Am 12. September 2026 bestätigte das Fintech-Unternehmen Revolut, was es als raffinierten externen Identitätsbetrug bezeichnete: Eine unbefugte Partei nutzte eine E-Mail-Adresse auf der legitimen Domain einer Regierungsbehörde, um betrügerische Anfragen nach Kundeninformationen zu stellen. Die Anfragen wurden erfüllt, bevor die Masche entdeckt wurde.

Was diesen Vorfall bemerkenswert macht, ist, dass er keinen Einbruch im üblichen Sinne enthält. Keine Software-Schwachstelle, kein geleaktes Passwort, keine Schadsoftware. Revolut selbst erklärte, seine Systeme und die Gelder der Kunden seien nicht betroffen. Jemand hat auf dem richtigen Weg über den richtigen Kanal nach den Daten gefragt und sie erhalten. Genau deshalb betrifft das jedes Unternehmen, das Kundendaten speichert, nicht nur Banken.

Was tatsächlich bestätigt ist

Wir beschränken uns auf das, was das Unternehmen bekannt gegeben hat und was Fachmedien berichtet haben, denn die Ermittlungen laufen noch und vieles ist nicht offengelegt:

  • Die Methode: E-Mails, gesendet von einem unbefugten Konto innerhalb einer Domain, die einer echten Regierungsbehörde gehört, mit dem Gewicht eines offiziellen Auskunftsersuchens.
  • Die Daten: Identitäts- und Kontaktdaten wie Geburtsdatum, Postanschrift, E-Mail-Adresse und Telefonnummer, dazu Kopien von Ausweisdokumenten wie Reisepässen und Führerscheinen sowie die Gesichtsbilder, die bei den Know-your-Customer-Prüfungen erfasst wurden.
  • Das Ausmaß: Das Unternehmen sprach von einer begrenzten Zahl von Kunden und nannte keine Zahl.
  • Die Behörde: Revolut lehnte es unter Verweis auf die laufenden Ermittlungen ab, die Regierungsstelle zu nennen, deren Domain genutzt wurde.
  • Die Reaktion: Die Adresse wurde gesperrt, betroffene Kunden wurden direkt benachrichtigt, und das Unternehmen informierte die zuständige Regierungsbehörde, die Strafverfolgungsbehörden, die Finanzaufsicht und die Datenschutzbehörden.

Ein Krypto-Sicherheitsforscher, bekannt als ZachXBT, schätzte ein, dass sich die Angriffe offenbar gegen vermögende Kunden richteten, was eher auf den Aufbau detaillierter Profile als auf wahlloses Sammeln hindeutet. Das ist die Einschätzung eines Forschers und keine Aussage des Unternehmens, und wir zitieren sie entsprechend.

Warum die Anfrage funktionierte: Authentifizierung ist keine Autorisierung

Die meisten Unternehmens-Mailsysteme verlassen sich auf technische Prüfungen, die bestätigen, dass eine Nachricht tatsächlich von der Domain stammt, die sie angibt. Diese Prüfungen wirken gut gegen gewöhnliche Fälschungen: Wer sich als eine Domain ausgibt, die er nicht kontrolliert, wird abgewiesen. Aber sie wurden gebaut, um genau eine Frage zu beantworten – hat diese Nachricht jene Domain verlassen?

Das ist nicht die Frage, die Sie beantwortet brauchen. Ihre Frage ist, ob die Person, die die Nachricht geschrieben hat, berechtigt ist, das anzufordern, was sie anfordert. Keine E-Mail-Prüfung beantwortet das. Der Abstand zwischen beiden Fragen ist der Abstand zwischen Authentifizierung und Autorisierung, und genau durch diese Lücke ist die gesamte Operation gegangen. Wenn das sendende Konto innerhalb der echten Domain liegt – ob kompromittiert oder fälschlich eingerichtet –, steht jeder Vertrauensindikator, den Ihr Team sehen kann, auf Grün.

Die praktische Konsequenz: Die Aufgabe Ihres Mail-Gateways endet damit, die Anfrage unversehrt zuzustellen. Die Anfrage zu beurteilen ist menschliche Arbeit, und dafür braucht es ein schriftliches Verfahren statt individuellen Bauchgefühls.

Ihr Unternehmen erhält dieselbe Anfrage in einfacherer Form

Man kann das leicht als ferne Geschichte eines europäischen Fintechs abtun. Doch die Anfragen, die saudische Unternehmen jeden Tag erreichen, sind dasselbe in schlichterem Gewand: eine E-Mail, die einen Kundenauszug verlangt, eine Nachricht, die Mitarbeiterdaten für einen regulatorischen Zweck anfordert, ein Anruf mit der Bitte, Vertragsdetails zu bestätigen, Schreiben von einer Adresse mit einem vertrauten offiziellen Namen, die Unterlagen anfordern, um ein Verfahren abzuschließen.

In den meisten kleinen und mittleren Firmen wird eine solche Anfrage so behandelt: Sie landet bei einem Mitarbeiter, der Absender wirkt offiziell, einer offiziellen Stelle etwas zu verweigern erscheint riskanter, als ihr nachzukommen, und die Datei wird verschickt. Es gibt keine Aufzeichnung darüber, wer gefragt hat, was hinausging oder wann. Es gibt keinen unabhängigen Prüfschritt. Wenn das Problem später auftaucht, hat das Unternehmen nichts, womit es die Ereignisse rekonstruieren könnte.

Achten Sie auch auf den ausgeübten Druck. Dringlichkeit und offizieller Anschein zusammen sind es, die die Prüfung ausschalten. Ein Mitarbeiter, der fürchtet, beschuldigt zu werden, ein Regierungsverfahren zu behindern, lässt den bestätigenden Anruf aus, und das ist die beabsichtigte Wirkung dieses Vorgehens, keine Nebenwirkung.

Was saudisches Recht von Ihnen verlangt

Das Gesetz zum Schutz personenbezogener Daten (PDPL) lässt diese Frage nicht offen. Es legt Ihrem Unternehmen eine doppelte Pflicht auf: nur offenlegen, wo es zulässig ist, und melden, wenn Sie einen Fehler machen.

  • Artikel 15 legt die Fälle fest, in denen personenbezogene Daten offengelegt werden dürfen, darunter, wenn die anfragende Partei eine öffentliche Stelle ist und die Anfrage einem Sicherheitszweck dient, ein anderes Gesetz umsetzt oder gerichtliche Anforderungen erfüllt, wie in den Durchführungsbestimmungen festgelegt.
  • Artikel 16 regelt die Fälle, in denen die Offenlegung verweigert werden muss, darunter, wenn sie die nationale Sicherheit beeinträchtigen, die Sicherheit von Personen gefährden oder eine laufende Ermittlung stören würde.
  • Artikel 20 verpflichtet den Verantwortlichen, die zuständige Behörde und die betroffenen Personen über eine Verletzung oder unrechtmäßige Offenlegung zu benachrichtigen. Die Durchführungsbestimmungen legen eine Frist von 72 Stunden fest, um die zuständige Behörde über die National Data Governance Platform zu benachrichtigen.

Liest man die drei zusammen, wird der entscheidende Punkt deutlich: Das Gesetz räumt das Recht der öffentlichen Stelle ein, nicht der E-Mail. Eine Anfrage, die von der Domain einer öffentlichen Stelle kommt, wird dadurch nicht zu deren Anfrage. Die rechtliche Prüfpflicht bleibt bei Ihnen als Verantwortlichem für die Daten, und sie geht nicht auf einen Absender über, nur weil er offiziell wirkte.

Die Sicht von Origami

Origami ist ein Technologieunternehmen, das Systeme für saudische Unternehmen baut, und ein Muster, das wir immer wieder sehen, ist, dass fast alle Sicherheitsinvestitionen in die Verhinderung unbefugten Zugriffs fließen: Passwörter, Zwei-Faktor-Authentifizierung, Firewalls. Das ist notwendig, aber es bewacht nur eine Tür. Der hier besprochene Vorfall kam nie durch die Tür. Er klopfte an, fragte nach den Daten und bekam sie ausgehändigt. Keine technische Einstellung hindert einen berechtigten Mitarbeiter daran, eine Datei an jemanden zu senden, der auf scheinbar korrekte Weise danach gefragt hat.

Deshalb behandeln wir Daten, die das Unternehmen verlassen, als ein in das System eingebautes Verfahren und nicht als Richtlinie in einem Handbuch: Wer hat die Berechtigung, Kundendaten zu exportieren, wird jeder Export mit Person, Zeitpunkt und Grund protokolliert, und durchlaufen Anfragen Dritter einen Freigabeweg? Ein Unternehmen, das innerhalb einer Minute beantworten kann, welche Daten letzten Monat hinausgegangen sind und warum, hat etwas, womit es sich verteidigen kann. Ein Unternehmen, das das nicht kann, entdeckt die Lücke an dem Tag, an dem es die Antwort braucht.

Ein einseitiges Verfahren, das Sie diese Woche einführen können

Dafür braucht es weder ein Projekt noch ein Budget. Es braucht eine schriftliche, veröffentlichte Regel, die Ihren Mitarbeiter davor schützt, unter Druck allein entscheiden zu müssen:

  • Keine Kunden- oder Mitarbeiterdaten verlassen das Unternehmen allein aufgrund einer eingehenden Nachricht. Die Nachricht eröffnet die Anfrage; sie führt sie nicht aus, ganz gleich, wie offiziell der Absender wirkt und wie dringlich der Ton ist.
  • Prüfen Sie über einen unabhängigen Kanal. Antworten Sie nicht auf die Nachricht und rufen Sie keine Nummer an, die darin steht. Rufen Sie die Nummer an, die auf der offiziellen Website der Stelle veröffentlicht ist. Dieser eine Schritt hätte die gesamte Operation gestoppt.
  • Eine namentlich benannte freigebende Person. Eine Person, die berechtigt ist, Daten an eine externe Partei herauszugeben, mit einer benannten Vertretung für Abwesenheiten. Wird die Berechtigung auf alle verteilt, ist niemand verantwortlich.
  • Ein schriftliches Protokoll für jede Anfrage. Wer hat gefragt, in welcher Funktion, welche Daten, wer hat freigegeben, wie wurde geprüft, und das Datum. Eine Zeile in einer Tabelle genügt, und ihr Wert zeigt sich ein Jahr später, nicht heute.
  • Senden Sie das Minimum. Wenn die Anfrage legitim ist, senden Sie genau das, was angefordert wurde, nicht die ganze Akte oder die gesamte Tabelle. Die Menge, die Sie senden, ist die Größe des Schadens, falls sich die Anfrage als betrügerisch herausstellt.
  • Kennen Sie den Meldeweg, bevor Sie ihn brauchen. Wer meldet innerhalb von 72 Stunden an die SDAIA, über welche Plattform, mit welchen Angaben? Zeit, die man mit der Suche nach dem Verfahren verbringt, geht direkt von der Frist ab.

Das Prinzip hinter alledem lautet: Prüfung ist keine Behinderung. Eine echte offizielle Stelle wird nichts gegen einen bestätigenden Anruf unter ihrer eigenen veröffentlichten Nummer einwenden, und wer etwas dagegen hat, überprüft zu werden, ist genau derjenige, der überprüft werden sollte. Halten Sie das für Ihr Team schriftlich fest, damit die Ablehnung einer Anfrage nie ein persönliches Risiko ist, das ein einzelner Mitarbeiter allein tragen muss.

Quellen