Ein Cyberangriff auf den Softwarelieferanten PK Softech AG zieht immer weitere Kreise: Nach der Bundespensionskasse Publica melden auch die Bernischen Pensionskassen und die Pensionskasse der Stadt Zürich eine mögliche Betroffenheit. Bei Publica könnten besonders sensible Personendaten von bis zu 110'000 Versicherten abgeflossen sein – die Vorsorgegelder selbst sind nach Angaben der Kassen sicher.
Ein Angriff, viele Kassen
Ende September ist die PK Softech AG aus Reinach im Kanton Basel-Landschaft Opfer eines Cyberangriffs geworden. Unbekannte verschafften sich mithilfe von Schadsoftware Zugang zu einem Teil der IT-Infrastruktur des Unternehmens, das Verwaltungssoftware für Pensionskassen entwickelt [5]. Die betroffene Umgebung wurde umgehend vom Netz getrennt, externe Spezialisten beigezogen, die zuständigen Behörden informiert und Strafanzeige erstattet [5]. Seit dem 2. Oktober steht das Unternehmen seinen Kundinnen und Kunden wieder uneingeschränkt zur Verfügung [5].
Lesen Sie auchDatenabfluss bei Publica: Hacker erbeuten sensible Daten von Bundesangestellten→
Was zunächst wie ein Vorfall bei einem mittelständischen IT-Dienstleister aussah, entpuppt sich inzwischen als einer der folgenreichsten Datenschutzvorfälle der Schweizer Vorsorgebranche. Denn PK Softech betreut nicht eine einzelne Kundin, sondern einen erheblichen Teil des hiesigen Pensionskassenmarkts.
Was bei Publica abgeflossen sein könnte
Am 8. Oktober informierte die Pensionskasse des Bundes Publica als erste über den Datenabfluss [3] [4]. Die Bundesanwaltschaft hat Ermittlungen aufgenommen [3]. Publica zählt mit rund 70'000 aktiven Versicherten und 41'600 Rentenbeziehenden (Stand Ende 2025) sowie einer Bilanzsumme von knapp 45 Milliarden Franken zu den grössten Vorsorgeeinrichtungen der Schweiz [4].
Nach aktuellem Kenntnisstand könnten laut Publica folgende Personendaten von aktiven Versicherten und Rentenbeziehenden abgeflossen sein: Name und Vorname, Geburtsdatum, AHV-Nummer, Adresse, Telefonnummern und E-Mail-Adressen (geschäftlich und privat), Vorsorgedaten wie Lohn, versicherter Verdienst und Vorsorgeguthaben sowie Zivilstand und Angaben zu Ehe- oder Lebenspartnern [1] [5]. Ob tatsächlich alle rund 110'000 Personen betroffen sind oder nur ein Teil, ist offen [1].
Klar ist laut Publica hingegen: Die Vorsorgegelder selbst sind sicher, die Renten werden wie gewohnt ausbezahlt [1] [5]. Das ist regulatorisch begründet – anders als bei einem Bankkonto lassen sich aus der zweiten Säule keine Überweisungen veranlassen, und Auszahlungen sind an ein aufwendiges Verfahren gebunden [2].
Zürich, Bern, Migros, Post: Wer betroffen ist
Die Liste der potenziell betroffenen Kassen wächst. Am 13. Oktober bestätigte die Pensionskasse der Stadt Zürich (PKZH), dass auch ihre Daten betroffen sein könnten. «Nach neuesten Erkenntnissen ist es möglich, dass auch Daten von uns betroffen sind», sagte Geschäftsführerin Helga Portmann der NZZ [2]. Die PKZH zählt 41'000 Versicherte und 21'000 Pensionsberechtigte und verwaltet rund 25 Milliarden Franken [2].
Brisant ist der Zeitpunkt: Die Kasse befindet sich mitten im Wechsel zu einem System von PK Softech, die Aktivierung ist für Anfang 2027 geplant. Für die Systemtests wurden reale Versichertendaten verwendet – genau diese Testdaten könnten nun im Darknet gelandet sein [2]. Portmann begründet das damit, dass sich gewisse Tests nur mit echten Daten durchführen liessen [2].
Bereits am 9. Oktober meldeten die Bernische Pensionskasse (BPK) und die Bernische Lehrerversicherungskasse (BLVK) ihre Betroffenheit. Beide versichern zusammen mehr als 63'000 aktive Versicherte und über 28'000 Rentenbeziehende [6]. Hinweise auf einen Diebstahl von Versichertendaten gab es zunächst nicht; die Kassen schliessen ihn aber nicht aus [6].
Als weitere Kundinnen von PK Softech nennt der IT-Fachblog von Digitec die Migros-Pensionskasse, die Pensionskasse Post und die Syngenta Pensionskasse, die ihre Betroffenheit prüfen [7]. Nicht direkt betroffen ist nach eigenen Angaben die BVK, die grösste Pensionskasse der Schweiz mit rund 146'000 Versicherten: Sie bezieht zwar ebenfalls Software von PK Softech, betreibt diese aber im eigenen Rechenzentrum [2].
Wie die Kassen reagieren
Die Kommunikation fällt unterschiedlich aus. Publica informierte aktive Versicherte per Newsletter und Rentenbeziehende per Brief, richtete eine Kontaktstelle ein und warnte eindringlich vor Phishing [5]. «Öffnen Sie keine verdächtigen Links oder Anhänge. Geben Sie Passwörter, Zugangsdaten oder persönliche Informationen nicht weiter, wenn Sie unerwartet kontaktiert werden», heisst es in dem Schreiben [5].
Die BPK kündigte an, ihre Versicherten in den nächsten Tagen schriftlich zu informieren [6]. Die BLVK verwies zunächst auf eine Mitteilung auf ihrer Website und liess offen, ob sie zusätzlich informiert [6]. Die PKZH befindet sich nach Angaben ihrer Geschäftsführerin in engem Austausch mit PK Softech [2].
Unterdessen warnt die Kantonspolizei Genf vor zunehmenden Betrugsversuchen per E-Mail, SMS oder Telefon. Gestohlene Daten blieben noch lange nach dem Vorfall im Umlauf, heisst es in der Warnung [9]. Der «Bote der Urschweiz» berichtet unter Berufung auf einen Betroffenen, dass bereits Betrugsanrufe bei Versicherten eingegangen seien [10].
Einordnung: Ein bekanntes Muster
Der Fall weckt Erinnerungen an den Xplain-Skandal von 2023, als Angreifer ebenfalls über eine Softwarefirma an Daten von Bundesstellen gelangten. Der Bundesrat beschloss danach zusätzliche Sicherheitsvorgaben für die Zusammenarbeit mit IT-Lieferanten [1] [8]. Dass es erneut zu einem solchen Abfluss kam, dürfte die Diskussion über die Aufsicht über Drittanbieter neu befeuern.
Cybersecurity-Experte Marc Ruef nennt zwei mögliche Wege, wie sensible Daten zu einem Softwarelieferanten gelangen: Entweder betreibt die Firma die Anwendung selbst und speichert die Daten direkt, oder sie erhält für Tests und Wartungsarbeiten Einblick in Echtdaten [8]. Anonymisierte oder pseudonymisierte Datensätze wären die sicherere Alternative, doch deren Aufbereitung sei aufwendig und fehleranfällig. «Manchmal entscheidet man sich für die Wirtschaftlichkeit anstatt für die Sicherheit», sagt Ruef [8].
Ob eine Ransomware-Bande hinter dem Angriff steht, ob Lösegeldforderungen vorliegen und ob Daten bereits veröffentlicht wurden, ist offiziell nicht bestätigt [5]. Die Abklärungen von PK Softech dauern an; das Unternehmen kann weder bestätigen noch ausschliessen, dass weitere Kunden betroffen sind [2]. Für die Versicherten bleibt vorerst nur, wachsam zu sein – und bei unerwarteten Kontaktaufnahmen die offiziellen Kanäle ihrer Kasse zu nutzen.