Cyberangriff auf PK Softech: Auch Daten aus Systemtests betroffen

Der Cyberangriff auf PK Softech zeigt, wie weit ein Datenrisiko schon vor dem Start einer neuen Software reichen kann. Die Pensionskasse Stadt Zürich (PKZH) hatte dem Anbieter Personendaten für Tests übermittelt. In ihren aktuellen Fragen und Antworten spricht sie von entwendeten Daten auch von Versicherten und Rentenbeziehenden der PKZH. Welche Angaben und Personen konkret betroffen sind, ist laut ihrem Update vom 20. Oktober 2026 noch nicht abschliessend geklärt.

Damit stehen zwei Fragen nebeneinander: Aus der Infrastruktur des Lieferanten sind Daten abgeflossen. Daraus folgt aber nicht, dass sämtliche Dossiers aller angeschlossenen oder künftigen Kunden gestohlen wurden. Gerade diese Unterscheidung ist für die Einordnung der wachsenden Zahl erwähnter Pensionskassen entscheidend.

Angegriffen wurde der Lieferant

PK Softech teilte mit, Unbekannte hätten sich Ende September mithilfe von Schadsoftware Zugang zu einem Teil ihrer IT-Infrastruktur verschafft. Das Unternehmen habe die betroffene Umgebung vom Netz getrennt, externe Spezialisten beigezogen und Strafanzeige erstattet. Seit dem 2. Oktober stehe es seinen Kunden wieder uneingeschränkt zur Verfügung. Art und Umfang des Datenabflusses würden untersucht.

Der Bund bestätigte am 8. Oktober einen Datenabfluss beim externen Softwarelieferanten von Publica. Die Bundesanwaltschaft ermittelt. Die Mitteilung benennt jedoch weder eine abschliessende Zahl betroffener Personen noch sämtliche entwendeten Datenbestände. Ein wiederhergestellter Betrieb beantwortet diese Fragen nicht.

Warum Testdaten keine Nebensache sind

Die PKZH nutzt gegenwärtig ein anderes Verwaltungssystem. Der Wechsel zu PK Softech ist für Anfang 2027 vorgesehen. Die übermittelten Daten sollten helfen zu prüfen, ob der künftige Bestand vollständig und korrekt übernommen wird.

Die Kasse begründet den Test mit der nötigen realitätsgetreuen Abbildung der Vorsorgeverhältnisse und verweist auf vertragliche Datenschutz- und Geheimhaltungsvorkehrungen. Ob der Lieferant seine Schutzpflichten eingehalten hat, werde untersucht. Der Vorfall allein erlaubt darüber noch kein Urteil. Er macht aber sichtbar, dass auch Datenkopien ausserhalb des laufenden Kassensystems schutzbedürftig sind. Der Blick allein auf den produktiven Betrieb greift deshalb zu kurz.

Mehr als 100'000 mögliche Betroffene sind keine Fallzählung

Publica betreut nach eigenen Angaben rund 70'000 versicherte Personen und rund 42'000 Rentenbeziehende. Diese Bestandszahlen verdeutlichen die mögliche Reichweite. Sie sind keine Zahl nachgewiesener Datendiebstähle. In ihrer Aktualisierung vom 20. Oktober hält Publica fest, dass weiterhin untersucht werde, ob und von wem tatsächlich Daten abgeflossen seien. Hinweise auf eine Veröffentlichung im Darkweb lägen nicht vor. Eine fehlende Veröffentlichung bedeutet nicht, dass kein Diebstahl stattgefunden hat.