Aufgrund des Anfangsverdachts hat das Amt für Informatik unmittelbar Massnahmen zur Sicherung der Daten umgesetzt und das betroffene System vom Netz genommen. Gleichzeitig wurde eine umfassende Analyse des Vorfalls eingeleitet. Am 31. Juli 2026 wurde die Regierung informiert, dass ein potenziell erfolgreicher Angriff auf das VwbP stattgefunden hat. Am Nachmittag des 1. August wurden die ersten bestätigten Ergebnisse der Voruntersuchungen an die Regierung übermittelt.

Nach dem kriminellen Angriff auf das Verzeichnis wirtschaftlich berechtigter Personen, kurz VwbP, wurden als Vorsichtsmassnahme vier staatliche Systeme vom Netz genommen, um diesen zusätzlichen Sicherheitsprüfungen zu unterziehen. Der Krisenstab hat am 5. August beschlossen, weitere Systeme zu prüfen und zu diesem Zweck zeitweise vom Netz zu nehmen. 

Ab Montag, 5. Oktober 2026, wurde der Betrieb des VwbP in eingeschränkter Form wieder aufgenommen, nachdem die identifizierten Schwachstellen behoben werden hatten können. Der Zugang ist bis auf Weiteres ausschliesslich nach persönlicher Identifikation des jeweiligen Benutzers und mit reduziertem technischem Funktionsumfang möglich. Auch die Prüfungen der vom Netz genommenen Systeme sind inzwischen abgeschlossen. Sie wurden wieder in Betrieb genommen. Für den Zugang zu einzelnen Anwendungen ist neu eine Anmeldung mittels eID erforderlich. Mittlerweile liegt zudem die Bestätigung der Datenintegrität vor. Der Abgleich mit den Datensicherungen hat ergeben, dass die Daten des VwbP durch den Cyberangriff nicht verändert wurden.

Nach Abschluss der veranlassten Sicherheitsanalysen hat die Regierung in einem weiteren Schritt entschieden, zwecks einer zusätzlichen externen IT-Prüfung eine internationale Firma mit entsprechender Facherfahrung hinzuzuziehen. Über die Ergebnisse wird die Regierung unter Berücksichtigung des Schutzes sicherheitsrelevanter Informationen nach Vorliegen des Berichtes informieren.

Die Stabsstelle Cyber-Sicherheit steht im Austausch mit den Betreibern kritischer Infrastrukturen, um die Lage fortlaufend zu beurteilen. Die bisherigen Abklärungen vonseiten der Stabsstelle Cyber-Sicherheit geben keinen Hinweis darauf, dass kritische Infrastrukturen betroffen sind. Unterdessen laufen die Ermittlungen der Strafverfolgungsbehörden nach der Täterschaft unter Hochdruck weiter. Bis anhin bestehen keine Hinweise auf eine Veröffentlichung der gestohlenen Daten.