Digitalbank Revolut: Datenleck macht Bitcoin-Nutzer identifizierbar

Bei Revolut kam eine Anfrage an, die wie ein Behördenersuchen wirken sollte. Die Digitalbank behandelte sie laut CoinDesk als legitim. Danach wurden Reisepässe, Selfies und Wohnadressen herausgegeben. Auch Bitcoin-Aktivität wurde offengelegt. Kundengelder gingen laut CoinDesk nicht verloren. Diese Kombination macht den Fall so lehrreich: Der Angriff zielte nicht auf den Code einer Blockchain, sondern auf die Stelle, an der Krypto-Nutzung in Akten, Konten und Identitätsprüfungen übersetzt wird.

Das Bemerkenswerte am Revolut-Fall ist damit nicht der klassische Albtraum einer geleerten Wallet. Die Wallet kann technisch sauber abgesichert sein. Der private Schlüssel kann unangetastet bleiben. Trotzdem entsteht ein Schaden, wenn die Verbindung zwischen einer Person, ihren Dokumenten und ihrer Krypto-Aktivität nach außen gerät. Krypto verspricht oft technische Selbstbestimmung. Der Alltag läuft aber über Anbieter, Support-Prozesse, Compliance-Abteilungen und Datenbanken.

Der Angriff traf die Übersetzung zwischen Person und Wallet

Eine Blockchain speichert Transaktionen. Sie prüft keine Reisepässe. Sie kennt keine Wohnadressen. Diese Daten entstehen dort, wo Nutzer Krypto mit Banken, Apps oder Handelsplattformen verbinden. Eine Wallet ist die Software oder Hardware, mit der Nutzer Schlüssel verwalten und Transaktionen auslösen. Das klingt nach Technik. Im Massengeschäft hängt daran aber fast immer ein Kundenkonto.

Genau dort lag laut CoinDesk die Schwachstelle. Revolut fiel auf eine gefälschte Regierungsanfrage herein und gab Daten heraus. Der Betrug nutzte also keinen Fehler im Konsensmechanismus von Bitcoin. Er nutzte Vertrauen in ein Verfahren. Das ist weniger spektakulär als ein Hack. Es ist aber für den Alltag vieler Nutzer näher an der Realität.

Der Unterschied ist mehr als Wortklauberei. Ein gehacktes Protokoll würde die technische These von Krypto treffen. Ein ausgetrickster Prozess trifft die Infrastruktur darum herum. Dort arbeiten Menschen, dort greifen Routinen, dort werden Behördenanfragen bewertet. Und dort entscheiden Anbieter, welche Daten sie sammeln, speichern und im Ernstfall herausgeben.

Warum Ausweise im Krypto-Alltag so wertvoll sind

Reisepass, Selfie, Wohnadresse und Bitcoin-Aktivität ergeben zusammen ein anderes Risikoprofil als eine isolierte Mailadresse. Ein Pass bestätigt Identität. Ein Selfie bindet diese Identität biometrisch an ein Konto. Eine Adresse verortet den Menschen. Die Bitcoin-Aktivität liefert den finanziellen Kontext. Laut CoinDesk standen genau solche Daten im Zentrum des Vorfalls.

Damit wird aus einem Datensatz eine Landkarte. Sie zeigt nicht zwingend Vermögen im juristischen Sinn. Sie kann aber zeigen, dass eine reale Person mit Krypto in Berührung kam. Für Betrüger reicht das oft. Phishing wird glaubwürdiger, wenn es an echte Dokumente und echte Aktivität anknüpft. Erpressung wird präziser, wenn sie nicht nur eine anonyme Wallet-Adresse kennt, sondern einen Namen und eine Wohnung.

Hier liegt die übersehene Verbindung zwischen Regulierung und Angriffsfläche. Anbieter sammeln Identitätsdaten, weil sie Geldwäsche verhindern und Behördenanforderungen erfüllen müssen. Diese Pflicht hat einen Zweck. Sie baut aber zugleich Datenbestände auf, die für Angreifer attraktiv sind. KYC steht für Know Your Customer. Gemeint ist die Prüfung, wer ein Konto eröffnet und nutzt. Für den Staat ist das Kontrolle. Für den Kunden ist es auch ein Datenpfand.

Dass kein Geld verloren ging, beruhigt nur halb

Die faire Gegenrede lautet: Revolut hat laut CoinDesk keine Kundengelder verloren. Das zählt. Es spricht dafür, dass die unmittelbaren Zahlungs- und Verwahrprozesse nicht einfach offenstanden. Wer nur den Kontostand betrachtet, kann den Vorfall deshalb als begrenzten Datenausfall lesen.

Diese Lesart greift aber zu kurz. Geld lässt sich im Idealfall ersetzen, sperren oder bilanzieren. Ein offengelegter Reisepass verschwindet nicht wieder aus allen Kopien. Eine einmal verknüpfte Bitcoin-Aktivität bleibt in der Analysewelt verwertbar, weil Blockchains dauerhaft einsehbare Spuren erzeugen. Wenn eine reale Identität an diese Spuren geheftet wird, verändert sich der Charakter der Daten.

Das ist die paradoxe Seite der Transparenz. Bitcoin-Transaktionen sind öffentlich, aber nicht automatisch personenbezogen. Die Privatsphäre hängt daher oft nicht an der Blockchain selbst, sondern an den Brücken zur realen Welt. Eine Börse, eine Bank-App, ein Zahlungsdienst oder ein Support-Ticket kann diese Brücke schlagen. Danach ist die Anonymität nicht gehackt. Sie ist administrativ aufgelöst.

Regulierung schafft auch eine neue Angriffsfläche

Der Revolut-Fall passt in eine größere Entwicklung. Krypto rückt aus der Nische in regulierte Kanäle. Das senkt manche Risiken. Kunden müssen nicht jeden Schlüssel selbst sichern. Anbieter können Zahlungen prüfen, Konten überwachen und Betrugsmuster erkennen. Institutionelle Infrastruktur macht Krypto für viele Nutzer überhaupt erst handhabbar.

Der Preis dafür ist ein dichteres Netz aus Identitätsdaten und Verfahren. Je mehr Krypto über regulierte Plattformen läuft, desto häufiger treffen digitale Vermögenswerte auf alte Verwaltungslogik. Behördenanfragen, Compliance-Freigaben und interne Eskalationswege werden Teil des Systems. Ein Angreifer muss dann nicht die Kryptografie brechen. Es kann reichen, die richtige Mail, das richtige Formular oder den richtigen Tonfall zu simulieren.

Das verschiebt die Frage für den Markt. Sicherheit ist nicht nur eine Eigenschaft eines Protokolls. Sie ist eine Eigenschaft der gesamten Kette, vom Ausweisfoto bis zur Transaktionshistorie. Wenn ein Glied davon schlecht geprüft wird, hilft die stärkste Verschlüsselung nur begrenzt. Der Alltag der Krypto-Nutzung findet nicht in Whitepapers statt. Er findet in Apps, Kundenakten und Freigabeprozessen statt.

Revolut steht in diesem Fall nicht für einen Sonderfall, sondern für eine unbequeme Normalität der Branche. Je stärker Krypto in Bank- und Fintech-Strukturen wandert, desto mehr wird Identität zum zentralen Sicherungsgut. Die Blockchain kann weiterlaufen, die Schlüssel können sicher bleiben, die Kundengelder können unangetastet sein. Und trotzdem kann der wichtigste Schutz brechen.

Wer Krypto nur als Technik betrachtet, übersieht die weichere, ältere und oft besser erreichbare Angriffsfläche: die Verwaltung der Identität.