Frage vom 30. September 2026

Die staatliche digitale Identität eID.li ist seit Ende April 2020 verfügbar und ersetzt gemäss Art. 12 Abs. 1 E-GovG im behördlichen Verfahren die Unterschrift.» 

Das eID.li-System wird von der Landesverwaltung geführt, die technische Umsetzung erfolgt über eine internationale private Auftragskette.

Am Anfang der Kette stehen die Hersteller der Endgeräte und die App-Stores von Apple und Google. Auftragsverarbeiterin ist die European Trust Services GmbH in Wien, ein Gemeinschaftsunternehmen der Österreichischen Staatsdruckerei GmbH und der CRYPTAS International GmbH. Unterauftragsverarbeiter sind die Youniqx Identity AG in Wien, die Identity Trust Management AG (IDnow) in München und die Körbler GmbH in Wagna.

Im Juli 2025 hat die niederländische eMudhra B.V., Tochter der unter anderem im «Hi-Tech Defence and Aerospace Park» ansässigen indischen eMudhra Limited, die Mehrheit an CRYPTAS übernommen.

Keine dieser Firmen hat ihren Sitz in Liechtenstein. Der Staat verlässt sich auf diese Kette, ohne unmittelbaren Einfluss.

Deshalb stellt sich die Frage nach Haftung und Sanktionsmöglichkeiten.

1. Welche staatliche Stelle trägt gegenüber dem eID.li-Inhaber die rechtliche Gesamtverantwortung für Ausstellung, Betrieb und Sicherheit der eID.li?

2. Wer trägt die Beweislast, wenn ein eID.li-Inhaber bestreitet, eine mit seiner eID.li ausgelöste Handlung vorgenommen zu haben?

3. Wie hat die Regierung die 2025 erfolgte Mehrheitsübernahme von CRYPTAS International durch eMudhra - die auch Sicherheitslösungen für den Militärsektor und Satellitenkommunikation sowie KI-gesteuerte Systeme anbietet - hinsichtlich Sicherheit, Datenschutz und Haftung beurteilt?

4. Welche rechtlichen und technischen Schranken stellen sicher, dass die eID.li nicht zur Durchsetzung politischer oder ideologischer Vorgaben auf nationaler oder europäischer Ebene eingesetzt wird?

5. Welche Sanktions- und Durchsetzungsmöglichkeiten bestehen gegenüber den Firmen dieser Auftragskette, wenn Pflichten zu Sicherheit, Datenschutz oder Verfügbarkeit verletzt werden?