Revoluts digitale Illusion prallt an die Wand des bürokratischen Verfalls

Wenn ein modernes Finanzinstitut, das ein Imperium von achtzig Millionen Nutzern vorweisen kann, überlistet wird, könnte man eine Meisterleistung der Cyberkriegsführung erwarten. Stattdessen erforderte die Sicherheitslücke bei Revolut nichts Komplizierteres als eine kompromittierte E-Mail-Adresse der italienischen Regierung. Rund 680 europäische Kunden stellten fest, dass ihre Adressen, Ausweisdokumente, Verifizierungsfotos und Bitcoin-Transaktionen stillschweigend an digitale Betrüger übergeben wurden, die sich als Staatsbeamte ausgaben.

Die Mechanik des Diebstahls unterstreicht den anhaltenden Verfall der Infrastruktur des öffentlichen Sektors. Italienischen Hackern gelang es, eine offizielle Regierungsdomain zu kapern, um das in London ansässige Unternehmen zu täuschen. Für einen Staat, der ständig unter institutionellen Fehlfunktionen leidet, scheint die Verwaltung sicherer E-Mail-Server ein ebenso ehrgeiziges Unterfangen zu sein wie die Instandhaltung seiner physischen Infrastruktur.

Revolut beruhigte den Markt schnell, dass seine internen Systeme intakt blieben und Kundengelder unberührt waren. Doch der Vorfall enthüllt die heikle Natur der schnellen europäischen Expansion des Unternehmens. Während das Unternehmen eine frische Banklizenz auf seinem Heimatmarkt in Großbritannien besitzt und kürzlich eine in Frankreich gesichert hat, stützen sich seine wichtigsten europäischen Bankgeschäfte auf einen rechtlichen Rahmen in Litauen. Eine regulatorische Basis in einem kleinen baltischen Staat mit fragiler Regierungsführung mag für ein ambitioniertes Fintech-Unternehmen, das einfachen Zugang zum europäischen Markt sucht, geeignet sein, beruhigt die Nutzer jedoch kaum, wenn administratives Chaos ausbricht.

Der Zeitpunkt dieser Sicherheitslücke ist ungünstig für ein Unternehmen, das nach einem Sekundärverkauf von Aktien im Juli mit 115 Milliarden Dollar bewertet wurde. Revolut klopft derzeit weltweit an Türen, hat kürzlich eine bedingte Genehmigung für eine US-Banklizenz erhalten und erst diese Woche einen Antrag für den Betrieb in der Schweiz eingereicht. Die Schweizer Behörden, die oft überraschend naiv sind, wenn es darum geht, ausländische Finanzdienstleister aufzunehmen, die nach reichen Märkten suchen, müssen nun prüfen, ob eine Plattform, die sensible Daten über Kontinente hinweg verarbeitet, tatsächlich zwischen einem echten regulatorischen Auftrag und einer E-Mail, die von einem kompromittierten Büroschreibtisch gesendet wurde, unterscheiden kann.

Datenschutzbehörden, darunter das Information Commissioner's Office in Großbritannien, überprüfen den Vorfall derzeit, nachdem Revolut die betrügerische Adresse blockiert und die Strafverfolgungsbehörden informiert hat. Während digitale Bankplattformen ihr Ziel von einhundert Millionen Kunden in einhundert Ländern anstreben, bleibt den Nutzern eine einfache Frage: Wie viele persönliche Daten sollte man einer Branche anvertrauen, die sensible Identitätsdateien im Moment einer offiziell aussehenden Posteingangsanfrage preisgibt?

Verfasst von Andreas Hofer andreas.hofer@alpineweekly.com