Ein Cyberangriff auf den Softwarelieferanten PK Softech beschäftigt mehrere Schweizer Pensionskassen, darunter die Pensionskasse des Bundes Publica und die Pensionskasse Stadt Zürich. Die Mitteilung von Publica bestätigt einen Datenabfluss, die Plattform der Kantonspolizeien warnt vor betrügerischen Investitionsanrufen. Der Fall macht zweierlei deutlich: Die Sicherheit sensibler Personendaten hängt stark von externen Dienstleistern ab. Und selbst Daten, die nur für einen geplanten Systemwechsel vorgehalten werden, sind ein reales Risiko.

Der Vorfall aus erster Hand

Der Angriff traf Ende September 2026 den Softwarelieferanten PK Softech, dessen Lösung Publica für die Verwaltung der Pensionskasse einsetzt. Publica teilte am 8. Oktober 2026 mit, dass ein Datenabfluss bestätigt ist und die Bundesanwaltschaft Ermittlungen aufgenommen hat. Das Unternehmen hat unmittelbar Strafanzeige erstattet und die relevanten Stellen des Bundes sowie weitere Kunden des Lieferanten informiert. Welche Daten in welchem Umfang betroffen sind, wird gemeinsam mit den Fachstellen des Bundes noch abgeklärt.

Was abgeflossen sein könnte

Im Informationsbrief an die Versicherten nennt Publica den möglichen Datenkatalog: Name, Vorname, Geburtsdatum, AHV-Nummer, Adresse, Telefon- und E-Mail-Adressen, Zivilstand sowie Vorsorgedaten wie Lohn, versicherter Verdienst und Vorsorgeguthaben. Ein Abfluss lässt sich zum jetzigen Zeitpunkt nicht ausschliessen. Die Pensionskasse Stadt Zürich prüft, ob ihre Daten betroffen sind. Ihre Personendaten waren nur für Tests im Hinblick auf einen geplanten Systemwechsel bestimmt. Beide Kassen stellen klar: Vorsorgedaten und Renten sind nicht gefährdet.

Warnung vor massgeschneidertem Betrug

Die Kantonspolizeien warnen auf Cybercrimepolice.ch vor einem konkreten Missbrauchsszenario: Betrüger könnten sich telefonisch als Finanzberater oder Anlagebroker ausgeben und mit echten Angaben über Lohn und Vorsorgeguthaben Vertrauen aufbauen, um Anlagebetrug zu betreiben. Die Behörden raten: bei unerwarteten Anrufen misstrauisch bleiben, kaum weitere persönliche Angaben machen und die Identität angeblicher Finanzdienstleister über offizielle Kanäle prüfen.

Warum auch Testdaten ein Risiko sind

Die Pensionskasse Stadt Zürich arbeitet mit PK Softech noch gar nicht produktiv. Ihre Personendaten waren ausschliesslich für Tests im Hinblick auf einen geplanten Systemwechsel bestimmt. Auch Testdaten sind echte Daten. Wer bei Softwarewechseln oder Pilotprojekten Personendaten an Dienstleister weitergibt, schafft reale Angriffsflächen, egal ob das System später produktiv geht oder nicht.

Was der Fall für Schweizer KMU bedeutet

Praktisch jedes KMU ist über seine Mitarbeitenden an eine Pensionskasse angeschlossen. Wer bei einer betroffenen Kasse versichert ist, kann zum Ziel gezielter Anrufe, E-Mails oder SMS werden. Für den Betrieb kommt eine zweite Lektion dazu: Externe Anbieter mit Zugriff auf Lohn- und Personaldaten gehören auf den Prüfstand. Und bei Tests an Systemen stellt sich die Frage, ob anonymisierte Daten genügen würden.

Was Unternehmen jetzt tun können

Unternehmerinnen und Unternehmer sollten ihre Mitarbeitenden auf die aktuelle Betrugsgefahr hinweisen und klarstellen, dass unerwartete Anlageangebote am Telefon mit grösster Vorsicht zu behandeln sind, auch wenn der Anrufer erstaunlich viel weiss. Hilfreich ist zudem ein ehrlicher Blick auf die eigenen Datenflüsse: Welche Anbieter haben Zugriff auf Personaldaten? Wie lange liegen die Daten dort? Ein fremder Vorfall wird so zum konkreten Prüfanlass für das eigene Unternehmen.

Entlastung schafft schliesslich die richtige Umgebung. Eine Datenhaltung in isolierten Schweizer Umgebungen mit klar geregelten Zugriffsrechten stellt sicher, dass vertrauliche Daten nie die Schweizer AI-Datacenter verlassen und nicht für Training oder Werbung verwendet werden. DSGVO und EU AI Act sind dabei garantiert. Damit bleibt die Kontrolle über sensible Daten dort, wo sie hingehört.