Probleme bei kleinen Dienstleistern können für grosse Kunden gravierende Folgen haben. Das zeigt der Cyberangriff auf die Firma PK Softech (PKS), einen Anbieter für Pensionskassen-Software aus Reinach südlich von Basel. Ende September wurde das Unternehmen Ziel einer Cyberattacke mithilfe von Schadsoftware, bei der die Angreifer mutmasslich viele PKS-Kundendaten erbeutet haben. Zu den grossen Betroffenen zählt die Publica, die Pensionskasse des Bundes. Sie ist ein Riese im Pensionskassenmarkt: 44,9 Milliarden Franken Bilanzsumme, 70 000 aktive Versicherte und 41 500 Rentenbezüger.

Die Art und der Umfang des Datenabflusses seien unklar, hiess es anfangs. PKS liess eine Nachfrage der NZZ zu dem Fall unbeantwortet. Potenziell abgeflossene Daten sind laut Publica etwa Adress- und Kontaktdaten, AHV-Nummern, Informationen zu Pensionskassenguthaben und Lohn, Angaben zu Ehepartnern und Kontonummern.

Der Fall zieht immer grössere Kreise, denn inzwischen kennt man fast ein Dutzend weitere betroffene Pensionskassen, darunter jene der Migros, der Post, der Stadt Zürich und von Syngenta. Inwiefern auch Kundendaten dieser Pensionskassen abgeflossen sind, war bisher unklar.

Am Freitag bestätigte die Libera AG, dass sie ebenfalls mit der PKS zusammenarbeite und daher betroffen sei. Die Libera ist nach eigenen Angaben eine führende Beratungsfirma für Vorsorgeeinrichtungen und Unternehmen. Zu den Dienstleistungen gehören Beratung und Administration für Pensionskassen. Sie dürfte Dutzende Pensionskassen zu ihren Klienten zählen. Auch die NZZ ist Kunde bei der Libera.

Der Libera-Chef Benno Ambrosini teilte auf Anfrage mit, die PKS habe der Libera am 14. Oktober erstmals mitgeteilt, dass auch Personendaten abgeflossen seien. Welche Daten konkret betroffen seien, sei der PKS nach eigenen Angaben derzeit nicht bekannt. Eine konkrete Betroffenheit der von Libera verwalteten Vorsorgeeinrichtungen oder einzelner Versicherter könne daher weder bestätigt noch ausgeschlossen werden.

Ende dieser Woche bestätigte zudem die Bernische Pensionskasse (BPK) gegenüber der NZZ, «dass entgegen vorherigen Informationen der PKS davon ausgegangen werden muss, dass Personendaten abgeflossen sind». Zurzeit könne PKS jedoch nicht angeben, welche PKS-Kunden betroffen seien, erklärte André Matthey, Direktor der BPK.

Auch die Pensionskasse der Stadt Zürich (PKZH) teilte mit, dass die Abklärungen darauf hindeuteten, dass beim Cyberangriff auch Personendaten ihrer Versicherten entwendet worden seien. Die PKZH ist zwar noch kein Kunde von PKS, bereitet aber einen Wechsel auf Anfang 2027 vor. Die Daten seien im Rahmen von Tests für den geplanten Systemwechsel verwendet worden.

Insgesamt könnten durch den Vorfall bei der Softwarefirma PK Softech nun die persönlichen Daten von weit über 100 000 Versicherten und Rentenbezügern in den Händen von Cyberkriminellen sein. Ob das wirklich so ist, ist nach derzeitigen Angaben aber noch unklar.

IT-Experten kritisieren die Naivität mancher Pensionskassen und verweisen auf deren Verantwortung für ihre Kundendaten. «Pensionskassen können die Softwareentwicklung an Fremdfirmen vergeben, das entbindet sie aber nicht von der Verantwortung für Daten und Software», sagt Christian Grothoff, Professor für Informatik an der Berner Fachhochschule.

Die Pensionskassen sollten die Sicherheit beim Softwareanbieter prüfen, sagt Grothoff weiter. Wer nicht selbst die Expertise dafür habe, könne unabhängige Sicherheitsaudits bei Spezialfirmen in Auftrag geben. Das Recht dazu solle man sich vertraglich zusichern lassen.

Genauso argumentiert der Informatikexperte und Unternehmer Jean-Pierre Kousz: «Die Pensionskassen bleiben bei der Zusammenarbeit mit Softwarefirmen in der Pflicht.» Sie seien gegenüber ihren Kunden verantwortlich für die Daten. Deshalb sollten sie die Sicherheitsstandards bei den Lieferanten kontrollieren, zum Beispiel durch jährliche Sicherheitsaudits.

Für die Pensionskassen hätte das jedoch einen Nachteil: «Das ist teuer», sagt Kousz. Je nach Komplexität der Software könnten die Kosten für ein Audit schnell 35 000 Franken oder mehr betragen. Das mache den ganzen Prozess kostspieliger, weshalb beide Seiten daran oft kein Interesse hätten.

Zu der Frage, ob und wie oft sie Sicherheitsaudits vornehmen, wollen sich die Pensionskassen oft nicht äussern. «Zur konkreten Ausgestaltung der Sicherheits- und Kontrollmechanismen in der Zusammenarbeit mit Dienstleistern äussern wir uns grundsätzlich nicht», heisst es von der Pensionskasse der Post. Die Publica räumt dagegen ein, bei PKS keine regelmässigen Security-Audits vor Ort durchgeführt zu haben. Allerdings habe man nach dem Cybervorfall bei Xplain, einem Softwareanbieter für Sicherheitsbehörden, die Löschung von Altdaten bei PKS veranlasst.

Zur Vergewisserung, dass Dienstleister Datensicherheit gewährleisten, könnten Pensionskassen eine Sicherheitszertifizierung des Dienstleisters verlangen, etwa nach ISO 27001, erklärt Ariane Trammell, Professorin am Institut für Informatik an der ZHAW School of Engineering. «Ein solches Vorgehen ist aber in vielen Branchen noch nicht Standard.»

IT-Experten kritisieren zudem die zu schnelle Herausgabe von Daten. Der Hauptgrund für die Auslagerung der Datenverarbeitung sei oft, dass es sich die Unternehmen nicht zutrauten, die Software in Eigenregie zu betreiben, sagt Grothoff von der Berner Fachhochschule. Und der Unternehmer Kousz ergänzt: «Für Tests sind in 95 Prozent der Fälle die Originaldaten der Versicherten nicht nötig. Sollten sie nötig sein, müsste man die Daten korrekterweise anonymisieren. «Das ist jedoch aufwendig und wird daher häufig gescheut», sagt Kousz weiter.

Die enormen Fortschritte bei der künstlichen Intelligenz würden Cyberangriffe gefährlicher machen, meinen Branchenkenner unisono. Die Attacken seien durch den Einsatz von KI schneller, effizienter und billiger geworden. Die Angreifer benötigten für viele Massnahmen immer weniger eigenes Wissen. So könnten KI-Tools Schwachstellen von Systemen finden oder personalisierte Phishing-E-Mails formulieren, wofür sie die Websites der betreffenden Firmen analysierten und daraus typische Begriffe oder den Duktus der Unternehmenssprache ableiteten.

Ariane Trammell von der ZHAW gibt sich aber versöhnlich im Hinblick auf die betroffenen Pensionskassen. IT-Sicherheitslücken werde es leider immer geben, sagt sie. Positiv lasse sich in diesem Fall sagen, dass einige Pensionskassen transparent kommuniziert und ihre Versicherten informiert hätten und dass der Dienstleister in der Schweiz ansässig sei. «Das schützt zwar nicht vor den Folgen eines solchen Angriffes, jedoch können Streitfälle hier im Schweizer Rechtssystem geklärt werden.»

Sie können Michael Rasch auf den Plattformen X, Linkedin und Xing folgen.