Cyberangriff auf Liechtensteins Transparenzregister: „Eklatante Schwächen“

Ende Juli drangen Cyberkriminelle in das Transparenzregister des Fürstentums Liechtenstein ein und kopierten 31.000 Datensätze. Diese verraten, welche Personen hinter sämtlichen Stiftungen, Treuhandgesellschaften und Unternehmen in Liechtenstein stecken. Anhand dieser Informationen könnten Leute erpresst werden, sagt Adrian Mom, Partner der Beratungsgesellschaft Alix Partners in Zürich. Der Spezialist für „Forensic Accounting“ berät Finanzhäuser und Aufsichtsbehörden im Kampf gegen Geldwäsche, Bilanzbetrug und Terrorismusfinanzierung. Er sieht „eklatante Schwächen“ in Liechtensteins IT-System.

Herr Mom, Angreifer haben sich Zugriff auf das „Verzeichnis wirtschaftlich berechtigter Personen“ in Liechtenstein verschafft. Hat Sie das überrascht?

Dass ein staatliches Register in dieser Vollständigkeit erbeutet wurde, hat mich überrascht. Zwar gibt es Präzedenzfälle für Cyberangriffe auf europäische Regierungssysteme, aber die erfolgreiche Exfiltration eines kompletten Transparenzregisters ist neu. Allerdings war abzusehen, dass so ein Fall irgendwann kommen würde. Derartige Cyberangriffe nehmen zu. Es handelt sich um sensible und wertvolle Daten, die ihrer Natur nach nicht für die breite Öffentlichkeit bestimmt sind. Liechtensteins Geschäftsmodell als Finanzplatz hängt wesentlich davon ab, dass solche Informationen vertraulich bleiben. Wenn diese Diskretion nicht mehr gewährleistet ist, ist dieses Geschäftsmodell fundamental bedroht.

Die gestohlenen Personendaten enthalten keine Informationen zu den jeweiligen Vermögenswerten. Worin liegt dann der Wert dieser Informationen?

Der Wert hängt vom Nutzer ab. Diese Daten ermöglichen es, Netzwerke zu durchschauen, also wie Firmen und Stiftungen verbunden sind, wo Verflechtungen liegen. Wirtschaftliche Akteure interessieren sich für Insidergeschäfte, Übernahmen und grenzüberschreitende Finanzströme. Geheimdienste und Behörden nutzen solche Verbindungen im Kampf gegen organisierte Kriminalität und Terrorfinanzierung. Für private Organisationen ist der Nutzen direkter. Sie sehen, wer in Liechtenstein diese Strukturen nutzt.

Wer könnte hinter der Attacke stecken?

Darüber kann man zur Stunde nur spekulieren. Falls es sich um einen staatlich organisierten Angriff handelt, könnten verschiedene Motive im Spiel sein. Ein mögliches Ziel ist, die Netzwerke und Verbindungen von sehr vermögenden Personen besser zu verstehen. Das kann zum Beispiel in geopolitischen Konflikten wichtig sein oder wenn Behörden herausfinden wollen, ob Sanktionen umgangen werden. Geheimdienste könnten auch an wirtschaftlichen oder personellen Verbindungen interessiert sein. Private Hacker könnten die Daten weiterverkaufen oder selbst nutzen, um beispielsweise Personen zu erpressen.

Nach Angaben der Liechtensteiner Regierung sind die Cyberkriminellen über das Portal eingedrungen, über das Stiftungen, Trusts und Unternehmen die vorgeschriebenen Einträge zu den wirtschaftlich Berechtigten vornehmen. Der Zugriff auf die Daten erfolgte über stundenlange Einzelabfragen, ohne dass dies einen Alarm auslöste. Wie bewerten Sie das?

Wenn sich die aktuelle Darstellung erhärtet, offenbaren sich schwerwiegende Mängel auf mehreren Ebenen. Es gab eklatante Schwächen im Anmelde- und Identifizierungsprozess: Die Angreifer konnten einen Account anlegen, der in einem ersten Schritt nicht verifiziert wurde und ihnen trotzdem Zugang zum gesamten Register gewährte. Ebenso kritisch ist, dass stundenlange Einzelabfragen keinen Alarm auslösten. Das deutet darauf hin, dass nicht nur einzelne Sicherheitslücken bestanden, sondern grundlegende Kontrollfunktionen fehlten. Erfolgreiche Angriffe entstehen typischerweise gerade durch solche vermeintlich simplen Lücken wie hier in der Authentifizierung und im Monitoring.

Die von Liechtensteiner Behörden genutzte Software stammt von einem Drittanbieter. Könnte dort die Lücke im System zu finden sein?

Das muss jetzt genau untersucht werden. Dabei stellt sich die Frage, ob die Wurzel des Problems allgemein in dieser Software zu suchen ist oder ob die Software zweckspezifisch und damit abweichend vom Standard kalibriert wurde. Daher hat die Regierung richtigerweise auch andere staatliche Systeme vorsorglich vom Netz genommen.

Wegen des Datenklaus wird nun über Sinn und Unsinn von zentralen Transparenzregistern diskutiert. Wie sehen Sie das?

Transparenzregister sind wichtig, unter anderem um Geldwäsche und Terrorfinanzierung zu bekämpfen. Das Entscheidende ist aber die Steuerung des Zugriffs. Er muss auf diejenigen Institutionen und Behörden beschränkt sein, die ihn für ihre jeweiligen Aufgaben benötigen, nicht aber der breiten Öffentlichkeit zur Verfügung stehen. Was der Staat von privaten Institutionen in dieser Hinsicht fordert, muss er auch selbst leisten.

Von dem Datenklau dürften mehr als 100.000 Einzelpersonen betroffen sein. Welche Folgen kann der Zugriff für diesen Personenkreis haben?

Das Spektrum ist breit. Im besten Fall wird das gestohlene Wissen nicht aktiviert, die betroffenen Personen erfahren aber gleichwohl, dass vertrauliche Informationen abgegriffen worden sind. Das kann ihr Vertrauen stark beschädigen. Im schlimmsten Fall könnten die Daten gezielt gegen einzelne Personen eingesetzt werden, zum Beispiel um sie wirtschaftlich unter Druck zu setzen oder zu erpressen.

Welche Folgen hat das Ganze für den Finanzplatz Liechtenstein?

Liechtensteins Stiftungsmodell steht für Diskretion und Sicherheit. Das sind unter anderem zentrale Verkaufsargumente der Treuhänder, die für ihre Dienstleistungen entsprechende Preise verlangen. Ein solcher Vorfall beschädigt zweifellos die Reputation des Finanzplatzes. Wie stark der Schaden am Ende wirklich ist, wird sich erst noch zeigen. Die Resilienz von Finanzplätzen zeigt sich darin, wie schnell und transparent die Verantwortlichen auf solche Vorfälle reagieren. Außerdem müssen sie zeigen, dass ihre Sicherheitsmaßnahmen wieder zuverlässig funktionieren. Auch bei anderen ähnlichen Fällen hat man gesehen, dass genau das entscheidend ist.

Welche Lehren sollte die Regierung aus dem Fall ziehen?

Zunächst müssen die Sicherheitslücken systematisch identifiziert und geschlossen werden. Zudem sollte offen erklärt werden, welche Maßnahmen ergriffen wurden. Der Liechtenstein-Fall zeigt, was gut funktioniert hat und was nicht. Gut war, dass wichtige Daten getrennt gespeichert wurden. Deshalb enthielten die gestohlenen Informationen keine Telefonnummern, Adressen oder Kontonummern. Schlecht war jedoch, dass der Angriff zu spät bemerkt wurde. Erst am nächsten Tag fiel auf, dass über mehrere Stunden Daten gestohlen wurden. In Zukunft müssen die IT-Systeme regelmäßig überprüft werden. So kann man sicherstellen, dass sie neuen Anforderungen und Gefahren gewachsen sind.

Was meinen Sie damit?

In Zukunft wird es häufiger zu automatisierten Cyberangriffen kommen. Ein Grund dafür ist, dass Angreifer zunehmend Künstliche Intelligenz nutzen. Die IT-Systeme müssen diesen neuen Angriffen standhalten. In der Praxis ist das oft schwierig, weil sich Technik und Angriffsmethoden schnell weiterentwickeln.