Aktuell

Echter Absender, falsche Anfrage: Was der Revolut-Fall über vertrauenswürdige E-Mails lehrt

Mail von echter Behörden-Domain, alle Prüfungen grün – und doch Betrug. Was der Revolut-Fall für Datenfreigaben in Firmen und Kommunen bedeutet.

16. Oktober 2026

Cyber Crime
E-Mail
Kommunen

Die E-Mail kam von der echten Domain einer Behörde, alle technischen Prüfungen waren grün – und trotzdem war die Anfrage gefälscht. Die Digitalbank Revolut hat auf diesem Weg sensible Daten von Hunderten Kunden an Betrüger herausgegeben. Der Fall zeigt eine Lücke, die kein Spamfilter schließen kann: Eine technisch echte Nachricht ist noch lange keine berechtigte Anfrage.

Was passiert ist

Mitte September wurde bekannt, dass Revolut personenbezogene Daten an Unbefugte übermittelt hat. Die Auskunftsersuchen kamen über eine E-Mail-Adresse auf der legitimen Domain einer Regierungsbehörde. Revolut ging von einer echten Behördenanfrage aus und lieferte.

Betroffene

Rund 680 Personen

Je nach Person wurden unter anderem Passkopien, Bilder aus der Identitätsprüfung sowie Konto- und Transaktionsdaten herausgegeben.

Systeme

Nichts gehackt

Laut Revolut wurden weder die eigenen Systeme noch Kundengelder angegriffen. Der Schaden entstand allein durch einen Freigabeprozess.

Erpressung

Lösegeldforderung

Eine Tätergruppe forderte ein Lösegeld in Millionenhöhe und drohte mit dem Verkauf der Daten. Ob alle veröffentlichten Daten aus diesem Vorfall stammen, ist nicht unabhängig bestätigt.

Das Besondere: Es wurde nichts verschlüsselt und nichts gehackt. Das Druckmittel sind die Daten selbst – und Passkopien oder Verifizierungsbilder lassen sich noch Jahre später für Identitätsbetrug und weitere Täuschungen missbrauchen.

Authentifiziert heißt nicht autorisiert

Verfahren wie SPF, DKIM und DMARC prüfen, ob eine E-Mail tatsächlich über die Server der angegebenen Domain versendet und unterwegs nicht verändert wurde. Das ist wichtig und schützt zuverlässig vor plumpen Fälschungen. Was diese Verfahren nicht prüfen können: ob die Person hinter dem Postfach berechtigt ist, genau diese Anfrage zu stellen.

Wird ein echtes Behörden- oder Firmenpostfach übernommen, besteht jede Mail daraus alle technischen Prüfungen. Für den Empfänger sieht sie dann aus wie jede andere legitime Nachricht. Das FBI hat bereits 2024 vor genau diesem Muster gewarnt: Kriminelle nutzen kompromittierte Behördenkonten, um Unternehmen mit angeblich dringenden Datenanfragen zur Herausgabe zu bewegen.

Die eigentliche Lehre

Die Herkunft einer E-Mail zu prüfen, ist der Anfang – nicht das Ende der Prüfung. Wer sensible Daten oder Geld freigibt, braucht eine Bestätigung, die nicht über dasselbe Postfach läuft.

Das betrifft nicht nur Banken

Das Muster ist dasselbe wie beim klassischen Rechnungsbetrug: Ein echter Lieferant schreibt aus seinem echten Postfach, die Bankverbindung habe sich geändert. Nur dass das Postfach inzwischen von Angreifern kontrolliert wird. Die Mail ist technisch einwandfrei, die Signatur stimmt, der bisherige Mailverlauf ist sogar angehängt.

Für Kommunen gilt das in beide Richtungen. Sie erhalten selbst regelmäßig Auskunftsersuchen von Polizei, Gerichten, anderen Behörden oder Inkassounternehmen – etwa zu Meldedaten. Und ihre eigenen Postfächer sind für Angreifer besonders wertvoll: Eine Mail von einer echten Gemeinde-Adresse genießt bei Bürgern, Unternehmen und anderen Behörden einen hohen Vertrauensvorschuss.

Für Unternehmen betrifft es Personalabteilung, Buchhaltung und Geschäftsführung: Anfragen nach Mitarbeiterdaten, Gehaltsnachweisen, Kundendaten oder geänderten Zahlungsdaten.

Vier Fragen, die getrennt beantwortet werden müssen

Grün: beantwortet die Technik. Gelb: braucht einen zusätzlichen, unabhängigen Nachweis.

Technik

Echte Herkunft?

Kommt die Nachricht wirklich von dort, wo sie herzukommen scheint? Das beantworten SPF, DKIM und DMARC.

Notwendig, aber nicht ausreichend

Person

Richtige Person?

Kontrolliert die berechtigte Person dieses Postfach? Ein übernommenes Konto sieht von außen genauso aus wie ein echtes.

Über einen zweiten, unabhängigen Weg bestätigen

Vorgang

Echter Vorgang?

Gibt es den Vorgang wirklich? Aktenzeichen, zuständige Stelle und Rechtsgrundlage lassen sich über bekannte Kontakte abgleichen.

Vorgang unabhängig verifizieren

Umfang

Angemessener Umfang?

Sind Art und Umfang der Daten wirklich nötig? Auch eine echte Anfrage rechtfertigt nicht die Herausgabe aller verfügbaren Daten.

Nur das Erforderliche übermitteln

Was in der Praxis hilft

Rückruf über eine bekannte Nummer: Nicht die Nummer aus der Mail-Signatur anrufen, sondern eine bereits hinterlegte oder aus einem offiziellen Verzeichnis. Eine Antwort an dasselbe Postfach bestätigt gar nichts.
Neuer Übermittlungsweg als Warnsignal: Sollen Daten plötzlich an eine neue Adresse, einen Cloud-Speicher oder einen unbekannten Dienst gehen statt über den üblichen Weg, muss das eine zusätzliche Prüfung auslösen.
Dringlichkeit als Warnsignal: „Sofort“, „vertraulich“, „ohne Rücksprache“ – Druck ist ein klassisches Mittel, um Prüfschritte zu überspringen.
Vier-Augen-Prinzip für sensible Freigaben: Datenherausgaben an Dritte und geänderte Bankverbindungen werden nie von einer Person allein freigegeben.
Datensparsamkeit: Nur liefern, was für den konkreten Zweck erforderlich ist – keine vollständigen Akten, wenn ein Datum genügt.
Notfallweg definieren: Für echte Eilfälle braucht es einen vorab festgelegten, schnellen Bestätigungsweg – damit Dringlichkeit nicht zum Freibrief wird.

Ein Hinweis zum Rückruf: Wie wir in unserem Beitrag „Die Stimme klingt echt, der Anrufer ist es nicht“ beschrieben haben, lassen sich inzwischen auch Stimmen täuschend echt nachahmen. Entscheidend ist deshalb nicht nur, dass zurückgerufen wird, sondern wohin: an eine Nummer, die Sie selbst kennen und nicht aus der Anfrage übernommen haben.

Die eigenen Postfächer schützen

Die andere Seite des Problems: Damit Ihre Organisation nicht selbst zum Absender solcher Anfragen wird, müssen die eigenen Konten gut geschützt sein. Dazu gehören phishingresistente Anmeldeverfahren, die Überwachung auffälliger Anmeldungen und Weiterleitungsregeln sowie regelmäßige Sensibilisierung der Mitarbeiter. Warum klassische MFA dabei allein nicht reicht, lesen Sie in „MFA ist aktiv – und das Konto trotzdem weg“.

Wie wir unterstützen

E-Mail-Sicherheit

Wir richten SPF, DKIM und DMARC für Ihre Domains korrekt ein und betreiben vorgelagerte Filterung – als solide Grundlage, die plumpe Fälschungen zuverlässig abfängt.

Schutz der eigenen Konten

Phishingresistente Anmeldung, Überwachung verdächtiger Anmeldungen und automatisch angelegter Weiterleitungsregeln im Rahmen unserer Managed Services.

Awareness-Training

Automatisierte Schulungen und Phishing-Simulationen, die Mitarbeiter genau für solche Situationen sensibilisieren.

Freigabeprozesse

Gemeinsam mit Ihnen legen wir fest, wie Datenanfragen und Zahlungsänderungen geprüft und freigegeben werden – praxistauglich und ohne den Betrieb auszubremsen.

Mehr zu unserem Betreuungsmodell unter Managed Services, zum automatisierten Training in „Der letzte Klick“.

Was Sie heute tun können

Kontaktliste anlegen: Für Behörden, Banken, wichtige Lieferanten und Dienstleister verifizierte Telefonnummern hinterlegen – unabhängig von E-Mail-Signaturen.
Freigaberegel festlegen: Wer darf personenbezogene Daten an Dritte herausgeben, und wer muss zusätzlich zustimmen?
Bankdatenänderungen nie per Mail akzeptieren: Immer telefonisch über die bekannte Nummer bestätigen lassen.
Mitarbeiter sensibilisieren: Gerade Bürgerbüro, Personalabteilung und Buchhaltung sollten wissen, dass auch eine echte Absenderadresse kein Beweis ist.
Eigene Postfächer prüfen lassen: Gibt es unbekannte Weiterleitungsregeln oder verdächtige Anmeldungen?

Fazit

Der Revolut-Fall zeigt, was passiert, wenn ein technisch echter Kanal mit einer berechtigten Anfrage verwechselt wird. Es geht nicht darum, jeder Behördenmail mit Misstrauen zu begegnen. Es geht darum, Freigaben so zu gestalten, dass sie auch dann noch funktionieren, wenn ein vertrauenswürdiges Postfach in falsche Hände geraten ist. Je mehr voneinander unabhängige Prüfschritte ein Angreifer überwinden müsste, desto geringer ist die Chance, dass er durchkommt.

Wie sicher sind Ihre Freigabeprozesse?

Wir prüfen Ihre E-Mail-Sicherheit und helfen Ihnen, Datenherausgaben und Zahlungsänderungen sauber abzusichern.

Kontakt aufnehmen

Quellen & weiterführende Links

Recherche-Stand: 16. Oktober 2026