Kurz gesagt: Ein Cyberangriff auf die PK Softech AG, die Software für Pensionskassen liefert, hat vermutlich zum Abfluss von Personendaten von Versicherten der Pensionskasse des Bundes Publica geführt. Die Bundesanwaltschaft ermittelt. Laut Publica sind die Vorsorgeguthaben sicher; der Fall zeigt aber, wie stark Unternehmen von der Sicherheit ihrer Lieferanten abhängen.
Das Wichtigste in Kürze
- Angriff: Ende September 2026 stellte ein externer Softwarelieferant von Publica einen Cyberangriff fest; Publica nennt ihn als PK Softech AG
- Mitteilung des Bundes: 8. Oktober 2026, «Datenabfluss bestätigt»; die Bundesanwaltschaft hat Ermittlungen aufgenommen
- Möglicherweise betroffene Daten (Stand 8. Oktober): Name, Geburtsdatum, AHV-Nummer, Adresse, Telefonnummern und E-Mail-Adressen, Vorsorgedaten (z. B. Lohn, versicherter Lohn, Vorsorgeguthaben), Zivilstand, Angaben zu Ehe- oder Lebenspartner, IBAN
- Darkweb: Laut Publica bis zuletzt keine Hinweise auf eine Veröffentlichung (Updates vom 14. und 20. Oktober)
- Weitere Betroffene: Auch andere Pensionskassen sind Kundinnen von PK Softech, darunter die Pensionskasse Stadt Zürich (PKZH)
- Quellen: Medienmitteilung des Bundes, Publica- und PKZH-Informationsseiten
Was bekannt ist
Laut der Mitteilung des Bundes informierte das Unternehmen die relevanten Bundesstellen, Publica sowie weitere Kunden und erstattete umgehend Strafanzeige. Andere Bundesstellen haben laut Bund keine Geschäftsbeziehungen mit dem Unternehmen. Welche Personen konkret betroffen sind, war bis zum Stand der Quellen (20. bis 22. Oktober 2026) noch nicht bestimmt; eine Zahl Betroffener nennen weder Bund noch Publica.
Nach Angaben von Publica betrifft der Vorfall die Testumgebung beim Lieferanten, die vom produktiven Vorsorgesystem getrennt ist. Renten werden normal ausbezahlt, und «Ihr Vorsorgeguthaben ist sicher». Publica hat am 15. Oktober 2026 bei der Bundesanwaltschaft Strafanzeige gegen Unbekannt eingereicht und den Vorfall dem EDÖB gemeldet.
Die PKZH wurde nach eigenen Angaben am 13. Oktober 2026 informiert. Die Daten seien für Tests im Hinblick auf einen geplanten Systemwechsel verwendet worden; das aktuell eingesetzte Verwaltungssystem der PKZH sei nicht betroffen. Auch die PKZH hat Strafanzeige eingereicht und den Vorfall der Datenschutzstelle gemeldet.
Was Betroffene tun sollten
Publica und PKZH raten zu erhöhter Vorsicht bei unerwarteten Anrufen, E-Mails und Nachrichten, besonders zu Vorsorge, Lohn oder Bank. Zugangsdaten sollen nie weitergegeben, verdächtige Links und Anhänge nicht geöffnet und unbekannte Belastungen umgehend der Bank gemeldet werden.
Was bedeutet das für Schweizer KMU?
Der Fall betrifft nicht nur Pensionskassen. Viele KMU geben Personaldaten an Treuhänder, Lohn- oder Softwaredienstleister weiter.
- Lieferanten prüfen: Wer hat welche Ihrer Daten, auch in Test- oder Migrationsumgebungen? Vertraglich regeln, dass für Tests möglichst keine Echtdaten verwendet werden.
- Meldepflichten kennen: Bei hohem Risiko für Betroffene ist eine Meldung an den EDÖB so rasch als möglich nötig, siehe Meldepflicht bei Cyberangriffen.
- Notfallablauf vorbereiten: Ratgeber Cyberangriff: Was tun? und Cyber-Risiko-Check.
- Deckung klären: Ob Vorfälle bei Dienstleistern versichert sind, ist vertragsabhängig. Prüfen Sie dies im Vergleich, Grundlagen unter Cyberversicherung für KMU und Kosten.