Ein Ransomware-Angriff auf den Pensionskassen-Softwareanbieter PK Softech hat sensible Personendaten mehrerer Vorsorgeeinrichtungen kompromittiert – darunter jene der Pensionskasse der Stadt Zürich. Für zehntausende aktive und ehemalige Angestellte der Stadtverwaltung könnte damit ein Datenleck entstanden sein. Die Vorsorgegelder und Rentenleistungen selbst sind nach Angaben der Kasse nicht gefährdet.
Der Angriff traf den Softwarelieferanten, nicht die Stadtverwaltung
Ende September 2026 ist die PK Softech AG, ein Softwareanbieter für Pensionskassen, Opfer eines Cyberangriffs geworden 1. Nach Angaben des Unternehmens erfolgte der Zugriff über eine Schadsoftware. Die betroffene IT-Umgebung sei umgehend vom Netz getrennt, externe Spezialisten seien beigezogen und die Behörden informiert worden; zudem habe man Strafanzeige gegen Unbekannt erstattet. Man müsse davon ausgehen, dass Daten aus den Systemen abgeflossen seien 1.
Für die Einordnung ist entscheidend: Angegriffen wurden nicht die Computer der Stadt Zürich, sondern die Systeme eines privaten Zulieferers. Betroffen ist die Pensionskasse der Stadt Zürich (PKZH), die mit dem Unternehmen zusammenarbeitet. Die Attacke richtete sich damit gegen die Vorsorgeinfrastruktur, nicht gegen die Verwaltungs-IT der Stadt.
Welche Systeme betroffen sind
Die PKZH befindet sich mitten im Wechsel zu einem System von PK Softech. Die Aktivierung soll Anfang 2027 erfolgen, die Installationsarbeiten sind laut Geschäftsführerin Helga Portmann aber weit fortgeschritten. "Wir sind bereits jetzt daran, die Systeme aufzubauen und Tests durchzuführen", sagte Portmann der NZZ. Dabei habe man mit Testdaten von Versicherten gearbeitet – genau diese könnten nun im Darknet gelandet sein 1.
Lesen Sie auchNach Hack bei PK Softech: Immer mehr Schweizer Pensionskassen betroffen→
Das Verwaltungssystem, mit dem die PKZH die Guthaben verwaltet und Renten auszahlt, ist vom Angriff nach Angaben der Kasse nicht betroffen 3 4. Auch die grösste Schweizer Pensionskasse, die BVK mit rund 146'000 Versicherten, bezieht zwar Software von PK Softech, betreibt diese aber im eigenen Rechenzentrum und gilt deshalb aus heutiger Sicht nicht als direkt betroffen 1.
Welche Mitarbeiterdaten gefährdet sind
Bei der PKZH steht inzwischen fest, dass Daten von Versicherten entwendet wurden 3 4. Im schlechtesten Fall umfasst das Leck persönliche Kontaktdaten wie Name, Adresse, E-Mail und Telefonnummer, die AHV-Nummer, den Zivilstand, Angaben zu Partnern, die IBAN sowie Vorsorgedaten wie den versicherten Verdienst und das Guthaben 3 4. Wie viele der 41'000 Versicherten und 21'000 Pensionsberechtigten betroffen sind, wird noch ermittelt 1 3.
Ein Blick auf die Pensionskasse des Bundes (Publica) zeigt, welche Datensätze grundsätzlich in solchen Systemen liegen. Dort könnten laut Mitteilung an die Versicherten Name, Vorname, Geburtsdatum, AHV-Nummer, Adresse, Telefon- und E-Mail-Adressen, Vorsorgedaten, Zivilstand sowie Angaben zu Ehe- oder Lebenspartnern abgeflossen sein 2. Die Publica zählt rund 66'000 aktive Versicherte und rund 40'000 Rentenbeziehende 2.
In beiden Fällen gilt: Die Vorsorgegelder und Rentenleistungen sind nach Angaben der Kassen nicht gefährdet 2 3. Das ist regulatorisch begründet – anders als bei einem Bankkonto lassen sich aus der zweiten Säule keine Überweisungen ohne Weiteres veranlassen.
Wie die Kasse und die Behörden reagieren
Die PKZH hat nach eigenen Angaben Strafanzeige eingereicht und informiert ihre Versicherten 3 4. Sie stehe in engem Austausch mit PK Softech, um mehr über den Vorfall zu erfahren, sagt Portmann 1. Bei PK Softech dauern die Abklärungen an: Nach wie vor sei unklar, welche und wie viele Daten betroffen seien; man könne weder bestätigen noch ausschliessen, dass weitere Kunden betroffen sind. Die Frage, ob eine Geldforderung eingegangen sei, liess das Unternehmen unbeantwortet 1.
Die Bundesanwaltschaft ermittelt 2 4. Betroffen sind neben der Publica und der PKZH auch die Pensionskasse der Post, deren Datenlage noch unklar ist, sowie die Bernische Pensionskasse und die Bernische Lehrerversicherungskasse 3 4.
Wer hinter dem Angriff stecken könnte
Zu den Tätern gibt es bislang keine gesicherten Erkenntnisse. PK Softech spricht von einem Zugriff über Schadsoftware und hat Strafanzeige gegen Unbekannt erstattet 1. Eine öffentliche Bekennung oder eine namentliche Zuordnung zu einer bekannten Gruppe liegt nicht vor. Die Polizeiprävention beschreibt den Vorfall als Ransomware-Angriff mit Datenabfluss, nennt aber keine Urheber 5.
Branchenbeobachter verweisen auf das Muster vergleichbarer Fälle: Angriffe auf IT-Dienstleister zielen auf die Daten möglichst vieler Endkunden gleichzeitig. Der Bundesrat hatte nach dem Fall der Softwarefirma Xplain im Jahr 2023 zusätzliche Sicherheitsvorgaben für die Zusammenarbeit mit IT-Lieferanten beschlossen 2. Dass es erneut einen Zulieferer traf, dürfte die Debatte über die Sicherheit von Lieferketten neu befeuern.
Einordnung: Datenabfluss ist nicht gleich Geldabfluss
Für die Betroffenen ist weniger der technische Ablauf als die mögliche Verwertung der Daten das Problem. Die Präventionsstelle Cybercrimepolice warnt vor Anrufen angeblicher Finanzberater, die mit den erbeuteten Angaben Vertrauen aufbauen und Versicherte zu Investitionen ihres Vorsorgeguthabens verleiten wollen. Persönliche Kenntnisse der Anrufenden seien kein Beweis für deren Vertrauenswürdigkeit 5.
Für die PKZH kommt der Vorfall zu einem heiklen Zeitpunkt. Der Systemwechsel zu PK Softech soll in wenigen Wochen live gehen. Unabhängig davon, ob tatsächlich Zürcher Daten entwendet wurden, muss sich die Kasse fragen, ob sie den Wechsel zu einem Anbieter verantworten kann, dessen Systeme offensichtlich nicht ausreichend geschützt waren 1. Ausserdem dürften sich städtische Angestellte fragen, warum für Systemtests reale persönliche Angaben verwendet wurden und nicht fiktive Datensätze. Portmann verweist darauf, dass sich gewisse Tests nur mit echten Versichertendaten durchführen liessen 1.
Ähnliche Artikel
