Zuerst war es ein hochprofessioneller Cyberangriff. Nun war offenbar schlicht die Tür offen. Und wer durch sie spazierte, weiss man immer noch nicht.

Die «Frankfurter Allgemeine Zeitung» nennt es ein Debakel. Das trifft die Sache ziemlich genau.

Nachdem Liechtenstein der wohl grösste Datenraub seiner Geschichte widerfuhr, legte sich die Regierung zunächst mächtig ins Zeug. Nicht etwa bei der Erklärung, wie 31’000 Datensätze über wirtschaftlich Berechtigte an Stiftungen, Trusts, Anstalten und Firmen entwendet werden konnten. Sondern bei der Wortwahl.

Ein «gezielter Angriff auf hohem technischem Niveau» sei es gewesen. Und der habe sich gegen eine «hochkomplexe Sicherheitsstruktur» gerichtet, verkündete die Regierung am 4. August.

Das klang beruhigend. Gegen Cyber-Einsteins kann halt auch das kleine Liechtenstein nichts ausrichten. Da ist selbst der milliardenschwere Fürscht in seiner Trutzburg macht- und hilflos.

Nun ist die Untersuchung abgeschlossen. Und plötzlich klingt die Sache deutlich weniger nach «Mission Impossible».

Die Ursache sei eine «fehlerhafte Logik zur Überprüfung der Berechtigungen» gewesen. Dadurch habe der Angreifer die API-Schnittstelle mittels wiederholter Einzelanfragen ausnutzen können. Amtsleiter Fabian Schmid stellt sogar ausdrücklich klar: Es habe sich nicht um eine klassische Software-Schwachstelle gehandelt.

Interessant ist allerdings, dass er noch im Amt ist. Als Hauptverantwortlicher für dieses Desaster.

Auf Deutsch übersetzt: Offenbar musste niemand eine digitale Festung stürmen. Das System prüfte nicht richtig, wer was sehen durfte. Und über die Programmierschnittstelle konnten Daten automatisiert abgefragt werden.

Datensatz für Datensatz.

31’000 Mal.

Das wirft eine noch unangenehmere Frage auf. Wo war eigentlich die Überwachung? Wenn ein Benutzer Tausende und Abertausende Datensätze absaugt, sollte bei einer Datenbank dieser Sensibilität irgendwann eine rote Lampe aufleuchten.

Tat sie offenbar nicht.

Jetzt sollen nämlich, so die Regierung, die «Überwachungs- und Erkennungsmechanismen» ausgebaut werden. Zudem soll eine eID zur Identitätsprüfung vorgeschaltet werden.

Hinterher ist man immer schlauer. Oder weniger geizig. Denn moderne IT-Sicherheit kostet halt. Bei einem Staatsbudget von einer Milliarde und einem steinreichen Fürsten mit Fürstenbank wäre das allerdings ein Klacks gewesen.

Was das Fürstentum jetzt ankündigt, das ist ungefähr so, als würde eine Bank nach dem Ausräumen ihres Tresors bekanntgeben, künftig wolle man genauer hinschauen, wenn jemand 31’000 Mal mit einer Schubkarre durch die Eingangshalle fährt.

Dabei bleiben die entscheidenden Fragen unbeantwortet.

Wer hat diese Berechtigungslogik programmiert? Wer hat sie getestet? Wer hat sie abgenommen? Welches Unternehmen entwickelte und betreute die Plattform? Wer war für die IT-Sicherheit verantwortlich?

Die Regierung verweigert dazu weiterhin Auskunft.

Und dann wäre da noch eine Kleinigkeit: Man weiss bis heute nicht, wer die Täter sind.

Es gibt keine öffentlich bekannte Tätergruppe. Kein bekanntes Motiv. Keine bekannte Erpressungsforderung. Keine Erklärung, was mit den Daten geschehen soll. Die Ermittlungen laufen gegen Unbekannt, Rechtshilfeersuchen wurden ins Ausland verschickt.

Damit ist die Bilanz bemerkenswert.

Die Täter sind unbekannt. Die gestohlenen Daten sind weg. Der verantwortliche externe Dienstleister bleibt geheim. Das angeblich hochkomplex gesicherte System hatte einen Fehler in der Berechtigungslogik. Und offenbar bemerkte niemand rechtzeitig den massenhaften Datenabfluss.

Aus Angst wurden sogar noch weitere amtliche Plattformen abgeschaltet, darunter sogar das Handelsregister. Sie sollen in den kommenden Wochen wieder online gehen. Vielleicht.

Was für Versager. Die geheimsten Daten liegen offen und sind in unbekannter Hand. Verkniffen geschwiegen und geheimgehalten werden hingegen die Schuldigen und die Resultate der Suche nach den Tätern, angeblich Tag und und Nacht. Wer’s glaubt.

Aber wenigstens weiss Liechtenstein inzwischen, wie man das nennt.

Debakel. Desaster. Katastrophe. Verstrauensverlust. Ende Gelände Treuhänder-Finanzplatz.