür braucht es organisatorische Kontrollmechanismen.
Die Lehre aus dem Revolut-Fall reicht deshalb weit über Banken hinaus. Grundsätzlich betrifft das Risiko jedes Unternehmen, das sensible Kunden-, Mitarbeiter- oder Geschäftsdaten verwaltet. Neben der technischen Absicherung sollte daher eine weitere Frage im Mittelpunkt stehen: Was passiert, wenn eine betrügerische Anfrage technisch vollkommen echt aussieht?
Denn moderne Cyberangriffe müssen nicht zwangsläufig eine Firewall überwinden. Mitunter reicht es, einen vorgesehenen Prozess so glaubwürdig zu nutzen, dass die entscheidende Prüfung ausbleibt.
Über René Schröder
René Schröder ist Gründer und Geschäftsführer der RegSus Consulting GmbH in München. Seit über 20 Jahren begleitet er IT-Transformationen im DACH-Mittelstand sowie in regulierten Branchen wie Energie, Pharma und Finanzdienstleistungen. Sein Schwerpunkt liegt auf der Zusammenarbeit zwischen IT und Fachbereich. Er ist Autor mehrerer Bücher zu IT und Business, zuletzt „E-Mails über den Zaun werfen ist keine Kommunikation“ und „Wir irren uns gern gemeinsam“. Mehr Informationen unter: https://regsus.de/
Pressekontakt:
RegSus Consulting GmbH
Vertreten durch: René Schröder
E-Mail: r.schroeder@regsus.de
Website: https://regsus.de/
Original-Content von: RegSus Consulting GmbH übermittelt durch news aktuell
