Das liechtensteinische Amt für Informatik untersucht einen Cyberangriff auf das Register der wirtschaftlich Berechtigten. Dabei wurden Daten zu Personen erbeutet, die hinter Stiftungen und anderen juristischen Konstrukten stehen. Die Angreifer sind weiterhin unbekannt.

Wie die 'NZZ am Sonntag' (Paywall) berichtet, konnten die Täter im System offenbar eine Schwachstelle ausnutzen, nachdem sie sich Zugang zur Anwendung verschafft hatten. Amtsleiter Fabian Schmid sagt gegenüber der Zeitung, der Zugriff auf fremde Daten sei durch eine "fehlerhafte Logik" bei der Überprüfung von Berechtigungen möglich gewesen.

Der bisher bekannte Ablauf würde auf eine klassische Form von Sicherheitsproblem hindeuten: Ein eingeloggter Nutzer konnte demnach unter bestimmten Voraussetzungen nicht nur auf die eigenen Einträge, sondern auch auf Daten anderer Personen zugreifen.

Der Cybersicherheitsexperte Stefan Rothenbühler vom Schweizer Security-Unternehmen Infoguard hält diese Einschätzung für wahrscheinlich. Nach den bisher bekannten Informationen sei der Angriff zwar gezielt gewesen, technisch aber "nicht besonders anspruchsvoll".

Das Register wurde von einem externen Unternehmen entwickelt und werde auch von diesem gewartet. Laut Schmid trägt der Dienstleister vertraglich auch Verantwortung für die Sicherheit der Anwendung. Regelmässige Sicherheitstests seien durchgeführt worden. Dennoch habe sich die Schutzmassnahmen als unzureichend erwiesen.

Wer hinter dem Angriff steckt und welches Motiv die Täter hatten, bleibt offen. Eine Lösegeldforderung liegt laut Schmid bislang nicht vor. Die Ermittler haben nach Angaben des Amtsleiters jedoch Spuren der Angreifer gefunden. Security-Experte Rothenbühler seinerseits hält finanzielle Motive für wahrscheinlich. Das Spektrum möglicher Täter reiche "von technisch versierten Amateuren bis zu staatlichen Akteuren".

Für den Schweizer Finanzplatz ist der Vorfall auch deshalb relevant, weil die betroffenen juristischen Konstrukte teilweise Vermögen verwalten, die bei Schweizer Banken liegen. Konkrete Konto- oder Vermögensdaten wurden laut den bisherigen Angaben allerdings nicht erbeutet.

Die forensische Analyse des Angriffs in Liechtenstein ist laut dem Amtsleiter weitgehend abgeschlossen. Nun ermitteln Staatsanwaltschaft und Polizei weiter zur Identität der Angreifer und zum genauen Ablauf des Hacks, wie die Zeitung schreibt.