Es geht um den Kampf gegen die Geldwäscherei und die Terrorismusfinanzierung. Seit 1989 versucht eine von den G-7-Staaten in Paris ins Leben gerufene Arbeitsgruppe, die Financial Action Task Force (FATF), die Abwehrmassnahmen international zu koordinieren. In Form von Empfehlungen wird ein Mindeststandard formuliert, dessen Einhaltung mit dem Länderexamen geprüft wird. Weist ein Land anhaltend Lücken auf, wird es auf grauen und schwarzen Listen angeprangert und riskiert massive Einschränkungen im Finanzverkehr. Zu diesen Minimalanforderungen gehört die Transparenz über juristische Personen. Die wahren Berechtigten an einer Firma sollen sich nicht hinter Vehikeln verstecken können, wie sie zum Beispiel bei den sogenannten «Panama papers» bekannt wurden.
Seit März 2021 kennt das Fürstentum Liechtenstein im Einklang mit den Geldwäschereivorschriften der EU ein Verzeichnis der wirtschaftlich berechtigten Personen. Es wurde letzte Woche Ziel eines Cyberangriffs unbekannter Herkunft mit möglicherweise gravierenden Folgen für den Finanzplatz des Landes. In der Schweiz wird ein vergleichbares Register am kommenden 1. Oktober eröffnet. Dass es fünfeinhalb Jahre länger dauerte als im «Ländle», ist unter anderen auf den Widerstand der Anwälte zurückzuführen. Sie legten sich vor allem gegen das parallele Gesetz quer, das Anwälte und weitere Berater teilweise den Sorgfaltspflichten des Geldwäschereigesetzes unterwirft. Eine erste Vorlage scheiterte im Parlament; die Neuauflage wurde gegen den Willen des Bundesrats entschärft.
Weniger Geldwäscherei werde es auf dieser Welt mit dem Transparenzregister nicht geben, polemisierte der Zürcher Ständerat Daniel Jositsch. Sein Walliser Kollege Beat Rieder sprach von einem Overkill im bürokratischen Bereich, wie er es noch nie gesehen habe. Ging es im Parlament vor allem um Abstriche am ursprünglichen Vorschlag des Bundesrats, war die Datensicherheit bisher kaum ein Thema. Das Gesetz legt lediglich fest, dass der Bundesrat die Einzelheiten der Bearbeitung, namentlich die Datensicherheit sowie die Organisation und die Führung des Transparenzregisters festlegt.
Der Schutz der IT-Sicherheit vor Cyberangriffen und unberechtigtem Datenzugriff stehe beim Betrieb des Transparenzregisters an oberster Stelle, versichert das Bundesamt für Justiz (BJ), wo das Transparenzregister angesiedelt ist. BJ-Sprecherin Ingrid Ryser nennt auf Anfrage von Tippinpoint drei Massnahmen. Erstens erfolge der Betrieb des Registers in einem speziell gesicherten Netzwerk durch das Informatik-Service-Center des Eidgenössischen Justiz- und Polizeidepartements. Sämtliche Daten seien ausschliesslich auf einem physischen Server in der Schweiz gespeichert und würden laufend durch geschulte Fachleute überwacht. So liessen sich Cyberangriffe, Sicherheitsvorfälle oder Systemfehler frühzeitig erkennen und umgehend Gegenmassnahmen einleiten.
Zweitens sei der Zugriff auf autorisierte Behörden und Nutzer beschränkt, müsse beim BJ beantragt werden und erfordere eine mehrstufige Authentifizierung. «Um Missbräuchen vorzubeugen und allfälliges Fehlverhalten aufzudecken, werden sämtliche Abfragen protokolliert und periodisch analysiert», erklärte die Sprecherin. Direkten Zugriff auf das System hätten nur Mitarbeitende der registerführenden Behörde und der Kontrollstelle, wobei ein Zugriff nur über das Single-Sign-On Portal des Bundes möglich sei. Alle anderen Nutzer des Registers müssten über das Portal EasyGov oder über eine applikatorische Schnittstelle zugreifen.
Regelmässige Schwachstellentests geplant
Als dritte Sicherheitsmassnahme nannte Ryser den Umstand, dass sowohl die technische Sicherheit als auch der Schutz vor unberechtigtem Datenzugriff regelmässig durch interne und externe Schwachstellentests auf allfällige Lücken überprüft würden. Namentlich werde dort der technologischen Entwicklung von Cyberangriffen Rechnung getragen.
Der Cyberangriff in Vaduz hat unterdessen weitere Folgen. Als Vorsichtsmassnahme wurden vier staatliche Systeme vom Netz genommen, um diese zusätzlichen Sicherheitsprüfungen zu unterziehen. Der am letzten Sonntag eingesetzte Krisenstab beschloss, weitere Systeme zu prüfen und zu diesem Zweck zeitweise vom Netz zu nehmen.
