Revolut gibt Kundendaten an Betrüger weiter – woher kennen Phishing-Täter unsere Bankdaten?

Wer einen Anruf eines angeblichen Bankmitarbeiters erhält, ist häufig zunächst skeptisch. Doch was passiert, wenn der Anrufer den vollständigen Namen kennt? Wenn er die richtige Anschrift, Telefonnummer oder sogar Informationen über das Konto nennen kann?

Genau an diesem Punkt werden professionelle Phishing- und Betrugsangriffe gefährlich. Denn die Täter arbeiten längst nicht mehr immer mit beliebigen Telefonnummern und schlecht formulierten E-Mails. Teilweise verfügen sie bereits vor dem ersten Kontakt über erstaunlich genaue Informationen zu ihren späteren Opfern.

Ein aktueller Vorfall beim Finanzdienstleister Revolut zeigt, wie solche Daten in die Hände von Kriminellen gelangen können. Unbefugte sollen sich als Vertreter einer staatlichen Stelle ausgegeben und Revolut dazu gebracht haben, sensible Kundendaten herauszugeben.

Der Fall macht deutlich: Wenn ein Betrüger persönliche Daten eines Bankkunden kennt, bedeutet das keineswegs, dass der Kunde diese Informationen zuvor selbst preisgegeben haben muss.

Was ist bei Revolut passiert?

Nach den bislang bekannt gewordenen Informationen erhielt Revolut Anfragen, die vermeintlich von einer staatlichen Stelle stammten. Das Besondere daran: Die betrügerischen Anfragen wurden nach Angaben von Revolut über eine legitime E-Mail-Domain einer staatlichen Stelle versandt.

Revolut ging offenbar zunächst von authentischen Anfragen aus und übermittelte Informationen zu Kunden. Das Unternehmen spricht von einer „sophisticated external impersonation scam“, also einer ausgeklügelten Form der Identitätstäuschung.

Revolut bestätigte, dass sensible Kundeninformationen an einen nicht autorisierten Dritten herausgegeben wurden. Nach Angaben des Unternehmens war nur eine sehr begrenzte Zahl von Kunden betroffen. Die eigenen Systeme und die Kundengelder seien durch den Vorfall nicht kompromittiert worden.

Berichtet wird allerdings über besonders sensible Daten. Dazu sollen – abhängig vom jeweiligen Kunden – beispielsweise Identitäts- und Kontoinformationen sowie Unterlagen aus der Kundenidentifizierung gehört haben.

Gerade diese Kombination ist problematisch: Gelangen nicht nur Name und Telefonnummer, sondern zusätzlich Informationen über Bankverbindungen, Identität oder Transaktionen in die Hände von Kriminellen, können diese Daten für weitere, sehr gezielte Betrugsversuche eingesetzt werden.

Woher kennen Phishing-Betrüger meine persönlichen Daten?

Diese Frage hören wir bei der Bearbeitung von Phishing- und Online-Banking-Fällen immer wieder.

Mandanten berichten beispielsweise:

„Der Anrufer kannte meinen vollständigen Namen.“

„Er wusste, bei welcher Bank ich bin.“

„Meine Telefonnummer und meine Adresse waren ihm bekannt.“

„Er kannte Informationen über mein Konto.“

Für Betroffene ist dies häufig ein entscheidender Grund, warum sie einem angeblichen Bankmitarbeiter zunächst Glauben schenken.

Die naheliegende Schlussfolgerung lautet: Wenn der Anrufer solche Informationen kennt, muss er tatsächlich von der Bank kommen.

Genau diese Schlussfolgerung kann jedoch falsch sein.

Persönliche Daten können auf ganz unterschiedlichen Wegen in die Hände von Kriminellen gelangen. Möglich sind beispielsweise frühere Datenlecks bei Unternehmen, kompromittierte E-Mail-Konten, Schadsoftware, gehackte Onlineshops, gestohlene Kundendaten oder Datenbestände, die anschließend illegal weitergegeben werden.

Der Revolut-Fall zeigt einen weiteren möglichen Weg: Ein Unternehmen kann selbst getäuscht und zur Herausgabe der Daten veranlasst werden.

Der spätere Bankkunde muss daran überhaupt nicht beteiligt gewesen sein.

Der eigentliche Phishing-Angriff kann erst der zweite Schritt sein

Das ist für das Verständnis moderner Betrugsfälle besonders wichtig.

Ein Phishing-Fall beginnt nicht zwingend mit der SMS, E-Mail oder dem Telefonanruf, den das Opfer wahrnimmt.

Der erste Schritt kann bereits Wochen oder Monate vorher erfolgt sein.

Kriminelle beschaffen sich zunächst Informationen über potenzielle Opfer. Anschließend werden diese Daten zusammengeführt und für einen gezielten Angriff verwendet.

Aus einem wenig überzeugenden Anruf wie

„Guten Tag, hier ist Ihre Bank“

kann dadurch beispielsweise ein wesentlich glaubwürdigeres Gespräch werden:

„Guten Tag, Herr Müller. Hier ist die Sicherheitsabteilung Ihrer Bank. Wir melden uns wegen einer auffälligen Transaktion auf Ihrem Konto.“

Kann der Anrufer anschließend noch weitere echte Informationen nennen, sinkt verständlicherweise das Misstrauen.

Möglicherweise kennt er die Anschrift, Teile der Bankverbindung oder andere persönliche Daten.

Das ist Social Engineering: Die Täter versuchen nicht nur, technische Sicherheitssysteme zu umgehen. Sie manipulieren gezielt den Menschen vor dem Bildschirm oder am Telefon.

Persönliche Daten sind kein Beweis dafür, dass ein Anrufer wirklich von der Bank kommt

Aus dem aktuellen Fall lässt sich deshalb eine wichtige Regel ableiten:

Die Kenntnis persönlicher Daten ist kein zuverlässiger Identitätsnachweis.

Das gilt selbst dann, wenn der Anrufer mehrere zutreffende Informationen nennen kann.

Auch eine angezeigte Telefonnummer bietet keine absolute Sicherheit. Telefonnummern können technisch manipuliert werden. Beim sogenannten Call-ID-Spoofing kann auf dem Display des Angerufenen eine andere Nummer erscheinen als diejenige, von der der Anruf tatsächlich ausgeht.

Dadurch kann ein Betrugsversuch besonders überzeugend wirken: Der Täter kennt persönliche Daten und auf dem Smartphone erscheint möglicherweise sogar eine vermeintlich passende Telefonnummer.

Warum ist das auch für die rechtliche Bewertung eines Phishing-Falls wichtig?

Nach einem erfolgreichen Phishing- oder Telefonbetrug stellt sich regelmäßig die Frage, wer den entstandenen Schaden tragen muss.

Bei nicht autorisierten Zahlungsvorgängen sieht das Zahlungsdiensterecht grundsätzlich eine Erstattungspflicht des Zahlungsdienstleisters vor. Entscheidend können jedoch die konkreten Umstände des Einzelfalls sein.

Banken und Zahlungsdienstleister berufen sich in Auseinandersetzungen häufig darauf, dass ein Kunde Sicherheitsmerkmale weitergegeben, Zahlungen freigegeben oder seine Sorgfaltspflichten grob fahrlässig verletzt habe.

Ob tatsächlich grobe Fahrlässigkeit vorliegt, kann aber nicht losgelöst vom konkreten Ablauf beurteilt werden.

Es macht einen Unterschied, ob ein Kunde auf eine offensichtlich unseriöse Nachricht reagiert oder ob er Opfer eines professionell vorbereiteten Social-Engineering-Angriffs wird, bei dem die Täter bereits über zahlreiche zutreffende persönliche Informationen verfügen.

Die Tatsache, dass ein Täter persönliche Daten des Geschädigten kannte, beweist selbstverständlich noch nicht, woher diese Informationen stammten. Sie kann aber ein wichtiger Bestandteil der Rekonstruktion des Betrugsablaufs sein.

Der Revolut-Fall zeigt jedenfalls anschaulich, dass sensible Kundendaten auch ohne Zutun des späteren Betrugsopfers in die Hände unbefugter Dritter gelangen können.

Hat ein Bankkunde grob fahrlässig gehandelt, wenn er einem solchen Anrufer vertraut?

Das lässt sich nicht pauschal beantworten.

Für die rechtliche Beurteilung kommt es auf den gesamten Ablauf an. Relevant kann beispielsweise sein, welche Informationen die Täter bereits kannten, wie sie sich gegenüber dem Kunden präsentierten, welche Warnhinweise bestanden, welche Handlungen der Kunde tatsächlich vorgenommen hat und welche Sicherheitsmechanismen eingesetzt wurden.

Deshalb sollte gerade bei größeren Schäden nicht vorschnell akzeptiert werden, wenn eine Bank lediglich erklärt, der Kunde habe die Zahlung schließlich selbst bestätigt oder den Betrug erkennen müssen.

Auch eine technische Authentifizierung beantwortet nicht automatisch sämtliche haftungsrechtlichen Fragen.

Was sollten Betroffene nach einem Phishing-Angriff gegenüber der Bank erklären?

Hier ist Vorsicht sinnvoll.

Betroffene sollten den Vorfall ihrer Bank bzw. ihrem Zahlungsdienstleister unverzüglich melden und notwendige Sicherungsmaßnahmen veranlassen.

Bei der detaillierten schriftlichen Darstellung des Sachverhalts kann es jedoch sinnvoll sein, zunächst zu prüfen, welche Angaben tatsächlich erforderlich und gesichert sind.

Unüberlegte Formulierungen können später problematisch werden. Insbesondere sollten Vermutungen nicht als Tatsachen dargestellt werden.

Wer beispielsweise nicht mehr sicher weiß, welche Anzeige auf dem Smartphone zu welchem Zeitpunkt erschien oder welche einzelnen Schritte in welcher Reihenfolge vorgenommen wurden, sollte dies nicht nachträglich rekonstruieren und als sichere Erinnerung darstellen.

Gerade bei hohen Schäden kann es sinnvoll sein, den Vorgang zunächst anhand vorhandener Unterlagen, Kontoauszüge, Nachrichten und sonstiger Informationen nachvollziehbar aufzubereiten.

Welche Rechte können Revolut-Kunden haben, deren Daten herausgegeben wurden?

Für unmittelbar vom aktuellen Revolut-Vorfall betroffene Kunden stellt sich zusätzlich die datenschutzrechtliche Frage.

Unternehmen müssen personenbezogene Daten angemessen schützen. Werden personenbezogene Daten unberechtigt an Dritte herausgegeben, können sich insbesondere Rechte aus der Datenschutz-Grundverordnung ergeben.

Betroffene sollten zunächst klären, ob sie tatsächlich von dem Vorfall betroffen sind und welche konkreten Informationen über sie herausgegeben wurden.

Von besonderer Bedeutung ist dabei die Art der Daten. Eine bloße E-Mail-Adresse ist anders zu bewerten als eine Kombination aus Identitätsunterlagen, Anschrift, Telefonnummer, Kontoinformationen und Transaktionsdaten.

Unter bestimmten Voraussetzungen können außerdem Schadensersatzansprüche nach Art. 82 DSGVO in Betracht kommen. Ob ein Anspruch besteht und in welcher Höhe, hängt jedoch von den konkreten Umständen und einem nachweisbaren materiellen oder immateriellen Schaden ab. Allein aus der Tatsache eines Datenschutzverstoßes lässt sich daher nicht automatisch ein bestimmter Zahlungsanspruch ableiten.

Besonders gefährlich: Die Daten können für den nächsten Betrugsversuch verwendet werden

Für Betroffene endet das Problem möglicherweise nicht mit der Datenweitergabe.

Gerade hochwertige Identitäts- und Finanzdaten können weitere Betrugsversuche erleichtern.

Wer weiß, bei welchem Finanzdienstleister eine Person Kunde ist und gleichzeitig deren Namen, Telefonnummer, Anschrift oder Kontoinformationen kennt, verfügt über ausgezeichnetes Material für einen glaubwürdigen Social-Engineering-Angriff.

Deshalb sollten Betroffene besonders aufmerksam sein, wenn sich vermeintliche Bankmitarbeiter telefonisch, per SMS, Messenger oder E-Mail melden.

Dies gilt insbesondere dann, wenn plötzlich Zeitdruck aufgebaut wird:

„Ihr Konto wird gerade angegriffen.“

„Wir müssen Ihr Geld auf ein Sicherheitskonto übertragen.“

„Bestätigen Sie sofort die Stornierung.“

„Installieren Sie diese Sicherheitssoftware.“

„Nennen Sie mir den Code, den Sie gerade erhalten haben.“

Solche Aufforderungen sollten ein deutliches Warnsignal sein.

Was sollten Betroffene jetzt tun?

Wer von Revolut über eine mögliche Weitergabe seiner Daten informiert wurde, sollte zunächst genau dokumentieren, welche Daten betroffen sein sollen.

Zudem empfiehlt es sich, Kontoaktivitäten aufmerksam zu kontrollieren und bei ungewöhnlichen Kontaktaufnahmen besonders vorsichtig zu sein.

Wer einen vermeintlichen Anruf seiner Bank erhält, kann das Gespräch beenden und die Bank anschließend selbst über einen bekannten und unabhängig überprüften Kommunikationsweg kontaktieren.

Wichtig ist dabei: Nicht die Telefonnummer verwenden, die der Anrufer nennt, und nicht ungeprüft auf einen Link aus einer SMS oder E-Mail klicken.

Wer bereits Opfer eines Phishing-Angriffs geworden ist und einen finanziellen Schaden erlitten hat, sollte außerdem prüfen lassen, ob gegenüber der Bank oder dem Zahlungsdienstleister Erstattungsansprüche bestehen.

Phishing-Opfer sollten sich nicht vorschnell mit einer Ablehnung der Bank zufriedengeben

In unserer Kanzlei beschäftigen wir uns regelmäßig mit Fällen, in denen Bankkunden oder Nutzer von Zahlungsdiensten durch Phishing, Call-ID-Spoofing, falsche Bankmitarbeiter oder andere Formen des Social Engineering erhebliche Geldbeträge verlieren.

Gerade professionelle Betrugsfälle sind häufig komplexer, als sie zunächst erscheinen.

Der aktuelle Revolut-Fall zeigt eindrucksvoll, warum Täter manchmal so viel über ihre späteren Opfer wissen: Die Informationen müssen nicht zwingend vom Geschädigten selbst stammen. Sie können zuvor an völlig anderer Stelle abgeflossen oder – wie hier offenbar geschehen – aufgrund einer Täuschung herausgegeben worden sein.

Wer nach einem solchen Betrug von seiner Bank lediglich die Mitteilung erhält, die Zahlungen seien ordnungsgemäß autorisiert worden oder man habe grob fahrlässig gehandelt, sollte deshalb den konkreten Vorgang rechtlich prüfen lassen.

Sie sind Opfer eines Phishing- oder Online-Banking-Betrugs geworden oder wurden darüber informiert, dass Ihre Daten unbefugt weitergegeben wurden?

Die Anwaltskanzlei Lenné prüft Ihren Fall und klärt, welche Ansprüche gegenüber Banken, Zahlungsdienstleistern oder anderen Beteiligten bestehen können.

Verpassen Sie nicht unseren kostenlosen Newsletter