Het Zwitserse Transparantieregister zou op 1 oktober 2026 live gaan en de beneficial owners achter circa 600.000 rechtspersonen registreren. Maar een cyberaanval op het vrijwel identieke systeem van buurland Liechtenstein heeft Zwitserse vermogensbeheerders doen twijfelen of de lancering niet moet worden uitgesteld.

Hackers drongen in de nacht van 29 op 30 juli Liechtensteins Register van Beneficial Owners, het zogenoemde VwbP, binnen en stalen persoonsgegevens die verband houden met ongeveer 31.000 rechtspersonen. De gestolen informatie omvatte namen, geboortedata, nationaliteiten en landen van vestiging van de personen achter bedrijven, stichtingen en trusts. Er werd geen toegang verkregen tot financiële gegevens.

Wat er in Liechtenstein gebeurde

Liechtenstein lanceerde het VwbP in 2021 om te voldoen aan de EU-richtlijnen tegen witwassen. Op 30 juli detecteerden de autoriteiten onregelmatigheden in het register, waarmee een einde kwam aan de periode van veilige werking. De Liechtensteinse regering reageerde snel: de database werd offline gehaald en er werd een crisisteam opgericht onder leiding van premier Brigitte Haas en justitieminister Emanuel Schädler. Tegen 31 juli of 1 augustus waren de verantwoordelijke functionarissen formeel ingelicht. Publieke verklaringen waarin de omvang van het datalek werd bevestigd, volgden tussen 2 en 4 augustus.

Waarom Zwitserse vermogensbeheerders nerveus zijn

Zwitserland en Liechtenstein zijn op het gebied van vermogensbeheer nauw met elkaar verweven. Veel Zwitserse cliënten gebruiken in Liechtenstein gevestigde entiteiten, met name stichtingen en trusts, als onderdeel van hun vermogensstructurering. Het datalek treft dus niet alleen personen in Vaduz; het heeft ook gevolgen voor cliënten aan de andere kant van de grens, in Zürich, Genève en andere centra van private banking.

Het Zwitserse Transparantieregister zelf zou vergelijkbaar functioneren als het Liechtensteinse VwbP en gegevens over beneficial owners van de rechtspersonen in het land verzamelen. De schaal is echter aanzienlijk groter: naar schatting 600.000 entiteiten tegenover 31.000 in Liechtenstein — ruwweg twintig keer zo groot een aanvalsoppervlak, een punt dat Zwitserse financiële intermediairs nu met klem benadrukken.

Het argument van de vermogensbeheerders is niet dat transparantie slecht is. Zij betogen veeleer dat het lanceren van een enorme gecentraliseerde database met gevoelige persoonsgegevens zonder waterdichte cybersecurity roekeloos is. Naar hun mening fungeert het datalek in Liechtenstein als een bewijs van concept voor precies het soort aanval dat het Zwitserse register op veel grotere schaal zou kunnen treffen.

Het debat sluit aan bij een bredere Europese afrekening over de vraag wie er überhaupt inzage zou moeten krijgen in gegevens over beneficial owners. In november 2022 oordeelde het Hof van Justitie van de Europese Unie dat onbeperkte publieke toegang tot dergelijke registers in strijd was met het recht op privacy, waarna de toegang werd beperkt tot personen met een gerechtvaardigd belang. Die uitspraak veranderde de manier waarop EU-lidstaten — en EVA-landen zoals Liechtenstein — hun registers exploiteren, en ze bepaalt de context van de huidige discussie in Zwitserland over hoe strikt de toegang tot het Transparantieregister moet worden beperkt zodra het van start gaat.

De spanning tussen transparantie en veiligheid

Registers van beneficial owners bestaan om een eenvoudig beleidsdoel te dienen: het moeilijker maken van witwassen door te eisen dat wordt openbaar gemaakt wie er werkelijk achter rechtspersonen zit. Liechtenstein, geen EU-lid, nam het kader over via zijn lidmaatschap van de Europese Economische Ruimte. De registers maken deel uit van een bredere internationale inspanning van organisaties zoals de Financial Action Task Force en de G20 om de anonimiteit op te heffen die lege vennootschappen kunnen bieden.

De gestolen Liechtensteinse gegevens bevatten weliswaar geen accounttotalen of transactiegeschiedenissen, maar zijn allerminst onschadelijk. Namen en geboortedata van beneficial owners, gecombineerd met hun nationaliteiten en landen van vestiging, bieden voldoende informatie voor geavanceerde social-engineering-aanvallen, identiteitsdiefstal of zelfs fysieke veiligheidsdreigingen tegen vermogende personen.

De manier waarop de Zwitserse autoriteiten reageren op de bezwaren van de vermogensbeheerders in de aanloop naar de lancering in oktober 2026 — met aangepaste toegangsregels, strengere beveiligingseisen of een uitstel — zal laten zien hoe het land zijn anti-witwasverplichtingen wil balanceren met de gegevensbeschermingsverwachtingen van de private-bankingsector.