Nur was da ist, kann gestohlen werden — was der Revolut-Datenabfluss über Datensparsamkeit lehrt
Betrüger erschlichen sich per echter Behörden-Mail Ausweiskopien und Selfies. Der eigentliche Skandal ist nicht der Trick, sondern dass diese Dokumente überhaupt in solcher Menge herumliegen.
Am 12. September 2026 bestätigte die Neobank Revolut einen Datenabfluss, der auf den ersten Blick wie ein gewöhnlicher Hackerangriff aussieht und auf den zweiten etwas Grundsätzlicheres zeigt.[1] Ein Unbekannter hatte über die legitime E-Mail-Domain einer echten Behörde ein Auskunftsersuchen an die Bank gestellt. Die Anfrage trug den Anschein der Rechtmäßigkeit — gültige Absenderadresse, behördlicher Briefkopf —, und ein Mitarbeiter gab die verlangten Kundendaten heraus. Erst eine spätere Rückfrage bei der Behörde ließ den Betrug auffliegen.
Man sollte den Vorgang genau benennen, denn das geläufige Wort führt in die Irre. Dies war kein Einbruch in die Systeme der Bank; keine Firewall wurde überwunden. Es war auch keine willentliche Weitergabe. Es war ein Drittes: ein Mensch, der einer gefälschten Anordnung folgte, weil der Kanal, über den sie kam, vertrauenswürdig aussah. Diese Methode ist nicht neu. Sie hat einen Namen — gefälschte „Emergency Data Requests“ — und plagt große Technologiekonzerne seit Jahren; das FBI warnte bereits im November 2024 ausdrücklich davor.[2]
Was abfloss — und warum die Rangfolge zählt
Nach der Kundenbenachrichtigung umfasste der Abfluss Name, Geburtsdatum, Anschrift, Telefonnummer und Beruf, dazu IBAN, Kontoauszüge und die vollständige Transaktionshistorie einschließlich der Bitcoin-Bewegungen. Und, entscheidend: Kopien von Pässen und Führerscheinen sowie die Selfies, die Kunden zur Identitätsprüfung aufgenommen hatten.[3] Die eigenen Systeme und die Kundengelder, betont Revolut, seien unberührt geblieben.
Dass die Bank die Systemsicherheit betont, lenkt vom Kern ab. Denn zwischen den Datenarten besteht ein Rangunterschied. Eine Adresse ändert man. Eine Telefonnummer wechselt man. Selbst eine offengelegte Kontohistorie ist ein Vergangenheitswert. Ein Ausweisbild ist etwas anderes. Es ist verwendbar, um im fremden Namen Konten zu eröffnen, Kredite zu beantragen, weitere Identitätsprüfungen zu bestehen — und anders als ein Passwort lässt es sich nicht zurücksetzen. Wessen Pass einmal im Umlauf ist, bleibt es.
Wie real der Unterschied ist, zeigt der Verlauf: Seit dem 13. September veröffentlichen die Täter täglich Auszüge der Daten und drohen mit mehr.[4] Zur Ware werden nicht die Kontostände. Es sind die Ausweise und die Gesichter.
Man kann nur verlieren, was man hat
Damit steht der einfache Befund fest, um den es hier geht: Abfließen kann nur, was vorhanden ist. Keine Datenpanne gibt eine Ausweiskopie preis, die nie angefertigt wurde. Der Satz klingt banal. Seine Konsequenz ist es nicht.
Denn es gibt ein Identifizierungsverfahren, das genau diese Kopie vermeidet. Die Online-Ausweisfunktion des Personalausweises — die eID — überträgt bei der Prüfung nur die angeforderten Angaben, kryptografisch gegen den Chip bestätigt. Es entsteht kein Scan, kein Dokumentenbild, kein Selfie. Und das ist keine Auslegung: Das Geldwäschegesetz kennt beide Wege ausdrücklich. Wer über eine vorgelegte Kopie identifiziert, muss sie nach § 8 GwG anfertigen und fünf Jahre aufbewahren, spätestens nach zehn Jahren löschen.[5] Wer den Ausweis elektronisch ausliest — auch vor Ort, unter Anwesenden, nach § 18a Personalausweisgesetz —, muss laut derselben Vorschrift nur ein karten- und dienstespezifisches Kennzeichen aufzeichnen, keine Kopie.[6] Der datensparsame Weg ist im Gesetz angelegt. Er wird nur selten gegangen.
Warum das kein Zufall ist, sondern ein Muster, habe ich an anderer Stelle ausführlich beschrieben — in der Analyse dazu, wie Deutschland eine sichere staatliche Identität baute und dann verkümmern ließ: Der digitale Personalausweis: teuer gebaut, kaum genutzt, halb abgeschaltet. Der Revolut-Fall ist die Kostenrechnung dazu. Wäre dort per eID identifiziert worden, hätte die Bank auf die gefälschte Anfrage hin keine Passkopien und keine Selfies herausgeben können — nicht, weil sie sie geschützt hätte, sondern weil es sie nicht gegeben hätte.
Die ehrliche Grenze — und warum sie das Argument nicht schwächt
Hier ist Redlichkeit geboten, sonst überdehnt man den Punkt. Die eID hätte diesen konkreten Angriff nicht verhindert. Der Betrug setzte nicht bei der Kontoeröffnung an, sondern Jahre später, bei der Herausgabe längst gespeicherter Daten. Auch ein datensparsam eröffnetes Konto hätte Name, Geburtsdatum, Adresse und Transaktionshistorie preisgegeben — das liegt bei der Bank, gleich welches Verfahren am Anfang stand.
Der Gewinn der Datensparsamkeit ist also kein vollständiger Schutz, sondern eine Begrenzung des Schadens. Aber es ist die Begrenzung, auf die es ankommt: Sie trennt das Unersetzliche — das Ausweisbild — aus der Menge dessen heraus, was überhaupt gestohlen werden kann. Wer weniger sammelt, verliert im Ernstfall das Ersetzbare statt des Unersetzlichen. Und dass ein Unternehmen sich per gefälschter Anfrage austricksen lässt, ist kein Gegenargument, sondern verschärft die Pflicht: Wer sich täuschen lassen kann — und das kann, wie der Fall zeigt, jeder —, hat umso mehr Grund, gar nicht erst anzuhäufen, was die Täuschung wertvoll macht.
Es betrifft nicht nur Banken
Man denkt bei solchen Fällen an Banken. Der Grundsatz reicht weiter. Das Geldwäschegesetz verpflichtet einen breiten Kreis zur Identifizierung — neben Kredit- und Finanzdienstleistern auch Versicherungen, dazu Notare, Immobilienmakler und weitere.[7] Für die meisten Menschen sind Bank, Versicherung und Finanzdienstleister die alltäglichen Berührungspunkte, an denen der Ausweis verlangt wird. Bemerkenswert ist: Selbst dort, wo man sich persönlich gegenübersteht — beim Notar etwa — ist die Kopie gar nicht vorgeschrieben; die Sichtprüfung des vorgelegten Ausweises genügt, die Kopie ist nur „zur Vereinfachung empfohlen“.[8] Gerade bei Anwesenheit läge der datensparsame Weg am nächsten. Gegangen wird trotzdem der bequeme.
Wer trägt das Risiko — ein Haftungsgedanke
Wenn nur abfließen kann, was da ist, dann rückt eine Frage in den Vordergrund, die das Recht bisher kaum stellt: Wer verantwortet, dass die vermeidbaren Daten überhaupt existieren?
Man könnte eine Haftung an die vermeidbare Datenhaltung knüpfen. Nicht an den einzelnen Angriff — der ist nachgelagert und im Zweifel nie ganz aufzuklären —, sondern eine Stufe früher, an der Entscheidung, ein datensparsames Verfahren nicht anzubieten und deshalb Kopien anzuhäufen. Die Gefährdung entsteht mit dem Dokumentenberg, nicht erst mit seinem Diebstahl. Das ist keine konturenlose Haftung „für alles“: Die Bank, die ausschließlich datensparsam identifiziert, fällt gar nicht darunter, weil bei ihr keine Kopie existiert, die sich verwirklichen könnte. Getroffen wird nur, wer die vermeidbare Gefahrenquelle geschaffen hat.
Der Gedanke hat eine faire Kehrseite. Bietet ein Anbieter das sichere Verfahren an, und der Kunde mit deutschem Personalausweis wählt dennoch die Kopie, dann trägt der Kunde ein Mitverschulden an der Entstehung. Das entlastet den Anbieter aber nicht bei seinem eigenen Pflichtenkreis: Wie er die vorhandenen Daten schützt, bleibt vollständig seine Verantwortung. Ein Mitverschulden an der Entstehung mindert nicht die Haftung für schlechten Schutz. Und dieses Mitverschulden greift nur, wo die sichere Wahl nicht bloß existiert, sondern sichtbar und zumutbar offensteht — nicht dort, wo sie pro forma angeboten und praktisch versteckt wird.
Man muss ehrlich sagen, was das ist: eine Forderung, kein geltendes Recht. Das Geldwäschegesetz erlaubt die Kopie ausdrücklich; solange es das tut, ist ihre Haltung nicht rechtswidrig. Wer die Haftung verschieben will, muss das Gesetz ändern — die Kopie-Erlaubnis an das Fehlen einer zumutbaren Alternative knüpfen. Das ist die Spannung, die man nicht wegreden sollte.
Das bessere Werkzeug liegt bereit — und wird nicht genutzt
Bleibt die Frage, warum der sichere Weg so selten gegangen wird. Nicht, weil er fehlt. Der neue Personalausweis ist seit November 2010 im Umlauf, seit 2021 wird die eID automatisch aktiviert ausgeliefert; faktisch trägt heute fast jeder ab 16 einen eID-fähigen Ausweis. Wer die PIN nicht mehr hat, ändert sie für wenige Euro bei der Behörde. Einzelne Banken bieten die eID längst freiwillig an — die Machbarkeit steht nicht in Frage.[9]
Es fehlte allein die Verpflichtung, sie anzubieten. Und hier zeigt sich ein bekanntes Muster. Das Bundesfinanzministerium legte im April 2024 einen Verordnungsentwurf vor, der genau das wollte: Wer Video-Ident anbietet, sollte verpflichtend auch die eID als gleichwertige Alternative anbieten.[10] Der Entwurf ist bis heute nicht in Kraft; die Abstimmungen galten als zäh.[11] Die Verbindlichkeit, die Deutschland selbst nicht schuf, kommt nun verzögert aus Brüssel: Die EU-Geldwäscheverordnung und ihre technischen Standards stufen Video-Ident zum begründungspflichtigen Ausweichweg herab und geben eIDAS-konformen Mitteln den Vorrang — doch auch das ist noch kein geltendes Recht, das Anwendungsdatum offen.[12]
Man kennt dieses Muster aus anderen Feldern: erst mit durchdrehenden Reifen angefahren — die große Ankündigung, das ehrgeizige Projekt —, dann im Schritttempo weitergerollt, sobald die Aufmerksamkeit nachließ. Das sichere Verfahren steht seit über einem Jahrzehnt bereit. Es zur Vorfahrt zu machen, hätte man jederzeit gekonnt.
Ausblick — und was er nicht löst
Ab Ende 2027 soll die europäische Identitäts-Wallet die Lage verbessern; regulierte Branchen — Banken, Versicherungen, Finanzdienstleister und mehr — müssen sie dann als Identifizierungsmittel akzeptieren.[13] Ihr Prinzip ist die selektive Offenlegung: geprüfte Attribute statt Dokumentenscan. Das ist zu begrüßen.
Nur ersetzt die Wallet den Ausweis nicht eins zu eins. Sie leitet ihre Ausweisfunktion vom physischen Personalausweis ab — der bleibt die Voraussetzung — und setzt ein NFC-fähiges Smartphone voraus.[14] Wer kein solches Gerät hat oder bedienen kann, ist ausgeschlossen; ausgerechnet jene, die schon am Auslesen scheitern. Und die Akzeptanzpflicht ist keine Ausschließlichkeitspflicht: Die Wallet-Nutzung bleibt für Bürger freiwillig, niemand darf ohne sie benachteiligt werden — also führen die Anbieter das alte Kopie-Verfahren für alle anderen weiter.[15] Die Möglichkeit des sicheren Wegs wird verpflichtend; seine Nutzung nicht.
Genau hier liegt der zugänglichere Weg schon bereit und wird übersehen: Der Ausweis lässt sich auch vor Ort auslesen — am Bankschalter, am Terminal, assistiert durch Personal, ohne eigenes Smartphone.[16] Ein Verfahren, das jeder qua Ausweispflicht besitzt, das datensparsam ist und kein Gerät voraussetzt. Die Technik der Filiale ist längst digital — die Unterschrift gibt man dort auf dem Display. Es fehlt, wie so oft, nicht das Werkzeug. Es fehlt die Entscheidung, es zum Normalfall zu machen.
Was bleibt
Der Revolut-Fall wird vergehen wie andere Datenpannen. Der Grundsatz dahinter bleibt: Nur was gespeichert ist, kann gestohlen werden. Wir haben ein Verfahren, das die gefährlichsten Daten gar nicht erst entstehen lässt — verfügbar seit Jahren, für fast jeden, ohne Smartphone nutzbar. Solange der bequeme Weg der beworbene bleibt und der sichere die versteckte Option, häufen wir weiter Berge an, die man uns stehlen kann. Das ist keine Frage der Technik mehr. Es ist eine Frage des Willens — und der Frage, wer am Ende die Rechnung trägt.
[1] Revolut bestätigte den Vorfall am 12.09.2026 gegenüber TechCrunch; ein unbefugter Dritter nutzte die E-Mail-Domain einer echten Behörde für gefälschte Auskunftsersuchen. [verifiziert, journalistisch/Unternehmensangabe] techcrunch.com ↩
[2] FBI/IC3, Private Industry Notification vom 04.11.2024 zu betrügerischen Emergency Data Requests über kompromittierte Behörden-E-Mail-Konten. [verifiziert] securityweek.com ↩
[3] Umfang der offengelegten Daten nach der von TechCrunch eingesehenen Kundenbenachrichtigung: Identitäts- und Kontaktdaten, Ausweisdokumente, Verifizierungs-Selfies, Kontoauszüge, Transaktionshistorien. [verifiziert, mehrere Quellen] techcrunch.com ↩
[4] Seit dem 13.09.2026 veröffentlichen die Täter täglich Auszüge über Telegram und drohen mit weiteren Freigaben. [verifiziert, journalistisch] boerse-express.com ↩
[5] § 8 Geldwäschegesetz (GwG): Pflicht zur Anfertigung/Aufbewahrung der Identifizierungsdokumente, Aufbewahrungsfrist grundsätzlich fünf Jahre, spätestens nach zehn Jahren Vernichtung. [verifiziert, amtlich] gesetze-im-internet.de ↩
[6] § 8 Abs. 2 GwG i. V. m. § 18a Personalausweisgesetz (Vor-Ort-Auslesen unter Anwesenden): Beim Vor-Ort-Auslesen ist statt einer Kopie nur das karten- und dienstespezifische Kennzeichen sowie die Tatsache des Auslesens aufzuzeichnen. [verifiziert, amtlich] gesetze-im-internet.de (§ 18a PAuswG) ↩
[7] Verpflichtetenkreis nach § 2 Abs. 1 GwG: u. a. Kredit- und Finanzdienstleistungsinstitute, Versicherungsunternehmen und -vermittler, Notare, Rechtsanwälte (im Rahmen bestimmter Tätigkeiten), Steuerberater, Immobilienmakler, Güterhändler. [verifiziert, amtlich] dejure.org (§ 2 GwG) ↩
[8] Bei Präsenz-Identifizierung (z. B. durch Notare) genügt die Prüfung des vorgelegten Ausweises; die Ausweiskopie ist nicht zwingend, sondern nur „zur Vereinfachung empfohlen“. [verifiziert] haufe.de ↩
[9] Neuer Personalausweis seit November 2010; eID seit 2017/2021 standardmäßig aktiviert; einzelne Banken (z. B. ING Deutschland) bieten die eID-Identifizierung bereits freiwillig an. [verifiziert] springerprofessional.de ↩
[10] Referentenentwurf des BMF für eine Geldwäschevideoidentifizierungsverordnung (GwVideoIdentV) vom 18.04.2024: Wer Video-Ident anbietet, soll zusätzlich verpflichtend die eID als gleichwertige Alternative anbieten. [verifiziert, amtlich] regpit.com ↩
[11] Eine Rechtsverordnung nach § 13 Abs. 2 GwG ist bis zum Rechtsstand September 2026 nicht ergangen; der Entwurf liegt weiterhin vor. [verifiziert, Stand September 2026] schulz-beratung.de ↩
[12] EU-Geldwäscheverordnung (EU) 2024/1624, Art. 22 Abs. 6; Entwurf technischer Regulierungsstandards (Konsultation bis 08.05.2026): Vorrang eIDAS-konformer Mittel, Video-Ident als begründungspflichtiger Ausweichweg. Noch kein geltendes Recht, Anwendungsdatum offen. [verifiziert, Stand September 2026] schulz-beratung.de ↩
[13] eIDAS-2.0-Verordnung (EU) 2024/1183: verpflichtende Akzeptanz der EUDI-Wallet durch regulierte Relying Parties (u. a. Banken, Versicherungen) ab Ende 2027. [verifiziert] anwalt.de ↩
[14] Die staatliche EUDI-Wallet leitet die Ausweisfunktion vom Personalausweis mit aktivierter eID ab und setzt ein NFC-fähiges Smartphone (iOS/Android) voraus. [verifiziert, amtlich] eudi-wallet.gov.de ↩
[15] Die Wallet-Nutzung ist für Bürger freiwillig; laut eIDAS-Verordnung darf niemand im Zugang zu Diensten benachteiligt werden, der keine Wallet nutzt. Anbieter müssen die Wallet akzeptieren, dürfen andere Verfahren aber weiterführen. [verifiziert] netzpolitik.org ↩
[16] § 18a Personalausweisgesetz regelt das Vor-Ort-Auslesen von Ausweisdaten unter Anwesenden; die Identifizierung erfolgt per Lichtbildabgleich, ein berechtigter Vor-Ort-Anbieter benötigt eine Vor-Ort-Berechtigung (§ 21a PAuswG). [verifiziert, amtlich] gesetze-im-internet.de (§ 18a PAuswG) ↩
Vision Deutschland
„Nicht über die nächste Wahl, sondern über die nächsten zwanzig Jahre.“
Frei lesbar · Lesezeit gut eine Stunde · Weitergabe erwünscht
Jetzt lesen📱 Bleiben Sie informiert: Mein WhatsApp-Kanal