Was beim Revolut-Aktenleck tatsächlich geschah

Wenn die meisten Menschen „Datenschutzverletzung" hören, stellen sie sich Hacker vor, die Passwörter knacken, Software-Schwachstellen ausnutzen oder Ransomware in den Servern eines Unternehmens platzieren. Der Revolut-Datenerpressungsvorfall beinhaltete nichts davon. Berichten über den Vorfall zufolge gab das Fintech-Unternehmen sensible Kundendaten preis, nachdem es eine scheinbar legitime Regierungsanfrage erhalten hatte. Es gab keinen Eindringling in die Systeme von Revolut, keine Malware und keine gestohlenen Zugangsdaten. Jemand bat einfach um die Informationen – mit einer betrügerischen Anfrage – und bekam sie.

Was folgte, sah weniger nach einem technischen Hack aus und mehr nach einer Erpressung. Die Angreifer stellten Berichten zufolge eine Erpressungsforderung und drohten damit, die gestohlenen Kundendaten schrittweise zu veröffentlichen, falls kein Lösegeld gezahlt würde. Diese Taktik der schrittweisen Veröffentlichung stammt direkt aus dem Standard-Playbook der Ransomware – dieselbe Drucktaktik, die Gruppen nach der Verschlüsselung der Dateien eines Unternehmens anwenden. Nur dass es hier keine Verschlüsselung, keine Ransomware und überhaupt keine Systemkompromittierung gab. Die Daten waren bereits verschwunden, bevor irgendein „Angriff" im technischen Sinne stattfand. Für eine ausführlichere Darstellung, wie sich die betrügerische Anfrage entfaltete, lohnt sich ein genauerer Blick auf den Revolut-Vorfall mit gefälschten Regierungsanfragen.

Warum dies nicht zur traditionellen Definition eines Cyberangriffs passt

Genau deshalb hat der Vorfall die Aufmerksamkeit der Versicherungsbranche erregt. Cyberversicherungspolicen wurden traditionell rund um die Idee des unbefugten technischen Zugriffs geschrieben: ein Hacker, der Abwehrmechanismen durchbricht, Malware, die auf einem Netzwerk ausgeführt wird, oder eine Schwachstelle, die ausgenutzt wird. Der Revolut-Fall erfüllt keines dieser Kriterien. Niemand brach ein. Niemand setzte schädlichen Code ein. Stattdessen nutzte jemand menschliches Vertrauen und institutionelle Prozesse aus und gab sich als Regierungsbehörde aus, um die Mitarbeiter von Revolut dazu zu bringen, Daten freiwillig herauszugeben.

Diese Unterscheidung ist enorm wichtig dafür, wie Ansprüche bewertet und wie künftige Policen formuliert werden. Wenn eine Erpressungsforderung und ein gestohlener Datensatz eintreffen können, ohne dass auch nur eine einzige Zeile schädlichen Codes ausgeführt wird, müssen Versicherer überdenken, was für Deckungszwecke tatsächlich als „Cyberangriff" gilt. Social Engineering, Identitätsbetrug und Prozessmanipulation verursachen zunehmend denselben realen Schaden wie ein vollständiger Netzwerkeinbruch – nur ohne die technischen Spuren, nach denen Versicherer historisch gesucht haben.

Was dies für die finanzielle Privatsphäre von Fintech-Kunden bedeutet

Für Kunden sind die technischen Details, wie ihre Daten preisgegeben wurden, weniger wichtig als die Tatsache, dass sie überhaupt preisgegeben wurden. Ob ein Fintech-Unternehmen von einer hochentwickelten Hackergruppe kompromittiert oder durch eine überzeugende gefälschte Anfrage getäuscht wird – das Ergebnis für den Einzelnen ist dasselbe: persönliche und finanzielle Informationen gelangen in die Hände von Personen, die kein legitimes Recht darauf haben, möglicherweise gefolgt von einer Erpressungsdrohung bezüglich ihrer Veröffentlichung.

Dieser Fall erinnert daran, dass finanzielle Privatsphäre nicht nur von starker Verschlüsselung oder Firewalls abhängt. Sie hängt auch von den internen Prozessen ab, mit denen Unternehmen überprüfen, wer tatsächlich Daten anfordert, und davon, wie schnell sie es bemerken, wenn diese Prozesse versagen. Kunden haben in der Regel keine Einsicht in diese internen Kontrollen, was diese Art von Vorfall schwerer vorhersehbar und in gewisser Weise beunruhigender macht als einen konventionellen Hack. Es gibt keinen Software-Patch, den ein Kunde installieren kann, um zu verhindern, dass jemand anderes durch eine betrügerische Regierungsanfrage getäuscht wird.

Praktische Schritte zum Schutz Ihrer Daten nach einem nicht-technischen Datenschutzvorfall

Auch wenn diese Art von Vorfall nicht auf einer technischen Schwachstelle beruht, sieht die Reaktion für betroffene Personen ähnlich aus wie bei jedem anderen Datenexpositionsereignis:

  • Beobachten Sie Ihre Konten genau auf ungewöhnliche Anmeldungen, Transaktionen oder Passwort-Zurücksetzungsversuche, insbesondere beim betroffenen Fintech-Konto und allen verknüpften Finanzdienstleistungen.
  • Seien Sie skeptisch bei unerwarteten Kontaktaufnahmen, die vorgeben, von Ihrer Bank, einer Regierungsbehörde oder einem Fintech-Anbieter zu stammen, besonders wenn sie den Vorfall erwähnen und Sie auffordern, persönliche Daten zu „verifizieren".
  • Erwägen Sie, einen Betrugshinweis oder eine Kreditsperre einzurichten, falls Ausweisdokumente oder Finanzdaten Teil der exponierten Daten waren.
  • Überprüfen Sie, welche personenbezogenen Daten Ihre Fintech-Anbieter tatsächlich speichern und ob Sie diese einschränken oder aktualisieren können, denn weniger gespeicherte Daten bedeuten weniger Exposition, falls so etwas erneut passiert.
  • Folgen Sie offiziellen Mitteilungen des Unternehmens direkt statt Links in E-Mails oder Textnachrichten, die den Vorfall erwähnen, da Erpressungsvorfälle oft Gelegenheiten für nachfolgendes Phishing schaffen.

Das größere Bild zum Revolut-Datenerpressungsvorfall

Der Revolut-Datenerpressungsvorfall ist gerade deshalb eine nützliche Fallstudie, weil er die Grenze zwischen Betrug und Hacking verwischt. Keine Systeme wurden kompromittiert, dennoch wurden Kundendaten exponiert und als Druckmittel gegen das Unternehmen verwendet. Während Versicherer ihre Definitionen davon überarbeiten, was als Cybervorfall gilt, bleibt Kunden eine einfachere Erkenntnis: Die Methode eines Datenschutzvorfalls ist weniger wichtig als die Frage, wie schnell Sie ihn bemerken und darauf reagieren. Wachsam gegenüber ungewöhnlichen Kontoaktivitäten zu bleiben, unerwartete Anfragen nach persönlichen Informationen zu überprüfen und zu verstehen, welche Daten Ihre Finanzdienstleister speichern, sind die praktischsten derzeit verfügbaren Verteidigungsmaßnahmen – unabhängig davon, wie der nächste Datenschutzvorfall sich ereignen mag.