Die Pensionskasse Stadt Zürich (PKZH) verschiebt die Einführung ihres neuen Verwaltungssystems von PK Softech auf unbestimmte Zeit. Auslöser ist ein Ransomware-Angriff auf den Softwarelieferanten aus Reinach BL, bei dem nach heutigem Kenntnisstand auch Personendaten Zürcher Versicherter abgeflossen sein könnten. Der Tages-Anzeiger berichtet von bis zu 62'000 möglicherweise Betroffenen. Vorsorgegelder und Renten sind nicht gefährdet, die Systeme der Kasse laufen normal weiter.
Der Stiftungsrat setzt den Umstieg aus
Die Mitteilung ist nüchtern, die Folgen sind es nicht. Der Stiftungsrat der PKZH hat entschieden, die Einführung des neuen Verwaltungssystems von PK Softech zu sistieren. Geplant war der Wechsel auf Anfang 2027. Nun arbeitet die Kasse auch 2027 mit dem bisherigen System weiter, wie sie am Dienstag mitteilte 1 2.
Der Stiftungsrat will erst aufarbeiten und dann entscheiden. „Erst wenn die Ergebnisse vorliegen, entscheidet der Stiftungsrat, ob, wann und unter welchen Rahmenbedingungen die PKZH ein neues Verwaltungssystem einführt“, heisst es in der Mitteilung 1. Bereits begonnene Projektarbeiten sollen, soweit sinnvoll, geordnet abgeschlossen werden 1.
Zur Einordnung: Die PKZH ist die Pensionskasse der Stadt Zürich, nicht des Kantons. Dessen Personalvorsorge läuft über die BVK. Mit rund 42'000 aktiv Versicherten und rund 21'000 Rentenbeziehenden gehört die PKZH zu den grössten Vorsorgeeinrichtungen der Schweiz. Versichert sind unter anderem Angehörige der Stadtpolizei und Mitglieder der Stadtregierung 3.
Was bei PK Softech kompromittiert wurde
Ende September drangen Cyberkriminelle in die IT-Systeme der PK Softech AG ein. Die Bundesanwaltschaft bestätigt, dass die Ransomware-Gruppe Akira dahintersteht und dass Daten abgeflossen sind 3. Nach Recherchen des Tages-Anzeigers wurden rund 100 Gigabyte Daten gestohlen 4.
Die betroffenen Systeme liefen nach Angaben des Unternehmens in der eigenen Infrastruktur. Cloud-Dienste, die PK Softech für einzelne Aufgaben nutzt, waren nach heutigem Kenntnisstand nicht betroffen 3. Heikel ist ein anderer Punkt: Auf den Testsystemen würden Personendaten grundsätzlich pseudonymisiert, erklärt die Firma. Bei einzelnen Projekten könne man aber nicht ausschliessen, dass „vorübergehend auch nicht pseudonymisierte Daten vorhanden waren“ 3. Das heisst: Möglicherweise lagen Namen, AHV-Nummern und Adressen im Klartext auf den kompromittierten Servern.
Lesen Sie auchCyberangriff auf PK Softech: Daten von Zürcher Stadtangestellten entwendet→
Die PKZH nutzte die Software noch gar nicht. Sie bereitete den Wechsel vor und übermittelte dafür echte Versichertendaten an den Anbieter, abgesichert durch Geheimhaltungs- und Datenschutzvereinbarungen, wie die Kasse betont 3. Ihre Begründung: Ein Systemwechsel müsse mit Daten getestet werden, die die tatsächlichen Vorsorgeverhältnisse möglichst realitätsgetreu abbilden 3. Genau diese Testdaten sind nun Teil des Schadens.
Welche Daten betroffen sein könnten
Welche Datensätze tatsächlich abgeflossen sind, ist weiterhin offen. Die Behörden untersuchen den Fall. PK Softech erklärt, nicht zu wissen, welche Kunden und welche Datenmengen betroffen sind 3.
Die PKZH geht vom ungünstigsten Fall aus. Betroffen sein könnten Name, Adresse, E-Mail-Adresse und Telefonnummer, AHV-Nummer, Zivilstand, Angaben zur Partnerin oder zum Partner sowie die IBAN. Hinzu kommen Vorsorgedaten wie der versicherte Verdienst und das Vorsorgeguthaben 5 6. Die Kasse informierte am 13. Oktober über den Vorfall, machte ihn am 15. Oktober öffentlich, erstattete Strafanzeige und rief zu erhöhter Wachsamkeit gegenüber Betrugsversuchen auf 5 6. Versicherte sollen in unerwarteten Mails, SMS oder Chats keine Links oder Anhänge öffnen und keine Zugangs- oder Bankdaten preisgeben 6.
Zur Zahl der Betroffenen gibt es bislang nur eine Medienangabe: Der Tages-Anzeiger berichtet von bis zu 62'000 Versicherten der PKZH 8. Offiziell bestätigt ist diese Zahl nicht, die Kasse verweist auf laufende Abklärungen 5. Schweizweit könnten die Daten von weit über 100'000 Versicherten und Rentenbeziehenden in die Hände der Erpresser gelangt sein. Betroffen sind auch die Pensionskassen Publica, Migros, Post und Syngenta, die Bernische Pensionskasse, die Bernische Lehrerversicherungskasse sowie der Verwaltungsdienstleister Libera 7.
Der Betrieb der PKZH läuft normal
Die naheliegende Vermutung, bei der PKZH stünden Systeme still, trifft nicht zu. Das System, mit dem die Kasse die Guthaben verwaltet und Renten auszahlt, war vom Angriff nicht betroffen 5. Renten und Leistungen werden wie gewohnt ausbezahlt 1 2. Gestoppt ist ein Projekt, nicht der Betrieb.
Auch beim Dienstleister ist die technische Bewältigung weit fortgeschritten: Seit dem 2. Oktober 2026 stehe PK Softech den Kundinnen und Kunden wieder uneingeschränkt zur Verfügung, erklärte das Unternehmen 3. Ob die Angreifer Lösegeld erhielten, ist offen. Akira arbeitet nach dem Muster der doppelten Erpressung: Daten verschlüsseln und zusätzlich mit ihrer Veröffentlichung drohen. Dass die Gruppe PK Softech bislang nicht auf ihrer Leak-Seite im Darknet nennt, lässt nach Einschätzung von Sicherheitsbeobachtern mehrere Deutungen zu: laufende Verhandlungen, eine bereits geleistete Zahlung oder Beute, die sich für die Erpresser nicht verwerten lässt 3.
Datenschützer und Bundesanwaltschaft ermitteln
Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat am 22. Oktober eine formelle Untersuchung gegen PK Softech eröffnet 3 4. Sie soll klären, welche Personendaten die Pensionskassen dem Anbieter anvertraut haben, auf welcher Rechtsgrundlage das geschah und wie viele Informationen tatsächlich abflossen 4.
Parallel führt die Bundesanwaltschaft seit April 2024 ein Strafverfahren gegen Akira wegen mehrerer Angriffe auf Schweizer Organisationen. Der Fall PK Softech wurde in dieses Verfahren aufgenommen 3. Die PKZH hat zusätzlich eigene Strafanzeige erstattet und steht nach eigenen Angaben mit der zuständigen Datenschutzstelle in Kontakt 1 6.
Lesen Sie auchSchweizer Eishockey: Daten von 87 000 Personen im Umlauf→
Die Aufsicht über die Pensionskassen liegt bei den Kantonen. Eine Stelle, die gezielt die IT-Sicherheit der Dienstleister der Branche prüft, gibt es nicht. Wie das in der Praxis aussieht, zeigt der Fall Publica: Die Pensionskasse des Bundes hatte PK Softech 2017 einen Auftrag über 12,6 Millionen Franken erteilt. Eine IT-Sicherheitsüberprüfung des Anbieters nahm der Bund seither nicht vor, die Verantwortung liege bei der Vorsorgeeinrichtung selbst 3.
Was die Auslagerung von Pensionskassen-IT lehrt
Der Fall ist ein Lehrstück über Risiken in der Lieferkette: Gehackt wurde nicht die Vorsorgeeinrichtung, sondern ein Zulieferer, über den die Daten zahlreicher Kassen laufen. „Pensionskassen können die Softwareentwicklung an Fremdfirmen vergeben, das entbindet sie aber nicht von der Verantwortung für Daten und Software“, sagt Christian Grothoff, Informatikprofessor an der Berner Fachhochschule 7. Wer die nötige Expertise nicht im Haus habe, solle unabhängige Sicherheitsaudits beauftragen und sich das Recht dazu vertraglich sichern 7.
Der Informatikunternehmer Jean-Pierre Kousz plädiert für jährliche Audits bei den Lieferanten. Je nach Komplexität kosteten diese schnell 35'000 Franken oder mehr 7. Beide Experten kritisieren die Weitergabe von Echtdaten. „Für Tests sind in 95 Prozent der Fälle die Originaldaten der Versicherten nicht nötig“, sagt Kousz 7. Schon gar nicht im Klartext, doch eine Anonymisierung sei aufwendig und werde deshalb gescheut 7. Ariane Trammell von der ZHAW nennt eine Zertifizierung nach ISO 27001 als Mindeststandard, der in vielen Branchen noch nicht selbstverständlich sei 7.
Ein zweiter Befund betrifft alte Datenbestände. Publica verlangte im September 2025 die Löschung von Daten aus einer Migration im Jahr 2019. PK Softech bestätigte die Löschung im Januar 2026 schriftlich, räumte später aber ein, dass auf den Servern dennoch nicht pseudonymisierte Kundendaten vorhanden gewesen sein könnten 3. Eine Löschzusage ist offenbar nur so viel wert, wie sie sich überprüfen lässt.
Für die Versicherten der PKZH bleibt vorerst eine unbequeme Lage: Ihre Vorsorgeguthaben sind sicher, ihre Personalien liegen aber möglicherweise bei Kriminellen. Die Kasse will alle möglicherweise Betroffenen informieren 6. Offen ist, ob der Stiftungsrat den Systemwechsel überhaupt wieder aufnimmt und ob andere Vorsorgeeinrichtungen dem Zürcher Beispiel folgen und laufende IT-Projekte anhalten.
Ähnliche Artikel
