Die Sicherheitsanalyse des Liechtensteiner Verzeichnisses der wirtschaftlich berechtigten Personen (VwbP) ist abgeschlossen. "Die Sicherheitsanalyse hat ergeben, dass der unberechtigte Zugriff auf die Daten aufgrund einer fehlerhaften Logik zur Überprüfung der Berechtigungen möglich war", bestätigte Fabian Schmid, Leiter des Amts für Informatik.
Die Täterschaft habe die Anwendungsprogrammierschnittstelle (API) demnach durch wiederholte Einzelanfragen auf eine Weise genutzt, die vom System nicht vorgesehen war. Laut Schmid handelt es sich dabei nicht um eine klassische Software-Schwachstelle. Aus ermittlungstaktischen Gründen mache die Regierung derzeit jedoch keine weiteren technischen Angaben.
Verstärkte Kontrollen durch eID
Als Reaktion will Liechtenstein die Absicherung des Registrierungsbereichs anpassen, wie die Regierung mitteilt. Künftig soll die eID der Verifizierung von Benutzerkonten und der Identitätsprüfung vorgeschaltet werden. Zudem sollen Überwachungs- und Erkennungsmechanismen ausgebaut werden, um unberechtigte Zugriffe früher erkennen zu können.
Die betroffenen Systeme bleiben bis zum Abschluss weiterer Sicherheitsprüfungen vom Netz. "Wir setzen jetzt alles daran, die Systeme weiter zu stärken und die Voraussetzungen für eine sichere Wiederinbetriebnahme der vorsichtshalber vom Netz genommenen Systeme zu schaffen. Die dafür noch notwendigen Sicherheitstests sind sehr umfassend und benötigen entsprechend Zeit", so Schmid. Nach Angaben der Regierung sollen die geprüften Systeme in den kommenden Wochen schrittweise wieder aufgeschaltet werden.
Neben dem VwbP waren nach dem Angriff vorsorglich
weitere Systeme vom Netz genommen worden, darunter das zentrale Kontenregister, das Steuerfachsystem Intax, das eMWST-Portal und die Plattform Lides. Die Regierung hatte diese Massnahmen als Vorsichtsmassnahme bezeichnet.
Ermittlungen laufen weiter
Der Angriff auf das VwbP war
Ende Juli bekannt geworden. Nach den bisherigen Ermittlungen wurden rund 31'000 Datenkopien von Gesellschaften, Stiftungen und Treuhänderschaften entwendet. Betroffen waren unter anderem Namen der Rechtsträger sowie Namen, Geburtsdaten, Staatsangehörigkeiten und Wohnsitzstaaten der wirtschaftlich berechtigten Personen. Finanzielle Angaben wie Vermögen, Umsätze oder Dividenden sowie Adressen und Telefonnummern waren nach damaligem Kenntnisstand nicht betroffen.
Wer hinter dem Angriff steckt, ist weiterhin unbekannt. Das Fürstliche Landgericht führe Vorerhebungen gegen unbekannte Täterschaft durch. Laut Regierung wurden Rechtshilfeersuchen an verschiedene Länder und Jurisdiktionen gestellt, Antworten stehen noch aus.
