Die forensische Untersuchung des Cyberangriffs auf das Verzeichnis wirtschaftlich berechtigter Personen (VwbP) hat ein potenzielles Einfallstor identifiziert. Wie der Krisenstab an einer Medienkonferenz mitteilte, wurden bei dem Angriff Datenkopien von rund 31’000 Rechtsträgern widerrechtlich abgegriffen. Die detaillierte Auswertung läuft weiter, ebenso die Ermittlungen der Strafverfolgungsbehörden.

An der Medienkonferenz informierten Regierungschefin Brigitte Haas, Justizminister Emanuel Schädler, Martin Alge, Leiter des Amtes für Justiz, und Fabian Schmid, Leiter des Amtes für Informatik, über den aktuellen Stand.

Erste Ergebnisse zum Tathergang

In der Nacht auf den 30. Juli 2026 verschaffte sich eine unbekannte Täterschaft auf digitalem Weg widerrechtlich Zugriff auf das VwbP. Die forensischen Untersuchungen sowie die Analysen zum Hergang des Angriffs und zur Umgehung der Sicherheitshürden laufen weiter. Ein erster Hinweis auf ein mögliches Einfallstor wurde inzwischen identifiziert. Nach aktuellem Kenntnisstand handelte es sich um einen gezielten Angriff auf hohem technischem Niveau gegen eine hochkomplexe Sicherheitsstruktur, wie Fabian Schmid erläuterte.

Die vorläufigen Ergebnisse zeigen zudem, dass das VwbP gezielt und isoliert angegriffen wurde. Weder zu den Servern der Landesverwaltung noch zu weiteren Systemen der Landesverwaltung wurden gemäss aktuellem Kenntnisstand widerrechtliche Zugriffsversuche registriert. Dennoch hat die Regierung als Vorsichtsmassnahme veranlasst, weitere Systeme mit sensiblen Daten vorübergehend vom Netz zu nehmen. Diese werden umfassenden Sicherheitsprüfungen unterzogen.

Regierungschefin Brigitte Haas betont: „Wir arbeiten weiter mit Hochdruck an der Aufklärung und den Massnahmen in Folge des kriminellen Cyberangriffs. Ich möchte nochmal darauf hinweisen, dass das VwbP ein Instrument zur Transparenz und Verhinderung von Straftaten ist. Das Verzeichnis haben wir in Abstimmung mit unseren europäischen Partnern und zur Umsetzung der 5. EU-Geldwäscherei-Richtlinie erstellt. Der Angriff auf uns ist auch ein Angriff auf internationale Compliance-Standards.“

Die von Behörden und Finanzmarktteilnehmern gemeinsam erarbeitete Finanzplatzstrategie hält dazu fest, dass die zeitnahe Umsetzung aller relevanten EU-Regulierungen und die vollständige Integration in das Europäische System der Finanzaufsicht zu den wichtigsten Massnahmen zählen – ebenso wie der automatische Informationsaustausch in Steuersachen, die Umsetzung der OECD-Initiativen gegen Gewinnverkürzung und Gewinnverlagerung sowie die proaktive Bekämpfung von Geldwäsche und Terrorismusfinanzierung. Die volle Einhaltung aller internationalen Standards und die Vorreiterrolle Liechtensteins bei der Bekämpfung von Finanzkriminalität wird regelmässig auch von internationalen Organisationen wie MONEYVAL, dem Internationalen Währungsfonds und der Ratingagentur S&P Global bestätigt.

Warum das Register nicht öffentlich zugänglich ist

Justizminister Emanuel Schädler wies an der Medienkonferenz darauf hin, dass es sich beim VwbP um ein sensibles Verzeichnis handelt, das den zuständigen Strafverfolgungsbehörden – insbesondere der Financial Intelligence Unit, der Staatsanwaltschaft und der Landespolizei – als Instrument zur Verfolgung von Geldwäscherei und Terrorismusfinanzierung dient. Im Rahmen der gesetzlichen Amtshilfe können auch ausländische Behörden auf die Daten zugreifen.

Die 5. EU-Geldwäscherei-Richtlinie sah das Verzeichnis ursprünglich als öffentlich einsehbares Register vor. Der Europäische Gerichtshof entschied jedoch im Urteil vom 22. November 2022, dass der freie Zugang der Öffentlichkeit zu Informationen über wirtschaftlich Berechtigte einen schweren Eingriff in die Grundrechte auf Achtung des Privat- und Familienlebens sowie auf Schutz personenbezogener Daten gemäss der Charta der Grundrechte der Europäischen Union darstellt. Seither ist das Verzeichnis nicht mehr frei zugänglich, was die darin enthaltenen Daten aus europäischer Sicht als besonders sensibel einstuft.

Betroffene werden informiert

Der Angriff auf das VwbP stellt eine Verletzung des Schutzes personenbezogener Daten gemäss Artikel 33 der Datenschutz-Grundverordnung (DSGVO) dar. Gemäss Artikel 34 DSGVO sind die betroffenen Personen so rasch wie möglich über die Verletzung zu informieren; daran arbeitet der Krisenstab mit Hochdruck.

Soweit den Behörden Kontaktdaten vorliegen, werden Betroffene unverzüglich informiert. Da im Verzeichnis jedoch nicht alle Kontaktdaten – etwa Wohnadressen – hinterlegt sind, verzögert sich die individuelle Information in solchen Fällen. Gemeinsam mit den Verbänden wurde deshalb vereinbart, dass das Amt die Rechtsträger informiert und diese ihrerseits die betroffenen wirtschaftlich Berechtigten benachrichtigen. Damit soll eine datenschutzrechtlich vertretbare Lösung sichergestellt werden, ohne dass zusätzliche, über die Geldwäschereirichtlinie hinausgehende Daten an staatliche Stellen fliessen.

Das Verzeichnis wurde unmittelbar nach dem ersten Verdacht gestoppt und ist über die LLV.li-Website für externe Nutzer derzeit nicht verfügbar. Eine direkte Generierung von Auszügen ist von aussen momentan nicht möglich; Anträge können jedoch bei der registerführenden Abteilung Stiftungsaufsicht beziehungsweise der Sorgfaltspflichtstelle des Amtes für Justiz gestellt werden, da der interne Zugriff auf das Verzeichnis weiterhin gewährleistet ist. Justizminister Schädler betonte, dass die vorübergehende Nichtverfügbarkeit des Registers einzelne Abklärungsprozesse zwar komplexer und aufwendiger machen könne. Banken verfügten jedoch unabhängig davon über eigene, gesetzlich vorgeschriebene Sorgfaltspflichtprüfungen, die von der Nichtverfügbarkeit des Registers nicht betroffen seien – die geldwäschereirechtlichen Kontrollen der Banken blieben somit vollumfänglich in Kraft.

Die Zugriffsrechte auf das VwbP gehören laut Schädler zu den höchsten Sicherheitsstandards der Landesverwaltung: Zugriffsberechtigt sind ausschliesslich Personen, die in ihrer Tätigkeit mit Geldwäschereibekämpfung und Terrorismusfinanzierung befasst sind.

Keine Kunden- und Vermögensdaten betroffen

Liechtenstein hat sich wiederholt zu einem hohen Standard bei der Bekämpfung von Geldwäscherei und Terrorismusfinanzierung bekannt und setzt dies konsequent um. Die Konformität mit internationalen und europäischen Standards ist seit Jahren eine wichtige Säule der Finanzplatzstrategie. Aus diesem Grund wurde das VwbP 2021 im Zuge der Umsetzung der 5. Geldwäschereirichtlinie eingeführt. Die Daten werden von den einsichtsberechtigten Stellen zur Bekämpfung von Geldwäscherei, Vortaten zur Geldwäscherei und Terrorismusfinanzierung genutzt.

Im Verzeichnis erfasst sind der Name des Rechtsträgers sowie Name, Vorname, Geburtsdatum, Staatsangehörigkeit und Wohnsitzstaat der wirtschaftlich berechtigten Personen. Eine Adresse, Telefonnummer oder E-Mail-Adresse wird nicht erfasst, ebenso wenig finanzielle Daten der Rechtsträger wie Umsätze, Vermögen oder Dividenden. Auch Banksysteme, Kundengelder, Vermögenswerte, Transaktionsdaten oder Bankkundendaten sind nicht betroffen, da sie mit dem VwbP nichts zu tun haben. Es gebe zudem keinerlei Hinweise, dass ein anderes Verzeichnis kompromittiert worden sei. Aus den abgegriffenen Daten lassen sich entsprechend keine Rückschlüsse auf Vermögenswerte oder andere Finanzdaten ziehen.

Kein Einzelfall: internationale Vergleiche

Regierungschefin Haas verwies an der Medienkonferenz darauf, dass sich ein Cybervorfall nie vollständig ausschliessen lasse und Liechtenstein damit kein Einzelfall sei. Als Beispiele nannte sie den Cyberangriff in Luxemburg vor rund einem Jahr, der weite Teile des Landes lahmlegte – Internet, Notrufnummern, Mobilfunk und der Flughafen waren betroffen. Auch in Frankreich wurde im Februar 2026 das zentrale Kundenregister gehackt; dabei wurden 1,2 Millionen Kundendaten abgezogen, darunter Bankverbindungen, die Identität der Kontoinhaber, Adressen und in einigen Fällen Steueridentifikationsnummern. Am Tag der Medienkonferenz wurde zudem das Schweizerische Bundesamt für Informatik und Telekommunikation Opfer eines Angriffs.

Entscheidend sei die Fähigkeit des Staates, rasch, professionell und koordiniert zu reagieren, so Haas. Das betroffene System sei sofort nach den ersten Erkenntnissen vom Netz genommen worden, der Krisenstab sei umgehend nach Bekanntwerden des Ausmasses eingesetzt worden, externe Spezialisten seien sofort beigezogen, die Datenschutzbehörde umgehend informiert und die Strafverfolgungsbehörden eingeschaltet worden.

Strafverfolgungsbehörden ermitteln

Am Wochenende reichte das Amt für Justiz Strafanzeige gegen unbekannt ein. Die Strafverfolgungsbehörden haben daraufhin unmittelbar die Ermittlungen aufgenommen. Digitale Spuren werden ausgewertet und in Zusammenarbeit mit europäischen Behörden weiterverfolgt.

Hintergrund: Das Verzeichnis wirtschaftlich berechtigter Personen

Das VwbP wird zur Verhinderung von Geldwäsche und Terrorismusfinanzierung geführt und folgt den Vorgaben der 5. EU-Geldwäscherei-Richtlinie. Es enthält öffentliche und nicht-öffentliche Daten über die wirtschaftlich berechtigten Personen von Gesellschaften, Stiftungen und Treuhänderschaften in Liechtenstein. Das Gesetz über das Verzeichnis der wirtschaftlich berechtigten Personen von Rechtsträgern (VwbPG) ist 2021 in Kraft getreten.