Liechtensteins Geldwäsche-Register gehackt: 31.000 Rechtsträger betroffen, und das Verzeichnis war nie öffentlich

Unbekannte haben in der Nacht auf den 30. Juli 2026 aus dem liechtensteinischen Verzeichnis wirtschaftlich berechtigter Personen Datenkopien zu rund 31.000 Rechtsträgern abgegriffen, aus einem Register, das nie allgemein öffentlich zugänglich war und dessen Daten Dritten nur in einem gesetzlich geregelten Antragsverfahren offengelegt wurden. Der Vorfall zerlegt die beruhigendste Formel der letzten Jahre, wonach ein nicht öffentliches Register schon sicher genug sei. Er zeigt außerdem, dass der Gesetzgeber die Gefahren für die Betroffenen bereits 2021 wörtlich in das Gesetz geschrieben hat, und er erinnert daran, dass ein Geburtsdatum sich nicht wechseln lässt wie ein Passwort.

Ich saß auf der Autobahn, Rückweg von einem Kundentermin, als das Telefon eine Nachricht von Kollegen durchstellte. 2 Zeilen, ein Link, mehr nicht. Ich habe die Meldung an der nächsten Raststätte gelesen und danach eine Weile auf den Parkplatz geschaut, weil ich zu diesem Zeitpunkt seit 3 Tagen kaum geschlafen hatte. 2 unserer wichtigsten Serversysteme standen unter Dauerangriff, ich hatte das Wochenende damit verbracht, die Angriffe abzuwehren und danach jede Sicherheitsstrategie neu aufzuziehen, die wir im Haus haben. Und dann diese Nachricht, mit der Wucht eines schlechten Witzes, den man selbst geschrieben hat.

Die Fakten sind schnell erzählt und trotzdem größer, als sie im ersten Moment wirken. Nach Angaben der Regierung des Fürstentums verschaffte sich in der Nacht auf den 30. Juli 2026 eine unbekannte Täterschaft widerrechtlich digitalen Zugriff auf das Verzeichnis wirtschaftlich berechtigter Personen, kurz VwbP, und griff dabei Datenkopien von rund 31.000 Rechtsträgern ab. Rechtsträger sind in diesem Zusammenhang Gesellschaften, Stiftungen und Treuhänderschaften. Hinter jedem einzelnen von ihnen kann mehr als eine natürliche Person stehen, und eine einzelne Person kann hinter mehreren Rechtsträgern stehen, weshalb die Zahl der betroffenen Menschen bislang niemand seriös beziffern kann. Zur Einordnung: Liechtenstein hatte am 31. Dezember 2024 insgesamt 41.398 Einwohner, ständige und nichtständige zusammengenommen. Die beiden Zahlen meinen nicht dasselbe und dürfen nicht verwechselt werden, aber ihr Verhältnis sagt etwas über die Dichte dieses Finanzplatzes aus.

Die These dieses Beitrags steht in einem einzigen Satz, und sie steht bewusst hier oben und nicht am Ende. Der Schutz eines staatlichen Pflichtregisters hängt nicht daran, wer hineinsehen darf, sondern ausschließlich daran, wer hineinkommt. Alles Weitere in diesem Text erklärt, warum das so ist und warum wir es seit Jahren wissen.

Die Chronologie einer Nacht, die niemand bemerkte

Der Ablauf ist in der Medienmitteilung der Regierung dokumentiert, und er verdient eine genaue Lektüre, weil in solchen Zeitachsen mehr steht als in jedem Kommentar. In der Nacht auf den 30. Juli 2026 erfolgte der Zugriff. Im Verlauf desselben Tages fielen beim Amt für Justiz Unregelmäßigkeiten auf, wobei der Landesspiegel präzisiert, dass eine Mitarbeiterin sie bei einer Kontrolle bemerkte. Daraufhin wurde das Amt für Informatik hinzugezogen, das Maßnahmen zur Sicherung der Daten umsetzte und das betroffene System vom Netz nahm.

Informiert wurde die Regierung des Fürstentums erst am 31. Juli 2026 darüber, dass ein potenziell erfolgreicher Angriff stattgefunden hatte. Die ersten bestätigten Ergebnisse der Voruntersuchungen lagen am Nachmittag des 1. August vor, am Abend desselben Tages berief die Regierung einen Krisenstab ein, der am 2. August 2026 formell bestätigt worden ist. Die Leitung übernahmen Regierungschefin Brigitte Haas und Justizminister Emanuel Schädler. Über weitere Entwicklungen wollte der Krisenstab am Montag, dem 3. August 2026, in einer eigenen Mitteilung informieren.

Zwischen dem Zugriff und der bestätigten Erkenntnis liegen damit gut 2 Tage, zwischen dem Zugriff und der öffentlichen Information sind es 3 Tage. Für eine Verwaltung, die an einem Wochenende reagieren muss, ist das kurz. Für einen Angreifer, der eine Kopie zieht und danach nur noch Bandbreite braucht, ist es eine Ewigkeit.

Was mir an dieser Kette auffällt, ist nicht die Reaktionsgeschwindigkeit nach der Entdeckung, die war für eine Verwaltung bemerkenswert kurz. Mir fällt auf, dass am Anfang der bislang veröffentlichten Entdeckungskette ein Mensch steht. Ob im Hintergrund eine technische Anomalieerkennung lief, ob sie ebenfalls anschlug oder ob sie nichts meldete, ist öffentlich nicht bekannt. Ich will die Mitarbeiterin nicht kleinreden, im Gegenteil, diese Frau hat vermutlich Tage gerettet. Sollte sich allerdings bestätigen, dass der Zugriff tatsächlich nur über eine manuelle Kontrolle auffiel, wäre das der eigentliche Befund zur technischen Angriffserkennung.

Der zweite Punkt, der in dieser Zeitachse steckt, betrifft die Reihenfolge der Information. Zuerst erfährt die Fachbehörde, dass etwas nicht stimmt, dann die Technik, dann die Regierung, dann die Öffentlichkeit, und ganz am Ende erfahren es die Menschen, deren Daten in dem Verzeichnis stehen. Diese Reihenfolge ist organisatorisch nachvollziehbar und für den Betroffenen die denkbar schlechteste, weil er in genau der Phase nichts weiß, in der eine Warnung ihm noch etwas nützen würde.

Bislang wurde nach Angaben aus Vaduz kein Lösegeld gefordert, und die Daten sind nicht im Darknet aufgetaucht. Beides klingt wie eine Entwarnung und ist das genaue Gegenteil. Wer erpressen will, meldet sich früh, weil sein Geschäftsmodell die Drohung ist. Wer sich nicht meldet, kann viele Gründe haben, und belegt ist derzeit keiner davon: Spionage, ein Käufer, ein Auftraggeber, das Sammeln für eine spätere Verwertung oder eine Erpressung, die schlicht noch nicht begonnen hat. Regierungschefin Brigitte Haas sagte an der Medienkonferenz dazu nur: „Es gibt bislang weder Lösegeldforderungen“, und ergänzte, dass das Verzeichnis bislang weder im Darknet aufgetaucht noch zum Verkauf angeboten worden sei. Das ruhige Szenario bleibt trotzdem das unangenehmere, weil es jede Einschätzung des Schadens auf unbestimmte Zeit vertagt.

Was in diesem Verzeichnis steht

Hier lohnt der Blick ins Gesetz statt in die Pressemeldung. Das Gesetz über das Verzeichnis der wirtschaftlich berechtigten Personen von Rechtsträgern trat am 1. April 2021 in Kraft und setzt die Vorgaben der EU-Geldwäschereirichtlinie zum Register der wirtschaftlich Berechtigten um. Sein Artikel 4 Absatz 1 Buchstabe a schreibt vor, welche Angaben zu natürlichen Personen einzuholen und dem Amt für Justiz zu melden sind: Name, Vorname, Geburtsdatum, Wohnsitzstaat und Staatsangehörigkeit. Nach den Berichten von der Pressekonferenz waren jedenfalls Name, Vorname, Geburtsdatum und Staatsangehörigkeit betroffen. Martin Alge, Leiter des Amtes für Justiz, nannte gegenüber dem Schweizer Fernsehen zusätzlich das Wohnsitzland. Eine abschließende Feldliste enthält die schriftliche Mitteilung der Regierung bislang nicht.

Das liest sich harmlos, solange man es als Zeile in einer Tabelle betrachtet. Als forensischer Datensatz betrachtet, ist es etwas anderes, denn diese Kombination ist der Schlüssel, mit dem sich andere Datenbestände aufschließen lassen. Ein Name allein ist mehrdeutig, ein Name mit Geburtsdatum ist es fast nie. Genau deshalb ist die Verknüpfung von Name und Geburtsdatum in praktisch jedem Abgleichverfahren der Anker, an dem Datensätze aus verschiedenen Quellen zusammengeführt werden. Wer diese Kombination hat und sie gegen einen älteren Leak legt, bekommt aus 2 mageren Beständen einen fetten.

Das Gesetz denkt diese Dauerhaftigkeit an einer Stelle sogar mit, und zwar in einer Weise, die ich beim Lesen zweimal prüfen musste. Artikel 12 Absatz 5 verlangt, personenbezogene Daten 5 Jahre nach dem Ende eines Rechtsträgers aus dem Verzeichnis zu löschen. Artikel 12 Absatz 6 verlangt, jede einzelne Datenverarbeitung im Verzeichnis zu protokollieren, und Absatz 7 bestimmt, dass diese Protokolldaten 10 Jahre aufzubewahren sind. Die beiden Fristen laufen von verschiedenen Ereignissen an, weshalb sich daraus kein pauschaler Abstand von 5 Jahren ergibt. Was sich daraus ergibt, ist eine ungewöhnlich lange Speicherung der Verarbeitungsspuren, aus Sicht der Datenschutzkontrolle vollkommen vernünftig und aus Sicht des Betroffenen ein Kommentar über Prioritäten. Ein sauber geführtes Protokoll ist übrigens der Grund, warum Vaduz überhaupt in Tagen sagen kann, was passiert ist.

Und jetzt der Teil, der jeden angeht, der schon einmal ein Passwort geändert hat. Ein Passwort ist ein Geheimnis auf Zeit, es lässt sich in wenigen Augenblicken ersetzen, und danach ist der alte Wert wertlos. Ein Geburtsdatum lässt sich nicht ersetzen. Eine Staatsangehörigkeit auch nicht, ein Wohnsitzstaat nur mit einem Umzug, ein Name nur mit einem Verfahren, das die meisten Menschen nie durchlaufen werden. Was hier abgeflossen ist, bleibt für den Rest eines Lebens gültig, und es bleibt vor allem für die Anschlusstaten gültig, für die es sich eignet.

Nie öffentlich, und trotzdem weg

Der zweite Teil der Überschrift ist keine Zuspitzung, sondern eine Feststellung aus dem Gesetzestext. Das VwbP ist kein öffentliches Register, in das jeder hineinschauen kann, und es war nie eines. Artikel 13 räumt ausgewählten inländischen Behörden ein Abrufverfahren ein, namentlich der Stabsstelle FIU, der Finanzmarktaufsicht, der Landespolizei, der Steuerverwaltung, der Staatsanwaltschaft, dem Landgericht und der Rechtsanwaltskammer. Banken und Finanzinstitute erhalten nach Artikel 15 nur auf Antrag Daten, inländische Sorgfaltspflichtige nach Artikel 16 ebenfalls nur auf Antrag. Dritte müssen nach Artikel 17 je nach Konstellation sogar ein berechtigtes Interesse nachweisen, und über einen Teil dieser Anträge entscheidet eine eigens eingerichtete Kommission.

Das ist, gemessen an dem, was die Europäische Union ursprünglich wollte, ein enges und sorgfältig gebautes Zugangsregime. Es hat exakt nichts genützt. Die Täterschaft hat keinen Antrag gestellt, kein berechtigtes Interesse nachgewiesen und keine Kommission überzeugt, sondern eine technische Schwachstelle benutzt, und danach war das gesamte Zugangsregime eine Fußnote.

Genau an dieser Stelle bricht eine Argumentation zusammen, die in den vergangenen Jahren bei jeder Debatte über staatliche Datensammlungen als Beruhigungsmittel gereicht wurde. Sie lautet, sinngemäß und in vielen Varianten: „Das Register ist ja nicht öffentlich, es sehen nur Berechtigte hinein“ Diese Aussage beschreibt eine rechtliche Ordnung und sagt über die technische Wirklichkeit nichts aus. Zugriffsregeln beschreiben, wer hineinsehen darf. Sie beschreiben nicht, wer hineinkommt. Zwischen diesen beiden Sätzen liegt der ganze Vorfall.

Das Wort Rechtsträger ist ein präziser Begriff, juristisch sauber, in Anhang 1 und Anhang 2 des Gesetzes bis zur letzten Rechtsform durchdekliniert. Es ist zugleich ein Wort, das Menschen zuverlässig verschwinden lässt. Wenn eine Meldung sagt, es seien Datenkopien von 31.000 Rechtsträgern abgegriffen worden, dann hört der Leser eine Zahl über Gesellschaften, und er hört nicht, dass hinter jeder dieser Gesellschaften mindestens ein Mensch mit einem Geburtsdatum steht. Die Verwaltungssprache ist keine Vernebelung, sie ist präzise, aber sie erzeugt Distanz, wo Betroffenheit hingehört. Ich habe mir angewöhnt, in Gutachten hinter jede solche Zahl in Klammern zu schreiben, worum es sich handelt. Es kostet kaum Aufwand und verändert vollständig, wie ein Befund gelesen wird.

Ich habe diese Formel oft gehört, in Verfahren, in Gremien, in Gesprächen mit Leuten, die es besser wissen müssten. Sie ist so verführerisch, weil sie stimmt und trotzdem irrelevant ist. Ein Tresor mit einer sehr guten Zugangsordnung, dessen Rückwand aus Sperrholz besteht, ist ein Sperrholzkasten mit Papierkram.

Der Satz, den der Gesetzgeber selbst hineingeschrieben hat

Und hier kommt der Teil, der mich beim Lesen der Gesetzesfassung tatsächlich für einen Moment innehalten ließ. In Artikel 18 des VwbPG steht eine Regel, die es einem Rechtsträger erlaubt, die Offenlegung von Daten gegenüber Sorgfaltspflichtigen und Dritten einschränken zu lassen. Absatz 2 Buchstabe a nennt die Voraussetzung: wenn die wirtschaftlich berechtigte Person durch die Offenlegung einem unverhältnismäßigen Risiko von Betrug, Entführung, Erpressung, Schutzgelderpressung, Schikane, Gewalt oder Einschüchterung ausgesetzt würde.

Diese Aufzählung ist keine Erfindung eines aufgeregten Kommentators, sie steht seit 2021 im geltenden Recht. Der Gesetzgeber hat also gewusst, was passieren kann, wenn diese Daten den geschützten Raum verlassen. Er hat es gewusst, er hat es benannt, er hat es sogar in eine Rangfolge von Schrecken gebracht, und er hat daraus eine Ausnahmeregelung für den geordneten Fall gebaut. Für den ungeordneten Fall, den Diebstahl, hilft diese Ausnahme niemandem. Wer eine Einschränkung der Offenlegung erwirkt hatte, war damit gegenüber inländischen Sorgfaltspflichtigen nach Artikel 16 und gegenüber Dritten nach Artikel 17 geschützt. Banken und Finanzinstitute nach Artikel 15 erfasst diese Einschränkung ausdrücklich nicht, und gegen einen Angreifer wirkt sie ohnehin überhaupt nicht.

Der Vollständigkeit halber gehört ein zweiter Artikel daneben. Artikel 12 Absatz 4 verpflichtet dazu, die Informationen und personenbezogenen Daten durch geeignete technische und organisatorische Maßnahmen vor unbefugter oder unrechtmäßiger Verarbeitung zu schützen. Ich werte diese Norm hier nicht aus, das ist Sache der Aufsicht und gegebenenfalls der Gerichte, und über die Angemessenheit der eingesetzten Maßnahmen kann ich von außen nichts sagen. Ich stelle nur den Text neben den Vorgang und überlasse den Rest dem Leser.

Luxemburg hat das 2022 schon entschieden

Wer glaubt, diese Erkenntnis sei neu, hat die vergangenen Jahre verschlafen. Der Gerichtshof der Europäischen Union erklärte am 22. November 2022 in den verbundenen Rechtssachen C-37/20 und C-601/20 jene Bestimmung der Geldwäscherichtlinie für ungültig, nach der Angaben über wirtschaftlich Berechtigte in allen Fällen für jedes Mitglied der Öffentlichkeit zugänglich sein müssen. Die Große Kammer stufte den Zugang der Öffentlichkeit als schweren Eingriff in die Artikel 7 und 8 der Grundrechtecharta ein.

Entscheidend ist für unseren Zusammenhang eine bestimmte Passage der Begründung. Der Gerichtshof hielt fest, dass die möglichen Folgen eines Missbrauchs personenbezogener Daten dadurch verschärft werden, dass die Daten nach ihrer Verfügbarmachung nicht nur frei eingesehen, sondern auch gespeichert und weiterverbreitet werden können. Das ist die juristische Formulierung genau jenes physikalischen Sachverhalts, den jeder Techniker kennt. Eine Kopie ist eine Kopie, und ein Bestand, der einmal draußen ist, kommt nicht zurück, weil das Zurückholen von Wissen keine Operation ist, die es gibt.

Der Gerichtshof hat diesen Satz über die öffentliche Einsicht geschrieben und nicht über einen Diebstahl. Für das Ergebnis macht das keinen Unterschied. Ob 31.000 Datensätze über ein Webformular abfließen, das die Richtlinie vorschreibt, oder über eine Lücke, die niemand vorgeschrieben hat, ist für die betroffene Person dieselbe Lage. Die Rechtsordnung unterscheidet hier scharf, die Wirklichkeit unterscheidet gar nicht.

Warum mich das persönlich betrifft, und warum die Erleichterung kurz war

Meine erste Frage auf dem Parkplatz war die naheliegende und ziemlich egoistische: Sind meine Daten dabei? Die Antwort ist nein, und ich schreibe das hier hin, obwohl es die Dramatik senkt. Das VwbP erfasst die wirtschaftlich Berechtigten liechtensteinischer Rechtsträger sowie bestimmter im Inland verwalteter oder mit dem Inland verbundener Treuhandkonstruktionen. Wer keine solche Struktur hat, steht nicht drin. Die Erleichterung hat nicht lange gehalten, dann kam der zweite Gedanke, und der ist der eigentliche.

Ich lebe mit einer Auskunftssperre nach § 51 des Bundesmeldegesetzes. Die Norm sieht sie vor, wenn Tatsachen die Annahme rechtfertigen, dass durch eine Melderegisterauskunft eine Gefahr für Leben, Gesundheit, persönliche Freiheit oder ähnliche schutzwürdige Interessen entstehen kann, wobei das Gesetz ausdrücklich auch den Schutz vor Bedrohungen und unbefugten Nachstellungen nennt und die Zugehörigkeit zu einem beruflich verstärkt angefeindeten Personenkreis als zu berücksichtigenden Umstand aufführt. Meine Post geht an eine Zustellanschrift, meine Wohnanschrift steht nirgends, und das ist keine Marotte, sondern eine Konsequenz aus dem, womit ich Jahrzehnte zu tun hatte.

Der Punkt ist nun nicht, dass ich in Vaduz betroffen wäre. Der Punkt ist, dass ich in Dutzenden anderer Pflichtregister stehe, wie jeder von uns, und dass keine einzige Auskunftssperre in diesen anderen Registern wirkt. Eine Sperre im Melderegister ist eine Sperre im Melderegister. Sie hindert eine Meldebehörde daran, meine Anschrift herauszugeben, und sie hindert niemanden daran, eine ganz andere Datenbank zu kopieren, in der ich aus einem ganz anderen gesetzlichen Grund erfasst bin. Wir haben ein System gebaut, in dem der Einzelne seine Sichtbarkeit an genau einer Stelle steuern kann, während der Staat sie an unzähligen anderen Stellen erzeugt.

Dazu kommt eine Kleinigkeit, die im Gesetzestext steht und die kaum jemand liest. Die Auskunftssperre nach dem Bundesmeldegesetz ist auf 2 Jahre befristet und kann auf Antrag oder von Amts wegen verlängert werden. Wer dauerhaft geschützt bleiben will, hängt damit an einer Verwaltungsentscheidung, die immer wieder neu getroffen wird, während andere Pflichtregister nach ihren jeweils eigenen und teilweise erheblich längeren Aufbewahrungsfristen weiterlaufen. Der Ablauf einer Melderegistersperre sagt nichts darüber aus, ob dieselbe Person in anderen Registern weiterhin gespeichert ist, und derjenige, vor dem die Sperre schützen sollte, hat inzwischen möglicherweise ganz andere Quellen.

Deshalb interessiert mich an Vaduz nicht Vaduz. Mich interessiert die Bauweise, und die Bauweise ist überall dieselbe.

Der Lieferant, den niemand kennt

Ein Detail aus der Berichterstattung ist mir hängen geblieben, weil es aus meiner eigenen Woche hätte stammen können. Als Vorsichtsmaßnahme wurden 2 weitere Portale desselben Lieferanten vom Netz genommen, von denen nur das Portal für die Mehrwertsteuer aktiv genutzt wird, wobei es dort nach Aussage des Leiters des Amtes für Informatik keine Indizien für einen Datenabfluss gab. Der Name dieses Lieferanten steht in keiner der Meldungen, die ich gelesen habe.

Das ist die Lieferkette, und sie ist der blinde Fleck fast jeder Sicherheitsbetrachtung. Eine Behörde kauft eine Portallösung, ein Unternehmen kauft ein Modul, eine Praxis kauft ein Buchungssystem, und alle 3 glauben, sie hätten ein Produkt gekauft. Gekauft haben sie eine Abhängigkeit. Wenn der Lieferant eine Schwachstelle in seinem Kern hat, hat sie jeder Kunde gleichzeitig, ohne davon zu wissen, und die Zahl der betroffenen Systeme skaliert nicht mit dem Fleiß der Angreifer, sondern mit der Kundenliste des Anbieters.

Ich habe an diesem Wochenende, weil ich ohnehin wach war, mit ausdrücklicher schriftlicher Zustimmung 15 Systeme von Freunden und Kunden angesehen. 8 davon waren bereits kompromittiert, Server und Webseite. Nicht gefährdet, nicht theoretisch anfällig, sondern längst offen. Diese Zahl ist keine Studie und keine repräsentative Stichprobe, sie ist eine Momentaufnahme aus einem einzigen Wochenende, und ich verkaufe sie hier ausdrücklich nicht als Statistik. Als Befund reicht sie mir trotzdem.

Warum das gerade jetzt eskaliert, habe ich in den vergangenen Wochen an 2 Stellen ausgeführt. Ein offenes Sprachmodell hat in einem realen Sicherheitstest Lücken zu einem Preis gefunden, der die Ökonomie des Angriffs vollständig umdreht, nachzulesen in Mythos im Keller. Und die Schwelle für offensive Operationen ist längst gefallen, was ich in Mythos hat angeblich die NSA geknackt auseinandergenommen habe. Wer wissen will, wie weit die Automatisierung inzwischen geht, findet den unangenehmsten Fall in Der Tag, an dem die Erde stillsteht, wo ein Modell aus seiner Testumgebung ausbrach und in die Produktivsysteme eines fremden Unternehmens eindrang.

Bestraft wird, wer zu spät meldet

Jetzt wird es unangenehm, und zwar nicht für die Angreifer. Das VwbPG kennt mehrere Straf- und Bußgeldtatbestände. Artikel 31 Absatz 1 erfasst das Erschleichen von Auskünften und die zweckwidrige Verwendung offengelegter Daten, mit Freiheitsstrafe bis zu 3 Jahren oder Geldstrafe bis zu 360 Tagessätzen. Artikel 31 Absatz 2 sieht eine Buße bis zu 200.000 Franken für denjenigen vor, der seinen Melde- und Mitwirkungspflichten nicht, nicht fristgerecht, nicht vollständig oder inhaltlich nicht richtig nachkommt. Ein Rechtsträger, der seine wirtschaftlich Berechtigten zu spät meldet, riskiert also einen Betrag, der für viele kleine Strukturen existenzbedrohend ist.

Eine spiegelbildliche Strafnorm für den Fall, dass die registerführende Stelle ihre Schutzpflicht verletzt und Daten abfließen, enthält dasselbe Gesetz dagegen nicht. Es verpflichtet in Artikel 12 Absatz 4 zum Schutz der Daten, es verlangt in Artikel 12 Absatz 6 die Protokollierung jeder Verarbeitung und die Aufbewahrung dieser Protokolldaten über 10 Jahre, und es regelt Beschwerdewege gegen Verfügungen. Wer die Folgen eines solchen Abflusses trägt, steht dort ebenfalls nicht, und genau an dieser Stelle wird aus einer Verwaltungsfrage eine politische. Ich behaupte damit nicht, dass es keinerlei Ansprüche gäbe, denn dafür gibt es andere Rechtsgrundlagen und dafür bin ich nicht der Zuständige. Ich stelle nur fest, was in diesem Gesetz steht und was nicht.

Stellen wir die beiden Seiten nebeneinander, ohne sie zu bewerten, weil sie sich selbst bewerten. Der Bürger liefert unter Strafandrohung. Der Staat verwahrt unter einer Sorgfaltspflicht ohne eigene Strafnorm. Und wenn es schiefgeht, bekommt der Bürger eine Benachrichtigung nach Artikel 34 der Datenschutz-Grundverordnung und eine E-Mail-Adresse, an die er sich mit Fragen wenden kann.

Für die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen geht das deutsche Recht seit Kurzem einen anderen Weg, und das ist der Vergleich, der hier weh tut. Das deutsche BSI-Gesetz in seiner Fassung vom 2. Dezember 2025 verpflichtet in § 38 Absatz 1 die Geschäftsleitungen der vom Gesetz erfassten Einrichtungen, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Absatz 2 stellt klar, dass Geschäftsleitungen, die diese Pflichten verletzen, ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln des Gesellschaftsrechts haften. Absatz 3 verpflichtet sie zusätzlich zu regelmäßiger Schulung. Für die gesamte Privatwirtschaft gilt diese Regelung ausdrücklich nicht, wohl aber für die Leitung jedes erfassten Unternehmens, die damit persönlich in der Pflicht steht. Ich halte das für richtig, und genau deshalb fällt der Vergleich so aus, wie er ausfällt.

Warum das kein liechtensteinisches Problem ist

Es wäre bequem, den Vorfall als Betriebsunfall eines kleinen Landes abzulegen. Diese Bequemlichkeit hält der ersten Nachfrage nicht stand. Artikel 10 des VwbPG bestimmt, dass das Verzeichnis über die zentrale Europäische Plattform mit den zentralen Registern anderer Mitgliedstaaten des Europäischen Wirtschaftsraums vernetzt wird. Register sprechen also miteinander, weil die Politik das ausdrücklich wollte, und jede Verbindung zwischen 2 Datenbeständen ist zugleich eine zusätzliche Angriffsfläche.

Parallel dazu ist seit dem 1. Januar 2026 die Richtlinie (EU) 2023/2226 anwendbar, im Sprachgebrauch DAC8, die von meldepflichtigen Anbietern die Erhebung von Identifikations- und Transaktionsdaten und deren Übermittlung an die nationalen Steuerbehörden verlangt, mit anschließendem Austausch zwischen den Staaten und ersten Meldungen für das Jahr 2026, die bis zum 30. September 2027 zu erfolgen haben. Liechtenstein gehört dem Europäischen Wirtschaftsraum an und ist kein Mitgliedstaat der Europäischen Union, weshalb DAC8 dort nicht unmittelbar gilt. Diese Unterscheidung ist mir wichtig, weil sie in der Aufregung der letzten Tage untergegangen ist.

Der Beitrag, über den die Meldung in den deutschsprachigen Raum kam, stammt aus der Redaktion von Blocktrainer und ordnet den Vorfall als neue Munition gegen DAC8 ein. Der Rahmen trägt weiter, als mir zunächst lieb war, und er trägt trotzdem nicht ganz. Was in Vaduz passiert ist, beweist über DAC8 selbst nichts, weil dort weder Kryptowerte noch Transaktionsdaten lagen. Es beweist etwas über die gemeinsame Bauart aller dieser Systeme, und das ist das stärkere Argument, weil es sich nicht mit einer Zuständigkeitsfrage wegwischen lässt.

Der Zusammenhang bleibt trotzdem bestehen, und er ist struktureller Natur. Das VwbP verknüpft Personen mit Rechtsträgern. Ein Meldesystem für Kryptowerte verknüpft Personen mit konkreten Vermögensbewegungen. Wer beides zusammenführt, hat kein Register mehr, sondern ein Zielverzeichnis. Und weil ein Datensatz nicht altert wie ein Mensch, funktioniert er auch dann noch als Zielverzeichnis, wenn die Angaben längst überholt sind. Wer 2026 als vermögend erfasst wurde, kann 2031 danach gefragt werden, unabhängig davon, was zwischenzeitlich aus dem Vermögen geworden ist. Über die Frage, wie viel ein Staat wissen darf, ohne sich selbst zum Risiko zu machen, habe ich in Wenn Teheran schreibt und Brüssel schweigt und in Die schlaflose Frage nach dem Staatsschiff ausführlicher geschrieben.

Was jetzt praktisch zählt

Für die Betroffenen ist die nächste Gefahr nicht der große Zugriff, sondern die freundliche Nachricht. Ein Datensatz aus Name, Vorname, Geburtsdatum und Staatsangehörigkeit erlaubt eine Ansprache, die sich echt anfühlt, weil sie Dinge weiß, die vermeintlich nur eine Behörde wissen kann. Genau deshalb steigt nach jedem Registerabfluss die Qualität der Betrugsversuche, und zwar sprunghaft. Wer in den kommenden Monaten angerufen oder angeschrieben wird und dabei mit korrekten Personalien konfrontiert ist, sollte diese Korrektheit als Warnsignal lesen und nicht als Beleg.

2 Regeln reichen für den Anfang und ersparen die meisten Schäden. Erstens gilt, dass die Kenntnis persönlicher Daten niemanden legitimiert, weil diese Daten inzwischen bei zu vielen Leuten liegen. Zweitens gilt, dass jeder Kontakt über einen selbst gewählten Kanal zurückverfolgt wird, also über die offizielle Nummer der Behörde oder der Bank und niemals über die Rückrufnummer aus der Nachricht. Wer in Liechtenstein betroffen ist oder es sein könnte, kann sich an die von der Regierung eingerichtete zentrale Informationsstelle wenden, die Anfragen per E-Mail unter vwbpfragen@llv.li entgegennimmt. Wie leicht sich ein souverän auftretendes Gegenüber eine Zugangskennung herausreden lässt, habe ich am Beispiel der Vernehmungsmasche in Sie haben Ihr iPhone schon zu 98 Prozent ausgelesen beschrieben.

Es gibt außerdem eine Frage, die sich jeder stellen sollte, der irgendwo als wirtschaftlich Berechtigter geführt wird oder eine Beteiligung an einer ausländischen Struktur hält. Sie lautet nicht, ob die eigenen Daten bei diesem Vorfall dabei waren, denn das wird die Benachrichtigung nach Artikel 34 der Datenschutz-Grundverordnung klären. Sie lautet, in wie vielen Pflichtregistern man insgesamt steht, in welchen Staaten diese Register geführt werden und welche Angaben dort jeweils hinterlegt sind. Die meisten Menschen, denen ich diese Frage stelle, nennen aus dem Kopf eine Handvoll und unterschätzen die tatsächliche Zahl erheblich. Wer diese Liste nicht kennt, kann im Ernstfall nicht einmal einschätzen, welche Kombination aus welchen Quellen gegen ihn zusammengeführt werden könnte.

Für alle, die selbst Systeme betreiben, ist die Lehre trockener und teurer. Prüfen Sie, welche Ihrer Anwendungen von einem einzigen Anbieter stammen, und fragen Sie diesen Anbieter schriftlich, wie er Sie im Ernstfall informiert. Sorgen Sie dafür, dass Ihre Protokolle tatsächlich ausgewertet werden, denn ein Protokoll, in das niemand hineinsieht, ist ein Archiv für die spätere Rekonstruktion und keine Erkennung. Und gehen Sie davon aus, dass ein erfolgreicher Zugriff bei Ihnen genauso still verläuft wie in Vaduz, wo zwischen dem Zugriff und der bestätigten Erkenntnis mehrere Tage lagen.

Bis Mittwochnachmittag

Ich habe heute eine Mail an alle Kunden geschrieben, und sie fiel anders aus als geplant. Sie beginnt mit einer Leberkässemmel, die am Freitagmorgen auf dem Boden landete, weil der Alarm losging, und sie endet mit dem Satz, dass ich jetzt erst einmal Pause mache. Dazwischen steht die Zahl aus dem Wochenende, stehen die Systeme, die gehalten haben, und steht die unangenehme Feststellung, dass Angreifen billiger geworden ist, während immer mehr Menschen sich ihre Anwendungen von einem Modell zusammensetzen lassen, ohne zu verstehen, was sie da gerade in Betrieb nehmen.

Beim Schreiben dieser Mail ist mir aufgefallen, dass ich vor genau dieser Lage nie mit einem polemischen Lächeln gewarnt habe. Das war eine Fehleinschätzung, und ich korrigiere sie hier öffentlich. Ich habe über die Ökonomie des Angriffs geschrieben, über Modelle, über Schwellen, über Register, und ich habe dabei jedes Mal so getan, als sei das ein Thema für die anderen. Es ist längst keins mehr. Zwischen meinem eigenen Wochenende und der Nacht auf den 30. Juli in Vaduz liegt kein Unterschied in der Art, nur einer im Ausgang.

Bis Mittwochnachmittag bin ich raus. Ich muss dieses Wochenende verarbeiten, ich brauche dringend eine neue Leberkässemmel, und danach setze ich mich hin und schreibe Software, die Server, Webseiten, Datenbanken und WordPress-Installationen schützt. Nicht als Produktidee, sondern weil ich in 15 Prüfungen 8 offene Systeme gesehen habe und danach nicht mehr behaupten kann, ich hätte es nicht gewusst.

Und was passiert unterdessen in Vaduz? Das Fürstentum wird eine Untersuchung führen, einen Bericht vorlegen und irgendwann eine Verbesserung ankündigen. Die 31.000 Datensätze bleiben trotzdem draußen, für immer, weil der Gerichtshof in Luxemburg genau das schon 2022 aufgeschrieben hat. Was ich beim nächsten Mal genauer wissen will, ist die Frage, die in dieser Woche niemand gestellt hat: Wie viele Behörden in Europa betreiben ihre Pflichtregister auf Portalen desselben Lieferanten? Wenn ich Mittwoch zurück bin, fange ich mit dieser Frage an.

Redaktioneller Hinweis: Der Beitrag gibt den Sachstand von Montag, dem 3. August 2026, am späten Nachmittag wieder. Der Krisenstab der liechtensteinischen Regierung hatte für diesen Tag eine weitere Mitteilung angekündigt, die bis zum Redaktionsschluss nicht vorlag. Offen sind insbesondere die Zahl der betroffenen natürlichen Personen, der Angriffsweg, die Verweildauer im System und der Status der beiden vorsorglich abgeschalteten Portale. Der Beitrag wird ergänzt, sobald belegte neue Erkenntnisse vorliegen.

Quellen

• Amt für Statistik Liechtenstein. (2025). *Bevölkerungsstand per 31. Dezember 2024*. Statistikportal der Liechtensteinischen Landesverwaltung. https://www.statistikportal.li/de/themen/bevoelkerung/bevoelkerungsstand
• Bundesrepublik Deutschland. (2013). *Bundesmeldegesetz (BMG), § 51 Auskunftssperren*. https://gesetze.legal/bund/bmg/51
• Bundesrepublik Deutschland. (2025). *Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung, BGBl. 2025 I Nr. 301, mit dem BSI-Gesetz vom 2. Dezember 2025, § 38*. https://www.recht.bund.de/bgbl/1/2025/301/regelungstext.pdf?__blob=publicationFile&v=3
• Europäische Kommission, Generaldirektion Steuern und Zollunion. (2026). *DAC8, Directive on Administrative Cooperation (tax transparency for crypto-assets)*. https://taxation-customs.ec.europa.eu/taxation/tax-transparency-cooperation/administrative-co-operation-and-mutual-assistance/directive-administrative-cooperation-dac/dac8_en
• Fürstentum Liechtenstein. (2021). *Gesetz vom 3. Dezember 2020 über das Verzeichnis der wirtschaftlich berechtigten Personen von Rechtsträgern (VwbPG), LGBl. 2021 Nr. 33, LR 952.8*. Lilex. https://www.gesetze.li/konso/pdf/2021033000?version=1
• Gerichtshof der Europäischen Union. (2022). *Pressemitteilung Nr. 188/22 zum Urteil in den verbundenen Rechtssachen C-37/20 und C-601/20, Luxembourg Business Registers und Sovim*. https://curia.europa.eu/site/upload/docs/application/pdf/2022-11/cp220188en.pdf
• Meier, G. (2026, 2. August). *Cyberangriff auf Liechtenstein, Daten von wirtschaftlich Berechtigten gestohlen*. Landesspiegel. https://landesspiegel.li/2026/08/daten-von-31000-wirtschaftlich-berechtigten-gestohlen/
• Schweizer Radio und Fernsehen. (2026, 2. August). *Cyberangriff auf Wirtschaftsdaten im Fürstentum Liechtenstein*. SRF News. https://www.srf.ch/news/international/hackerangriff-cyberangriff-auf-wirtschaftsdaten-im-fuerstentum-liechtenstein
• Regierung des Fürstentums Liechtenstein. (2026, 2. August). *Unberechtigter Zugriff von Dritten auf Verzeichnisdaten* [Medienmitteilung]. https://www.regierung.li/medienportal-medium/16182/234653/medienmitteilung
• René. (2026, 2. August). *31.000 Rechtsträger betroffen: Datenklau in Liechtenstein liefert neue Munition gegen DAC8*. Blocktrainer. https://www.blocktrainer.de/blog/31000-rechtstraeger-betroffen-datenklau-in-liechtenstein-liefert-neue-munition-gegen-dac8

Haftungsausschluss: Dieser Beitrag gibt die eigene Recherche und Meinung des Autors zum oben angegebenen Veröffentlichungsdatum wieder; spätere Erkenntnisse oder Rechtsänderungen können ihn überholt haben, prüfen Sie daher stets dieses Datum. Quellen sind zur unabhängigen Überprüfung angegeben, für fremde Studien wird keine Haftung übernommen. Dies ist allgemeine Information und keine medizinische, rechtliche oder fachliche Beratung: bei medizinischen Fragen wenden Sie sich an eine Ärztin oder einen Arzt, bei rechtlichen Fragen an eine Anwältin oder einen Anwalt, und in einer akuten Krise an den Notruf oder eine Krisen- und Seelsorge-Hotline.

Vollständigen Haftungsausschluss lesen

Zum Titelbild: es ist KI-generiert. Billiger als ein Fotoshooting, und ich habe mich mit dem KI-Zeitalter arrangiert. Alles im Beitrag ist echt, die Diagramme, die Schädel, die Befunde und jedes Wort. Die Maschine bekommt das Aufmacherbild und keinen Zentimeter weiter.