Es sind vier Angaben pro Person: Name, Vorname, Geburtsdatum, Staatsangehörigkeit. Klingt nach wenig. In der Kombination mit dem Rechtsträger, an dem diese Person wirtschaftlich berechtigt ist, ergibt sich jedoch genau jene Information, die Liechtenstein über Jahrzehnte hinweg mit erheblichem Aufwand geschützt hat – und die es seit 2021 auf europäischen Druck hin sammeln muss.

Rund 31’000 Datensätze aus dem Verzeichnis wirtschaftlich berechtigter Personen sind in der Nacht auf den 30. Juli kopiert worden. Wer die Täter sind, und was sie mit diesen Daten mvorhaben, darüber kann man im Moment nur spekulieren. Die Regierung hat einen Krisenstab eingesetzt, das System vom Netz genommen und die Aufsichtsbehörden informiert.

Der auffälligste Befund im Fall des gestohlenen Verzeichnisses wirtschaftlich berechtigter Personen ist eine Abwesenheit. Es liegt keine Lösegeldforderung vor. Die Daten sind bislang nicht im Darknet aufgetaucht. Es wurde nichts verschlüsselt, nichts gelöscht, nichts verändert.

Genau so verhalten sich gewöhnliche Cyberkriminelle nicht. Das Standardmuster einer Ransomware-Bande ist seit Jahren dasselbe: Systeme verschlüsseln, Lösegeld fordern, bei Nichtzahlung erste Datenhäppchen veröffentlichen und den Druck erhöhen. Hier fehlt jeder dieser Schritte. Wer Daten stiehlt und schweigt, hat entweder noch nicht zugeschlagen – oder verfolgt ein anderes Ziel als Geld.

Damit fällt die naheliegendste Erklärung vorerst weg. Übrig bleibt die älteste Ermittlungsfrage überhaupt: Cui bono – wem nützt es? Sie ist bei diesem Vorfall kein rhetorisches Beiwerk, sondern die einzige Spur, die sich von aussen verfolgen lässt, solange die forensische Untersuchung läuft.

Was das VwbP überhaupt ist

Bevor man fragt, wer die Ware haben will, muss man wissen, was die Ware ist.

Das Verzeichnis wirtschaftlich berechtigter Personen – im Behördendeutsch VwbP – ist kein liechtensteinisches Eigengewächs. Es geht auf die 5. EU-Geldwäscherei-Richtlinie zurück, die Liechtenstein als EWR-Mitglied umsetzen musste. Das entsprechende Gesetz (VwbPG) trat 2021 in Kraft.

Die Logik dahinter ist einfach: Geldwäsche funktioniert, weil sich hinter Gesellschaften, Stiftungen und Treuhänderschaften verbergen lässt, wem ein Vermögen tatsächlich gehört. Wer eine Struktur über mehrere Ebenen und Jurisdiktionen baut, macht es Ermittlern schwer, den wahren Nutzniesser zu finden. Die europäische Antwort darauf lautete: Jeder Rechtsträger muss seinen wirtschaftlich Berechtigten – den Menschen aus Fleisch und Blut am Ende der Kette – zentral melden. Nicht dem Publikum, sondern einer staatlichen Stelle.

In Liechtenstein führt das Amt für Justiz dieses Verzeichnis. Erfasst werden Gesellschaften, Stiftungen und Treuhänderschaften – also genau jene Rechtsformen, die den Kern des liechtensteinischen Treuhandwesens ausmachen.

Wer hineinsehen darf

Der Zugriff ist gestuft. Uneingeschränkten Einblick haben im Einzelfall die Strafverfolgungs- und Aufsichtsbehörden: die Stabsstelle FIU, die Finanzmarktaufsicht, die Landespolizei, die Steuerverwaltung, die Staatsanwaltschaft, das Landgericht und die Rechtsanwaltskammer. Sorgfaltspflichtige – Banken und Treuhänder – greifen im Rahmen ihrer Kundenprüfung zu.

Für Dritte gilt seit dem Urteil des Europäischen Gerichtshofs vom 22. November 2022 eine deutlich engere Regel. Der EuGH erklärte damals jene Bestimmung der Geldwäscherei-Richtlinie für ungültig, die einen freien öffentlichen Zugang zu den Transparenzregistern vorsah: Sie verletze das Recht auf Achtung des Privatlebens und den Schutz personenbezogener Daten nach den Artikeln 7 und 8 der EU-Grundrechtecharta. Seither müssen Dritte ein berechtigtes Interesse darlegen.

Das ist für die Bewertung des jetzigen Falls zentral. Ein europäisches Höchstgericht hat vor knapp vier Jahren festgestellt, dass diese Daten besonders schutzwürdig sind. Die Angreifer haben sich nun genommen, was das Gericht der Öffentlichkeit ausdrücklich verwehrt hat.

Was sind solche Daten wert?

Betroffen sind nach dem Stand vom Wochenende Name, Vorname, Geburtsdatum und Staatsangehörigkeit der erfassten Personen. Kontostände, Vermögenswerte oder Stiftungsurkunden gehören nicht dazu – das VwbP ist kein Vermögensregister.

Diese Einschränkung ist keine Entwarnung. Der Wert liegt nicht in einem Betrag, sondern in einer Verknüpfung: Person X steht hinter Struktur Y in Liechtenstein. Für diese eine Information wird in bestimmten Kreisen seit Jahrzehnten viel Geld bezahlt.

Und wer 31’000 Rechtsträger in einer Datei hat, hat kein Einzelschicksal, sondern eine Landkarte. Aus Häufungen von Staatsangehörigkeiten, Jahrgängen und Namenskombinationen lassen sich Muster ableiten, die weit über den einzelnen Datensatz hinausreichen. Wie gross der Anteil am Gesamtbestand der liechtensteinischen Rechtsträger ist, hat die Regierung bisher nicht beziffert – eine der Zahlen, die es an der Medienorientierung des Krisenstabs braucht.

Cui bono? Wer könnte hinter dem Cyberangriff stecken?

Die Regierung sagt, es gebe keine Hinweise auf die Täterschaft. Die folgenden Überlegungen sind entsprechend Denkmodelle, keine Anschuldigungen. Sie ordnen den Fall nach dem einzigen Kriterium, das derzeit zur Verfügung steht: nach dem Nutzen, den ein bestimmter Akteur aus dieser konkreten Datei ziehen könnte – und danach, ob das beobachtete Schweigen dazu passt.

Der Erpresser, der noch nicht angerufen hat

Der klassische Kriminelle bleibt möglich – nur mit längerem Atem. Die Erpressung von 31’000 Personen skaliert schlecht; die gezielte Erpressung einiger hundert prominenter Namen dagegen sehr gut. Dafür muss der Datensatz erst gesichtet, abgeglichen und priorisiert werden, was Wochen dauern kann. Erpresst würde dann nicht der Staat, sondern der einzelne Betroffene.

Dafür spricht: Es ist das ökonomisch naheliegendste Motiv. Dagegen spricht: Wer erpressen will, meldet sich normalerweise schnell, solange der Druck durch die öffentliche Aufregung am grössten ist.

Der Staat, der nie anrufen wird

Ein staatlicher Akteur hätte kein Interesse an Publizität – im Gegenteil. Für die Durchsetzung von Sanktionen, für die Suche nach Verbindungen zu sanktionierten Personen oder für die Aufklärung von Vermögensstrukturen politisch exponierter Personen wäre ein vollständiges Register wirtschaftlich Berechtigter ein Fund von erheblichem nachrichtendienstlichem Wert. Er würde still ausgewertet und nie öffentlich.

Was man aus der Vergangenheit gelernt hat, ist dass bei einem Regimewechsel in einem autokratischen Land die neue Regierung sehr daran interessiert ist, die Vermögenswerte ihrer Vorgänger, das ins Ausland verschafft wurde, zurückzuholen. Der Fall Abacha ist ein gutes Beispiel dafür. Welches Land das aktuell sein könnte? Es gibt duchaus das ein oder andere, auf das diese Beschreibung passen könnte.

Dafür spricht: Kein anderes Profil erklärt das vollständige Ausbleiben jeder Forderung so zwanglos. Dagegen spricht: Nichts – und genau das ist unbefriedigend. Ein Szenario, das sich nicht falsifizieren lässt, ist auch keines, auf das man eine Ermittlung stützen kann.

Der Steuerfahnder von gestern

Liechtenstein hat mit dieser Kategorie historische Erfahrung. 2008 verkaufte ein ehemaliger Mitarbeiter der LGT Treuhand gestohlene Kundendaten an den deutschen Bundesnachrichtendienst und an weitere Steuerbehörden; die Affäre löste in Deutschland eine Welle von Ermittlungsverfahren aus und markierte den Anfang vom Ende des Bankgeheimnisses.

Dafür spricht: Das Muster ist historisch belegt, ausgerechnet an diesem Standort. Dagegen spricht: Seit Einführung des automatischen Informationsaustauschs erhalten Steuerbehörden die relevanten Daten auf legalem Weg. Das Motiv ist weitgehend entfallen – die Assoziation in der öffentlichen Wahrnehmung aber nicht. Genau darin liegt der Schaden dieses Szenarios, auch wenn es unwahrscheinlich ist.

Dagegen spricht auch, dass die Steuerbehörden vermutlich sehr schnell reagiert hätten. Denn nach Bekanntwerden muss befürchtet werden, dass Betroffene schnell Beweise vernichten würden. Und bei der grossen Zahl an Betroffenen hätte man irgendetwas von derartien Vorgängen in den internationalen Medien gelesen.

Der Rechercheverbund

Von Offshore Leaks bis zu den Pandora Papers folgten Datenveröffentlichungen einem festen Ablauf: Das Material wandert an ein internationales Journalistennetzwerk, wird monatelang aufbereitet und dann koordiniert publiziert.

Dafür spricht: Auch dieses Profil erklärt die Stille. Dagegen spricht: Es erklärt sie nur vorübergehend – und die Daten allein tragen keine Story. Name, Geburtsdatum und Staatsangehörigkeit ohne Vermögenswerte und ohne Korrespondenz ergeben eine Namensliste, keinen Skandal. Journalistisch verwertbar wird das Material erst in Kombination mit anderen Quellen.

Der Zwischenhändler

Die wenig beachtete Möglichkeit: Der Angreifer verwertet gar nicht selbst. Im organisierten Cybercrime existiert eine arbeitsteilige Kette, in der Zugänge und Datenbestände weiterverkauft werden, bevor jemand sie nutzt. Dann läge die Datei heute bei einem Akteur, der sie noch nicht monetarisiert hat – und der eigentliche Verwerter kommt später.

Dafür spricht: Es erklärt Stille ohne besondere Annahmen über Motive. Dagegen spricht: Solche Verkäufe hinterlassen normalerweise Spuren in einschlägigen Foren.

Wem es nicht nützt

Die Gegenprobe ist ebenso aufschlussreich. Verlierer sind zunächst die Betroffenen selbst – und zwar in zwei Stufen.

Der unmittelbarste Effekt ist der banalste: Phishing. Wer Name, Geburtsdatum und die Verbindung zu einem liechtensteinischen Rechtsträger kennt, kann ausserordentlich glaubwürdige Nachrichten verfassen – vermeintlich vom Treuhänder, vermeintlich vom Amt für Justiz, vermeintlich vom Krisenstab. Erfahrungsgemäss setzt die zweite Angriffswelle genau in den Tagen nach dem Bekanntwerden einer Datenpanne ein und nutzt die Verunsicherung aus. Wer eine E-Mail zum Thema erhält, sollte Links und Anhänge konsequent ignorieren und den Absender über bekannte Kanäle verifizieren.

Ernster ist die zweite Stufe. Das VwbPG kennt die Möglichkeit, die Bekanntgabe von Daten auf Antrag einzuschränken, wenn überwiegende schutzwürdige Interessen bestehen – etwa wenn der wirtschaftlich Berechtigte sonst einem unverhältnismässigen Risiko von Betrug, Entführung, Erpressung, Belästigung, Gewalt oder Einschüchterung ausgesetzt wäre. Der Gesetzgeber hat diese Risiken also ausdrücklich mitgedacht. Ein Datenabfluss unterläuft jeden solchen Schutzantrag: Der rechtliche Schutzschirm nützt nichts, wenn die Daten das Haus bereits verlassen haben. Für Personen aus autoritär regierten Staaten kann allein die Bestätigung, dass sie eine Struktur in Liechtenstein halten, existenzielle Folgen haben.

Der zweite Verlierer ist der Finanzplatz. Liechtenstein hat seit 2008 einen bemerkenswerten Weg zurückgelegt – weg vom Bankgeheimnis, hin zu automatischem Informationsaustausch und einem Regelwerk, das im europäischen Vergleich gut dasteht. Das Verkaufsargument lautet seither nicht mehr Verschwiegenheit, sondern Rechtssicherheit und Professionalität. Genau dieses Argument ist getroffen. Ein Treuhänder in Vaduz wird sich in den kommenden Wochen anhören müssen, warum seine Kunden in einem Land registriert sind, dessen zentrales Register kompromittiert wurde. Die Frage ist unfair – Behörden weit grösserer Staaten wurden ebenso erfolgreich angegriffen –, aber sie wird gestellt werden.

Bemerkenswert ist dabei, wie sich der Vorfall zum Selbstbild des Landes verhält. Liechtenstein hat dieses Register nicht gewollt, sondern auf europäischen Druck hin eingeführt. Der EuGH hat 2022 selbst festgehalten, dass die ursprünglich vorgesehene Offenheit zu weit ging. Nun führt ein Angreifer vor, was Kritiker zentraler Register seit Jahren einwenden: Je vollständiger und je zentraler ein Datenbestand, desto lohnender das Ziel.

Was die Antwort ändern würde

Solange die Täterfrage offen ist, hängt alles Weitere an drei Punkten.

Erstens der Angriffsweg. Vorsorglich wurden zwei weitere Portale desselben Lieferanten vom Netz genommen, darunter die eMWST. Das deutet auf eine Spur beim externen Anbieter, verlangt aber Bestätigung. Ob Schwachstelle, gestohlene Zugangsdaten oder Insider – die Antwort verengt den Kreis der plausiblen Akteure erheblich.

Zweitens die Information der Betroffenen. Der Vorfall wurde am 30. Juli entdeckt und am 2. August öffentlich gemacht; das ist zügig. Die Mitteilung nach Art. 34 DSGVO muss nun individuell, verständlich und schnell erfolgen. Eine Mailadresse ist ein Anfang, keine Lösung. Es braucht die verbindliche Auskunft, ob jemand betroffen ist – nicht nur, dass er es sein könnte.

Drittens die politische Konsequenz. Ob ein Kleinstaat kritische Register bei externen Lieferanten betreiben lassen soll, ohne über die Kapazität zu verfügen, deren Sicherheit selbst zu prüfen, ist keine technische Frage. Sie gehört in den Landtag, und sie wird sich mit dem Abschluss der Forensik nicht erledigt haben.

Bis dahin bleibt der Befund derselbe: Die Frage, wem der Diebstahl nützt, ist unbeantwortet. Für 14:00 Uhr hat die Regierung eine weitere Pressekonferenz angekündigt. Wir dürfen gespannt sein, welche neuen Erkentnisse präsentiert werden.