Das schweizerische Transparenzregister soll am 1. Oktober 2026 in Betrieb gehen und die wirtschaftlich Berechtigten hinter rund 600.000 Rechtsträgern erfassen. Ein Cyberangriff auf das nahezu identische System des Nachbarlandes Liechtenstein hat Schweizer Vermögensverwalter nun jedoch dazu veranlasst, einen Aufschub des Starts ins Spiel zu bringen.

In der Nacht vom 29. auf den 30. Juli verschafften sich Hacker Zugang zum liechtensteinischen Register der wirtschaftlich Berechtigten, dem sogenannten VwbP, und entwendeten personenbezogene Daten zu rund 31.000 Rechtsträgern. Zu den kompromittierten Informationen gehörten Namen, Geburtsdaten, Staatsangehörigkeiten und Wohnländer der hinter Unternehmen, Stiftungen und Trusts stehenden Personen. Auf Finanzdaten wurde nicht zugegriffen.

Was in Liechtenstein geschah

Liechtenstein hatte sein VwbP im Jahr 2021 zur Umsetzung der EU-Richtlinien gegen Geldwäsche eingeführt. Am 30. Juli entdeckten die Behörden Unregelmäßigkeiten im Register und beendeten damit dessen Phase des sicheren Betriebs. Die liechtensteinische Regierung reagierte umgehend: Sie nahm die Datenbank vom Netz und richtete eine Kriseneinheit unter der Leitung von Regierungschefin Brigitte Haas und Justizminister Emanuel Schädler ein. Bis zum 31. Juli oder 1. August wurden die Verantwortlichen offiziell informiert. Zwischen dem 2. und 4. August folgten öffentliche Stellungnahmen, die das Ausmaß des Angriffs bestätigten.

Warum Schweizer Vermögensverwalter nervös sind

Schweiz und Liechtenstein sind im Bereich der Vermögensverwaltung eng miteinander verflochten. Viele Schweizer Kunden nutzen liechtensteinische Strukturen, insbesondere Stiftungen und Trusts, im Rahmen ihrer Vermögensplanung. Der Angriff betrifft daher nicht nur Personen in Vaduz, sondern auch Kunden jenseits der Grenze in Zürich, Genf und anderen Zentren des Privatbankings.

Das schweizerische Transparenzregister würde nach ähnlichen Prinzipien funktionieren wie das liechtensteinische VwbP und Daten zu wirtschaftlich Berechtigten der Rechtsträger des Landes erfassen. Der Umfang ist jedoch erheblich größer: Schätzungsweise 600.000 Rechtsträger gegenüber 31.000 in Liechtenstein – das entspricht etwa der zwanzigfachen Angriffsfläche, ein Punkt, den Schweizer Finanzintermediäre derzeit mit Nachdruck betonen.

Das Argument der Vermögensverwalter ist nicht, dass Transparenz schlecht sei. Vielmehr halten sie es für unverantwortlich, eine umfangreiche zentrale Datenbank mit sensiblen personenbezogenen Daten ohne wasserdichte Cybersicherheit zu starten. Aus ihrer Sicht ist der Angriff auf Liechtenstein der Beweis, dass genau diese Art von Angriff das schweizerische Register in weitaus größerem Maßstab treffen könnte.

Die Debatte fügt sich in eine breitere europäische Auseinandersetzung darüber ein, wer Einsicht in Daten zu wirtschaftlich Berechtigten überhaupt haben sollte. Im November 2022 urteilte der Gerichtshof der Europäischen Union, dass der uneingeschränkte öffentliche Zugang zu solchen Registern gegen das Recht auf Privatsphäre verstößt, und beschränkte den Zugang auf Personen mit berechtigtem Interesse. Dieses Urteil veränderte die Registerpraxis der EU-Mitgliedstaaten – und der EWR-Staaten wie Liechtenstein – und prägt nun auch die Diskussion in der Schweiz darüber, wie streng der Zugang zum Transparenzregister nach dessen Start begrenzt werden sollte.

Das Spannungsfeld zwischen Transparenz und Sicherheit

Register der wirtschaftlich Berechtigten verfolgen ein klares politisches Ziel: Geldwäsche erschweren, indem offengelegt werden muss, wer hinter Rechtsträgern tatsächlich steht. Liechtenstein hat diesen Rahmen – obwohl kein EU-Mitglied – über seine Mitgliedschaft im Europäischen Wirtschaftsraum übernommen. Die Register sind Teil einer breiteren internationalen Initiative von Gremien wie der Financial Action Task Force und der G20, die Anonymität aufzuheben, die Briefkastenfirmen bieten können.

Die gestohlenen liechtensteinischen Daten enthalten zwar keine Kontostände oder Transaktionshistorien, sind aber alles andere als harmlos. Namen und Geburtsdaten der wirtschaftlich Berechtigten – kombiniert mit ihren Staatsangehörigkeiten und Wohnländern – liefern ausreichend Informationen für ausgeklügelte Social-Engineering-Angriffe, Identitätsdiebstahl oder sogar physische Sicherheitsbedrohungen gegen vermögende Personen.

Wie die Schweizer Behörden auf die Bedenken der Vermögensverwalter im Vorfeld des Starts im Oktober 2026 reagieren – ob mit angepassten Zugangsregeln, verschärften Sicherheitsanforderungen oder einer Verschiebung – wird zeigen, wie das Land seine Verpflichtungen im Kampf gegen Geldwäsche mit den Datenschutzanforderungen des Privatbankensektors in Einklang zu bringen gedenkt.