Was passiert ist
Am 12. September 2026 bestätigte Revolut gegenüber TechCrunch einen Datenvorfall. Kundendaten sind über gefälschte Behördenanfragen abgeflossen. Revolut hat nach eigenen Angaben betroffene Kundinnen und Kunden informiert. Zusätzlich wurden die zuständige Behörde, Strafverfolgungsbehörden und Finanzaufsichtsbehörden eingeschaltet.
Der Angriffsweg ist kein klassischer Hack. Es wurden keine Server verschlüsselt, keine Schwachstellen ausgenutzt, keine Datenbanken direkt angegriffen. Stattdessen hat sich jemand als Behörde ausgegeben und mit offenbar überzeugenden Unterlagen Kundendaten angefordert. Revolut hat die Anfrage nicht als Fälschung erkannt und Daten herausgegeben.
Wie viele Datensätze genau betroffen sind, geht aus der Meldung nicht hervor. Für die Bewertung ist das zweitrangig. Entscheidend ist die Methode. Sie funktioniert unabhängig von der Unternehmensgröße und trifft jede Organisation, die personenbezogene Finanzdaten verwaltet.
Aus meiner Sicht ist das ein Paradebeispiel für die neue Generation von Social Engineering. Generative KI produziert heute Anfragen, die auf den ersten Blick sauberer aussehen als manche echten Behördenbriefe. Genau darin liegt das Problem.
Warum es jetzt für KMU zählt
Dieser Fall betrifft nicht nur internationale Neobanken. Gefälschte Behördenanfragen treffen auch kleinere Zahlungsdienstleister, Vermögensverwalter, Finanzberater, Steuerberater, Treuhänder und Krypto-Verwahrer. Überall dort, wo jemand Kundendaten, Transaktionshistorien oder Identitätsnachweise herausgeben kann, existiert dieselbe Angriffsfläche. Auch wenn Revolut nicht unter österreichischer oder deutscher Aufsicht steht, ist die Methode eins zu eins übertragbar.
Der entscheidende Unterschied zu früher: Generative KI senkt die Hürde massiv. Ein Sprachmodell erstellt in Sekunden ein überzeugendes Behördenanschreiben mit korrektem Aufbau, Aktenzeichen und Rechtstext. Bildgenerierung liefert Briefköpfe, Stempel und Unterschriften. Deepfake-Audio kann in manchen Fällen sogar telefonische Anfragen glaubwürdig machen. Wer nur Absenderadresse und Logo prüft, verliert gegen diese Angriffe.
Häufiges Muster: Ein FinTech erhält eine dringende Anfrage mit PDF-Anhang. Der Absender sieht aus wie eine Polizeidienststelle, eine Steuerbehörde oder eine Geldwäscheverdachtsstelle. Der Mitarbeiter steht unter Zeitdruck, weil Fristen und Rechtsfolgen genannt werden. Die Dokumente wirken echt. Ohne automatisierte Gegenprüfung geht die Anfrage durch.
Typisches Beispiel: Eine Anfrage verlangt Kontostände zu einer laufenden strafrechtlichen Ermittlung. Das Schreiben enthält ein Aktenzeichen, einen Stempel und die Androhung von Zwangsmaßnahmen. Der Support-Mitarbeiter will kooperativ sein und antwortet. Drei Tage später tauchen die Daten in einem Phishing-Angriff oder bei einem Identitätsdiebstahl auf.
Ich beobachte in Beratungsprojekten, dass gerade kleinere Häuser solche Anfragen manuell und oft nebenbei bearbeiten. Der Compliance-Aufwand ist lästig, die Personallage knapp, die Dringlichkeit hoch. Genau diese Kombination nutzen Angreifer aus. Dabei geht es längst nicht mehr nur um Banken. Zahlungsinstitute, E-Geld-Institute, Krypto-Verwahrer, aber auch Steuerberater mit Vollmachten und Vermögensverwalter mit Kundenportalen sind betroffen.
Die Aufsicht wird das Thema aufgreifen. DORA verlangt von Finanzunternehmen eine robuste IKT-Risikosteuerung und definierte Meldeprozesse. Die österreichische FMA und die deutsche BaFin haben wiederholt auf Betrugsrisiken bei digitalen Kanälen hingewiesen. Ein Vorfall wie bei Revolut wäre für ein kleineres Institut nicht nur ein Reputationsproblem. Es wäre potenziell ein aufsichtsrechtlicher Befund mit Nachweispflichten.
Auch der EU AI Act setzt hier einen Rahmen. Wer automatisierte Betrugserkennung einsetzt, muss Risiken bewerten und dokumentieren. Das ist kein Grund, auf KI zu verzichten. Es ist ein Grund, die Prozesse sauber aufzusetzen. Die Alternative, weiter nur mit menschlicher Prüfung zu arbeiten, wird mit jedem Monat riskanter.
Konkrete Handlungsempfehlung
Aus meiner Sicht brauchen KMU in der Finanzbranche jetzt drei Dinge. Keine davon ist teuer. Alle drei zusammen verhindern den typischen Ablauf, den wir bei Revolut sehen.
- Prozess für Behördenanfragen sofort härten.
Definieren Sie einen einzigen, nachvollziehbaren Weg für externe Datenanfragen. Das kann ein eigenes Postfach, ein verifiziertes Portal oder ein dokumentierter Rückruf über eine offiziell hinterlegte Nummer sein. Keine direkte Bearbeitung über die allgemeine Support-Mail. Keine Auskunft auf Basis einer einzelnen PDF.
Prüfen Sie Absenderdomain, Signaturzertifikat und Aktenzeichen automatisiert. Lassen Sie bei jeder Anfrage mit personenbezogenen Daten das Vier-Augen-Prinzip anwenden. Die zweite Person muss nicht Compliance-Leiter sein. Es reicht, wenn eine geschulte Kollegin oder ein Kollege die Anfrage gegen eine interne Checkliste prüft.
- KI-basierte Dokumentenprüfung einsetzen.
Das ist keine Spielerei, sondern die passende Gegenmaßnahme zu generativ erzeugten Fälschungen. Moderne Systeme können Briefköpfe, Unterschriften, Stempel und Metadaten auf Manipulationsspuren prüfen. Sie gleichen Absender mit öffentlichen Registern ab. Sie erkennen sprachliche Muster, die typisch für massenhaft erzeugte Schreiben sind.
Für kleinere Häuser reicht oft ein schlanker Dienst, der per API an das Helpdesk- oder KYC-System angebunden wird. Ich würde nicht mit einem eigenen Trainingsprojekt starten, sondern mit geprüften Anbietern aus dem RegTech-Umfeld. Wichtig ist: Die KI-Unterstützung ersetzt die menschliche Entscheidung nicht, aber sie filtert den Großteil der offensichtlichen Fälschungen zuverlässig aus.
Bei Zahlungsdienstleistern sollte diese Prüfung direkt in den Transaktions- und KYC-Workflow eingebaut werden. Ein auffälliger Score stoppt die Anfrage automatisch und erzwingt eine manuelle Eskalation. Das reduziert den Zeitdruck, weil nicht mehr jede Anfrage gleich behandelt wird.
- Mitarbeitende auf die neue Angriffswelle schulen.
Zeitdruck und vermeintliche Dringlichkeit sind die stärksten Waffen der Angreifer. Schulen Sie Ihr Team darauf, genau bei dringenden Behördenanfragen langsamer zu werden. Bauen Sie eine einfache Eskalationsregel: Wenn eine Anfrage mit Frist und Rechtsfolgen droht, geht sie automatisch an Compliance oder Geschäftsführung.
Halten Sie Musterbeispiele für gefälschte Schreiben bereit, auch KI-generierte. Wer ein paar Fälschungen gesehen hat, erkennt die Muster schneller. Das ist günstig, dauert einen halben Tag und schützt besser als jede lange Richtlinie.
Besonders wichtig für Finanzberater und Vermögensverwalter: Behördenanfragen kommen bei Ihnen seltener vor, deshalb fehlt oft die Routine. Gerade dort sollte eine kurze interne Checkliste liegen, die bei der ersten Unsicherheit greift. Lieber einmal zu viel nachfragen als einmal zu schnell liefern.
Mein Rat: Beginnen Sie mit dem Prozess, nicht mit dem Tool. Erst wenn der Weg für Behördenanfragen sauber definiert ist, bringt die KI-Prüfung den vollen Nutzen. Und wenn dann noch eine zweite Person auf jede Auskunft schaut, haben Sie den gröbsten Schaden abgewendet.