Zusammenfassung
Revolut, eine der größten digitalen Neobanken der Welt, steht im Herbst 2026 im Mittelpunkt einer ernsthaften Phishing-Welle. Auslöser war ein Datenleck im September 2026: Nur wenige Tage nachdem Revolut eingeräumt hatte, sensible Kundendaten an eine unbefugte Partei weitergegeben zu haben, begannen betroffene Kunden, Phishing-SMS zu erhalten. Dieser Beitrag erklärt, wie Kriminelle gezielt die Besonderheiten einer App-Bank wie Revolut ausnutzen, welche Betrugsmaschen derzeit aktiv sind und – entscheidend für Betroffene – wie die Rechtslage tatsächlich aussieht. Denn Phishing, Account-Takeover und Social Engineering führen dazu, dass eine Zahlung technisch mit den Daten des Opfers ausgelöst wird, ohne dass es ihr jemals bewusst zugestimmt hat. Juristisch ist das ein entscheidender Unterschied, denn eine erschlichene Freigabe ist keine wirksame Autorisierung. Wer Opfer von Revolut Phishing geworden ist, hat in vielen Fällen einen durchsetzbaren Anspruch auf Erstattung des verlorenen Geldes. Ich erkläre Ihnen in diesem Beitrag, worauf es dabei ankommt, welche Fehler Sie vermeiden sollten und warum eine erste Ablehnung durch Revolut noch lange kein letztes Wort bedeutet.
Revolut und das Datenleck vom September 2026: Der Ausgangspunkt einer neuen Bedrohungswelle
Um zu verstehen, warum Revolut Phishing derzeit so gefährlich ist, muss man sich zunächst mit dem vergangnen Monat beschäftigen. Im September 2026 wurde bekannt, dass die britische Digitalbank Revolut Opfer eines ausgeklügelten Betrugs geworden ist. Vertrauliche Kundendaten wurden an eine gefälschte E-Mail-Adresse weitergegeben, die scheinbar einer Regierungsbehörde gehörte. Das Unternehmen selbst bezeichnete den Vorfall als „hochentwickelten Angriff“.
Was konkret entwendet wurde, ist für Betroffene besonders besorgniserregend. Durch diesen Social-Engineering-Angriff gelangten Kriminelle an folgende Datenkategorien: Identitäts- und Kontaktdaten wie Geburtsdaten, Postadressen, E-Mail-Adressen und Telefonnummern, Kopien von Ausweisdokumenten wie Reisepässen und Führerscheinen, Verifikations-Selfies sowie Kontoauszüge und Transaktionsverläufe. Über 15.000 Datensätze mit Ausweisdokumenten und IBANs wurden entwendet. Auch sensible Bitcoin-Transaktionsverläufe sind von dem Leak betroffen. Für die betroffenen Kunden besteht nun ein hohes Identitätsdiebstahl-Risiko.
Erst nach der Entdeckung des Betrugs reagierte Revolut und informierte die betroffenen Kundinnen und Kunden sowie Behörden, darunter Datenschutz- und Finanzaufsichtsstellen. Doch die Konsequenz ließ nicht lange auf sich warten: Ein betroffener Kunde erhielt bereits am Montag, dem 14. September, eine Phishing-SMS – nur zwei Tage nachdem Revolut den Datenschutzvorfall öffentlich eingeräumt hatte. Besonders tückisch daran: Die Nachricht erschien in demselben Chat-Verlauf wie echte Revolut-Nachrichten, sodass sie täuschend echt wirkte.
Die Weitergabe sensibler Daten erhöht das Risiko für Phishing-Angriffe und gezielte Betrugsversuche erheblich. Besonders vermögende Kunden könnten ins Visier geraten, da durchgesickerte Wohnadressen und Transaktionsdaten bereits in der Vergangenheit für Angriffe beispielsweise auf Krypto-Investoren genutzt wurden.
Revolut ist eine litauische Bank – was das für Ihren Anspruch bedeutet
Dieser Punkt wird in Ratgebern zu Revolut praktisch nie behandelt, kann aber über den Ausgang entscheiden. Ihr Vertragspartner ist die Revolut Bank UAB mit Sitz in Litauen. Sie ist von der Europäischen Zentralbank zugelassen und wird von der Bank of Lithuania beaufsichtigt. In Deutschland besteht eine Zweigniederlassung in Berlin, die insoweit zusätzlich der Aufsicht der BaFin unterliegt.
Daraus ergeben sich vier Fragen, die früh geklärt sein sollten:
- Welches Recht gilt? Bei Verbraucherverträgen darf eine Rechtswahl in den Geschäftsbedingungen dem Verbraucher den Schutz des Rechts seines Aufenthaltsstaats nicht entziehen.
- Wo kann geklagt werden? Verbraucher können ihren Vertragspartner in aller Regel am eigenen Wohnsitz verklagen. Das ist ein erheblicher praktischer Vorteil, den Revolut nicht von sich aus erwähnt.
- Welche Beschwerdestelle ist zuständig? Je nach Konstellation kommen die BaFin, die Bank of Lithuania oder eine Schlichtungsstelle in Betracht.
- Wohin richtet sich die Anzeige? Schreiben Sie parallel an den Support und an die deutsche Zweigniederlassung. Sonst entsteht Streit darüber, wann die Frist des § 675u BGB zu laufen begann.
Unabhängig davon gilt das europäische Zahlungsdiensterecht in Litauen wie in Deutschland. Die Entscheidung des EuGH vom 15.10.2026 bindet Revolut deshalb ebenso wie jede deutsche Sparkasse.
Warum Revolut ein besonders attraktives Ziel für Phishing-Täter ist
Revolut ist keine gewöhnliche Bank. Das Unternehmen hat weltweit 50 Millionen Kunden und mehr als 10.000 Mitarbeiter. Diese schiere Größe, kombiniert mit dem Geschäftsmodell einer rein digitalen App-Bank, macht Revolut zu einem außerordentlich attraktiven Ziel für Cyberkriminelle.
Die Architektur einer Neobank unterscheidet sich grundlegend von der einer klassischen Filialbank. Der gesamte Kontoprozess – Eröffnung, Authentifizierung, Überweisungen, Kartenfreigaben – läuft über die Smartphone-App. Das ist praktisch und modern, aber es bedeutet auch: Wer die App-Kontrolle übernimmt, übernimmt praktisch das gesamte Konto. Gerade bei App-Banken wie Revolut entstehen die meisten Schäden nicht durch einen Angriff auf die Bank selbst, sondern durch Täuschung der Kunden.
Hinzu kommt die internationale Aufstellung von Revolut. Das Unternehmen operiert unter einer europäischen Banklizenz, und viele deutsche Kunden wissen nicht genau, welche nationalen Regelungen gelten und an welche Behörde sie sich im Schadensfall wenden sollen. Diese Unsicherheit nutzen Kriminelle gezielt aus.
Auch die BaFin hat in der Vergangenheit bereits explizit vor Betrügern gewarnt, die den Revolut-Namen missbrauchen: Die Bundesanstalt für Finanzdienstleistungsaufsicht warnte vor Betrug per Anruf und E-Mail, bei dem Unbekannte behaupteten, Mitarbeitende der „Revolut Ltd.“ zu sein. Die BaFin habe sie angeblich beauftragt, Guthaben an Verbraucher auszuzahlen, etwa in Bitcoin. Dafür seien persönliche Daten nötig. In einem konkreten Fall stellten sich die Absender als „Alejandra Rodriguez“ vor und nutzten die falsche E-Mail-Adresse support@revolut-uk.de.
Die drei gefährlichsten Angriffsmethoden beim Revolut Phishing
Phishing ist heute kein simples Massenphänomen mehr. Die Methoden sind professionell, zielgerichtet und psychologisch ausgefeilt. Bei Revolut-Kunden beobachte ich in meiner Praxis drei dominante Angriffsmuster.
Klassisches Phishing per SMS und E-Mail
Die häufigste Methode ist das Versenden gefälschter Nachrichten, die optisch und inhaltlich dem echten Revolut-Kommunikationsstil nachempfunden sind. Eine gefälschte SMS, E-Mail oder Push-Nachricht imitiert Revolut und leitet auf eine nachgebaute Anmeldeseite, auf der die Zugangsdaten und ein Bestätigungscode eingegeben werden. Was 2026 neu hinzukommt: Die Phishing-Seiten enthalten teilweise sogar gefälschte Liveness-Checks. Wie Sicherheitsforscher dokumentierten, imitiert eine solche Phishing-Seite Revoluts echten Live-Video-Identitätsprüfungsprozess, bevor sie nach einem Passwort fragt. Das senkt die Verdachtsbereitschaft erheblich und erlaubt es den Tätern, auch Selfies oder Video-Aufnahmen der Opfer zu sammeln, die für weiteren Identitätsbetrug genutzt werden können.
Account-Takeover durch SIM-Swapping
Die zweite, technisch anspruchsvollere Methode richtet sich auf die vollständige Kontoübernahme. Angreifer übernehmen das Konto vollständig, häufig nach einem SIM-Swapping oder dem Abfangen von Codes, und schleusen ihr eigenes Gerät als vertrauenswürdig ein. Beim SIM-Swapping überzeugen die Täter den Mobilfunkanbieter des Opfers, die Telefonnummer auf eine neue SIM-Karte zu übertragen. Damit empfangen sie alle SMS, einschließlich der Authentifizierungscodes, die für Revolut-Transaktionen benötigt werden. Das Konto ist dann vollständig unter ihrer Kontrolle, ohne dass das Opfer auch nur eine verdächtige E-Mail erhalten hat.
Vishing – Der Anruf von der „Revolut-Sicherheitsabteilung“
Die psychologisch wirkungsvollste Methode ist das sogenannte Vishing. Betrüger nutzen täuschend echte Anrufe (sogenannte Fake-Anrufe), um an Kontodaten zu gelangen – eine besondere Form des Phishing, die als Vishing bezeichnet wird. Dabei geben sich die Täter als echte Bankmitarbeiter oder Servicemitarbeiter aus, nutzen Call-ID-Spoofing und bauen Druck auf, damit Betroffene am Telefon TANs, Zugangsdaten oder andere sensible Informationen preisgeben.
Im Kontext von Revolut klingt ein solcher Anruf oft so: „Hier spricht die Sicherheitsabteilung von Revolut. Wir haben verdächtige Aktivitäten auf Ihrem Konto festgestellt und müssen dringend Ihre Identität bestätigen.“ 2026 kombinieren Täter SMS-Angriffe zunehmend mit sogenannten Deepfake-Anrufen. Das Prinzip: Zunächst wird per SMS eine Vorlage geschaffen – das Opfer erhält eine SMS, die ankündigt, dass es gleich von einem Bankmitarbeiter angerufen wird. Wenn der Anruf dann tatsächlich kommt, wirkt er authentisch. Das Opfer ist psychologisch bereits vorbereitet und senkt seine Schutzbarrieren.
In besonders perfiden Fällen, auf die mich Mandanten in meiner Kanzlei aufmerksam gemacht haben, gingen die Täter noch weiter: Unbekannte, die sich als Mitarbeiter von Revolut ausgaben, kontaktierten Verbraucher telefonisch und per E-Mail mit betrügerischen Auszahlungsangeboten. Sie lockten mit angeblichen Guthaben, oft in Form von Bitcoin, die zur Auszahlung bereitstünden.
Revolut ruft nicht an – und was das rechtlich bedeutet
Revolut erklärt auf der eigenen Kontaktseite, Kundinnen und Kunden nie ohne vorherige Ankündigung im In-App-Chat anzurufen. Praktisch heißt das: Jeder unangekündigte Anruf von „Revolut“ ist ein Betrugsversuch. Es gibt keine Ausnahme, keinen Sonderfall und keine Sicherheitsabteilung, die von sich aus anruft.
Rechtlich wirkt dieser Umstand in beide Richtungen, und das sollte man wissen, bevor man mit der Bank korrespondiert. Für Betroffene spricht: Wenn ein Anruf technisch so angelegt ist, dass er nicht als Fälschung erkennbar war, trägt die Bank das Risiko ihrer eigenen Kommunikationsstruktur. Gegen Betroffene kann die Bank einwenden, sie habe ihre Kundschaft öffentlich darauf hingewiesen, dass sie nicht anruft. Welches Argument im Einzelfall schwerer wiegt, hängt vom konkreten Ablauf ab – deshalb sollte der Anruf vor dem ersten Schreiben an Revolut dokumentiert und eingeordnet werden.
Social Engineering: Die unterschätzte Waffe der Phishing-Täter
Hinter all diesen Methoden steckt ein gemeinsames Grundprinzip: Social Engineering. Technisch ist Online-Banking dank starker Kundenauthentifizierung sehr sicher – die Schwachstelle ist der Mensch. Fast alle erfolgreichen Betrugsfälle laufen heute über Phishing, bei dem Opfer ihre Zugangsdaten selbst preisgeben oder eine Zahlung freigeben.
Beim Revolut Phishing nutzen Täter gezielt die Informationen aus dem September-Datenleck, um ihre Angriffe zu personalisieren. Sie wissen möglicherweise bereits: den vollständigen Namen des Opfers, seine Wohnadresse, seine IBAN, ob und in welchem Umfang er Krypto-Transaktionen getätigt hat und wie das Passbild aussieht. Mit diesen Informationen lässt sich ein Phishing-Angriff so präzise gestalten, dass selbst erfahrene und kritische Menschen darauf hereinfallen können.
Das ist der entscheidende Punkt, den Revolut-Kunden verstehen müssen: Das Opfer eines gut gemachten Phishing-Angriffs hat nicht leichtfertig oder dumm gehandelt. Es wurde von professionellen Kriminellen mit erheblichem Aufwand getäuscht. Die meisten Schäden entstehen nicht durch einen technischen Hack der Bank, sondern durch getäuschte Kunden. Betrüger bringen ihre Opfer dazu, selbst Freigaben zu erteilen oder Zugangsdaten preiszugeben. Doch daraus folgt rechtlich nicht, dass das Opfer allein für den Schaden haftet.
Die Rechtslage: Was das Gesetz sagt – und warum Revolut oft zahlen muss
Dies ist die Frage, die mich täglich in meiner Kanzlei beschäftigt: Wer haftet, wenn das Revolut-Konto durch Phishing leergeräumt wurde? Die Antwort überrascht viele Betroffene.
Der Grundsatz: Die Bank trägt das Risiko unautorisierter Zahlungen
Das Fundament der Ansprüche von Phishing-Opfern bildet das deutsche und europäische Zahlungsdiensterecht. Die rechtliche Grundlage für die Erstattung ergibt sich aus dem Zahlungsdiensterecht. Nach § 675u BGB hat die Bank bei einem nicht autorisierten Zahlungsvorgang den belasteten Betrag unverzüglich zu erstatten und das Konto wieder auf den Stand zu bringen, auf dem es ohne die fehlerhafte Belastung gewesen wäre.
Der Schlüsselbegriff ist dabei „autorisiert“. Autorisiert ist eine Zahlung nur, wenn der Kontoinhaber ihr wirksam zugestimmt hat. Eine durch Täuschung erschlichene Freigabe ist keine wirksame Zustimmung. Das klingt abstrakt – hat aber weitreichende praktische Konsequenzen. Wenn Ihr Revolut-Konto leergeräumt wurde, weil ein Betrüger Sie durch eine gefälschte Nachricht dazu gebracht hat, Ihre Zugangsdaten preiszugeben oder einen Freigabecode einzugeben, dann handelt es sich rechtlich in der Regel um eine nicht autorisierte Zahlung.
Nach §§ 675u und 675v BGB regelt das Gesetz, wer bei unautorisierten Zahlungsvorgängen für den Schaden aufkommt. Grundsätzlich muss die Bank erstatten – sie trägt die volle Beweislast für eine Autorisierung.
Erstattung zuerst, Prüfung danach – EuGH, 15.10.2026, C-70/25
Lange war es gängige Praxis, dass Banken die Erstattung schlicht verweigerten und auf den Vorwurf grober Fahrlässigkeit verwiesen. Damit ist Schluss. Der Europäische Gerichtshof hat am 15. Oktober 2026 entschieden, dass ein Zahlungsdienstleister die unverzügliche Erstattung einer nicht autorisierten Zahlung nicht mit der Begründung verweigern darf, der Kunde habe sie grob fahrlässig ermöglicht (EuGH, Urteil vom 15.10.2026, C-70/25).
Art. 73 Abs. 1 der Zahlungsdiensterichtlinie kennt dafür nur eine einzige Ausnahme: den begründeten Verdacht, dass der Kunde selbst betrügt – und selbst dann muss die Bank diesen Verdacht der zuständigen nationalen Behörde schriftlich mitteilen. Über die Haftung wird erst danach gestritten, und zwar auf Betreiben der Bank.
Was das konkret für Ihr Schreiben an Revolut bedeutet, habe ich hier mit den Randnummern der Entscheidung aufbereitet: EuGH C-70/25 – Bank muss nach Phishing sofort erstatten.
Die Ausnahme: Grobe Fahrlässigkeit
Natürlich gibt es Grenzen. Nur wenn der Kontoinhaber grob fahrlässig gehandelt hat, muss er den Schaden vollständig selbst tragen. Bei lediglich einfacher Fahrlässigkeit ist die Haftung gesetzlich auf maximal 50 Euro begrenzt.
Grobe Fahrlässigkeit liegt beispielsweise vor, wenn jemand seine PIN auf einem Zettel neben der Karte aufbewahrt, offensichtlich gefälschte Webseiten nicht erkennt oder Zugangsdaten auf Zuruf am Telefon weitergibt, obwohl der Anrufer klare Warnsignale sendet. Aber: In der Praxis unterstellen Banken häufig zu Unrecht grobe Fahrlässigkeit. Das ist eine Abwehrstrategie, kein abschließendes rechtliches Urteil. Revolut darf grobe Fahrlässigkeit behaupten – beweisen muss sie es.
Revolut: Besonderheiten bei der Durchsetzung
Bei Revolut gibt es im Vergleich zu klassischen Filialbanken eine wichtige Besonderheit: Das Unternehmen operiert als europäische Bank, und der Weg zur Durchsetzung von Ansprüchen erfordert Kenntnis der zuständigen Aufsichtsbehörden und des anwendbaren Rechts. Wer bei Revolut eine Abbuchung entdeckt, die er nie freigegeben hat, sollte den Vorgang innerhalb der gesetzlichen Frist rügen und die Erstattung verlangen. Eine erste Ablehnung des Anbieters ist kein endgültiges Nein, sondern oft nur der Beginn der eigentlichen Auseinandersetzung.
Was Sie sofort tun müssen, wenn Sie Opfer von Revolut Phishing geworden sind
Wer merkt, dass das Revolut-Konto kompromittiert wurde, steht unter erheblichem Druck. Panik ist verständlich, hilft aber nicht. Was zählt, ist schnelles und strukturiertes Handeln.
Der erste Schritt ist die sofortige Sperrung des Kontos über die Revolut-App oder den Kundenservice. Gleichzeitig sollten alle Passwörter geändert werden – nicht nur bei Revolut, sondern auch beim verknüpften E-Mail-Konto, da Angreifer oft mehrere Zugänge gleichzeitig übernehmen. Wer SIM-Swapping vermutet, sollte unverzüglich seinen Mobilfunkanbieter kontaktieren.
Der zweite Schritt ist die Strafanzeige. Die Strafanzeige ist kein rechtliches Muss für den Erstattungsanspruch, aber praktisch unverzichtbar. Banken verlangen das Aktenzeichen regelmäßig, und die Anzeige dokumentiert, dass Sie zeitnah gehandelt haben. Erstatten Sie Anzeige bei Ihrer örtlichen Polizeidienststelle oder online über die Onlinewache Ihres Bundeslandes. Schildern Sie den Vorfall möglichst präzise: welche Nachrichten Sie erhalten haben, wann und über welchen Kanal der Angriff stattfand und welche Beträge abgeflossen sind.
Der dritte Schritt ist die schriftliche Geltendmachung des Erstattungsanspruchs gegenüber Revolut. Tun Sie das schriftlich und per Einschreiben oder über den nachvollziehbaren In-App-Chat. Beschreiben Sie den Sachverhalt sachlich und neutral. Und bitte: Bewerten Sie Ihr eigenes Verhalten dabei nicht. Was Sie gegenüber der Bank vermeiden sollten: In der ersten Aufregung schildern viele Betroffene Dinge, die später gegen sie verwendet werden können – etwa „Ich war so dumm“ oder „Ich habe dem Anrufer die TAN vorgelesen“. Melden Sie den Vorfall sofort und sachlich, lassen Sie sperren, bewerten Sie Ihr eigenes Verhalten aber nicht.
Der vierte Schritt ist die rechtliche Beratung. Revolut-Phishing-Fälle sind komplex und haben eine europarechtliche Dimension. Die Frist zur Geltendmachung des Erstattungsanspruchs nach § 676b BGB beträgt 13 Monate ab Belastung. Warten Sie nicht zu lange.
Häufige Fehler, die Revolut-Phishing-Opfer machen
In meiner Praxis begegnen mir immer wieder dieselben Fehler, die den Erstattungsanspruch gefährden oder den Ausgang des Verfahrens unnötig verschlechtern.
Der schwerwiegendste Fehler ist das Abwarten. Viele Betroffene warten zunächst ab, ob Revolut von sich aus reagiert, oder sie verlassen sich auf eine telefonische Zusage des Kundenservice. Revolut wird selten freiwillig und vollständig erstatten. Je länger Sie warten, desto schwieriger wird der Nachweis, dass Sie zeitnah gehandelt haben.
Ein weiterer häufiger Fehler ist die unkritische Akzeptanz der ersten Antwort von Revolut. Eine erste Ablehnung des Anbieters ist kein endgültiges Nein, sondern oft nur der Beginn der eigentlichen Auseinandersetzung. Eine nüchterne Prüfung der Haftungslage zeigt rasch, ob die Bank den Schaden tragen muss. Viele Ablehnungsschreiben sind standardisiert und enthalten pauschale Hinweise auf grobe Fahrlässigkeit, ohne die konkreten Umstände des Einzelfalls zu würdigen. Das ist keine rechtsverbindliche Entscheidung – es ist eine Verhandlungsposition.
Problematisch ist auch, wenn Betroffene in der ersten Aufregung detaillierte Selbstzeugnisse ablegen, die ihre Position schwächen. Sätze wie „Ich hätte es eigentlich wissen müssen“ oder „Das war wohl meine Schuld“ können in einem späteren Verfahren als Indiz für grobe Fahrlässigkeit gewertet werden – auch wenn sie nur als emotionale Reaktion gemeint waren.
Schließlich unterschätzen viele die Beweissicherung. Sichern Sie alle Nachrichten, E-Mails, Screenshots und Anrufprotokolle, die mit dem Phishing-Angriff in Verbindung stehen. Diese Dokumentation ist das Fundament jedes Erstattungsverfahrens.
Wichtig bei Krypto-Guthaben: eine andere Rechtslage
Der Erstattungsanspruch aus § 675u BGB gilt für Zahlungsvorgänge – also für Ihr Guthaben in Euro oder anderen Währungen. Für Kryptowerte gilt er nicht, denn deren Übertragung ist kein Zahlungsvorgang im Sinne des Zahlungsdiensterechts. Wurde Ihr Krypto-Bestand bei Revolut abgezogen, ist der Weg deshalb ein anderer: zu prüfen sind Ansprüche wegen Verletzung vertraglicher Schutzpflichten sowie die Frage, ob die Sicherungsmechanismen beim Zugriff auf den Krypto-Bereich dem Stand der Technik entsprachen. Beides sollte getrennt vom Zahlungsverkehrskonto geprüft werden.
