Das «Verzeichnis wirtschaftlich berechtigter Personen», kurz VwbP, wurde Ziel eines digitalen Angriffs. Dabei wurden Datenkopien von rund 31'000 Rechtsträgern widerrechtlich abgegriffen. Die Regierung hat einen Krisenstab einberufen.
Nach vorläufigen Erkenntnissen hat sich in der Nacht auf den 30. Juli 2026 eine unbekannte Täterschaft widerrechtlich auf digitalem Weg Zugriff auf das VwbP verschafft. Im Verlauf des Tages vom 30. Juli 2026 fielen beim Amt für Justiz Unregelmässigkeiten auf. In der Folge wurde das Amt für Informatik kontaktiert, um den Sachverhalt zu analysieren. Aufgrund des Anfangsverdachts hat das Amt für Informatik unmittelbar Massnahmen zur Sicherung der Daten umgesetzt und das betroffene System vom Netz genommen. Gleichzeitig wurde eine umfassende Analyse des Vorfalls eingeleitet. Am 31. Juli 2026 wurde die Regierung informiert, dass ein potenziell erfolgreicher Angriff auf das VwbP stattgefunden hat. Am Nachmittag des 1. August wurden die ersten bestätigten Ergebnisse der Voruntersuchungen an die Regierung übermittelt.
Es hat sich inzwischen herausgestellt, dass sich die Täterschaft rechtswidrig Zugriff auf das Verzeichnis verschaffen und Datenkopien von rund 31‘000 Rechtsträgern abgreifen konnte. Im VwbP finden sich Angaben zu den wirtschaftlich berechtigten Personen von Rechtsträgern. Infolge des Vorfalls ist das Verzeichnis über die LLV.li-Website für externe Nutzer vorerst nicht verfügbar. Nach aktuellem Kenntnisstand bestehen keine Hinweise darauf, dass Daten im System verändert oder gelöscht wurden.
Krisenstab am Wochenende eingesetzt
Die Regierung hat noch am Abend des 1. August 2026 einen Krisenstab einberufen, welcher seine Arbeit unverzüglich aufgenommen hat, und diesen am 2. August 2026 formell bestätigt. Die Leitung des Krisenstabs übernehmen Regierungschefin Brigitte Haas und Justizminister Emanuel Schädler. Oberstes Ziel ist es, den Vorfall so rasch wie möglich umfassend aufzuklären, Betroffene zu informieren und Gegenmassnahmen einzuleiten. Der Krisenstab wird am Montag, 3. August 2026 über aktuelle Entwicklungen informieren.
Verletzung des Datenschutzes
Beim Angriff auf das VwbP handelt es sich um eine Verletzung des Schutzes personenbezogener Daten gemäss Art. 33 Datenschutz-Grundverordnung (DSGVO). Der Krisenstab arbeitet mit Hochdruck daran, dass gemäss Art. 34 DSGVO die betroffenen Personen so rasch wie möglich über die Verletzung des Schutzes ihrer Daten informiert werden. Gleichzeitig wird eine zentrale Informationsstelle eingerichtet, bei welcher sich Betroffene bei Fragen melden können. Anfragen können per E-Mail unter vwbpfragen@llv.li eingereicht werden.
Das Verzeichnis wirtschaftlich berechtigter Personen
Das VwbP wird zum Zweck der Verhinderung von Geldwäsche und von Terrorismusfinanzierung geführt. Es enthält Daten über die wirtschaftlich berechtigten Personen von Rechtsträgern. Als Rechtsträger gelten Gesellschaften, Stiftungen und Treuhänderschaften. Das Gesetz über das Verzeichnis der wirtschaftlich berechtigten Personen von Rechtsträgern (VwbPG) ist 2021 in Kraft getreten. Damit wurden die Vorgaben der 5. EU-Geldwäscherei-Richtlinie umgesetzt.
