Die Onlinebank Revolut hat sensible Kunden- und Finanzdaten an einen unbefugten Dritten herausgegeben. Der Empfänger musste dafür offenbar kein Bankensystem knacken. Eine gefälschte Behördenanfrage genügte.
Die Anfrage wurde über eine E-Mail-Adresse verschickt, die zu einer echten Regierungsbehörde gehörte. Sie war jedoch weder von der Behörde verfasst noch autorisiert. Nach Angaben von Revolut bestand die Nachricht die technischen Prüfungen SPF, DKIM und DMARC. Diese Verfahren bestätigen, dass eine Mail von der angegebenen Domain stammt und unterwegs nicht verändert wurde. Ob die darin erhobene Forderung rechtmäßig und tatsächlich von der zuständigen Stelle angeordnet war, beweisen sie nicht.
Revolut hielt die Anfrage nach eigener Darstellung für echt und gab die verlangten Informationen heraus. Betroffen sein können Namen, Geburtsdaten, Berufe, Anschriften, E-Mail-Adressen, Telefonnummern, Kontonummern, IBANs, Kontoauszüge und Abhebungsdaten. Auch Kopien von Pässen oder Führerscheinen, Verifikations-Selfies sowie vollständige Transaktionsverläufe einschließlich Bitcoin-Transaktionen könnten übermittelt worden sein. Abgeleitete biometrische Gesichtsdaten seien nach Angaben des Unternehmens nicht weitergegeben worden.
Revolut spricht von einer begrenzten Zahl betroffener Kunden, nennt aber keine konkrete Zahl und auch nicht die Behörde, deren Domain missbraucht wurde. Die Systeme des Unternehmens seien nicht gehackt und Kundengelder nicht gestohlen worden. Nachdem der Irrtum entdeckt worden war, sperrte Revolut die betreffende Adresse und informierte die Behörde, Strafverfolger, Datenschutzstellen und Finanzaufsichten. Reuters berichtet über die Bestätigung durch Revolut; The Block dokumentiert den möglichen Umfang der KYC- und Bitcoin-Daten.
Der Vorfall zeigt das Grundproblem der immer umfassenderen Identitätsprüfung. Banken und Kryptodienste werden gezwungen, Ausweise, Adressen, Selfies und Transaktionsdaten zu sammeln und jahrelang aufzubewahren. Nach der von Reclaim The Net ausgewerteten britischen Datenschutzerklärung bewahrt Revolut personenbezogene Kundendaten grundsätzlich bis zu sieben Jahre nach dem Ende einer Geschäftsbeziehung auf, in bestimmten Fällen auch länger. Ein geschlossenes Konto lässt die Ausweiskopie also nicht einfach verschwinden.
Was unter dem Schlagwort „Know Your Customer“ als Schutz vor Geldwäsche verkauft wird, erzeugt riesige Sammlungen höchst persönlicher Daten. Ein Angreifer muss nicht mehr jedes Opfer einzeln ausforschen. Er braucht nur eine überzeugende Anfrage an die Stelle zu schicken, die bereits alles gesammelt hat. In diesem Fall waren offenbar nicht einmal ein Einbruch in die IT oder gestohlene Zugangsdaten bei Revolut nötig.
Ausweisdokumente, Selfies und komplette Finanzverläufe lassen sich für Identitätsdiebstahl, maßgeschneiderte Betrugsversuche, Erpressung und die gezielte Auswahl vermögender Opfer verwenden. Besonders bei Bitcoin-Transaktionen können zusätzliche Informationen helfen, reale Personen mit Wallets und Zahlungswegen zu verbinden. Wer Krypto über einen zentralen Anbieter kauft, erhält damit Bequemlichkeit, liefert aber zugleich eine Datenspur, die bei Selbstverwahrung in dieser Form nicht anfällt.
Die neue EU-Geldwäscheverordnung weitet die dauernde Kontrolle von Bankkunden weiter aus. Parallel macht die deutsche Krypto-Steuertransparenz immer mehr Transaktionen für Behörden greifbar. Der Revolut-Fall zeigt die Kehrseite: Je mehr Daten der Staat sammeln lässt, desto größer wird die Beute, sobald eine einzelne Kontrolle versagt.
Schreibe einen Kommentar