Hackerangriff auf externen Lieferanten, Daten von Publica-Versicherten gestohlen

Ende September wurde ein externer Software-Lieferant von Publica, der Pensionskasse des Bundes, Opfer eines Cyberangriffs. Der Fall wurde am Donnerstag öffentlich bekannt. «Per noi si tratta della cosa peggiore che potesse accadere» (dt. «Für uns ist das das Schlimmste, was passieren konnte»), erklärte die Sprecherin der Vorsorgeeinrichtung, Beatrice Rychen.

Gemäss einer Mitteilung von Publica an die Versicherten, die der SRF einsehen konnte, wurden beim Angriff wahrscheinlich persönliche Daten entwendet. Dabei soll es sich um sensible Informationen wie Name und Vorname, Geburtsdatum, AHV-Nummer, Adresse, private und geschäftliche Telefonnummern, private und geschäftliche E-Mail-Adressen, Vorsorgedaten wie Lohn und Vorsorgeguthaben, Zivilstand sowie Angaben zu Ehepartnern oder Partnern handeln.

Noch ist unklar, ob der Datendiebstahl alle rund 66'000 aktiven Versicherten und 40'000 Rentenbezügerinnen und -bezüger von Publica betrifft oder nur einen Teil davon. Die Vorsorgegelder selbst seien hingegen nicht betroffen und blieben sicher, hält die Einrichtung fest.

Die Risiken für die Versicherten

Der Diebstahl sensibler Daten setzt die betroffenen Personen dem Risiko aus, dass die Täterschaft versucht, ihre Identität zu missbrauchen. Publica spricht von einem «gewissen Risiko» für die einzelnen Versicherten und schreibt, ein missbräuchlicher Gebrauch der Daten zur Erlangung von Vorteilen könne nicht ausgeschlossen werden. Die Einrichtung ruft die Versicherten zur Vorsicht bei ungewöhnlichen Telefonanrufen oder Nachrichten auf.

Die Täterschaft griff nicht direkt Publica an, sondern die Firma PK Softech AG, einen externen Software-Lieferanten, der Anwendungen für Pensionskassen entwickelt. Über diese Verletzung erhielten die Angreifer jedoch offenbar auch Zugang zu Daten der Bundes-Pensionskasse. Die Bundesanwaltschaft hat eine Untersuchung zum Fall eröffnet, während Fachleute die entwendeten Daten analysieren. Unklar ist, ob der Angriff auch andere Vorsorgeeinrichtungen betrifft, die Kundinnen von PK Softech sind.

Der Vorfall erinnert an den Fall Xplain von 2023, einen Schweizer Software-Lieferanten für Behörden: Auch damals gelangten Cyberkriminelle über eine externe Firma an Daten von Bundesämtern und entwendeten rund 1,3 Millionen sensible Dateien. Nach einer Verwaltungsuntersuchung hatte der Bundesrat vor zwei Jahren Massnahmen beschlossen, um künftige Datendiebstähle bei IT-Lieferanten zu verhindern, und zusätzliche Sicherheitsvorschriften für die Zusammenarbeit mit externen Firmen eingeführt.