Nach Hackerangriff in Liechtenstein: Wie sicher sind heikle Finanzdaten beim Bund?Anfang Oktober nimmt die Schweiz ein Transparenzregister in Betrieb, wie es in Liechtenstein angegriffen wurde. Das wirft Fragen zur IT-Sicherheit der neuen Datenbank auf.07.08.2026, 05.30 Uhr5 LeseminutenDie Regierung in Vaduz kämpft gegen einen Vertrauensverlust.Gian Ehrenzeller / KeystoneDer Hackerangriff in Liechtenstein ist mittlerweile eine gute Woche her. Gestohlen wurden rund 31 000 Datensätze aus dem Verzeichnis der wirtschaftlich Berechtigten. Bei dem Diebstahl geht es für das Fürstentum um sehr viel.Optimieren Sie Ihre BrowsereinstellungenNZZ.ch benötigt JavaScript für wichtige Funktionen. Ihr Browser oder Adblocker verhindert dies momentan.Bitte passen Sie die Einstellungen an.In dem Verzeichnis werden sämtliche Stiftungen, Treuhandgesellschaften und Unternehmen erfasst, die in Liechtenstein ihren Sitz haben. Sie müssen in dem Verzeichnis Angaben zu ihren wirtschaftlich Berechtigten machen. Würden diese öffentlich, wäre der Reputationsverlust für den Finanzplatz Liechtenstein riesig.Wer hinter dem Angriff steckt und was die Angreifer mit den gestohlenen Daten wollen, ist nach wie vor unklar. Inzwischen ermitteln die Strafverfolgungsbehörden.Mögliche Verbindungen zu Russland-SanktionenGeldwäscherei-Experten sehen eine mögliche Verbindung zu Kunden aus Russland und anderen osteuropäischen Ländern. Zahlreiche von ihnen haben seit den neunziger Jahren ihr Vermögen in das Fürstentum gebracht. Zu wissen, ob solche Personen ein Finanzvehikel in Liechtenstein haben, wäre auch für Hackergruppen mit einer Verbindung zur Ukraine interessant.Ebenfalls denkbar wäre, dass die Daten in den USA auftauchen. Zwar verfolgt Liechtenstein seit 2009 eine konsequente Weissgeldstrategie. Seit dem russischen Überfall auf die Ukraine nehmen die Vereinigten Staaten jedoch gezielt Stiftungen ins Visier, die von reichen Russen gegründet und von liechtensteinischen Treuhändern verwaltet werden.Kommen durch den Datendiebstahl weitere problematische Kunden ans Licht, könnten die USA den Druck auf das Fürstentum erhöhen. Das Risiko dafür ist gross. Liechtenstein zählte bereits im vergangenen Jahr 475 sogenannte Zombie-Stiftungen – das sind besonders exponierte Vehikel, bei denen sich Treuhänder aus Angst vor Sanktionen aus der Verwaltung zurückgezogen haben.Diese Stiftungen sind praktisch handlungsunfähig. Entweder weil sie bereits mit Sanktionen belegt sind oder weil sie auf einer Sanktionsliste landen könnten. Die Regierung in Vaduz sucht nach wie vor nach einer Lösung für das Problem.Reaktion auf Druck aus dem AuslandNun startet im Oktober ein ähnliches Verzeichnis in der Schweiz. Ab einer Beteiligung von 25 Prozent müssen etwa Aktien-, Kapitalgesellschaften oder Genossenschaften melden, wer eine Beteiligung an ihnen hält. In Bezug auf die Datensicherheit wirft dies grosse Fragen auf.Ähnlich wie Liechtenstein hat auch die Eidgenossenschaft das Register in erster Linie auf internationalen Druck hin eingeführt. Dazu hat das Parlament im September 2025 eigens ein Transparenzgesetz verabschiedet, das unter anderem die Einführung eines solchen Registers vorsieht. Im Parlament wurde der Sinn des Verzeichnisses teilweise hitzig diskutiert. Auch wer überhaupt zugreifen darf und meldepflichtig ist, war umstritten. So müssen in der Schweiz Stiftungen und Vereine ihre Nutzniesser nicht dem Transparenzregister melden.Mit dem neuen Verzeichnis erfüllt der Bundesrat eine der zentralen Forderungen der Financial Action Task Force (FATF). Diese prüft die Schweiz in diesem und im kommenden Jahr. Ist das Register dann bereits in Betrieb, dürfte sich das sicher positiv auf die Note der Schweiz auswirken.Für das Transparenzregister sind in der Schweiz zwei Behörden zuständig: Das Bundesamt für Justiz (BJ) ist für den Betrieb der Plattform zuständig. Für die Überprüfung der Angaben wird eigens eine Kontrollstelle beim Finanzdepartement (EFD) eingerichtet.Der Bund betreibt einen hohen Aufwand für das Register. Die Kosten für die Entwicklung des Transparenzregisters betragen laut dem Bundesrat 15,3 Millionen Franken. Allein die Kontrollstelle beim Finanzdepartement beschäftigt ab Oktober dreizehn Personen.Liechtenstein war von Sicherheit überzeugtEin Cyberangriff wie auf das Verzeichnis von Liechtenstein stellt auch in der Schweiz ein Risiko dar. Zwar betont das Bundesamt für Justiz, dass zahlreiche Sicherheitsvorkehrungen getroffen würden. Doch die Verantwortlichen gingen auch in Liechtenstein bis zum Angriff davon aus, dass das System sicher sei.Behördenvertreter in Vaduz betonten an einer Medienkonferenz am Dienstag etwa, dass die Mitarbeiter nur in ihren Büros Zugriff auf das Verzeichnis gehabt hätten. Es habe nur einen einzigen Fernzugriff für Wartungszwecke gegeben. Dieser sei nur für einen bestimmten Mitarbeiter der liechtensteinischen Firma freigeschaltet gewesen, die das System entwickelt habe. Und der Wartungszugriff müsse auch explizit genehmigt werden.Ähnlich sieht der Aufbau in der Schweiz aus. Das Transparenzregister läuft laut dem BJ in einem «speziell gesicherten Netzwerk» des Eidgenössischen Justiz- und Polizeidepartements. Die IT-Lösung ist eine Eigenentwicklung des Bundes und kommt nicht von einer externen Firma. Direkten Zugriff auf das System hätten nur Mitarbeiter jener Behörde, die das Register führe, sowie der Kontrollstelle. Die anderen Nutzer des Verzeichnisses – also zum Beispiel Finanzintermediäre, die ihre Kunden melden wollen – müssten über das Portal Easygov des Bundes oder über eine spezielle Schnittstelle zugreifen.Diese Einschränkungen verhindern aber noch keinen Angriff, wie der Fall von Liechtenstein zeigt. Dort griffen die Angreifer nämlich nicht direkt auf die Datenbank zu, sondern über den Umweg des Portals für die Unternehmen und Gesellschaften. Auf diesem können jene Institutionen, die der Meldepflicht unterstehen, ihre Angaben über die berechtigten Personen eingeben oder mutieren.Die Angreifer nutzten eine Schwachstelle in diesem Portal beziehungsweise in der Schnittstelle zur eigentlichen Datenbank, um das komplette Verzeichnis abzugreifen. Sie richteten dazu ein neues Benutzerkonto ein und fragten dann jeden einzelnen Datensatz im Verzeichnis nacheinander ab.Die Schnittstelle lässt keine Massenabfrage zu. Deshalb dauerte es mehrere Stunden, bis die Angreifer alle 31 000 Datensätze heruntergeladen hatten, wie der Leiter des Amts für Informatik in Liechtenstein, Fabian Schmid, vor den Medien sagte.Massenabfragen gab es auch schon in der SchweizDass eine solche umfassende und stundenlange Abfrage in Liechtenstein technisch überhaupt möglich war, erstaunt. Es ist kein Anwendungsfall denkbar, bei dem ein einzelner Nutzer des Portals auf alle Datensätze zugreifen muss. Auch überrascht es, dass diese tausendfachen Anfragen mitten in der Nacht nicht zu einem Alarm oder einer automatischen Sperrung des Accounts führten.Das Amt für Informatik in Liechtenstein macht auf Anfrage keine Angaben darüber, was für Sicherheitssysteme installiert waren. Die Untersuchungen zum Tathergang und zur Umgehung von Sicherheitsmechanismen seien noch nicht abgeschlossen.In der Schweiz verweist das zuständige Bundesamt darauf, dass die Daten «laufend durch geschulte Spezialistinnen und Spezialisten überwacht» würden. So liessen sich Sicherheitsvorfälle «frühzeitig erkennen» und Gegenmassnahmen einleiten.Zumindest in der Vergangenheit funktionierte eine solche Überwachung des Portals Easygov jedoch nicht immer. So konnte im August 2021 ein Angreifer während 13 Tagen über Easygov unbemerkt Informationen über Unternehmen abrufen, die einen Covid-19-Kredit beantragt hatten. Der Angreifer führte dabei bis zu 544 000 Zugriffe pro Tag durch – ohne dass ein System Alarm schlug.Ein ausgeklügelter Angriff in LiechtensteinGrund für den Datendiebstahl auf Easygov 2021 soll dem Vernehmen nach ein schlecht programmiertes System gewesen sein. Es habe sich nicht um einen ausgeklügelten Cyberangriff gehandelt. Das scheint in Liechtenstein anders gewesen zu sein.Die derzeit bekannten Fakten deuten eher auf einen staatlichen Akteur hin. Diese verfügen in der Regel über das technische Fachwissen und die nötigen Ressourcen, um auch gut geschützte staatliche Systeme erfolgreich anzugreifen.Das gilt auch für die Schweiz. Mit dem Register entsteht ein zusätzliches Sicherheitsrisiko. Zudem ist umstritten, inwieweit das Register die Transparenz auf dem Finanzplatz tatsächlich verbessert. Geht es um die Verfolgung von Geldwäscherei, so sind die Informationen zu den wirtschaftlich Berechtigten nur beschränkt hilfreich.Dazu braucht es Daten zu einzelnen Transaktionen, und genau darüber gibt das Transparenzregister keine Auskunft. Somit besteht die Gefahr, dass das Verzeichnis abgesehen von zusätzlicher Bürokratie wenig Konkretes bringt.Passend zum Artikel