Am 8. Oktober erhielten Zehntausende Versicherte des Bundes und des ETH-Bereichs eine E-Mail ihrer Pensionskasse. Betreff: «Cyberangriff auf Softwarelieferanten». Wer keine E-Mail-Adresse hinterlegt hat, bekommt einen Brief. Die Rentnerinnen und Rentner auch.
Die Botschaft von PUBLICA ist beruhigend und beunruhigend zugleich. Renten und Vorsorgeguthaben sind sicher. Aber Name, Geburtsdatum, AHV-Nummer, Lohn, Zivilstand, Angaben zur Partnerin oder zum Partner und die IBAN könnten abgeflossen sein.
Eine Woche später folgt die eigentliche Pointe. Auch die Pensionskasse Stadt Zürich meldet einen Datenabfluss. Dabei nutzt sie die betroffene Software noch gar nicht. Der Wechsel war erst für 2027 geplant. Die Daten lagen trotzdem schon beim Lieferanten, für Tests. Jetzt sind sie nach heutigem Kenntnisstand weg.
Der Hack, den es bei keiner Pensionskasse gab
Angegriffen wurde nicht PUBLICA. Angegriffen wurde die PK Softech AG, ein Schweizer Anbieter von Verwaltungssoftware für Pensionskassen. Die Firma bemerkte den Einbruch Ende September und erstattete Strafanzeige. Die Bundesanwaltschaft ermittelt.
Das Problem: PK Softech hat nicht nur einen Kunden. Neben PUBLICA und der Pensionskasse Stadt Zürich zählen die Pensionskasse Post, die Migros-Pensionskasse, die Bernische Pensionskasse und die Bernische Lehrerversicherungskasse dazu. Ein einziger Einbruch bei einem spezialisierten Lieferanten trifft damit einen ganzen Teil der 2. Säule. Allein PUBLICA zählte Ende 2025 rund 70’000 aktive Versicherte und 41’600 Rentenbeziehende.
Wer bei welcher Kasse tatsächlich betroffen ist, ist bis heute offen. Klar ist nur: Keiner dieser Versicherten hat sich PK Softech ausgesucht.
Testdaten sind echte Daten
Der Zürcher Fall ist der spannendste, weil er eine verbreitete Annahme zerlegt. Das Risiko eines Lieferanten beginnt nicht beim Go-live. Es beginnt mit der ersten Datenkopie.
Die PKZH hat ihre Daten übermittelt, damit die Migration auf das neue System vollständig und korrekt gelingt. Das ist nachvollziehbar. Eine Migration lässt sich mit erfundenen Daten oft nicht sauber testen. Aber eine Testumgebung mit echten Daten ist keine Testumgebung mehr. Sie ist eine zweite Produktion, nur meist schlechter bewacht.
Genau dieses Muster haben wir hier schon bei gelöschten Daten, die beim Dienstleister weiterlebten, beschrieben: Supportpakete, Exporte und Testumgebungen fallen aus dem geregelten Lebenszyklus heraus. Niemand fühlt sich für sie verantwortlich, bis sie in einer Ermittlungsakte auftauchen.
Was Betrüger jetzt in der Hand haben könnten
Einzeln wirken die Angaben harmlos. PUBLICA betont zu Recht, dass eine IBAN allein kein Konto öffnet. Gefährlich ist die Kombination.
Man stelle sich den Anruf vor: «Guten Tag, hier ist Ihre Pensionskasse. Wegen des Cyberangriffs müssen wir Ihre Identität prüfen.» Der Anrufer kennt Namen, Geburtsdatum, AHV-Nummer, Lohn und den Namen der Ehefrau. Wer würde da noch zweifeln? Wie gut solche Supportanrufe funktionieren, haben wir bei den Passkey-Angriffen beschrieben.
Dazu kommt ein Problem, das wir beim dänischen Registerleck beschrieben haben: Viele Stellen prüfen am Telefon noch immer Wissen, das jetzt nicht mehr geheim ist. Wer die AHV-Nummer und das Geburtsdatum als Identitätsbeweis akzeptiert, akzeptiert ab sofort auch den Betrüger. Und dieses Risiko verjährt nicht nach ein paar Tagen. Eine AHV-Nummer bleibt ein Leben lang dieselbe.
Xplain lässt grüssen
Wer 2023 aufgepasst hat, kennt die Geschichte. Beim Ransomware-Angriff auf die Berner Firma Xplain lagen produktive Daten des Bundes beim Lieferanten. Die Untersuchung im Auftrag des Bundesrats hielt im Mai 2024 fest: Die Bundesstellen hatten ihren Lieferanten ungenügend ausgewählt, instruiert und überwacht. Der Datenschützer fand Daten, die ohne nötige Schutzvorkehrungen beim Lieferanten landeten und dort teilweise vertragswidrig liegen blieben.
Der Bund hat daraus gelernt und Instrumente geschaffen. Das Problem: Im Fall PK Softech greifen sie kaum.
- Neue Vertragsklauseln seit Januar 2026: nur eine Empfehlung an Bundesstellen. Lieferanten sind bloss gebunden, wenn es im Vertrag steht.
- Meldepflicht an das Bundesamt für Cybersicherheit seit April 2025: gilt auch für Pensionskassen. Sie verbessert die Warnung anderer, verhindert aber keinen einzigen Abfluss.
- Neues Cybersicherheitsgesetz: Ein Entwurf soll bis Juni 2027 vorliegen. Für diesen Fall kommt es zu spät.
Ich halte das nicht für ein Versagen des Staates. Es zeigt aber, wo die Verantwortung tatsächlich liegt: bei der Kasse selbst.
PUBLICA hat es sich selbst versprochen
Am interessantesten ist ein unscheinbares Dokument. Im Oktober 2024 hat die Kassenkommission von PUBLICA ihr Risikoreglement ergänzt. Cyberrisiken umfassen seither ausdrücklich auch Systeme und Daten bei Geschäftspartnern. Und dann folgt der Satz, an dem sich PUBLICA jetzt messen lassen muss: Die Einhaltung der Sicherheits- und Datenschutzvorgaben durch Geschäftspartner sei vertraglich geregelt und werde regelmässig überprüft.
Das ist eine gute Regel. Der Angriff beweist auch nicht, dass sie verletzt wurde. Aber er macht eine Antwort fällig: Was hiess «regelmässig überprüft» bei PK Softech? Ein Zertifikat im Ordner? Ein ausgefüllter Fragebogen? Oder ein Audit, das gezeigt hat, welche Daten wo liegen und wann sie gelöscht werden?
Solange PUBLICA darauf keine Antwort gibt, bleibt die wichtigste Lehre aus Xplain auf dem Papier.
Was am Montag zu prüfen ist
Die Fragen gelten nicht nur für Pensionskassen. Sie gelten für jede Organisation, die einem Softwarelieferanten Personendaten überlässt.
- Welche unserer Daten liegen beim Lieferanten, und in welcher Umgebung: Betrieb, Test, Migration oder Support?
- Brauchte er sie in dieser Form, oder hätte eine Teilmenge oder eine Pseudonymisierung gereicht?
- Wann werden diese Kopien gelöscht, und wer hat die Löschung zuletzt nachgewiesen?
- Wie viele andere Kunden hängen am selben System, und was tun wir, wenn er ausfällt?
Wer eine dieser Fragen nicht innert einer Stunde beantworten kann, hat sein Lieferantenrisiko nicht im Griff. Die Vorlage dafür liegt im Lieferantenmanagement bereit.
Quellen
- PUBLICA: Cyberangriff auf Softwarelieferanten, Stand 20. Oktober 2026
- Eidgenössische Finanzverwaltung: Datenabfluss bestätigt, 8. Oktober 2026
- PUBLICA: Reglement zu Risikopolitik und Internem Kontrollsystem
- Pensionskasse Stadt Zürich: Cyberangriff PK Softech
- inside-it.ch: Pensionskasse Stadt Zürich untersucht Datenabfluss
- Migros-Pensionskasse: Cyberangriff auf Softwarelieferant
- PUBLICA: Geschäftsbericht 2025
- Bundesrat: Abschluss der Administrativuntersuchung Xplain
- EDÖB: Untersuchungen zu Xplain abgeschlossen
- Eidgenössisches Finanzdepartement: Sicherheit bei Beschaffungen des Bundes
- Bundesamt für Sozialversicherungen: Meldepflicht für Vorsorgeeinrichtungen
- Bundesamt für Cybersicherheit: Neues Cybersicherheitsgesetz
Autor
Dieser Beitrag stammt von Martin Bischoff, Interim CIO/CISO für regulierte Organisationen in der DACH-Region und Herausgeber von STOP.LI. Für die Umsetzung steht seine Gesellschaft 4T2 Solutions GmbH zur Verfügung.
Comments are closed