Cyberangriff auf das Verzeichnis wirtschaftlich berechtigter Personen (VwbP) in Liechtenstein

Das Fürstentum Liechtenstein hat über einen Cyberangriff auf das Verzeichnis der wirtschaftlich berechtigten Personen (VwbP) informiert. In der Nacht auf den 30. Juli 2026 verschaffte sich eine unbekannte Täterschaft unrechtmäßig Zugriff auf das beim Amt für Justiz geführte Verzeichnis und erlangte Datenkopien von rund 31.000 Rechtsträgern. Die Sicherheitsbehörden haben daraufhin umfangreiche forensische Untersuchungen eingeleitet und vorsorglich mehrere Systeme der Landesverwaltung vom Netz genommen.

Umfang und Art der betroffenen Daten

Betroffen sind Angaben zu den Rechtsträgern sowie zu deren wirtschaftlich berechtigten Personen. Hierzu gehören insbesondere Name und Vorname, Geburtsdatum, Staatsangehörigkeit und Wohnsitzstaat der wirtschaftlich berechtigten Personen. Das VwbP enthält hingegen keine vollständigen Adress- oder Kontaktdaten und keine finanziellen Angaben wie Umsätze, Vermögen oder Dividenden. Rückschlüsse auf konkrete Vermögenswerte sind daher anhand der entwendeten Daten nicht möglich.

Das VwbP besteht seit dem Inkrafttreten des VwbPG im Jahr 2021 und dient der Umsetzung der 5. EU-Geldwäscherichtlinie.

Reaktion der Behörden

Nach dem Bekanntwerden des Vorfalls am 30. Juli 2026 wurde das betroffene System unmittelbar vom Netz genommen und die Regierung informiert. Vorsorglich wurden anschließend weitere Systeme, darunter das Zentrale Kontenregister, das Steuerfachsystem Intax sowie das Handelsregister, vorübergehend abgeschaltet. Die forensischen Untersuchungen ergaben einen gezielten und isolierten Angriff. Hinweise auf eine Veränderung oder Löschung von Daten oder auf eine Betroffenheit kritischer Infrastrukturen liegen nach Angaben der Behörden nicht vor.

Der Vorfall wurde als Verletzung des Schutzes personenbezogener Daten nach Art. 33 DSGVO eingestuft. Das Amt für Justiz erstattete Strafanzeige gegen unbekannt. Die Staatsanwaltschaft beantragte zudem Vorerhebungen wegen widerrechtlichen Zugriffs auf ein Computersystem und Datendiebstahls.

Ursache und weitere Sicherheitsmaßnahmen

Die am 19. August 2026 abgeschlossenen Sicherheitsanalysen identifizierten als Ursache eine fehlerhafte Logik bei der Berechtigungsprüfung. Dadurch konnte die API entgegen ihrer vorgesehenen Nutzung durch wiederholte Einzelanfragen ausgenutzt werden. Nach Angaben des Amts für Informatik handelte es sich dabei nicht um eine klassische Software-Schwachstelle.

Für die schrittweise Wiederaufschaltung der betroffenen Systeme sind zusätzliche Sicherheitsmaßnahmen vorgesehen. Dazu gehören insbesondere die Vorschaltung der eID zur Kontoverifizierung und Identitätsprüfung, ein Ausbau der Überwachungs- und Erkennungsmechanismen sowie mehrstufige Sicherheitsprüfungen. Die strafrechtlichen Ermittlungen dauern an; Rechtshilfeersuchen an verschiedene Jurisdiktionen sind noch offen.

Informationen für betroffene Rechtsträger und wirtschaftlich Berechtigte

Da im VwbP keine vollständigen Kontaktdaten hinterlegt sind, werden die betroffenen Rechtsträger seit dem 4. August 2026 aufgefordert, die jeweils wirtschaftlich berechtigten Personen gemäß Art. 34 DSGVO über den Vorfall zu informieren und die Information zu dokumentieren.

Für Rückfragen hat das Land Liechtenstein eine Informationsstelle eingerichtet. Zudem werden weitere Informationen über die entsprechende Fokusseite der Regierung bereitgestellt.

Für die vorübergehende Nichtverfügbarkeit des eMWST-Portals wurde die Einreichungsfrist für MWST-Abrechnungen des 2. Quartals bzw. 1. Semesters 2026 sowie für im August 2026 auslaufende Fristen um 30 Tage bis Ende September 2026 verlängert. Die Zahlungsfrist für Ende August 2026 bleibt dagegen unverändert.

Empfehlung

Betroffene Rechtsträger sollten die Schreiben des Amts für Justiz prüfen und sicherstellen, dass die eigenen wirtschaftlich berechtigten Personen ordnungsgemäß über den Vorfall informiert werden. Die erfolgte Information sollte intern dokumentiert werden. Aufgrund der offengelegten personenbezogenen Daten ist zudem erhöhte Wachsamkeit gegenüber ungewöhnlichen oder gezielt auf diese Angaben Bezug nehmenden Kontaktaufnahmen angezeigt.

Darüber hinaus sollten betroffene Unternehmen die vorübergehende Nichtverfügbarkeit einzelner staatlicher Systeme bei ihren internen Abläufen berücksichtigen und relevante Fristen, insbesondere im Bereich der MWST, überprüfen. Weitere Informationen und Aktualisierungen sollten über die offiziellen Mitteilungen der liechtensteinischen Regierung verfolgt werden.