Die Ausgangslage in Kürze
Das Fürstentum Liechtenstein ist Ende Juli 2026 Opfer eines Cyberangriffs auf das Verzeichnis wirtschaftlich berechtigter Personen (VwbP) geworden. Davon erfasst werden die hinter Gesellschaften, Stiftungen und Treuhänderschaften stehenden Personen. Nach vorläufigem Ermittlungsstand erlangte eine bislang nicht identifizierte Täterschaft in der Nacht vom 29. auf den 30. Juli 2026 über einen längeren Zeitraum unbefugten elektronischen Zugriff auf das Registersystem des Fürstentum Liechtenstein. Nach den bisherigen Feststellungen wurden Kopien der Datensätze von rund 31’000 im Register geführten Rechtsträgern unrechtmässig abgezogen.

Datenschutzrechtliche Würdigung
Eine faktische Betroffenheit in der Schweiz ist gegeben. Angesichts der engen wirtschaftlichen Verflechtung und der geografischen Nähe ist ein relevanter Anteil von in der Schweiz wohnhaften oder schweizerischen wirtschaftlichen Berechtigten naheliegend. Als EWR-Vertragsstaat untersteht das Fürstentum Liechtenstein dem unionsrechtlichen Datenschutzregime. Der Vorfall ist somit als Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 33 DSGVO zu qualifizieren, woraus sich unter anderem unmittelbar die Pflicht ableitet, die betroffenen Personen nach Massgabe von Art. 34 DSGVO unverzüglich zu benachrichtigen.

Haftungsrechtliche Konsequenzen für Liechtenstein
Da der Datenabfluss aus einer staatlichen Stelle erfolgte, richtet sich die Haftungsfrage primär nicht nach zivilrechtlicher Deliktshaftung, sondern nach dem Gesetz vom 22. September 1966 über die Amtshaftung (AHG), das die verfassungsrechtliche Grundlage von Art. 109 der Landesverfassung ausgestaltet. Anders als bei einer klassischen zivilrechtlichen Verschuldenshaftung ist die Position der Geschädigten hier begünstigt, verlangt werden:

• eine Widerrechtlichkeit des staatlichen Handelns, etwa ungenügende technisch-organisatorische Sicherheitsvorkehrungen zum Schutz eines hochsensiblen Registers;
• ein kausaler Schaden, was bei reinen Datenabflüssen ohne (bislang) nachgewiesenen Folgeschaden (Betrug, Identitätsmissbrauch, Erpressung) in der Praxis regelmässig die grösste Hürde darstellt.

Einordnung im regionalen Kontext
Der Vorfall erhält Relevanz durch die anstehende Einführung eines strukturell analogen Instruments in der Schweiz: Ab dem 1. Oktober 2026 gilt, unter anderem, für Schweizer Aktiengesellschaften, GmbHs und Genossenschaften eine neue, eigenständige Compliance-Pflicht: Der Bundesrat hat beschlossen, dass das Bundesgesetz über die Transparenz juristischer Personen und die Identifikation der wirtschaftlich berechtigten Personen (TJPG) samt Ausführungsverordnung (TJPV) ab 1. Oktober 2026 in Kraft gesetzt wird. Kernstück ist ein nationales, nicht öffentlich zugängliches Transparenzregister, das vom Bundesamt für Justiz geführt wird und den Behörden künftig einen raschen Zugriff auf Angaben zu den wirtschaftlich berechtigten Personen erlauben soll.

Aus dem Vorfall im Fürstentum Liechtenstein lassen sich im Rahmen eines praxisnahen Referenzbeispiels konkrete Lehren ziehen, bevor das Schweizer System live geht:

• Anomalieerkennung bei Massenabfragen. Bemerkenswert am VwbP-Fall ist, dass die Täterschaft über mehrere Stunden hinweg sämtliche 31’000 Einträge auslesen konnte, ohne dass automatisierte Warnsysteme anschlugen. Für ein Schweizer Pendant ist die Frage zentral, ob und wie ungewöhnliche Abfragemuster in Echtzeit erkannt werden.
• Verhältnismässigkeit des Zugriffskreises. Je grösser der Kreis der Zugriffsberechtigten (Strafverfolgung, Aufsichtsbehörden, Finanzintermediäre zur Erfüllung ihrer Sorgfaltspflichten), desto grösser die Angriffsfläche. Eine eingeschränkte Ausgestaltung der Zugriffsrechte im Schweizer Register wird mitentscheidend für dessen Resilienz sein.
• Notfall- und Kommunikationskonzept. Die liechtensteinische Regierung hat mit rascher, transparenter Kommunikation, einem Krisenstab und einer zentralen Anlaufstelle für Betroffene reagiert, einem Vorgehen, das sich als Vorlage für vergleichbare Situationen in der Schweiz eignen würde.

Auswirkungen auf die Schweizer Akteure
Eine eigenständige Verantwortlichkeit trifft demgegenüber Schweizer Akteure, die dieselben Personendaten ihrerseits bearbeiten, so etwa Treuhänder, Vermögensverwalter, Banken, Anwälte oder Stiftungsräte mit Sitz in der Schweiz. Der Schweizer Akteur ist zur Einhaltung einer allgemeinen risikobasierten Datensicherheit nach Art. 8 DSG sowie der Informationspflicht gegenüber der Klientschaft verpflichtet.

Zu den Autoren
Dr. Patrick Stach zählt zu den erfahrensten Rechtsanwälten und Notaren der Ostschweiz. Er berät Klienten bei nationalen und internationalen Rechtsfragen und verbindet juristische Expertise mit pragmatischem Urteilsvermögen. Nach dem französischsprachigen Maturaabschluss absolvierte er ein Rechtsstudium inklusive Doktorat an der HSG. Neben seiner anwaltlichen Tätigkeit begleitet Patrick Stach Unternehmen als Verwaltungs- und Stiftungsrat und engagiert sich in internationalen Vereinigungen wie der Euro-American Lawyers Group sowie der BOKS International.
‍
Sven Pschorn studierte an der Universität St.Gallen (B.A. HSG in Law & M.A. HSG in Law) Rechtswissenschaft und schloss sein Studium im Jahr 2025 ab. Während seines Studiums arbeitete er in einer St.Galler Wirtschaftskanzlei. Nach seinem Studium absolvierte er ein Praktikum bei einem Big Four Unternehmen in der Rechtsabteilung. Im Jahr 2025 trat er bei der Stach Rechtsanwälte AG die Stelle als Junior Associate an.