Ende September ist ein externer Softwarelieferant der Pensionskasse des Bundes Opfer eines Cyberangriffs geworden. Beim digitalen Raubzug wurden vermutlich persönliche Daten von Bundesangestellten gestohlen. Nun zeigt sich, dass die Attacke unter Umständen auch gegenwärtige und ehemalige Zürcher Staatsangestellte tangiert: jene nämlich, die der Pensionskasse der Stadt Zürich (PKZH) angeschlossen sind.

«Nach neuesten Erkenntnissen ist es möglich, dass auch Daten von uns betroffen sind», sagt Helga Portmann, die Geschäftsführerin der PKZH, auf Anfrage der NZZ. Bei der PKZH handelt es sich um eine der grössten Pensionskassen der Schweiz. Sie zählt 41 000 Versicherte und 21 000 Pensionsberechtigte. Die Kasse verwaltet ein Vermögen von rund 25 Milliarden Franken.

Die PKZH befindet sich mitten im Wechsel zu einem System von PK Softech – das ist jenes Unternehmen, bei dem die Daten der Pensionskasse des Bundes entwendet wurden. Die Aktivierung selbst soll per Anfang 2027 erfolgen, die Installationsarbeiten sind aber weit fortgeschritten. «Wir sind bereits jetzt daran, die Systeme aufzubauen und Tests durchzuführen», sagt Helga Portmann. «Dabei arbeiten wir mit Testdaten von Versicherten.» Genau diese könnten nun im Darknet gelandet sein.

Ob tatsächlich Daten abgeflossen seien, um welche Datensätze es sich genau handeln könnte und wie viele Versicherte allenfalls betroffen wären, sei noch nicht klar, sagt Portmann. Die Datenpanne trifft die PKZH aber so oder so in einer heiklen Phase, weil das neue System schon in wenigen Wochen live gehen soll. Unabhängig davon, ob beim Cyberangriff tatsächlich Zürcher Daten entwendet wurden, muss sich die Pensionskasse nun fragen, ob sie den Wechsel zu einem Anbieter verantworten kann, dessen Systeme offensichtlich nicht genügend gut geschützt waren. Man sei in diesem Zusammenhang «in engem Austausch mit PK Softech», um bessere Erkenntnisse über den Vorfall zu erhalten, sagt Portmann.

Ausserdem dürften sich die städtischen Angestellten wundern, warum für Systemtests ihre realen persönlichen Angaben verwendet wurden und nicht fiktive Datensätze. Zu dieser Frage sagt Portmann, dass man gewisse Tests nur mit echten Versichertendaten habe durchführen können.

Die Publica, die Pensionskasse des Bundes, hat für ihre Versicherten umfassende Informationen zur Cyberattacke bereitgestellt. Diese geben einen Hinweis darauf, welche Datensätze auch bei den Zürcher Angestellten betroffen sein könnten.

Zu den möglicherweise abgeflossenen Daten gehören der Lohn und das Vorsorgeguthaben, die Nummer des privaten Bankkontos, die vollständige Adresse samt E-Mail, die AHV-Nummer und Angaben zur Ehepartnerin oder zum Ehepartner.

Die Publica betont, dass sowohl das Vorsorgeguthaben als auch die Rente sicher seien. Das Gleiche dürfte für die städtischen Angestellten in Zürich gelten, falls von ihnen tatsächlich Daten erbeutet wurden. Vorsorgegelder sind nur schon regulatorisch gut vor einem Zugriff geschützt. Selbst die Versicherten können nicht einfach so an ihr Erspartes aus der zweiten Säule gelangen. Anders als bei einem Bankkonto gibt es keine Möglichkeit, ohne weiteres Überweisungen zu veranlassen. Auszahlungen, etwa für den Kauf einer Immobilie oder als Kapitalbezug bei der Pensionierung, sind zwar möglich, aber ein komplizierter Prozess.

Um einen Zugriff auf den Sparbatzen bei der Pensionskasse dürfte es den Kriminellen allerdings gar nicht gehen. Viel wertvoller sind die persönlichen Daten. Diese können im Darknet weiterverkauft und für Betrugsversuche verwendet werden. Die Publica mahnt deshalb ihre Versicherten, im Internet besonders achtsam zu sein. Man dürfe nie auf E-Mails, Nachrichten oder Anrufe reagieren, welche nach persönlichen Daten oder Bankdaten fragten.

Im Zürcher Fall könnte ein Datenleck auch bedeuten, dass zum Beispiel Privatadressen von Stadtpolizisten oder von Mitgliedern der Stadtregierung im Darknet verfügbar werden.

Die PK Softech AG schreibt, dass der Zugriff über eine Schadsoftware erfolgt sei. Die betroffene IT-Umgebung sei umgehend vom Netz getrennt worden. Externe Spezialisten seien beigezogen worden, und die Behörden seien informiert worden. Ausserdem habe man Strafanzeige gegen Unbekannt erstattet. Man müsse davon ausgehen, dass Daten aus ihren Systemen abgeflossen seien.

In Zürich befindet sich auch die grösste Pensionskasse der Schweiz, die BVK. Bei ihr ist die gesamte kantonale Verwaltung angeschlossen, dazu kommen weitere Betriebe etwa aus der Gesundheitsversorgung und aus dem Transportwesen, total rund 146 000 Versicherte. Die BVK pflegt schon lange eine Beziehung zur PK Softech AG. Bereits 2011 wählte sie sie als Softwareanbieterin aus. Dies ist einem öffentlich einsehbaren Zuschlagsentscheid von damals zu entnehmen.

Bis heute nutze die Kasse Produkte des Unternehmens, sagt ihr Sprecher Christian Brütsch: «Die BVK bezieht von der PK Softech AG die Software zur Verwaltung von Versichertendaten.» Diese Anwendung sei allerdings im BVK-eigenen Rechenzentrum installiert. Sie laufe unabhängig vom Softwareunternehmen.

Dies bedeute, dass die BVK aus heutiger Sicht nicht direkt von der Cyberattacke betroffen sei. Die PK Softech AG verfüge von der BVK lediglich über Arbeitsmaterial wie Dokumentationen, Fehlerbehebungsberichte und Weiterentwicklungskonzepte. Für Kriminelle sind diese Unterlagen wohl wertlos.

Bei der PK Softech AG selbst dauern die Abklärungen zum Cybervorfall an, wie das Unternehmen auf Anfrage schreibt. Nach wie vor sei nicht geklärt, welche und wie viele Daten betroffen seien. Man könne weder bestätigen noch ausschliessen, dass weitere Kunden betroffen seien. Die Frage, ob zum Datendiebstahl eine Geldforderung eingegangen sei, lässt das Unternehmen unbeantwortet.