Liechtenstein hat ein Register, das nur einem Zweck dienen sollte: der Bekämpfung von Geldwäsche. Darin steht, wer hinter den Gesellschaften, Stiftungen und Treuhänderschaften des Landes steht. Ende Juli 2026 hat eine unbekannte Täterschaft genau dieses Register kopiert.
Die Regierung des Fürstentums hat den Vorfall am 2. August öffentlich bestätigt. Unbefugte haben sich Zugriff auf das Verzeichnis wirtschaftlich berechtigter Personen verschafft, kurz VwbP, und Datenkopien von rund 31.000 Rechtsträgern abgegriffen.
Warum die liechtensteinische Stiftung als Schutzstruktur trägt und wann nicht, haben wir unter Stiftung in Liechtenstein beschrieben. Hier geht es um etwas anderes: um die Liste, die der Staat über alle diese Strukturen führt, und darum, was passiert, wenn sie in fremde Hände gerät.
Was die Regierung bestätigt hat
Die Regierung hat den Ablauf auf einer eigenen Informationsseite dargelegt. Die Chronologie ist knapp.
In der Nacht auf den 30. Juli 2026 verschafft sich eine unbekannte Täterschaft auf digitalem Weg Zugriff auf das VwbP. Im Lauf desselben Tages fallen dem Amt für Justiz Unregelmäßigkeiten auf. Das Amt für Informatik nimmt das System vom Netz. Am 31. Juli erfährt die Regierung, dass ein potenziell erfolgreicher Angriff stattgefunden hat. Am Nachmittag des 1. August liegen die ersten bestätigten Ergebnisse vor. Noch am selben Abend beruft die Regierung einen Krisenstab ein, geleitet von Regierungschefin Brigitte Haas und Justizminister Emanuel Schädler.
Nach den ersten forensischen Erkenntnissen war es ein gezielter Angriff auf das VwbP, auf hohem technischem Niveau. Andere Systeme der Landesverwaltung wurden nach dem damaligen Kenntnisstand nicht angegriffen. Hinweise, dass Daten verändert oder gelöscht wurden, gibt es nach Angaben der Regierung nicht.
Am 19. August nannte das Amt für Informatik die Ursache. Die Sicherheitsanalyse habe ergeben, so Amtsleiter Fabian Schmid, „dass der unberechtigte Zugriff auf die Daten aufgrund einer fehlerhaften Logik zur Überprüfung der Berechtigungen möglich war". Die Schnittstelle des Systems ließ sich demnach durch wiederholte Einzelanfragen auf eine Weise ausnutzen, die nicht vorgesehen war. Die Schwachstellen lagen im Registrierungsbereich. Künftig soll die elektronische Identität vorgeschaltet werden.
Die Staatsanwaltschaft hat beim Fürstlichen Landgericht Vorerhebungen gegen unbekannt beantragt, wegen des Verdachts auf widerrechtlichen Zugriff auf ein Computersystem und auf Datendiebstahl. Rechtshilfeersuchen an verschiedene Staaten sind gestellt, die Antworten stehen aus. Am 31. August kündigte die Regierung an, zusätzlich eine internationale Prüfungsfirma hinzuzuziehen. Im selben Schreiben heißt es: Weiterhin lägen keine Hinweise auf einen konkreten Missbrauch der betroffenen Daten vor.
Am 2. Oktober folgte der nächste Schritt. Ab dem 5. Oktober nimmt das VwbP den Betrieb in eingeschränkter Form wieder auf, nachdem die identifizierten Schwachstellen behoben werden konnten. Zugang bekommt bis auf Weiteres nur, wer persönlich in Vaduz erscheint und sich dort mit Reisepass oder Identitätskarte ausweist. Der Abgleich mit den Datensicherungen hat inzwischen bestätigt, dass die Daten nicht verändert wurden. Hinweise auf eine Veröffentlichung der gestohlenen Daten gibt es nach Angaben der Regierung bis anhin nicht.
Zu Tätern und Motiven sagt die Regierung nichts. Sie spekuliere nicht über mögliche Tatmotive, heißt es in ihren Antworten auf häufige Fragen.
Was im Verzeichnis steht
Das Register beruht auf dem Gesetz über das Verzeichnis der wirtschaftlich berechtigten Personen von Rechtsträgern, in Kraft seit 2021. Es setzt die europäischen Geldwäscherichtlinien um, die über den EWR auch für Liechtenstein gelten.
Nach den Angaben der Regierung sind folgende Daten betroffen: der Name des Rechtsträgers und zu jeder wirtschaftlich berechtigten Person Rolle, Name, Vorname, Geburtsdatum, Staatsangehörigkeit und Wohnsitzstaat. Wirtschaftlich berechtigt ist die natürliche Person, in deren Eigentum oder unter deren Kontrolle der Rechtsträger letztlich steht.
Was nicht darin steht, hat die Regierung ebenso deutlich gesagt. Keine Wohnadressen, keine Telefonnummern. Keine Umsätze, Vermögen oder Dividenden. Aus den gestohlenen Daten, so die Regierung, ließen sich keine Rückschlüsse auf Vermögenswerte ziehen. Das Bankkundengeheimnis sei nicht verletzt, Konto-, Vermögens- und Transaktionsdaten seien nicht betroffen.
Es lohnt sich, die Liste der erfassten Felder noch einmal zu lesen. Name, Geburtsdatum, Staatsangehörigkeit, Wohnsitzland, und daneben der Name einer liechtensteinischen Stiftung oder Treuhänderschaft. Wer diese Zeilen hat, weiß nicht, wie viel Vermögen dahinter steht. Er weiß aber, wer eines hat, das eine eigene Struktur in Vaduz rechtfertigt.
Stiftungen, Trusts und die Rollen darin
Das Gesetz erfasst nicht nur Gesellschaften. Als Rechtsträger gelten ausdrücklich auch Stiftungen und Treuhänderschaften, dazu im Ausland errichtete Trusts, die in Liechtenstein verwaltet werden. Für Stiftungen und Trusts kennt das Gesetz eine eigene Kategorie von Beteiligten: Stifter, Gründer, Treugeber und Protektoren.
Die Regierung spricht bei den betroffenen Daten ausdrücklich von der Rolle oder den Rollen jeder Person. Bei einer Stiftung heißt das: Im Verzeichnis steht nicht nur, dass jemand dazugehört, sondern in welcher Funktion.
Ein zweites Detail steht in der Antwort der Regierung auf die Frage, wer betroffen ist. Unter den rund 31.000 Rechtsträgern seien auch zuvor bereits gelöschte. Das folgt aus dem Gesetz selbst. Das Amt für Justiz löscht die Personendaten erst fünf Jahre nach der Löschung eines Rechtsträgers aus dem Handelsregister oder nach dem Ende der Verwaltung im Inland.
Für dich heißt das: Wer eine liechtensteinische Struktur in den letzten Jahren aufgelöst hat, war damit nicht aus dem Verzeichnis. Die Aufbewahrungsfrist ist eine Frist, in der Daten gestohlen werden können.
Wie viele natürliche Personen betroffen sind, beantwortet die Regierung nicht. Das Amt für Justiz hat den Personenkreis ausgewertet. Auskünfte dazu könnten aus rechtlichen und ermittlungstaktischen Gründen nicht gegeben werden.
Was der Staat außerdem vom Netz nahm
Die Regierung hat nach dem Angriff eine Reihe weiterer Systeme vorsorglich abgeschaltet. Sie betont, dass es bei keinem davon Hinweise auf einen Angriff gab. Die Liste ist trotzdem aufschlussreich, weil sie zeigt, was ein moderner Kleinstaat zentral und digital über seine Bürger und Strukturen führt.
Vom Netz gingen das Portal für die Mehrwertsteuer, die Melde- und Datenaustauschplattform der Verwaltung, das Zentrale Kontenregister, das Steuerfachsystem, die Grundbuchsoftware und das Meldeportal der Geldwäsche-Meldestelle. Am Wochenende vor dem 10. August folgte das Handelsregister. Die Grundbuchsoftware sollte nach Angaben der Regierung ab dem 2. September wieder aufgeschaltet werden, weitere Systeme in den folgenden Tagen und Wochen. Am 2. Oktober meldete die Regierung, die Prüfungen seien abgeschlossen und die betroffenen Systeme wieder in Betrieb. Für einzelne Anwendungen ist neu eine Anmeldung mit der eID nötig.
Kontenregister, Steuerdaten, Grundbuch, Handelsregister, Register der wirtschaftlich Berechtigten. Jedes dieser Systeme hat einen legitimen Zweck. Zusammen ergeben sie eine Infrastruktur, in der ein Staat sehr viel über Eigentum weiß. Und jedes davon ist ein Punkt, an dem Unbefugte ansetzen können.
Das Gesetz kannte das Risiko
Das Verzeichnis war nie für jedermann offen. Der Zugang ist gestaffelt. Inländische Behörden wie die Meldestelle, die Finanzmarktaufsicht, Polizei, Steuerverwaltung und Gerichte dürfen im Abrufverfahren einsehen, soweit es der Geldwäschebekämpfung dient. Banken und Sorgfaltspflichtige bekommen Daten auf Antrag. Dritte nur mit einem berechtigten Interesse, das eine eigene Kommission prüft.
Und das Gesetz nennt die Gefahr beim Namen. Ein Rechtsträger kann beantragen, dass die Offenlegung seiner Daten eingeschränkt wird, wenn die wirtschaftlich berechtigte Person sonst einem unverhältnismäßigen Risiko ausgesetzt wäre. Aufgezählt werden: Betrug, Entführung, Erpressung, Schutzgelderpressung, Schikane, Gewalt oder Einschüchterung.
Der Gesetzgeber hat also selbst festgehalten, wozu diese Daten in falschen Händen taugen. Er hat für Einzelfälle eine Sperre gegen den geregelten Zugang geschaffen. Gegen einen Abfluss des gesamten Bestands hilft eine solche Sperre nicht.
Der Europäische Gerichtshof hat den Mechanismus 2022 beschrieben, als er den allgemeinen öffentlichen Zugang zu solchen Registern in der EU für ungültig erklärte. Die Folgen einer missbräuchlichen Verwendung würden dadurch verschärft, dass die Daten, sobald sie der Öffentlichkeit zur Verfügung gestellt worden sind, „nicht nur frei abgerufen, sondern auch auf Vorrat gespeichert und verbreitet werden können". Der Gerichtshof sprach über legale Veröffentlichung. Für kopierte Daten gilt derselbe Satz, nur ohne jede Kontrolle darüber, wer sie liest.
Eine Liste bleibt eine Liste
Regierungschefin Haas hat den Zweck des Verzeichnisses nach dem Angriff verteidigt. „Der Angriff auf uns ist auch ein Angriff auf internationale Compliance-Standards", sagte sie am 4. August. Das Verzeichnis sei in Abstimmung mit den europäischen Partnern entstanden, zur Umsetzung der Geldwäscherichtlinie.
Genau darin liegt der Punkt für jeden Vermögensinhaber. Das VwbP ist kein liechtensteinischer Sonderweg. Es ist ein Baustein eines europäischen Systems, in dem jedes Land eine solche Liste führt. Das liechtensteinische Gesetz sieht ausdrücklich vor, das Verzeichnis mit den Registern der anderen EWR-Staaten zu vernetzen. Welche Register heute schon verbunden sind und welche Vernetzungen bis 2029 folgen, haben wir unter EU-Vermögensregister zusammengestellt.
Jede dieser Listen wird nach Gesetz geführt und mit den verfügbaren Mitteln geschützt. Liechtenstein hat nach eigener Darstellung schnell reagiert, transparent informiert und die Rechtsträger angeschrieben. Und trotzdem liegt eine Kopie der Liste jetzt bei Unbekannten.
Das ist die strukturelle Lehre. Was ein Staat sammelt, kann ein Staat verlieren. Nicht aus Absicht, sondern weil jede Sammlung ein Ziel ist. Je mehr Register entstehen und je enger sie verknüpft werden, desto mehr Stellen gibt es, an denen eine einzige fehlerhafte Berechtigungsprüfung reicht. Die sicherste Angabe ist die, die nie erhoben wurde.
Was das für Leser in Deutschland, Österreich und der Schweiz heißt
Das VwbP betrifft liechtensteinische Strukturen, egal wo die Beteiligten wohnen. Der Wohnsitzstaat ist eines der erfassten Felder. Wer in Deutschland, Österreich oder der Schweiz lebt und an einer liechtensteinischen Stiftung oder Treuhänderschaft beteiligt ist, steht mit diesem Land im Verzeichnis.
Die eigenen Register der drei Länder erfassen mehr als das liechtensteinische. Das deutsche Transparenzregister führt neben Name, Geburtsdatum und allen Staatsangehörigkeiten auch den Wohnort und Art und Umfang des wirtschaftlichen Interesses. Behörden und bestimmte Verpflichtete sehen dort zusätzlich die Angaben zu erfassten Immobilien. Das österreichische Register der wirtschaftlichen Eigentümer verlangt Geburtsort und Wohnsitz, bei Personen ohne Wohnsitz in Österreich auch Nummer und Art des Ausweises.
Die Schweiz hatte lange kein solches Register. Der Bundesrat hat das neue Gesetz über die Transparenz von juristischen Personen am 12. Juni 2026 auf den 1. Oktober 2026 in Kraft gesetzt. Seit diesem Tag ist das Register in Betrieb, geführt vom Bundesamt für Justiz.
Die Frage, die Liechtenstein aufwirft, stellt sich also überall. Nicht ob dein Name in einem Register steht, sondern in wie vielen, mit welchen Feldern und hinter welcher Schnittstelle.
Was du jetzt tun kannst
Wenn du an einer liechtensteinischen Struktur beteiligt bist
Die Regierung hat seit dem 4. August Schreiben an die Rechtsträger verschickt. Darin werden sie ersucht, ihre wirtschaftlich berechtigten Personen über die Verletzung des Schutzes ihrer Daten zu informieren. Der Grund: Das Verzeichnis kennt keine Wohnadressen. Frag deinen Treuhänder oder den Stiftungsrat, ob ein solches Schreiben eingegangen ist und welche Daten zu dir erfasst waren.
Du hast außerdem ein eigenes Auskunftsrecht über die zu dir verarbeiteten Daten, nach der Datenschutz-Grundverordnung. Für Fragen hat das Amt für Justiz eine Informationsstelle eingerichtet, per E-Mail und telefonisch.
Rechne damit, dass Name, Geburtsdatum und die Verbindung zu einer Stiftung in fremden Händen sind. Die Regierung meldet keinen Missbrauch. Aber das Gesetz selbst nennt Betrug und Erpressung als die Risiken solcher Daten. Anrufe, Mails oder Briefe, die sich auf deine Stiftung beziehen, verdienen deshalb einen zweiten Blick, gerade wenn sie Dringlichkeit erzeugen. Wie viel Angriffsfläche dein Telefon und deine Konten zusätzlich bieten, haben wir unter Digitale Privatsphäre beschrieben.
Und prüf mit deinem Treuhänder, ob ein Antrag auf Einschränkung der Offenlegung für die Zukunft in Frage kommt. Ob die Voraussetzungen vorliegen, entscheidet das Amt für Justiz im Einzelfall.
Die Sichtbarkeit jeder Struktur kennen
An der Schutzwirkung einer sauber gestalteten liechtensteinischen Stiftung ändert der Angriff nichts. Sie funktioniert, wie auf unserer Liechtenstein-Seite beschrieben, nicht durch Verstecken, sondern durch saubere rechtliche Trennung bei voller Transparenz. Das Vermögen gehört der Stiftung. Eine Liste mit Namen ändert daran nichts.
Aber jede Struktur hat ein eigenes Profil an Sichtbarkeit, und das gehört zur Entscheidung. Bei der Stiftungs-Limited in London ist keine Anonymität gegeben, da das UK ein sehr öffentliches Transparenzregister führt. Bei der Wyoming LLC nennt unser Vergleich die Anonymität sehr hoch: kein öffentliches Register. Beide Wege stehen gleichrangig nebeneinander, sie unterscheiden sich in Anonymität, Verwaltungsaufwand und Rechtsraum.
Deine Immobilie in Deutschland
Wer Immobilien in Deutschland hält, braucht dafür keine ausländische Stiftung. Unser Weg sind gezielte Eintragungen in den Abteilungen I, II und III des Grundbuchs zugunsten einer rechtssicheren Struktur außerhalb der EU, der Wyoming LLC oder der Stiftungs-Limited London, beschrieben unter Immobilienschutz. Ein Eigentümerwechsel findet nicht statt. Du bleibst Eigentümer, die steuerliche Situation bleibt unverändert, alle Maßnahmen sind reversibel.
Der Angriff auf das VwbP hat kein Vermögen bewegt. Er hat gezeigt, dass eine Liste über Vermögensinhaber genau so sicher ist wie die schwächste Prüfung an ihrer Schnittstelle. Vertraue keinem einzigen Register mit allem, und plane so, dass deine Struktur auch dann trägt, wenn dein Name eines Tages in einer Datei steht, die du nicht kontrollierst.