Cyberangriff auf PK Softech: Publica und Berner Pensionskassen betroffen

Der Angriff: Eine Softwarefirma als Einfallstor

Ende September 2026 ist die Baselbieter Softwarefirma PK Softech AG Opfer eines Cyberangriffs geworden. Unbekannte verschafften sich «mithilfe von Schadsoftware – trotz hoher Sicherheitsstandards» Zugang zu einem Teil der IT-Infrastruktur, wie das Unternehmen in einer Mitteilung schreibt [3]. Die betroffene Umgebung sei umgehend vom Netz getrennt, externe Spezialisten seien beigezogen und Strafanzeige erstattet worden. Seit dem 2. Oktober stehe PK Softech ihren Kundinnen und Kunden wieder uneingeschränkt zur Verfügung [3].

Lesen Sie auchDatenabfluss bei Publica: Hacker erbeuten sensible Daten von Bundesangestellten→

Die Firma mit Sitz in Reinach BL entwickelt Anwendungen für Pensionskassen. 2017 hatte die Pensionskasse des Bundes Publica der PK Softech den öffentlich ausgeschriebenen Auftrag erteilt, eine Vorsorge-Applikation zu entwickeln [6]. Damit wird deutlich, warum ein Angriff auf einen vergleichsweise kleinen Zulieferer weitreichende Folgen haben kann: Über die Softwarefirma laufen die Daten mehrerer Vorsorgeeinrichtungen.

Publica: Datenabfluss bestätigt, Ausmass offen

Am 8. Oktober bestätigte der Bund den Vorfall. «Ende September wurde ein externer Softwarelieferant der Pensionskasse des Bundes Publica Opfer eines Cyberangriffs», heisst es in einer Medienmitteilung. Derzeit prüfe das Unternehmen gemeinsam mit Bundesstellen, «in welchem Umfang Daten von Publica betroffen sind». Die Bundesanwaltschaft hat Ermittlungen aufgenommen. Andere Bundesstellen unterhielten keine Geschäftsbeziehungen mit dem Unternehmen [1] [2].

Publica gehört mit einer Bilanzsumme von knapp 45 Milliarden Franken zu den grössten Vorsorgeeinrichtungen der Schweiz. Ende 2025 zählte sie rund 70'000 aktive Versicherte und gut 41'000 Rentenbeziehende – insgesamt über 110'000 Personen [6]. Nach Angaben der Kasse könnten nach aktuellem Kenntnisstand Name, Vorname, Geburtsdatum, AHV-Nummer, Adresse, Telefonnummern, E-Mail-Adressen, Vorsorgedaten wie Lohn und Vorsorgeguthaben, Zivilstand sowie Angaben zu Ehe- oder Lebenspartnern abgeflossen sein [4] [6].

Publica betont, die Vorsorgeguthaben seien sicher, der Betrieb laufe normal weiter, die Renten würden wie gewohnt ausbezahlt. Die aktiven Versicherten wurden am 8. Oktober per Newsletter informiert, Rentenbeziehende erhalten in den kommenden Tagen einen Brief. Zudem hat die Kasse eine Kontaktstelle für verdächtige Aktivitäten eingerichtet [2] [6]. Kommunikationsleiterin Beatrice Rychen sagte gegenüber SRF: «Für uns ist es das Schlimmste, was passieren kann» [4].

Berner Pensionskassen: «Keine Hinweise» auf Datendiebstahl

Betroffen sind auch die Bernische Pensionskasse (BPK) und die Bernische Lehrerversicherungskasse (BLVK). Die Finanzdirektion und die Bildungs- und Kulturdirektion des Kantons Bern teilten am Freitag mit, die betroffene Softwarelieferantin habe unmittelbar Strafanzeige erstattet. Die beiden Kassen stünden mit den zuständigen Direktionen in Kontakt. Es könne «nicht vollständig ausgeschlossen werden, dass Daten gestohlen worden seien». Sollte dies «entgegen allen Hinweisen» der Fall sein, würden die Kassen informieren [7].

Die BPK und die BLVK versichern Kantonspersonal, das Personal der kantonalen Hochschulen und die bernischen Lehrkräfte. Per Ende des vergangenen Jahres waren laut eigenen Angaben mehr als 63'000 Versicherte angeschlossen, dazu kamen mehr als 28'000 Rentenbeziehende – zusammen rund 90'000 Personen [7] [9].

BPK-Direktor André Matthey sagte der Nachrichtenagentur Keystone-SDA, die Vorsorgeguthaben seien sicher, Renten und Kapitalleistungen könnten wie gewohnt ausbezahlt werden. Die Softwarefirma wisse, dass Daten abgeflossen seien, es sei aber nicht bekannt, ob es sich um Personendaten handle. Es könnte sich auch um Geschäftsdaten handeln, «die nichts mit den Versichertendossiers zu tun haben». Laut PK Softech gehe es um eine «eher kleinere Menge von Daten». Die BPK will ihre Versicherten in den nächsten Tagen schriftlich informieren und darlegen, dass es derzeit keine Hinweise auf einen Datendiebstahl gebe – «aber wir können es nicht vollkommen ausschliessen» [8].

Der Widerspruch: Was bedeutet «Datenabfluss»?

Die widersprüchlichen Angaben lassen sich teilweise durch unterschiedliche Begriffe erklären. Der Bund und Publica sprechen von einem bestätigten «Datenabfluss» – also davon, dass Daten das System der Softwarefirma verlassen haben. PK Softech formuliert ähnlich: «Nach heutigem Kenntnisstand muss davon ausgegangen werden, dass Daten aus unseren Systemen abgeflossen sind.» Zugleich betont die Firma, der Abfluss habe sich «aus der IT-Infrastruktur von PK Softech, nicht aus den Systemen unserer Kunden» ereignet. Ob Kundendaten betroffen sind, werde untersucht; «grundsätzlich liegen auf unseren Testsystemen keine Klardaten» [3] [6].

Die Berner Seite wiederum verweist auf fehlende Hinweise auf einen eigentlichen Datendiebstahl. Ob es sich dabei um einen juristischen oder einen kommunikativen Unterschied handelt, ist offen. Marktbeobachter dürften den Fall auch als Beispiel dafür lesen, wie schwer sich die Tragweite eines Angriffs auf einen Zulieferer früh beziffern lässt: Solange die Forensik läuft, stehen bestätigte Datenabflüsse und unbestätigte Datendiebstähle nebeneinander.

Einordnung: Parallelen zu Xplain

Der Fall weckt Erinnerungen an den Xplain-Skandal von 2023, als Angreifer ebenfalls über eine Softwarefirma an Daten von Bundesstellen gelangten. Nach einer Administrativuntersuchung beschloss der Bundesrat Massnahmen, um Datenabflüsse bei IT-Lieferanten künftig zu verhindern; seither gelten zusätzliche Sicherheitsvorgaben für die Zusammenarbeit mit Lieferanten [4] [5] [10]. Dass es erneut zu einem Vorfall kam, dürfte die Debatte über die Kontrolle von Zulieferern neu befeuern.

Der Angriff reiht sich in eine Serie ein. Anfang Oktober meldeten die dänischen Behörden, das staatliche Personenregister sei gehackt und die Daten von rund acht Millionen Personen gestohlen worden. Beim Angriff auf das Landesnetz Berlin flossen im August rund 5,8 Terabyte Daten ab, die später im Darknet veröffentlicht wurden; hinter dem Angriff wird die Ransomware-Gruppe Rhysida vermutet. Auch die Verkaufsplattform Ricardo wurde gehackt – laut «20 Minuten» wurden Daten von rund 890'000 Kunden erbeutet [10].

Ausblick: Phishing-Risiko und offene Fragen

Die eigentliche Gefahr für die Betroffenen liegt weniger in den Vorsorgegeldern als in den gestohlenen Daten selbst. Mit Namen, Adressen und AHV-Nummern lassen sich Phishing-Nachrichten gezielt auf einzelne Personen zuschneiden. Der Datenschutzexperte Martin Steiger spricht von den «leider alltäglichen Risiken für Phishing und Betrugsmaschen, für die echte, persönliche Daten immer wieder eingesetzt werden» [10]. Die Kantonspolizei Genf warnte nach dem Datenabfluss vor zunehmenden Betrugsversuchen [11].

Publica und PK Softech rufen die Versicherten dazu auf, bei ungewöhnlichen E-Mails, Anrufen oder Nachrichten wachsam zu sein, keine verdächtigen Links oder Anhänge zu öffnen und keine Zugangsdaten preiszugeben [4] [6]. Offen bleibt, wie viele der rund 200'000 Versicherten und Rentenbeziehenden von Publica und den beiden Berner Kassen tatsächlich betroffen sind, ob Personendaten abgeflossen sind und wer hinter dem Angriff steckt. Bis die Forensik abgeschlossen ist, gilt für die Betroffenen vor allem eines: erhöhte Aufmerksamkeit.