Liechtensteiner Justizbehörde stellt Register nach Cyberangriff teilweise wieder her

Ausgangslage

Die Liechtensteiner Justizbehörde hat das Verzeichnis der wirtschaftlich berechtigten Personen (VwbP) nach einem Cyberangriff wieder teilweise in Betrieb genommen. Der Angriff erfolgte im Juli 2026, und seitdem waren die Daten nicht zugänglich. Die Regierung des Fürstentums hat nun bekannt gegeben, dass das Register wieder verfügbar ist, allerdings mit strengeren Sicherheitsmassnahmen.

Die Wiederinbetriebnahme des VwbP ist ein wichtiger Schritt für die Liechtensteiner Wirtschaft und Verwaltung. Das Register ist entscheidend für die Transparenz und die Bekämpfung von Geldwäsche und Terrorismusfinanzierung. Die teilweise Verfügbarkeit bedeutet jedoch, dass nicht alle Funktionen sofort wieder genutzt werden können.

Die Regierung bestätigt, dass die Daten im VwbP nicht verändert wurden. Ebenso fehlen bisher jegliche Hinweise auf eine Veröffentlichung der entwendeten Daten. Dies ist eine wichtige Information für die betroffenen Unternehmen und Personen, da es die Sorge vor möglichen Missbrauch oder Identitätsdiebstahl mindert.

Hintergrund

In der Nacht auf den 30. Im Juli 2026 führten Unbekannte einen Cyberangriff gegen das Justizamt des Fürstentums Liechtenstein aus. Es gelang ihnen dabei, etwa 31'000 Rechtsträgern Datenkopien aus dem VwbP zu entnehmen. Die Angreifer nutzten eine fehlerhafte Berechtigungslogik, um auf die Daten zuzugreifen. Die Regierung hat daraufhin mehrere staatliche Systeme als Vorsichtsmassnahme vom Netz genommen und zusätzliche Sicherheitsprüfungen durchgeführt.

Die fehlerhafte Berechtigungslogik ermöglichte es den Angreifern, die Anwendungsprogrammierschnittstelle (API) durch wiederholte Einzelanfragen auszunutzen. Dies war keine klassische Software-Schwachstelle, sondern eine logische Lücke im System. Die Regierung hat nun Massnahmen ergriffen, um solche Lücken in Zukunft zu vermeiden.

Die Regierung hat auch bekannt gegeben, dass sie Schreiben an die Rechtsträger verschickt, um sie über die Datenschutzverletzung zu informieren. Dies ist eine obligatorische Massnahme gemäss der Datenschutz-Grundverordnung des Fürstentums Liechtenstein. Betroffene Personen haben zudem die Möglichkeit, sich bei einer Telefonauskunft zu erkundigen. Man hat die Möglichkeit, per E-Mail eine direkte Anfrage an das Amt für Justiz zu richten.

Was das bedeutet

Cyberangriffe auf staatliche Institutionen sind ein wachsendes Problem in Europa. Die Schweiz und Liechtenstein teilen sich viele rechtliche und wirtschaftliche Strukturen, weshalb solche Vorfälle auch für die Schweiz relevant sind. Die strengeren Sicherheitsmassnahmen, die Liechtenstein nun einführen will, könnten auch in der Schweiz als Vorbild dienen.

Die Schweiz hat bereits ähnliche Register und Systeme, die für die Transparenz und die Bekämpfung von Finanzverbrechen wichtig sind. Ein Cyberangriff auf solche Systeme könnte ähnlich gravierende Folgen haben. Die Massnahmen, die Liechtenstein nun ergreift, könnten daher auch für die Schweiz von Interesse sein.

Für Unternehmen in Liechtenstein und der Schweiz bedeutet dies, dass sie ihre eigenen Sicherheitsmassnahmen überprüfen sollten. Die Einführung der E-ID für den Zugang zu staatlichen Systemen könnte auch für Unternehmen relevant werden, da sie möglicherweise ähnliche Massnahmen ergreifen müssen, um ihre Daten zu schützen.

Ausblick

Die Ermittlungen zur Täterschaft laufen weiterhin. Die Regierung von Liechtenstein plant, die Verifizierung von Benutzerkonten und die Identitätsprüfung durch die Vorschaltung der E-ID zu verstärken. Zusätzlich ist geplant, die Überwachungs- und Erkennungssysteme zu erweitern. Dadurch sollen unberechtigte Zugriffe in Zukunft schneller erkannt werden.

Die Regierung hat auch angekündigt, ausgewählte IT-Systeme und Abläufe extern untersuchen zu lassen. Dies könnte zu weiteren Verbesserungen der IT-Sicherheit führen und dazu beitragen, ähnliche Angriffe in Zukunft zu verhindern. Die Arbeiten an diesen Verbesserungen sollen unmittelbar nach Abschluss des Beschaffungsverfahrens beginnen.