Eine weitere Verteidigungslinie des Fürstentums bricht zusammen.

Der Datenraub im Allerheiligsten sei «ein gezielter Angriff auf hohem technischem Niveau auf eine komplexe Sicherheitsstruktur» gewesen, behauptete die fürstliche Regierung. Nur so sei es möglich gewesen, dass sämtliche 31’000 Datensätze mit Namen, Nationalität und Wohnsitz aller Begünstigten der Tarnkonstruktionen Stiftung, Trust usw. gestohlen werden konnten.

Unsinn.

Inzwischen räumt der IT-Leiter Fabian Schmid kleinlaut ein, eine «fehlerhafte Logik» bei der Berechtigungsprüfung habe den Einbruch und das ungenierte Absaugen über Stunden hinweg im Verzeichnis wirtschaftlich berechtigter Personen (VwbP) ermöglicht.

Die Täter konnten sich Zugang zur Anwendung verschaffen bzw. ein Konto eröffnen und benutzen und danach wegen einer mangelhaften Zugriffskontrolle auf Datensätze zugreifen, für die sie gar keine Berechtigung hatten.

Das ist weder anspruchsvoll, noch stand dem eine komplexe Sicherheitsstruktur entgegen. Sondern das ist kinderleicht. Eigentlich jeder kann sich im Internet ein entsprechendes Programm besorgen, und schwups, ich bin drin.

Genauso lächerlich ist die angebliche Sicherheitsstruktur. Wäre sie etwas wert, dann hätte sie sofort, real time, Alarm geschlagen und die Lücke geschlossen. Was offensichtlich nicht geschehen ist.

Da wurden nicht komplizierte kryptographische Schutzmechanismen geknackt, ein State of the art SIEM (Security Information and Event Management) überwunden. » Wir verfügten über mehrstufige Sichherheitsmassnahmen», es darf gelacht werden.

Offenbar wurde niemals der einfache Test durchgeführt, ob man mit einem normalen Benutzerkonto die Daten anderer Rechtsträger abrufen könnte. Das ist unterste Amateurliga.

Es wurde offensichtlich nicht mal ein Bot zum automatisierten Abgreifen verwendet, sondern jeder Datensatz einzeln abgesaugt. Über Stunden. Das ist oberpeinlich und ein tödlicher Schlag für das Vertrauen auf Diskretion in Liechtenstein.

Inzwischen wurde neu nach anderen wichtigen Plattformen auch noch das Handelsregister abgeschaltet. Was bedeutet, dass die gleiche trümmelige IT-Sicherheit auch hier verwendet wird. Das Handelsregister, man glaubt es kaum.

Und der Krisenstab bleibt stumm.

Wer ist eigentlich für diesen fundamentalen Entwicklungsfehler, den niemand trotz angeblich regelmässigen Überprüfungen bemerkt hat, verantwortlich?

Laut Schmid sei das eine lokale KMU, aber den Namen will er nicht verraten. Also liess das Ländle, gierig im Einsacken von Geld, geizig im Ausgeben, dermassen wichtige Plattformen von einem einheimischen Unternehmen bauen. Das, wie es im Fürstentum üblich ist, sicherlich mit Beziehungen an diesen lukrativen Auftrag herankam. Und dann wurde gespart, bis es kracht.

Allerdings behauptet das IT-Amt auch, dass die Applikationsarchitektur auf marktüblichen Komponenten und Bibliotheken basiere und nach den Entwicklungsstandards des Amts aufgebaut wurde. Also bleibt die Frage: War die fehlerhafte Berechtigungslogik Eigenentwicklung des Amts oder Bestandteil einer extern entwickelten Anwendung?

Das ist nicht unwichtig bezüglich Schadenersatzforderungen und Haftungsfragen. Beides wird sicherlich auf Liechtenstein zukommen.

Und was tut Liechtenstein bislang? Die Staatsanwaltschaft beantragte beim Landgericht Vorerhebungen wegen widerrechtlichen Zugriffs auf ein Computersystem und Datendiebstahls. Es darf nochmal gelacht werden.

In der Nacht auf den 30. Juli erfolgte der Einruch. Inzwischen sind 14 Tage, zwei Wochen, vergangen. Und kein Fortschritt erkennbar.

Es gibt keine Erpressung- oder Lösegeldforderung, laut Schmid. Die Daten sind auch noch nicht im Netz aufgetaucht. Brauchbare Spuren zu den Tätern gibt es auch nicht.

Also sind deren Motive weiterhin völlig unklar. Kriminell, staatlich (Geheimdienste) oder erzürnte Begünstigte der 800 Zombie-Trusts, die seit anderthalb Jahren nicht an ihre Geldtöpfe herankommen, während dort gelagerte Besitztümer wie Flugzeuge, Yachten, Villen verrosten und zerfallen?

Man weiss nichts Genaues. Nicht mal Ungenaues.

Aber glasklar ist: nach diesem Super-GAU wird der Finanzplatz Liechtenstein Jahre brauchen, um sein wichtigstes Asset – Vertrauen in Diskretion – wieder aufzubauen. Wenn das überhaupt möglich ist.