Kategorie: Datenschutz

Kurzzusammenfassung

In der Nacht auf den 30. Juli 2026 haben unbekannte Täter das liechtensteinische „Verzeichnis wirtschaftlich berechtigter Personen“ (VwbP) gehackt und Datenkopien von rund 31.000 Rechtsträgern – Gesellschaften, Stiftungen und Treuhandschaften – abgegriffen. Betroffen sind Name, Vorname, Geburtsdatum und Staatsangehörigkeit der dahinterstehenden Personen. Für die Betroffenen bedeutet das vor allem ein deutlich erhöhtes Risiko für gezielte Phishing-Angriffe, Social Engineering und Erpressungsversuche – auch wenn bislang weder eine Lösegeldforderung vorliegt noch die Daten im Darknet aufgetaucht sind.

Einleitung

Der Cyberangriff auf Liechtenstein trifft das Fürstentum an einer besonders empfindlichen Stelle: Das VwbP ist genau jenes Register, das offenlegt, wer tatsächlich hinter einer Gesellschaft, Stiftung oder Treuhandschaft steht. Diese Informationen sind bewusst nicht öffentlich – sie dienen ausschließlich der Bekämpfung von Geldwäsche und Terrorismusfinanzierung und sollten nur Behörden und legitimierten Stellen zugänglich sein. Nun liegen sie in den Händen unbekannter Täter. Auch für Österreich ist der Vorfall relevant: Zahlreiche österreichische Unternehmerfamilien, gerade aus Vorarlberg und dem restlichen Westösterreich, nutzen liechtensteinische Stiftungsstrukturen. Als gerichtlich zertifizierter IT-Sachverständiger ordne ich in diesem Beitrag ein, was passiert ist, womit Betroffene rechnen müssen und was jetzt konkret zu tun ist.

Was ist passiert? Der Angriff im Überblick

Nach den offiziellen Angaben der liechtensteinischen Regierung verschaffte sich eine unbekannte Täterschaft in der Nacht auf den 30. Juli 2026 auf digitalem Weg widerrechtlich Zugriff auf das VwbP, das vom Amt für Justiz geführt wird. Der zeitliche Ablauf zeigt eine vergleichsweise schnelle Reaktion der Behörden:

• 30. Juli (Nacht): Angriff und Abfluss der Datenkopien
• 30. Juli (tagsüber): Eine Mitarbeiterin des Amts für Justiz bemerkt Unregelmäßigkeiten; das Amt für Informatik sichert Daten und nimmt das betroffene System vom Netz
• 31. Juli: Information der Regierung über den potenziellen Angriff
• 1. August: Voruntersuchungen bestätigen den erfolgreichen Datenabfluss; am Abend wird ein Krisenstab einberufen
• 2. August: Formelle Bestätigung des Krisenstabs unter Leitung von Regierungschefin Brigitte Haas und Justizminister Emanuel Schädler; kurzfristige Medienkonferenz in Vaduz
• 3. August: Angekündigtes Update des Krisenstabs zu den laufenden Entwicklungen

Wichtig für die Einordnung: Nach derzeitigem Kenntnisstand wurden Daten kopiert, aber nicht verändert oder gelöscht. Es handelt sich also um einen klassischen Datendiebstahl (Exfiltration), nicht um einen Ransomware-Angriff mit Verschlüsselung. Eine Lösegeldforderung ist bislang nicht eingegangen, und es gibt derzeit keine Hinweise darauf, dass die Daten im Darknet zum Verkauf angeboten werden.

Welche Daten wurden gestohlen – und warum sie so brisant sind

Betroffen sind laut Behörden die Datensätze von rund 31.000 Rechtsträgern. Zur Einordnung: Liechtenstein selbst hat nur etwa 40.000 Einwohner – das Register bildet aber vor allem Strukturen mit internationalen wirtschaftlich Berechtigten ab. Die abgegriffenen Datensätze umfassen:

• Name und Vorname der wirtschaftlich berechtigten Personen
• Geburtsdatum
• Staatsangehörigkeit

Wohnadressen waren nach offiziellen Angaben nicht betroffen. Ebenso wenig – soweit bislang kommuniziert – Kontodaten, Vermögenswerte oder Dokumente.

Das klingt zunächst nach „wenigen“ Datenfeldern. Die Brisanz liegt aber nicht im einzelnen Datum, sondern in der Verknüpfung: Der Datensatz beantwortet die Frage, welche konkrete Person hinter welcher Stiftung, Gesellschaft oder Treuhandschaft steht. Genau diese Zuordnung ist normalerweise streng vertraulich. Wer sie kennt, weiß, wer über nennenswertes Vermögen in Liechtenstein verfügt – eine Information, die für Kriminelle wertvoller ist als jede einzelne Adresse. Zu beachten ist auch: 31.000 Rechtsträger bedeuten nicht automatisch 31.000 Personen. Eine Person kann hinter mehreren Rechtsträgern stehen, umgekehrt kann ein Rechtsträger mehrere wirtschaftlich Berechtigte haben. Die tatsächliche Zahl betroffener natürlicher Personen wurde bislang nicht beziffert.

Folgen für die Betroffenen: Womit ist zu rechnen?

1. Gezieltes Phishing und Social Engineering – das wahrscheinlichste Szenario

Die realistischste und unmittelbarste Gefahr sind maßgeschneiderte Betrugsversuche. Die Täter – oder Käufer der Daten – wissen künftig genau, wen sie mit welcher Geschichte ansprechen können. Zu erwarten sind etwa:

• Behörden-Phishing: Gefälschte E-Mails oder Schreiben im Namen des Amts für Justiz, der liechtensteinischen Landesverwaltung oder des Krisenstabs („Ihre Daten sind vom Vorfall betroffen – klicken Sie hier zur Verifizierung“).
• CEO-Fraud-Varianten: Anrufe oder Nachrichten an Treuhänder, Stiftungsräte oder Family Offices, die sich als der (namentlich bekannte!) wirtschaftlich Berechtigte ausgeben – inklusive korrektem Geburtsdatum als vermeintlichem „Identitätsnachweis“.
• Bank- und Treuhänder-Imitation: Kontaktaufnahmen angeblicher Banken oder Treuhandgesellschaften, die unter Verweis auf den Vorfall zu „Sicherheitsüberprüfungen“ oder Umbuchungen auffordern.

Gerade weil der Vorfall breit durch die Medien geht, haben Betrüger jetzt einen glaubwürdigen Aufhänger. Erfahrungsgemäß rollen solche Wellen in den Tagen und Wochen nach Bekanntwerden eines Datenlecks an – und wiederholen sich oft noch Monate später.

2. Erpressung und Reputationsdruck

Auch ohne Veröffentlichung der Daten ist ein Erpressungsszenario denkbar: Schreiben an einzelne Betroffene nach dem Muster „Wir wissen, dass Sie hinter der Stiftung X stehen – zahlen Sie, sonst veröffentlichen wir“. Dass eine liechtensteinische Struktur völlig legal und steuerlich korrekt gemeldet ist, spielt dabei kaum eine Rolle: Allein die öffentliche Zuordnung von Person und Vermögensstruktur ist für viele Betroffene unangenehm – und genau darauf zielen solche Erpressungen ab.

3. Veröffentlichung oder Verkauf der Daten

Dass bislang nichts im Darknet aufgetaucht ist, ist eine Momentaufnahme. Bei Datendiebstählen dieser Art vergehen häufig Wochen bis Monate, bis Daten angeboten, verkauft oder – etwa durch Leak-Plattformen – veröffentlicht werden. Liechtenstein hat hier eine schmerzhafte Vorgeschichte: 2008 verkaufte ein ehemaliger Bankmitarbeiter gestohlene Kundendaten der LGT an ausländische Behörden und löste damit eine internationale Steueraffäre aus. Der wesentliche Unterschied zu damals: Seit Einführung des automatischen Informationsaustauschs (AIA/CRS) sind korrekt gemeldete Strukturen für Steuerbehörden ohnehin transparent. Der „Marktwert“ der Daten liegt heute weniger im Steuergeheimnis als im kriminellen Missbrauchspotenzial.

4. Identitätsmissbrauch und persönliche Sicherheit

Name, Geburtsdatum und Staatsangehörigkeit sind Kernbausteine für Identitätsmissbrauch – etwa bei der Eröffnung von Konten, Bestellbetrug oder der Übernahme bestehender Kundenbeziehungen. Für besonders vermögende Betroffene kommt ein weiterer Aspekt hinzu: Die Daten markieren sie als lohnende Ziele. Auch wenn keine Adressen abgeflossen sind, lassen sich diese bei prominenteren Personen oft aus anderen Quellen ergänzen. Family Offices und Sicherheitsverantwortliche sollten den Vorfall daher auch unter dem Aspekt der persönlichen Sicherheit bewerten.

5. Die rechtliche Dimension: Benachrichtigung, Schadenersatz, Staatshaftung

Liechtenstein ist EWR-Mitglied, die DSGVO gilt dort ebenso wie in Österreich. Daraus ergeben sich konkrete Konsequenzen:

• Benachrichtigungspflicht (Art. 34 DSGVO): Da der Vorfall voraussichtlich ein hohes Risiko für die Betroffenen darstellt, müssen diese unverzüglich und individuell informiert werden. Die Behörden haben dies bereits angekündigt und eine zentrale Anlaufstelle eingerichtet.
• Schadenersatz (Art. 82 DSGVO): Betroffene können bei nachweisbarem materiellen oder immateriellen Schaden Ersatzansprüche gegen den Verantwortlichen geltend machen. Der EuGH hat in den letzten Jahren klargestellt, dass auch die begründete Furcht vor Datenmissbrauch einen ersatzfähigen immateriellen Schaden darstellen kann – die Hürden im Einzelfall bleiben aber real: Der Schaden muss konkret dargelegt werden.
• Grundsatzdebatte: Der EuGH hat bereits 2022 (Rs. C-37/20) den öffentlichen Zugang zu Wirtschaftlich-Berechtigten-Registern gekippt – mit der Begründung, dass solche Daten Betroffene erheblichen Risiken aussetzen. Der Vorfall in Liechtenstein bestätigt diese Einschätzung auf bittere Weise: Zentrale Register mit hochsensiblen Daten sind Honeypots. Wer solche Datensammlungen betreibt – das gilt auch für österreichische Register und Unternehmen –, muss sie auf dem höchsten verfügbaren Sicherheitsniveau schützen.

Was Betroffene jetzt konkret tun sollten

1. Betroffenheit klären: Die liechtensteinischen Behörden haben eine zentrale Anlaufstelle eingerichtet (vwbpfragen@llv.li). Wer wirtschaftlich Berechtigter eines liechtensteinischen Rechtsträgers ist, sollte – idealerweise über seinen Treuhänder – die individuelle Betroffenheit abklären.
2. Höchste Wachsamkeit bei Kontaktaufnahmen: Jede unerwartete E-Mail, jeder Anruf und jedes Schreiben mit Bezug zu Liechtenstein, Stiftungen oder dem Vorfall ist bis zum Beweis des Gegenteils verdächtig. Behörden fordern per E-Mail weder Zahlungen noch Zugangsdaten oder „Identitätsbestätigungen“ an.
3. Verifikationsprozesse vereinbaren: Mit Treuhändern, Stiftungsräten, Banken und dem Family Office feste Rückrufverfahren über bekannte Nummern etablieren. Kein Auftrag – insbesondere keine Zahlungs- oder Vollmachtsänderung – ohne Verifikation über einen zweiten Kanal.
4. Umfeld informieren: Auch Assistenz, Buchhaltung und Familienmitglieder sind potenzielle Angriffsziele für Social Engineering. Sie sollten über den Vorfall und die Maschen Bescheid wissen.
5. Vorfälle dokumentieren: Verdächtige Kontaktaufnahmen sichern (E-Mails samt Header, Anrufprotokolle) und den Behörden melden. Eine saubere Dokumentation ist zugleich die Grundlage für allfällige Schadenersatzansprüche.
6. Monitoring erwägen: Für exponierte Personen kann ein professionelles Darknet- und Identitäts-Monitoring sinnvoll sein, um ein späteres Auftauchen der Daten früh zu erkennen.

Häufig gestellte Fragen (FAQ)

Woher weiß ich, ob ich vom Cyberangriff in Liechtenstein betroffen bin?
Betroffen sein kann grundsätzlich jeder, der als wirtschaftlich berechtigte Person eines liechtensteinischen Rechtsträgers (Gesellschaft, Stiftung, Treuhandschaft) im VwbP eingetragen ist. Die Behörden benachrichtigen Betroffene gemäß Art. 34 DSGVO individuell; Fragen zur eigenen Betroffenheit beantwortet die zentrale Anlaufstelle unter vwbpfragen@llv.li – im Zweifel über den eigenen Treuhänder anfragen.

Sind meine Bankdaten oder mein Vermögen in Gefahr?
Nach derzeitigem Stand wurden keine Konto- oder Vermögensdaten gestohlen, sondern Name, Vorname, Geburtsdatum und Staatsangehörigkeit samt Zuordnung zum Rechtsträger. Die Hauptgefahr ist daher nicht der direkte Zugriff auf Konten, sondern Betrug über Umwege: Täter nutzen die gestohlenen Informationen, um sich als Betroffene, Banken oder Behörden auszugeben und so Zahlungen oder Zugangsdaten zu erschleichen.

Kann ich Schadenersatz fordern?
Grundsätzlich ja: Art. 82 DSGVO gewährt Betroffenen bei materiellen und immateriellen Schäden einen Ersatzanspruch gegen den Verantwortlichen. Voraussetzung ist ein konkret darlegbarer Schaden – das kann nach der EuGH-Rechtsprechung auch die begründete Furcht vor Missbrauch sein. Betroffene sollten Beeinträchtigungen dokumentieren und die weitere Aufarbeitung des Vorfalls beobachten; für die Durchsetzung empfiehlt sich rechtliche Beratung, bei der technischen Aufarbeitung ein IT-Sachverständigengutachten.

Werden die gestohlenen Daten veröffentlicht?
Das weiß derzeit niemand. Bislang gibt es weder eine Lösegeldforderung noch Hinweise auf ein Angebot im Darknet. Die Erfahrung aus vergleichbaren Fällen zeigt aber, dass zwischen Diebstahl und Auftauchen der Daten Wochen bis Monate liegen können. Betroffene sollten daher dauerhaft wachsam bleiben, nicht nur in den nächsten Tagen.

Fazit & nächste Schritte

Der Cyberangriff auf das liechtensteinische VwbP ist mehr als ein weiterer Datendiebstahl: Er trifft ein Register, dessen einziger Zweck die vertrauliche Zuordnung von Personen zu Vermögensstrukturen ist – und macht genau diese Zuordnung nun für Kriminelle nutzbar. Für die Betroffenen, darunter viele Österreicherinnen und Österreicher, beginnt jetzt eine Phase erhöhter Wachsamkeit: Gezieltes Phishing, Social Engineering und Erpressungsversuche sind die wahrscheinlichsten Folgeszenarien, mit denen zu rechnen ist. Zugleich zeigt der Fall exemplarisch, dass zentrale staatliche Datensammlungen erstklassige Angriffsziele sind – eine Lehre, die auch österreichische Registerbetreiber, Behörden und Unternehmen im Hinblick auf NIS2 und DSGVO ernst nehmen müssen.

Wenn Ihr Unternehmen von einem Cyberangriff betroffen ist oder Sie eine gerichtsfeste Aufarbeitung eines IT-Sicherheitsvorfalls benötigen – von der forensischen Beweissicherung bis zum IT-Gutachten – stehe ich Ihnen als allgemein beeideter und gerichtlich zertifizierter Sachverständiger für Informationstechnologie zur Verfügung: Jetzt Kontakt aufnehmen.

Quellen

• ORF Vorarlberg: Daten aus Stiftungsverzeichnis gestohlen
• Offizielle Mitteilung der Regierung des Fürstentums Liechtenstein (Presseportal)
• SRF: Cyberangriff auf Wirtschaftsdaten im Fürstentum Liechtenstein
• Landesspiegel: Daten von 31.000 wirtschaftlich Berechtigten gestohlen
• Tagesanzeiger: Diebe stehlen 31’000 Datensätze aus Anti-Geldwäsche-Register
• lie:zeit online: Unberechtigter Zugriff von Dritten auf Verzeichnisdaten

---

Autor: Martin Höck, allgemein beeideter und gerichtlich zertifizierter Sachverständiger für Informationstechnologie,
itsachverstand.at, Salzburg
Fragen? office@itsachverstand.at | +43 662 243316 220