31.000 Rechtsträger betroffen: Datenklau in Liechtenstein liefert neue Munition gegen DAC8

Das Amt für Justiz bemerkte erst im Laufe des Tages Unregelmäßigkeiten und ließ das System vom Netz nehmen. Am 1. August bestätigten erste Untersuchungen schließlich den erfolgreichen Datenabfluss.

Hinweise darauf, dass Einträge verändert oder gelöscht wurden, gibt es bislang nicht. Das Register bleibt für externe Nutzer vorerst gesperrt. Ein Krisenstab soll den Angriff aufklären, Gegenmaßnahmen koordinieren und die Betroffenen informieren.

Wie viele natürliche Personen tatsächlich betroffen sind, ist noch unklar. Die Zahl von 31.000 bezieht sich auf Rechtsträger. Hinter einem Unternehmen oder einer Stiftung können allerdings mehrere wirtschaftlich Berechtigte stehen. Umgekehrt kann eine Person aber natürlich mit mehreren Rechtsträgern verbunden sein.

Ein Transparenzregister enthält nicht nur Firmennamen, sondern Verknüpfungen zwischen natürlichen Personen und Unternehmen, Beteiligungen oder Stiftungen.

Solche Daten sind allerdings nicht nur für Behörden wertvoll. Sie können auch für gezieltes Phishing, Identitätsdiebstahl, Erpressung oder sogar die Vorbereitung physischer Straftaten genutzt werden.

Besonders problematisch ist, dass sich personenbezogene Informationen ja auch nicht einfach austauschen lassen. Ein kompromittiertes Passwort kann geändert werden. Namen, Adressen, Geburtsdaten oder Verbindungen zu Vermögensstrukturen bleiben dagegen dauerhaft relevant.

Selbst wenn die Sicherheitslücke geschlossen wird, verschwinden die kopierten Daten nicht wieder aus dem Internet.

Der Vorfall verdeutlicht das grundlegende Problem staatlich angeordneter Datensammlungen. Je vollständiger eine Datenbank ist, desto attraktiver wird sie für Angreifer.

Die Betroffenen müssen ihre Informationen gesetzlich verpflichtend melden, haben aber kaum Einfluss darauf, wie die Daten gespeichert werden, welche Mitarbeiter Zugriff besitzen oder welche externen Dienstleister und Schnittstellen eingebunden sind.

Formale Zugriffsregeln helfen nur, solange auch die technische Absicherung funktioniert. Ein nicht öffentliches Register ist daher nicht automatisch sicher.

Kommt es zu einem erfolgreichen Angriff, genügt im schlimmsten Fall der Zugriff auf ein einziges System, um Informationen über Zehntausende Personen und Unternehmen zu kopieren.

Das liechtensteinische Register enthält nach aktuellem Stand keine Bitcoin-Adressen oder konkreten Wallet-Bestände. Dennoch kann ein solcher Datenabfluss auch für Bitcoin-Nutzer gefährlich sein.

Werden die Informationen mit anderen Leaks kombiniert, zum Beispiel von Handelsplattformen, Banken, Steuerdienstleistern oder Krypto-Unternehmen (Stichwort: „Ledger Leak“), können Angreifer ein noch detaillierteres Bild der finanziellen Situation einzelner Personen erhalten.

Bei selbstverwahrten Bitcoin-Beständen kommt sogar noch ein zusätzliches Risiko hinzu. Banken können verdächtige Überweisungen stoppen oder Konten sperren. Eine unter Zwang ausgeführte Bitcoin-Transaktion lässt sich dagegen nicht rückgängig machen.

Bereits die Vermutung, dass eine Person über größere Bitcoin-Bestände verfügt, kann sie zu einem Ziel für Erpressung oder einen sogenannten „5-Dollar-Wrench-Angriff“ machen. 

In den vergangenen Monaten gab es (insbesondere in Frankreich) vermehrt solche und ähnliche Attacken.

Der Vorfall erhält auch durch die europäische Melderichtlinie DAC8 neue Bedeutung.

Seit Anfang 2026 müssen erfasste Krypto-Dienstleister umfangreiche Identitäts- und Transaktionsdaten ihrer Nutzer sammeln und an die zuständigen Steuerbehörden übermitteln. Dazu gehören unter anderem Name, Anschrift, steuerlicher Wohnsitz, Steueridentifikationsnummer und zusammengefasste Angaben zu Käufen, Verkäufen, Tauschgeschäften und Übertragungen von Kryptowerten.

Diese Informationen werden anschließend zwischen den Steuerverwaltungen der beteiligten Staaten ausgetauscht.

DAC8 schafft damit zwangsläufig eine Art „zentrale EU-Datenbank“ für Bitcoiner und Krypto-Enthusiasten.

Und mit jedem solchem zusätzlichen System und jeder zugriffsberechtigten Stelle wächst auch die Angriffsfläche.

Das liechtensteinische Register verknüpft „nur“ Personen mit Unternehmen und Kontrollverhältnissen. DAC8 kann darüber hinaus aber sogar personenbezogene Identitätsdaten mit Informationen über konkrete Krypto-Aktivitäten verbinden.

Für Kriminelle müssen solche Daten nicht einmal ein vollständiges oder aktuelles Bild des tatsächlichen Vermögens liefern. Bereits die Information, dass jemand größere Bitcoin-Beträge gekauft oder auf eine externe Wallet übertragen hat, kann ausreichen, um diese Person als potenziell lukratives Ziel einzustufen.

Dabei können natürlich auch veraltete oder missverstandene Datensätze gefährlich werden. Eine Person könnte längst keine entsprechenden Bestände mehr besitzen, aufgrund alter Informationen aber dennoch unter Druck gesetzt werden.

Aus diesem Grund hat das Unternehmen BULL BITCOIN auch in Frankreich Klage gegen DAC 8 eingelegt - Blocktrainer.de berichtete. 

Auch in anderen EU-Ländern wird im Übrigen hinter den Kulissen schon über ähnliche Klagen gemutmaßt.

Der Angriff in Liechtenstein widerlegt die Vorstellung, sensible Daten seien allein deshalb sicher, weil sie staatlich verwaltet und offiziell nicht öffentlich zugänglich sind.

Für die Europäische Union stellt sich bei DAC8 allerdings damit die Frage der Verhältnismäßigkeit und der tatsächlichen Gefahren, denen der Staat die betroffenen Bürger damit aussetzt.

Die anlasslose Erfassung und internationale Weitergabe umfangreicher Identitäts- und Transaktionsdaten schafft (zumindest in den Augen der meisten Bitcoiner) nämlich definitiv ein unverhältnismäßiges Sicherheitsrisiko.

Der aktuelle Fall liefert dafür nun auch ein konkretes Beispiel. Staatlich angeordnete Datensammlungen können eben nicht nur Transparenz schaffen. Sie können im Fall eines Leaks auch zu einer dauerhaften Gefahr für genau jene Menschen werden, deren Daten dort gespeichert sind.