Liechtenstein: 31.000 Registerdatensätze abgegriffen
In der Nacht auf den 30. Juli 2026 verschaffte sich eine unbekannte Täterschaft widerrechtlich Zugriff auf das liechtensteinische Verzeichnis wirtschaftlich berechtigter Personen. Datenkopien von rund 31.000 Rechtsträgern wurden abgegriffen. Das Amt für Informatik nahm das System vom Netz. Für externe Nutzer ist das Verzeichnis vorerst nicht verfügbar.
Das Wichtigste in Kürze
- 31.000 Rechtsträger betroffen. Laut Medienmitteilung der Regierung Liechtenstein vom 2. August 2026 wurden Datenkopien von rund 31.000 Rechtsträgern abgegriffen. Die Täterschaft ist unbekannt.
- Zugriff über Nutzerkonto. Nach Behördenaussagen auf einer Pressekonferenz legten die Täter ein Benutzerkonto an und griffen stundenlang einzeln Datensätze ab. Die Behörden prüfen die späte Erkennung.
- Keine Datenänderung bekannt. Nach amtlichem Kenntnisstand fehlen Hinweise auf veränderte oder gelöschte Daten. Das Verzeichnis bleibt über die LLV.li-Website für externe Nutzer offline.
Verwandt: Hugging-Face-Einbruch: Alarm lief, Triage blieb aus · Seed mit 40 Bit: warum 4.585 Adressen angreifbar wurden
Was passiert ist
Die Regierung des Fürstentums Liechtenstein bestätigte den Vorfall am 2. August 2026 per amtlicher Medienmitteilung. In der Nacht auf den 30. Juli 2026 verschaffte sich eine unbekannte Täterschaft widerrechtlich digitalen Zugriff. Ziel war das Verzeichnis wirtschaftlich berechtigter Personen, kurz VwbP. Nach vorläufigen Erkenntnissen konnten Datenkopien von rund 31.000 Rechtsträgern abgegriffen werden.
Im Verlauf des 30. Juli 2026 fielen beim Amt für Justiz Unregelmäßigkeiten auf. Am 31. Juli 2026 wurde die Regierung informiert. Am Nachmittag des 1. August 2026 gingen erste bestätigte Ergebnisse der Voruntersuchungen an die Regierung.
Das Amt für Informatik nahm das System vom Netz. Ein Krisenstab wurde unter Regierungschefin Brigitte Haas und Justizminister Emanuel Schädler eingesetzt. Nach aktuellem Kenntnisstand bestehen keine Hinweise auf veränderte oder gelöschte Daten im System. Infolge des Vorfalls ist das Verzeichnis über die LLV.li-Website für externe Nutzer vorerst nicht verfügbar.
Die Behörden stufen den Angriff als Verletzung des Schutzes personenbezogener Daten gemäß Artikel 33 der Datenschutz-Grundverordnung ein. Nach Artikel 34 DSGVO müssen die Betroffenen so rasch wie möglich informiert werden. Das VwbP wird zum Zweck der Verhinderung von Geldwäsche und von Terrorismusfinanzierung geführt. Das Gesetz über das Verzeichnis der wirtschaftlich berechtigten Personen von Rechtsträgern ist 2021 in Kraft getreten. Damit wurden Vorgaben der 5. EU-Geldwäscherichtlinie umgesetzt.
Zugriff über ein angelegtes Benutzerkonto
Laut Berichterstattung von Reuters vom 4. August 2026 äußerten sich Behördenvertreter auf einer Pressekonferenz zum Zugriffsweg. Fabian Schmid, Leiter des Amts für Informatik, erklärte über Reuters, die Täter verbrachten "several hours" im Register. Die Daten wurden einzeln abgegriffen. Ein Abruf in einem Zug wurde in dieser Darstellung nicht beschrieben.
Der Zugriff erfolgte, nachdem ein Benutzerkonto für das Register angelegt worden war. Die Behörden untersuchen, warum die Angreifer so lange unentdeckt im System bleiben konnten. Der genaue Weg, auf dem das Konto angelegt und legitimiert wurde, ist öffentlich nicht dargestellt. Die Täterschaft bleibt unbekannt.
Der Fall zeigt den Missbrauch eines regulär vorgesehenen Zugangspfads. Die Abfragen liefen über ein angelegtes Benutzerkonto. Das Muster entspricht keinem klassischen Systemeinbruch mit gezielter Exploitsuche. Es entspricht dem Betrieb unter einer scheinbar legitimen Session.
Stundenlange Einzelabrufe erzeugen ein anderes Signalprofil als ein einmaliger Massenexport. Fehlt die Auswertung von Frequenz, Volumen und Kontoalter, bleibt der Abfluss unsichtbar. Die offene Untersuchungsfrage der Behörden zur späten Erkennung trifft genau dieses Kontrollfeld. Registerabfragen brauchen Anomalie-Erkennung auf Nutzungsmuster, nicht nur auf technische Angriffssignaturen.
Betroffene Daten und Folgerisiken
Betroffene Datenkategorien nannte Regierungschefin Brigitte Haas laut Reuters-Berichten vom 4. August 2026. Es handelt sich um Namen, Nationalitäten und Geburtsdaten der wirtschaftlich Berechtigten. Daten zu Vermögen, Umsatz oder Dividenden sind nach dieser Darstellung nicht betroffen.
Definition · Wirtschaftlich berechtigte Person
Wirtschaftlich berechtigt ist, wem ein Rechtsträger letztlich gehört oder wer ihn kontrolliert. Das VwbP erfasst diese natürlichen Personen für liechtensteinische Rechtsträger.
Gegenüber dem SRF erklärte Haas am 2. August 2026 wörtlich: "Es gibt bislang weder Lösegeldforderungen noch ist das Verzeichnis im Darknet und zum Verkauf angeboten." Zur Täterschaft gab es zu diesem Zeitpunkt keine Erkenntnisse. Ob und wie die abgegriffenen Daten weiterverwendet werden, ist offen.
Namen, Nationalität und Geburtsdatum erlauben die Zuordnung von Personen zu Rechtsträgern. Der Abgleich mit weiteren Quellen kann die Identifizierbarkeit erhöhen. Für Verpflichtete im Geldwäschebereich steigt das Risiko gezielter Täuschungsversuche mit korrekten Stammdaten. Eine vollständige Bewertung der Folgeschäden ist zum jetzigen Zeitpunkt nicht möglich.
Der IBM Cost of a Data Breach Report 2026, veröffentlicht am 29. Juli 2026 und erhoben vom Ponemon Institute, setzt den Kostenrahmen. Die durchschnittlichen Kosten einer Datenschutzverletzung in Deutschland liegen bei 4,25 Millionen Euro. Im Vorjahr lagen sie bei 3,87 Millionen Euro. Im deutschen Finanzsektor beträgt der Mittelwert 5,64 Millionen Euro. Das verarbeitende Gewerbe weist mit 7,02 Millionen Euro den höchsten Branchenwert in Deutschland aus.
Global beläuft sich der Durchschnitt auf umgerechnet rund 4,33 Millionen Euro zum EZB-Kurs vom 4. August 2026. Global entspricht das einem Plus von 12 Prozent. Der Anteil KI-gestützter Angriffe stieg um 56 Prozent. Ein Viertel der bösartigen Datenschutzverletzungen war KI-gestützt, mit durchschnittlich umgerechnet rund 5,2 Millionen Euro Schaden. Diese Werte ersetzen keine Schadensrechnung für den VwbP-Fall. Sie ordnen Datenschutzverletzungen in die aktuelle Kostenlage ein.
Regulatorischer Rahmen in DACH
Das VwbP dient der Verhinderung von Geldwäsche und Terrorismusfinanzierung. Die Rechtsgrundlage ist das VwbPG aus dem Jahr 2021. Es setzt Vorgaben der 5. EU-Geldwäscherichtlinie um.
Der Europäische Gerichtshof urteilte am 22. November 2022 in den verbundenen Rechtssachen C-37/20 und C-601/20. Die Große Kammer stellte fest, dass der freie Zugang aller Mitglieder der Öffentlichkeit zu Informationen über wirtschaftlich Berechtigte in nationalen Transparenzregistern gegen EU-Grundrechte verstößt. Die entsprechende Regelung der 5. Geldwäscherichtlinie wurde partiell für ungültig erklärt. Zugang zu solchen Registern unterliegt seither engeren Voraussetzungen.
In Deutschland wird das Transparenzregister auf Grundlage des Geldwäschegesetzes geführt. Österreich betreibt das Register der wirtschaftlichen Eigentümer nach dem Wirtschaftliche Eigentümer Registergesetz. Die Schweiz hat das Bundesgesetz über die Transparenz juristischer Personen und die Identifikation der wirtschaftlich berechtigten Personen beschlossen. Das Inkrafttreten ist laut mehreren Quellen für den 1. Oktober 2026 vorgesehen.
Die EU-Register sind über das Beneficial Ownership Registers Interconnection System vernetzt. Ob ein nationaler Vorfall die Zugriffskontrolle im Verbund berührt, gehört für Registerbetreiber auf die Agenda. Für diesen Fall ist ein Bezug zu BORIS öffentlich nicht belegt. Für Registerbetreiber in Deutschland und Österreich gilt der gleiche Kernkonflikt wie in Liechtenstein: gesetzlich vorgesehener Zugang für Berechtigte und wirksame Begrenzung von Missbrauch. Für die Schweiz stellt sich die Frage bereits vor dem Inkrafttreten des TJPG am 1. Oktober 2026.
„Es gibt bislang weder Lösegeldforderungen noch ist das Verzeichnis im Darknet und zum Verkauf angeboten.“
Brigitte Haas, Regierungschefin des Fürstentums Liechtenstein
Ableitungen für Registerbetreiber und Verpflichtete
Registerbetreiber in DACH müssen legitime Abfragen von anomalen Abfragemustern trennen. Stundenlange Einzelabrufe über ein neu angelegtes Konto sind ein auswertbares Signal. Detektion greift auf Volumen, Frequenz, Uhrzeit und Kontoalter.
Die Freigabe neuer Benutzerkonten bedarf einer nachvollziehbaren Legitimation vor der ersten Abfrage. Prüfung von Berechtigung und Zweckbindung gehört in denselben Prozess. Protokollierung muss Einzelabrufe zeitnah auswertbar machen. Alarme greifen, sobald Schwellen für Abrufzahl oder Sitzungsdauer überschritten werden.
Sofort-Check für Registerbetreiber und Verpflichtete
- ✓Anomale Abfragemuster erkennen: Volumen, Frequenz, Uhrzeit und Kontoalter auswerten.
- ✓Neue Benutzerkonten erst nach nachvollziehbarer Legitimation freigeben, Zweckbindung im selben Prozess prüfen.
- ✓Einzelabrufe zeitnah auswertbar protokollieren, Alarme an Schwellen für Abrufzahl und Sitzungsdauer koppeln.
- ✓Eigene Registerzugänge revidieren: selten genutzte und breite Rechte priorisieren, auffällige Historien dem Betreiber melden.
Verpflichtete prüfen eigene Zugangswege zu Transparenzregistern. Konten mit selten genutzten oder breiten Rechten werden priorisiert revidiert. Auffällige Abfragehistorien werden dem jeweiligen Registerbetreiber gemeldet. Interne Richtlinien legen fest, wer abfragen darf und zu welchem Zweck.
Der Vorfall ist ein Lehrstück über Missbrauch legitimer Zugänge. Er ist zugleich ein Lehrstück über fehlende Anomalie-Erkennung bei Registerabfragen. Die amtlich bestätigten Fakten belegen den Datenabgriff und die Zeitleiste bis zur Information der Regierung. Die über die Pressekonferenz berichteten Aussagen beschreiben den stundenlangen Einzelabruf über ein angelegtes Benutzerkonto. Offen bleiben Täterschaft, exakter Legitimationsweg des Kontos und die weitere Verwendung der Daten.
Häufige Fragen
Was ist das VwbP?
Das VwbP ist das liechtensteinische Verzeichnis wirtschaftlich berechtigter Personen von Rechtsträgern. Es wird zur Verhinderung von Geldwäsche und Terrorismusfinanzierung geführt. Rechtsgrundlage ist das 2021 in Kraft getretene VwbPG.
Wie viele Rechtsträger sind betroffen?
Nach der amtlichen Medienmitteilung vom 2. August 2026 konnten Datenkopien von rund 31.000 Rechtsträgern abgegriffen werden. Nach aktuellem Kenntnisstand fehlen Hinweise auf veränderte oder gelöschte Daten im System.
Welche Datenkategorien wurden genannt?
Laut Berichterstattung über Behördenaussagen nannte Regierungschefin Haas Namen, Nationalitäten und Geburtsdaten der wirtschaftlich Berechtigten. Daten zu Vermögen, Umsatz oder Dividenden sind nach dieser Darstellung nicht betroffen.
Wie erfolgte der Zugriff nach Behördenaussagen?
Nach Reuters-Berichten über eine Pressekonferenz legten die Täter ein Benutzerkonto für das Register an. Sie verbrachten „several hours“ im System und griffen Daten einzeln ab. Der genaue Legitimationsweg des Kontos ist öffentlich nicht dargestellt.
Was bleibt unklar?
Die Täterschaft ist unbekannt. Ob und wie die Daten weiterverwendet werden, ist offen. Bis zu den zitierten Aussagen lagen weder Lösegeldforderungen noch ein Darknet-Verkaufsangebot vor.
Lesetipps der Redaktion
LesetippNIS2 trifft CLOUD Act: Wer haftet für die Drittstaaten-LückeLesetippLieferkettenrisiko ist ein Programm, keine Audit-ListeLesetippDORA und NIS2: Warum Banken-Audits jetzt kollidieren
Mehr aus dem MBF Media Netzwerk
cloudmagazinObservability frisst das Cloud-Budget unbemerktMyBusinessFutureMittelstand bremst Investitionen trotz BedarfDigital ChiefsAI-Cloud-Commitment: Capex-Tempo wird ungemütlich
Bildquelle: KI-generiert (August 2026)
