Komplexität und Drittparteien: das Muster, das der Verwaltungsrat durchbrechen muss

Auch wenn ich den Fall Liechtenstein als Basis verwende: Es geht nicht um diesen Fall, sondern um ein Muster. Es ist ein Muster, das in grossen, gewachsenen Umgebungen, unabhängig davon, wo sie betrieben werden, nach erfolgreichen Angriffen oft sichtbar wird.

Ende Juli verschafften sich Angreifer Zugang zum liechtensteinischen Verzeichnis wirtschaftlich berechtigter Personen. Datenkopien zu rund 31’000 Rechtsträgern gingen verloren. Acht Tage später sagte Fabian Schmid, Leiter des Amts für Informatik, gegenüber der «NZZ am Sonntag», die Täter hätten im System gesucht, «bis sie eine Schwäche in der Applikation fanden». Ursache war offenbar ein Logikfehler in der Berechtigungsprüfung der Applikation. Entwickelt und gewartet wurde diese von einer externen Firma, die vertraglich auch für die Sicherheit zuständig war. Regelmässige Sicherheitstests hatte es gegeben. Trotzdem hat es nicht gereicht.

Genau diese Konstellation interessiert mich mehr als die Frage, wer hinter dem Angriff steckt. Sie zeigt fünf Muster, die ich in unterschiedlicher Form in vielen Umgebungen wiederfinde, weit über die öffentliche Verwaltung hinaus. Wer diese fünf Muster ernst nimmt, sollte sie nicht erst dann prüfen, wenn ein vergleichbarer Fall auch hier passiert.

Umgebungen, die wir nicht mehr im Griff haben

Moderne IT-Landschaften wachsen über Jahre. Jede einzelne Integration, jede zusätzliche Funktion war für sich genommen sinnvoll. In der Summe entsteht daraus eine Komplexität, die kaum mehr jemand vollständig überblickt, auch die zuständigen Fachleute nicht. Leider fehlt in solchen Situationen oft die Bereitschaft, sich das eigene Ausmass an Komplexität einzugestehen. Der Fall in Liechtenstein zeigt das exemplarisch: Eine Berechtigungslogik, die niemand mehr bis ins letzte Detail versteht, ist in einer solchen Umgebung keine Ausnahme, sondern oft die logische Folge des Wachstums.

Für den Verwaltungsrat bedeutet das: Funktionen und Integrationen sind kein Selbstzweck. Jede zusätzliche Verbindung vergrössert die Angriffsfläche, wenn sie nicht bis ins Detail kontrolliert wird. Wer diese Kontrolle nicht leisten kann, hat zwei Optionen. Entweder investiert er in Spezialisten, die eine solche Komplexität tatsächlich und nachweislich beherrschen, oder er vereinfacht die Plattform, bis sie wieder beherrschbar ist. Beides kostet Geld, jedoch nichts zu tun kostet am Ende mehr. Vor allem: Wenn es um Personendaten geht, wird diese Untätigkeit zum Risiko für die betroffenen Personen.

Sicherheit ist nie überall gleich hoch

Auch hier plädiere ich für einen radikalen Mindset-Wechsel im Verwaltungsrat. Ausgangspunkt jeder Diskussion sollte die Annahme sein, dass ein Angriff stattfindet. Offen bleibt nur, wann und an welcher Stelle er zuerst durchdringt.

Damit verbunden ist eine zweite Einsicht, die im Alltag oft verloren geht: Sicherheit ist innerhalb einer Organisation selten überall gleich hoch. Sie schwankt zwischen Netzwerk-, Applikations- und Datenebene, je nach Patch-Stand, Kritikalität der Daten, Prozessen und aktueller Bedrohungslage. Wer eine einheitliche Schutzwirkung unterstellt, übersieht genau jene Stelle, an der die Verteidigung am schwächsten ist. In Liechtenstein war es die Berechtigungslogik einer einzelnen Applikation, schwächer abgesichert als der Rest des Systems. Morgen könnte es aber wieder etwas ganz anders sein.

Für den Verwaltungsrat bedeutet dies: Aufmerksamkeit und Budget gehören dorthin gelenkt, wo Kritikalität und tatsächliches Schutzniveau am weitesten auseinanderklaffen, nicht gleichmässig über einen angenommenen, unternehmensweiten Sicherheitsstatus verteilt.

Theorie ersetzt keine Praxis

Wie Liechtenstein haben auch Unternehmen Verträge, definierte Standards und regelmässige Sicherheitstests. Auf dem Papier war die Sicherheit in Liechtenstein geregelt: Das Amt für Informatik verfügt gemäss eigenem Organigramm über eine eigene CISO-Funktion, direkt der Leitung zugeordnet. Genau das ist der Punkt: Auf dem Papier reichte es, in der Praxis nicht.

In der Cybersicherheit arbeiten heute viele Menschen theoretisch, mit Richtlinien, Frameworks und Zertifikaten. Wer wirklich praktisch angreift und verteidigt, wird im Verhältnis dazu oft untergewichtet. Ein Sicherheitstest, der eine Checkliste abarbeitet, findet, was auf der Checkliste steht. Ein Angreifer, der systematisch nach einer Schwäche sucht, findet, was tatsächlich da ist. Genau in dieser Lücke ist Liechtenstein gestolpert, und andere stolpern regelmässig auf die gleiche Art. Ich sage das bewusst pointiert: Wer im Verwaltungsrat über Cybersicherheit entscheidet, sollte wissen, wie viele der eigenen Prüfungen tatsächlich versuchen, das System zu brechen, und wie viele nur bestätigen, was ohnehin erwartet wird.

Wir überwachen oft das Falsche

Die Angreifer konnten offenbar über längere Zeit im System suchen, bevor sie fündig wurden. Wir überwachen häufig, ob ein System läuft und bemerken standardisierte Attacken. Wir überwachen selten, ob sich jemand systematisch durch dessen Logik arbeitet, und entdecken dadurch oft auch die Anomalie nicht. Das ist kein Einzelfall. Im globalen Durchschnitt vergehen laut dem IBM Cost of a Data Breach Report 2025 241 Tage, bis ein Datenabfluss überhaupt erkannt und eingedämmt wird, der tiefste Wert seit neun Jahren, aber immer noch rund acht Monate. In Liechtenstein fiel die Unregelmässigkeit offenbar zuerst dem Amt für Justiz auf, das das Register operativ nutzt, nicht der IT-Sicherheit selbst. In vielen anderen Fällen vergehen Monate, bis überhaupt jemand etwas bemerkt. Oft werden so viele Daten erhoben, dass in diesem grossen Rauschen die Anomalie verborgen bleibt. Künstliche Intelligenz kann hier zwar helfen, ist aber kein Allerweltsmittel.

Hinzu kommen ausgelagerte Systeme, Applikationen oder Services. Aus eigener Erfahrung als CEO und Verwaltungsrat weiss ich: Ein Vertrag oder ein Testat bestätigt, dass ein Prozess dokumentiert ist. Er bestätigt nicht, dass im eigenen Haus jemand versteht, was im ausgelagerten Betrieb tatsächlich passiert. Genau hier müssen wir Drittparteien neu bewerten und enger in die eigene Sicherheitsprüfung einbinden, statt uns auf deren Zusicherung zu verlassen. Das macht die Zusammenarbeit aufwendiger und teurer. Ein Anbieter, der sich Zertifizierungen und unabhängige Prüfungen gefallen lassen muss, wird sein Angebot nicht günstiger gestalten. Diesen Preis zahlt man vorher, oder man zahlt ihn nachher, wie Liechtenstein gerade lernt. Und noch schlimmer: Es zahlen ihn eben auch die betroffenen Personen, wenn es um Personendaten geht.

Die Grenze der Auslagerung

Auslagerung war und ist in vielen Fällen richtig. Kaum ein Unternehmen kann sämtliche Kompetenzen selbst aufbauen. Aber Auslagerung funktioniert nur, solange die Kontrolle über die ausgelagerte Leistung erhalten bleibt. Genau diese Kontrolle fehlt in vielen Konstellationen, die mir begegnen. Damit stellt sich eine unbequeme Frage: Ab welchem Grad an Komplexität und Abhängigkeit lässt sich eine Arbeitsteilung nicht mehr sicher betreiben, weil am Ende niemand mehr wirklich Zugriff auf das hat, was da läuft?

Ein Paradigmenwechsel als Führungsaufgabe

Diese fünf Muster verstärken sich gegenseitig: zu viel Komplexität, ungleich verteilte Sicherheit, zu viel Theorie und zu wenig Praxis, falsche Überwachung, unkontrollierte Auslagerung. Sie sind kein IT-Thema. Sie sind eine Führungsfrage, denn Verantwortlichkeit nach Art. 754 OR lässt sich nicht mit einem Vertrag oder einem Testat auslagern, so wenig wie das Wissen darüber, was in der eigenen Umgebung tatsächlich passiert. Das gilt für einen Registerbetreiber in Vaduz genauso wie für jedes Unternehmen, das seine Kernprozesse auslagert.

Ein einfacher Test zeigt, wo ein Verwaltungsrat tatsächlich steht. Er verlangt eine verständliche Übersicht: Wer hat Zugriff auf welche Systeme und Daten, aus welchem Grund und von wo. Nicht die technische Rohliste, sondern eine Fassung, die auch ohne IT-Hintergrund lesbar ist. Kommt diese Übersicht nicht innert nützlicher Frist in verständlicher Form zustande, ist das selbst schon ein Befund: Der Komplexitätsgrad hat einen Punkt erreicht, der Beobachtung verdient.

Technologie kann delegiert werden. Verantwortung nicht.