Mark Karpelès über den Revolut-Fall: Sie hätten die Informationen nicht senden dürfen

• Karpelès kritisiert, dass Revolut die Anfrage nicht zuerst mit der anfragenden Agentur bestätigt hat.
• Die Daten von hochrangigen Nutzern wurden an mutmaßliche böswillige Akteure weitergegeben.

Der ehemalige CEO der mittlerweile geschlossenen Bitcoin-Börse (BTC) Mt. Gox, Mark Karpelès, hat Revolut wegen der Weitergabe privater Daten seiner Kunden scharf angegriffen.

Karpelès kritisierte, dass die Plattform die Anfrage nicht zuerst mit der anfragenden Agentur bestätigt hat, bevor sie die massenhafte Übermittlung vertraulicher Informationen bearbeitet hat.

Der Vorfall wurde ausgelöst, als die Finanzinstitution die Übermittlung von Aufzeichnungen vornahm, nachdem sie eine angeblich offizielle E-Mail erhalten hatte, die sich letztendlich als fortgeschrittene Identitätsfälschung herausstellte, die die Privatsphäre ihrer Kunden gefährdete.

Laut den Aussagen des Unternehmers beging die Finanzinstitution einen "schweren methodologischen Fehler", indem sie sofort auf die Anfrage reagierte und die Überprüfung auf einen

Revolut hätte keine Kundendaten (KYC, historische Daten usw.) als Antwort auf eine E-Mail senden dürfen, nur weil sie von einer Regierungsbehörde stammte.

Mark Karpelès, ehemaliger CEO von Mt. Gox.

Tatsächlich wurden die Daten von hochrangigen Nutzern von Revolut an mutmaßliche böswillige Akteure weitergegeben aufgrund dieses Fehlers in den vorherigen Überprüfungsprotokollen.

Die übermittelten Informationen umfassen persönliche Identifikationsdaten wie vollständige Namen, Geburtsdaten, Wohnadressen, Kopien offizieller Dokumente mit Fotos, Bankauszüge mit IBAN, detaillierte Aufzeichnungen über Abhebungen und die vollständige Historie der auf der Plattform durchgeführten Transaktionen, wie CriptoNoticias berichtete.

Neben den persönlichen Daten übermittelte Revolut auch BTC-Transaktionshistorien mehrerer Kunden, was das Risiko von Phishing-Angriffen gegen die Nutzer des Neobanks erhöht.

Kurz gesagt, Revolut hätte keine Kundendaten (KYC, historische Daten usw.) als Antwort auf eine E-Mail senden dürfen, nur weil sie von einer Regierungsbehörde stammte.https://t.co/mhEqMmUZjW --- Mark Karpelès (@MagicalTux) 13. September 2026

"Hatte Revolut recht?"

Die rechtliche Analyse, die der ehemalige Direktor von Mt. Gox vorlegte, weist darauf hin, dass das Argument, unter einer vernünftigen Annahme zu handeln, keine rechtliche Grundlage innerhalb der Vorschriften der Europäischen Union hat.

Karpelès stellte die Position des Neobanks in Frage, indem er öffentlich fragte: "Hatte Revolut recht, Informationen basierend auf einer E-Mail weiterzugeben?".

Im Gegensatz zur Gesetzgebung der Vereinigten Staaten---wo die Bestimmung 18 U.S.C. § 2702(b)(8) Notfallanfragen für Daten basierend auf dem guten Glauben des Anbieters vorsieht---, legt der rechtliche Rahmen der Länder, in denen Revolut tätig ist, strenge Bankgeheimnisvorschriften fest. Nach Artikel 6.1.c der DSGVO erfordert jede Datenübertragung eine vorherige rechtliche Verpflichtung und lässt keine guten Glaubensrechtfertigungen zu.

In Litauen ---dem Land, das Revolut reguliert--- verlangt Artikel 55 des Bankgesetzes schriftliche Anforderungen, die über zuvor vereinbarte Kanäle übermittelt werden, und legt eine formelle gesetzliche Frist von bis zu 20 Tagen für die Antwort fest.

Ebenso leiten in Frankreich Behörden wie TRACFIN ihre Anfragen über authentifizierte Plattformen wie ERMES, und der Leitfaden für autorisierte Dritte der CNIL verpflichtet zu vorherigen Überprüfungen (wie einem Bestätigungstelefonat).

Aus all dem folgt, dass jede Rechtfertigung für die sofortige Bearbeitung einer nicht authentifizierten Anfrage ausgeschlossen ist.

Darüber hinaus betonte Karpelès, dass die praktischen Leitlinien der Datenschutzbehörden klar angeben, dass die Einrichtungen Anforderungen nicht basierend auf kontextuellen Elementen oder dem bloßen Erscheinungsbild des Absenders validieren können.

Tatsächlich verlangt das grundlegende Protokoll bei Anfragen per E-Mail einen direkten Verifikationskontakt mit der öffentlichen Institution über offiziell veröffentlichte Telefonnummern oder Kommunikationskanäle.

Dieser Fall verdeutlicht den Fortschritt der sozialen Ingenieurkunst und der immer präziseren Werkzeuge von Hackern und Angreifern, die es geschafft haben, Kontrollen und Barrieren zu umgehen, um auf vertrauliche Informationen zuzugreifen. Daher ist es wichtig, die Sicherheitsprozesse durch automatisierte und künstliche Intelligenz (KI) unterstützte Werkzeuge zu optimieren, wie Experten diesem Medium nahegelegt haben.

Dieser Inhalt wird nur zu allgemeinen Informationszwecken bereitgestellt und stellt keine finanzielle, Anlage-, Rechts- oder Steuerberatung dar. Alle erwähnten Ereignisse, Prämien, Online-Aktionen oder zugehörige Informationen sollten nicht als Empfehlung, Aufforderung oder Einladung zum Kauf, Verkauf, Handel oder anderweitigem Umgang mit Krypto-Assets betrachtet werden. Krypto-Assets sind sehr volatil und können zu Verlusten führen. Die Verfügbarkeit von WEEX Services, Produkten und zugehörigen Aktionen kann je nach Region unterschiedlich sein. Sie sind dafür verantwortlich sicherzustellen, dass Ihre Teilnahme mit geltenden lokalen Gesetzen und Vorschriften übereinstimmt.