In Liechtenstein haben die Behörden das Einfallstor für den Cyberangriff auf das Register wirtschaftlich berechtigter Personen (VwbP) identifiziert. Die Angreifer nutzten das Portal zur Datenerfassung, um innerhalb weniger Stunden zehntausende Datensätze abzugreifen, wobei es sich um personenbezogene Informationen, jedoch nicht um Finanzdaten handelte.
Einfallstor für Hacker lokalisiert
Nach dem Cyberangriff auf das «Verzeichnis wirtschaftlich berechtigter Personen» (VwbP) in Liechtenstein haben die Ermittlungsbehörden eine zentrale Erkenntnis gewonnen: Das Einfallstor für die Täter war das Portal zur Erfassung von Einträgen in das Register [1]. Wie das Fürstentum mitteilte, gelang es den Unbekannten, sich einen Zugang zu diesem spezifischen Portal zu verschaffen und von dort aus gezielt Daten abzufragen [1].
Regierungschefin Brigitte Haas betonte bei einer Medienorientierung, dass es sich um einen Angriff "auf hohem technischen Niveau" handelte, der gegen eine komplexe Sicherheitsstruktur gerichtet war [1]. Dennoch konnte der Vorfall auf den Bereich des VwbP isoliert werden. Weder die Server der Landesverwaltung noch andere kritische Systeme des Staates waren nach derzeitigem Kenntnisstand von widerrechtlichen Zugriffen betroffen [1].
Modus Operandi: Gezielter Datendiebstahl in der Nacht
Die Ermittlungen zeichnen ein präzises Bild der Angriffsweise: In der Nacht auf den 30. Juli 2026 griffen die Täter über einen Zeitraum von mehreren Stunden hinweg massenhaft auf das Register zu [1]. Dabei wurden insgesamt 31.000 Datensätze von Gesellschaften, Stiftungen und Treuhänderschaften in Einzelabfragen extrahiert [1].
Lesen Sie auchInterview mit Daniel Schönland „Die Angreifer laufen sich gerade erst warm“→
Das Amt für Informatik untersucht derzeit intensiv, warum dieser ungewöhnliche Datenabfluss – trotz der hohen Anzahl an Abfragen innerhalb kurzer Zeit – keine automatischen Sicherheitswarnungen in den Systemen auslöste [1]. Als reine Vorsichtsmaßnahme wurden nach Bekanntwerden des Angriffs weitere sensible Datensätze temporär vom Netz genommen, um eine Ausweitung des Schadens zu verhindern [1].
Umfang des Datenabflusses
Die entwendeten Informationen beschränken sich auf Stammdaten. Nach aktuellem Stand der Analyse wurden Namen der betroffenen Rechtsträger sowie Angaben zu den wirtschaftlich berechtigten Personen – konkret Name, Geburtsdatum, Staatsangehörigkeit und Wohnsitzstaat – entwendet [1].
Entwarnung konnte hingegen in Bezug auf hochsensible Informationen gegeben werden: Adressen, Telefonnummern sowie finanzielle Kennzahlen wie Umsätze, Vermögenswerte oder Dividenden waren nicht betroffen [1]. Ebenso liegen keine Hinweise vor, dass die im Register gespeicherten Informationen durch die Täter manipuliert, gelöscht oder verändert wurden [1].
Internationale Ermittlungen laufen
Die Identität der Täterschaft bleibt bislang ungeklärt. Das Amt für Justiz hat bereits am vergangenen Wochenende Strafanzeige gegen Unbekannt erstattet [1]. Die Ermittler werten aktuell digitale Spuren aus, um die Hintermänner zu identifizieren. Dabei setzt Liechtenstein auf eine internationale Zusammenarbeit: Der Austausch mit europäischen Behörden sowie mit Partnern aus der Schweiz ist angelaufen, um die digitalen Spuren länderübergreifend zu verfolgen [1].
Die liechtensteinische Regierung hält sich bezüglich der Details zur Identität der Täter bedeckt; sowohl staatliche als auch private Akteure werden derzeit in die Ermittlungen einbezogen [1]. Das VwbP, welches zur Umsetzung der europäischen Geldwäsche-Richtlinien und zur Prävention von Terrorismusfinanzierung dient, bleibt ein sensibles Instrument des Finanzplatzes. Die Aufarbeitung des Vorfalls dürfte auch über Liechtenstein hinaus Fragen zur Resilienz solcher Transparenzregister aufwerfen.