Liechtenstein-Hack: Legal gibt es die Registerdaten nur einzeln

In der Nacht auf den 30. Juli 2026 verschaffte sich eine unbekannte Täterschaft Zugriff auf das liechtensteinische Verzeichnis wirtschaftlich berechtigter Personen und griff „Datenkopien von rund 31’000 Rechtsträgern“ ab. So steht es in der Medienmitteilung der Regierung des Fürstentums vom 2. August 2026¹. Die Regierung stufte den Vorfall als Verletzung des Schutzes personenbezogener Daten nach Art. 33 der Datenschutz-Grundverordnung ein. Aus dem Hackerangriff wurde in den Agenturmeldungen des Wochenendes etwas anderes: Daten von rund 31.000 Personen.

In dieser Fassung stand die Meldung am 3. August 2026 auch bei Vera Sprothen mit AFP und dpa in der ZEIT, unter dem Titel „Cyberkriminalität: Hacker stehlen Zehntausende Daten von Regierung in Liechtenstein“. Im Fürstentum leben rund 41.000 Menschen. Öffentlich einsehbar sind Register wirtschaftlich Berechtigter in Europa seit dem 22. November 2022 nicht mehr. Wer heute Daten daraus sehen will, findet im liechtensteinischen Registergesetz ein Verfahren vor, das jeden Rechtsträger einzeln behandelt.

Der Hackerangriff traf 31.000 Rechtsträger, nicht 31.000 Personen#

Ein Rechtsträger ist kein Mensch, sondern eine juristische Person, eine Stiftung, eine Anstalt oder ein Treuhandverhältnis. Welche Angaben zu den Menschen dahinter einzuholen und dem Amt für Justiz zu melden sind, regelt Art. 4 Abs. 1 des Gesetzes über das Verzeichnis wirtschaftlich berechtigter Personen gesetze.li ↗: Name, Vorname, Geburtsdatum, Wohnsitzstaat und Staatsangehörigkeit. Eine Wohnanschrift gehört nicht dazu. Hinter einer Stiftung können mehrere wirtschaftlich Berechtigte stehen, und eine Person kann für viele Rechtsträger eingetragen sein. Wie viele Menschen die 31.000 Kopien betreffen, nennt die Regierung nicht; sie kündigt die Benachrichtigung der Betroffenen nach Art. 34 der Datenschutz-Grundverordnung an. Auch bei KI-Apps mit offen erreichbaren Datenbanken ist eine Zahl der betroffenen Fälle nicht zu finden².

Über die Offenlegung eines einzigen Rechtsträgers entscheidet eine Kommission#

Dritte können nach Art. 17 Abs. 1 des Gesetzes „gegen Gebühr eine Offenlegung der im Verzeichnis eingetragenen Daten von alleinstehenden Rechtsträgern“ beantragen, also je Antrag zu einem namentlich benannten Rechtsträger. Der Antrag verlangt nach Abs. 2 und 5 Name und Adresse des Antragstellers, die Firma des betroffenen Rechtsträgers, den Verwendungszweck und den Nachweis eines berechtigten Interesses. Dieses Interesse liegt nach Abs. 6 vor, wenn die Verwendung im Rahmen der Bekämpfung von Geldwäscherei, ihrer Vortaten und der Terrorismusfinanzierung glaubhaft gemacht wird. Dann holt das Amt für Justiz eine Stellungnahme des betroffenen Rechtsträgers ein (Abs. 8), leitet den Antrag an die eigens eingesetzte VwbP-Kommission weiter (Abs. 10) und legt die Daten erst nach der rechtskräftigen Entscheidung offen (Abs. 12). Der betroffene Rechtsträger erfährt auf diesem Weg, wer nach ihm fragt und wozu.

Entführung und Erpressung stehen im Registergesetz als Sperrgrund#

Liechtenstein gehört zum Europäischen Wirtschaftsraum und setzt die Geldwäscherichtlinien der EU um; das Verzeichnis geht auf die fünfte dieser Richtlinien zurück. Art. 18 Abs. 2 kennt zusätzlich einen Sperrgrund. Auf Antrag wird die Offenlegung eingeschränkt, wenn die wirtschaftlich berechtigte Person dadurch „einem unverhältnismässigen Risiko von Betrug, Entführung, Erpressung, Schutzgelderpressung, Schikane, Gewalt oder Einschüchterung ausgesetzt würde“. Dieselbe Aufzählung steht in dem Urteil, mit dem der Gerichtshof der Europäischen Union am 22. November 2022³ die Bestimmung der Geldwäscherichtlinie für ungültig erklärte, soweit sie den Zugang zu diesen Registern für alle Mitglieder der Öffentlichkeit vorschrieb. In den Randnummern 41 bis 44 begründet er den Eingriff damit, dass sich aus den Daten ein Profil erstellen lässt, dass die Zahl der Zugreifenden unbegrenzt ist und dass die Daten sich speichern und weiterverbreiten lassen, was die Abwehr von Missbräuchen „umso schwieriger, wenn nicht sogar illusorisch“ mache. In Liechtenstein stand der Sperrgrund gut ein Jahr vor diesem Urteil im Gesetz.

Für den Bestand des Verzeichnisses steht ein Satz im Gesetz#

Das deutsche Handelsregister nennt die eingetragenen Organe einer Firma und ist öffentlich einsehbar. Wer wissen will, wem diese Firma wirtschaftlich gehört, braucht das Transparenzregister, und dort bekommen Dritte mit berechtigtem Interesse nach § 23 Abs. 1 des Geldwäschegesetzes gesetze-im-internet.de ↗ nur Monat und Jahr der Geburt, das Wohnsitzland und die Staatsangehörigkeiten zu sehen. Die Richtlinie (EU) 2024/1640⁴ sieht für diese Gruppe ab dem 10. Juli 2027 Name, Staatsangehörigkeit, Wohnsitzland sowie Art und Umfang der wirtschaftlichen Beteiligung vor, kein Geburtsdatum mehr. Im liechtensteinischen Verzeichnis selbst steht das vollständige Geburtsdatum, weil Art. 4 es verlangt. Zum Bestand sagt Art. 12 zweierlei: Abs. 1 bindet das Verzeichnis daran, dass es „ausschliesslich zum Zweck der Bekämpfung von Geldwäscherei, Vortaten der Geldwäscherei und Terrorismusfinanzierung“ geführt wird, Abs. 4 verlangt Schutz „durch geeignete technische und organisatorische Massnahmen“. Aufgefallen sind die Unregelmäßigkeiten im Verlauf des 30. Juli; beim Hackerangriff auf Anthropic dauerte das mindestens drei Monate⁵.

Die europäische Nachjustierung seit 2022 arbeitet damit durchweg an der Auskunft: wer fragen darf, mit welchem Nachweis, gegen welche Gebühr und welches Datenfeld er am Ende zu sehen bekommt. Für die Daten eines einzigen Rechtsträgers stehen in Vaduz sechs Schritte vom Antrag bis zur rechtskräftigen Entscheidung im Gesetz, dazu ein Sperrgrund, der Entführung und Erpressung beim Namen nennt. Was Ende Juli aus dem Verzeichnis abfloss, hat keinen dieser Schritte durchlaufen.

Anlass war die Meldung „Cyberkriminalität: Hacker stehlen Zehntausende Daten von Regierung in Liechtenstein“ von Vera Sprothen mit AFP und dpa für DIE ZEIT vom 3. August 2026; von dort stammt die Einwohnerzahl des Fürstentums. Zeitpunkt des Zugriffs, Umfang der Datenkopien und die Einstufung als Datenschutzverletzung stehen in der Medienmitteilung der Regierung des Fürstentums Liechtenstein vom 2. August 2026 presseportal.ch ↗. Die Registerregeln stammen aus dem Gesetz über das Verzeichnis wirtschaftlich berechtigter Personen gesetze.li ↗ (VwbPG, Fassung vom 1. April 2021), die Gefahrenaufzählung und ihre Begründung aus dem Urteil des Gerichtshofs der Europäischen Union vom 22. November 2022 in den Rechtssachen C-37/20 und C-601/20 eur-lex.europa.eu ↗, die Feldvorgaben aus § 23 des Geldwäschegesetzes gesetze-im-internet.de ↗ und der amtlichen Zusammenfassung der Richtlinie (EU) 2024/1640 eur-lex.europa.eu ↗.