Nach einem schweren Cyberangriff auf sein Eigentümerregister warnt Liechtenstein öffentlich vor den Risiken immer umfassenderer Transparenzvorschriften in Europa. Prinz Michael von Liechtenstein sieht in der geplanten Verknüpfung der nationalen Register in EU und EWR ein wachsendes Angriffsziel für Hacker.
Ausgerechnet der Finanzplatz, der seit Jahrzehnten von Diskretion lebt, ist zum Lehrstück für die Kehrseite der Transparenz geworden: Nach dem Diebstahl von rund 31.000 Datensätzen aus dem liechtensteinischen Eigentümerregister warnt das Fürstentum nun öffentlich vor den Risiken immer umfassenderer Offenlegungspflichten in Europa.
Die Offenlegungspflichten seien zu weit gegangen und schafften neue Angriffsziele für Hacker, sagte Prinz Michael von Liechtenstein der britischen Wirtschaftszeitung „Financial Times" [1]. Das Mitglied der Fürstenfamilie ist Präsident des Branchenverbands Finance Liechtenstein.
Der Anlass: Datenklau aus dem Anti-Geldwäsche-Register
Bei dem Angriff im Juli kopierten Hacker Daten zu rund 31.000 Unternehmen, Stiftungen, Trusts und anderen Rechtseinheiten aus dem sogenannten Verzeichnis wirtschaftlich berechtigter Personen (VwbP) [1]. Erbeutet wurden unter anderem Namen, Geburtsdaten, Nationalitäten und Wohnsitzländer der wirtschaftlich Berechtigten [1].
Das Register war auf Grundlage einer EU-Richtlinie angelegt worden, um Geldwäsche und Terrorismusfinanzierung zu bekämpfen. Es soll Behörden ermöglichen, die tatsächlichen Eigentümer von Firmen und anderen Strukturen zu identifizieren [1]. Liechtensteins Regierungschefin Brigitte Haas nannte den Vorfall auf einer eilig einberufenen Pressekonferenz ein „ganz dickes Ding" und sprach von einem Datenklau „in umfassendem Ausmaß" [2].
Wer hinter dem Angriff steckt und welches Motiv die Täter hatten, ist bislang unklar. Nach Angaben der Regierung gab es weder Lösegeldforderungen noch Hinweise darauf, dass das Verzeichnis im Darknet zum Verkauf angeboten würde [2].
Die Argumente des Fürstentums
Prinz Michael unterstützt nach eigenen Angaben grundsätzlich die Maßnahmen gegen Geldwäsche. Europa betreibe bei den Offenlegungspflichten inzwischen aber „bürokratischen Eifer" [1]. „Das betrifft nicht nur die Finanzbranche, sondern alle Unternehmen. Die Kosten dieser Offenlegung sind enorm geworden", sagte er [1].
Besonders kritisch sieht der Prinz die geplante Verknüpfung der nationalen Register in der EU und im Europäischen Wirtschaftsraum (EWR). Dadurch werde das beim Angriff in Liechtenstein sichtbar gewordene Risiko noch vervielfacht [1]. Dass der Vorfall bei der EU-Kommission zu einem Umdenken führt, bezweifelt er [1].
Die Warnung kommt nicht zufällig aus Vaduz. Liechtenstein ist kein EU-Mitglied, gehört aber dem EWR an und muss daher zahlreiche EU-Regeln übernehmen [1]. In den vergangenen Jahren hat das Fürstentum seine Finanzmarktregulierung verschärft und unter anderem den automatischen Austausch von Steuerinformationen sowie europäische Geldwäschereiregeln übernommen [1].
Einordnung: Transparenz gegen Datenschutz
Der Fall verdichtet einen Konflikt, der den europäischen Finanzsektor seit Jahren begleitet. Auf der einen Seite steht das legitime Interesse von Behörden und Öffentlichkeit, Geldwäsche, Steuerhinterziehung und Terrorismusfinanzierung zu bekämpfen – wofür die Kenntnis der tatsächlichen Eigentümer von Firmen und Stiftungen zentral ist. Auf der anderen Seite stehen Datenschutz, Persönlichkeitsrechte und die Sicherheit hochsensibler Datenbestände.
Die EU treibt die Vernetzung ihrer nationalen Transparenzregister über das System zur Verknüpfung der wirtschaftlichen Eigentümerregister (BORIS) voran. Genau diese Zentralisierung von Daten in einer Hand, so das Argument Liechtensteins, macht die Bestände für Angreifer attraktiver – ein einzelner erfolgreicher Zugriff könnte dann nicht nur ein nationales, sondern ein gesamteuropäisches Datenleck auslösen.
Kritiker der liechtensteinischen Position dürften einwenden, dass der Datenklau weniger ein Argument gegen Transparenz als gegen mangelhafte IT-Sicherheit ist. Der Vorfall wirft tatsächlich ein schlechtes Licht auf die Sicherheitsarchitektur des Fürstentums: Fachleute sprachen angesichts der Sicherheitslücken von einem Debakel für den Finanzplatz [3]. Dass ausgerechnet ein Register, das unter dem Siegel der Vertraulichkeit geführt wird, so leicht zu kompromittieren war, untergräbt das Versprechen von Rechtssicherheit und Datenschutz, mit dem Liechtenstein seit jeher wirbt [4].
Ausblick: Vertrauen als knappes Gut
Für den Finanzplatz geht es nun um mehr als um die technische Aufarbeitung. Der Datenklau dürfte die Reputation des Fürstentums als diskreter Standort nachhaltig beschädigen – und damit das eigentliche Geschäftsmodell treffen [4]. Zugleich wächst der Platz weiter: Die von den elf Banken verwalteten Kundenvermögen stiegen im vergangenen Jahr um 6,8 Prozent auf 538 Milliarden Franken [1].
Ob der Vorfall die europäische Transparenzdebatte tatsächlich verschiebt, ist offen. Prinz Michael selbst rechnet nicht damit, dass die EU-Kommission ihre Linie ändert [1]. Die kommenden Monate werden zeigen, ob die Warnung aus Vaduz als Argument für mehr Datenschutz Gehör findet – oder ob sie als Versuch gelesen wird, die Offenlegungspflichten im Interesse eines diskreten Finanzplatzes zu verwässern.