Unbekannte Angreifer haben Daten aus dem liechtensteinischen Register der wirtschaftlich Berechtigten kopiert. Der Vorfall betrifft rund 31’000 Gesellschaften, Stiftungen und Treuhänderschaften – und liefert der Schweiz kurz vor dem Start ihres eigenen Transparenzregisters eine ernste Warnung.

Ein Cyberangriff auf eine Behörde muss keine Verwaltung lahmlegen, um grossen Schaden anzurichten. Manchmal genügt es, unbemerkt eine besonders wertvolle Datensammlung zu kopieren.

Genau das ist offenbar im Fürstentum Liechtenstein geschehen. Nach Angaben der Regierung verschaffte sich eine bislang unbekannte Täterschaft in der Nacht auf den 30. Juli 2026 widerrechtlichen Zugang zum «Verzeichnis wirtschaftlich berechtigter Personen», kurz VwbP. Dabei wurden Datenkopien zu rund 31’000 Rechtsträgern abgegriffen.

Das Register enthält Informationen darüber, welche natürlichen Personen tatsächlich hinter Gesellschaften, Stiftungen und Treuhänderschaften stehen oder diese kontrollieren. Es wurde 2021 eingeführt und dient der Bekämpfung von Geldwäsche und Terrorismusfinanzierung.

Unregelmässigkeiten erst im Verlauf des Tages entdeckt

Dem bisherigen Ablauf zufolge bemerkte das Amt für Justiz am 30. Juli Unregelmässigkeiten und schaltete daraufhin das Amt für Informatik ein. Das betroffene System wurde vom Netz genommen und eine Untersuchung eingeleitet. Am 31. Juli wurde die Regierung über einen möglicherweise erfolgreichen Angriff informiert. Erste bestätigte Ergebnisse lagen am 1. August vor.

Die Regierung setzte daraufhin einen Krisenstab unter der Leitung von Regierungschefin Brigitte Haas und Justizminister Emanuel Schädler ein. Betroffene Personen sollen informiert und eine zentrale Anlaufstelle eingerichtet werden.

Nach dem derzeitigen Kenntnisstand wurden die Daten kopiert, jedoch nicht verändert oder gelöscht. Auch Banken und deren Kundensysteme seien nach Angaben des Liechtensteinischen Bankenverbandes nicht betroffen.

Diese Unterscheidung ist wichtig: Der Angriff richtete sich nicht gegen Bankkonten, sondern gegen ein staatlich geführtes Register. Dennoch können gerade solche Register für Kriminelle ausserordentlich interessant sein.

Die neue Beute sind Zusammenhänge

Cyberangriffe haben sich grundlegend verändert. Früher ging es häufig darum, Systeme zu verschlüsseln und anschliessend Lösegeld zu verlangen. Heute kann bereits der stille Abfluss strukturierter Informationen einen enormen Wert besitzen.

Ein einzelner Name ist möglicherweise wenig spektakulär. Verknüpft man ihn jedoch mit einer Gesellschaft, einer Stiftung, einer Kontrollfunktion oder weiteren öffentlich auffindbaren Angaben, entsteht ein wesentlich detaillierteres Bild.

Solche Informationen könnten für gezielte Phishing-Angriffe, Betrugsversuche, Erpressung, Identitätsmissbrauch oder die Vorbereitung anderer Straftaten verwendet werden. Ob die in Liechtenstein entwendeten Daten bereits missbraucht oder veröffentlicht wurden, ist derzeit nicht bekannt.

Deshalb wäre es unseriös, zum jetzigen Zeitpunkt über konkrete Täter, Motive oder Folgen zu spekulieren. Der Vorfall zeigt jedoch ein grundsätzliches Problem: Je stärker sensible Informationen zentralisiert und miteinander verknüpft werden, desto attraktiver wird das betreffende System als Angriffsziel.

Auch die Schweiz baut ein Transparenzregister auf

Der Zeitpunkt des Angriffs ist auch für die Schweiz bemerkenswert. Das Bundesamt für Justiz testet seit dem 16. Juni 2026 die technische Infrastruktur des neuen Schweizer Transparenzregisters. Das dazugehörige Gesetz tritt am 1. Oktober 2026 in Kraft.

Künftig müssen Gesellschaften und andere juristische Personen ihre wirtschaftlich Berechtigten melden. Erfasst werden Personen, die schweizerische Rechtseinheiten oder ausländische Rechtseinheiten mit Bezug zur Schweiz kontrollieren – beispielsweise über Kapitalbeteiligungen oder Stimmrechte.

Das Register wird vom Bundesamt für Justiz geführt. Eine Kontrollstelle beim Eidgenössischen Finanzdepartement soll die Richtigkeit, Vollständigkeit und Aktualität der Angaben überprüfen. Der Zugang ist in erster Linie für berechtigte Behörden vorgesehen; es handelt sich nicht um ein frei zugängliches öffentliches Verzeichnis.

Der Angriff in Liechtenstein bedeutet deshalb nicht automatisch, dass auch das Schweizer Register kompromittiert werden wird. Eine solche Behauptung wäre spekulativ. Der Fall sollte aber als konkrete Warnung verstanden werden: Datenschutz und Cybersicherheit dürfen bei der Einführung eines solchen Systems nicht erst nachträglich ergänzt werden.

Ein Register braucht mehr als eine digitale Mauer

Klassische Sicherheitskonzepte gingen häufig davon aus, dass eine starke äussere Schutzmauer genügt. Doch moderne Angreifer suchen nicht nur nach offenen Türen. Sie nutzen gestohlene Zugangsdaten, Schwachstellen in Anwendungen, Fehlkonfigurationen, kompromittierte Dienstleister oder unzureichend überwachte Schnittstellen.

Entscheidend ist daher nicht nur, ob ein System angegriffen werden kann. Entscheidend ist, wie schnell ein Angriff erkannt, eingegrenzt und gestoppt wird.

Ein staatliches Register mit hochsensiblen Informationen benötigt unter anderem eine strikte Trennung der Systeme, minimal vergebene Zugriffsrechte, starke Mehrfaktor-Authentifizierung, kontinuierliche Überwachung, eine lückenlose Protokollierung sämtlicher Abfragen sowie regelmässige unabhängige Sicherheitstests.

Ebenso wichtig ist eine Datenarchitektur, die nicht mehr Informationen an einem Ort zusammenführt, als für den gesetzlichen Zweck tatsächlich notwendig sind. Denn Daten, die nicht zentral gespeichert oder nicht dauerhaft zugänglich sind, können auch nicht im gleichen Umfang entwendet werden.

Vertrauen entsteht nicht durch Fehlerfreiheit

Kein Staat und kein Unternehmen kann garantieren, niemals Opfer eines Cyberangriffs zu werden. Eine solche Garantie wäre unglaubwürdig.

Vertrauen entsteht vielmehr durch Vorbereitung: durch transparente Kommunikation, eine schnelle Reaktion, unabhängige Untersuchungen und den sichtbaren Willen, aus einem Vorfall zu lernen.

Liechtenstein hat nach Bekanntwerden des Angriffs das System vom Netz genommen, einen Krisenstab eingesetzt und die Verletzung des Schutzes personenbezogener Daten öffentlich bestätigt. Nun wird entscheidend sein, ob die Ursache nachvollziehbar aufgeklärt wird und welche Verbesserungen daraus entstehen.

Für die Schweiz bietet der Fall eine seltene Gelegenheit. Sie kann die Erfahrungen des Nachbarlandes noch vor dem vollständigen Start ihres eigenen Registers berücksichtigen.

Die zentrale Lehre lautet deshalb nicht, auf Transparenz zu verzichten. Transparenz ist ein wichtiges Instrument gegen Geldwäsche und verschleierte Eigentumsstrukturen. Doch Transparenz gegenüber zuständigen Behörden darf nicht zu unfreiwilliger Transparenz gegenüber Kriminellen werden.

Cybersicherheit ist dabei kein Hindernis für die Digitalisierung. Sie ist die Voraussetzung dafür, dass Digitalisierung dauerhaft funktionieren und das Vertrauen der Bevölkerung behalten kann.