Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat am 23. Oktober 2026 eine formelle Untersuchung gegen PK Softech eröffnet. Der Softwareanbieter arbeitet für mehrere Schweizer Pensionskassen, darunter die Pensionskasse des Bundes Publica. Nach dem Cyberangriff auf dessen IT-Infrastruktur will der Beauftragte wissen, welche Daten die Kassen dem Unternehmen anvertraut hatten und was gestohlen wurde.

Was der Beauftragte am 24. Oktober 2026 bekannt gab

Die Untersuchung richtet sich direkt gegen das Unternehmen, weil Hinweise auf eine mögliche Verletzung der Datenschutzvorschriften vorliegen. Das geht aus einer Mitteilung des Beauftragten vom 24. Oktober 2026 hervor, über die die Nachrichtenagentur Keystone-SDA und SWI swissinfo.ch berichteten.

PK Softech hatte den Angriff am 8. Oktober 2026 selbst beim Beauftragten gemeldet. Das Unternehmen sprach damals von einem Angriff auf seine IT-Infrastruktur und von möglichen Verletzungen der Datensicherheit. Der Beauftragte hatte zunächst am 14. Oktober eine informelle Vorabklärung bei Publica eingeleitet.

DatumSchritt
8. Oktober 2026PK Softech informiert den Beauftragten über den Cyberangriff
14. Oktober 2026Informelle Vorabklärung bei Publica
23. Oktober 2026Eröffnung der formellen Untersuchung gegen PK Softech
24. Oktober 2026Mitteilung des Beauftragten

Welche Pensionskassen sind betroffen?

Beim Cyberangriff wurden Daten mehrerer Pensionskassen gestohlen, die Kunden von PK Softech sind. Publica gehört dazu, wie seit mehreren Tagen bekannt ist, und 2clics hatte bereits über das Datenleck bei Publica berichtet.

Betroffen sind auch zwei Berner Institutionen: die Bernische Pensionskasse (BPK) und die Bernische Lehrerversicherungskasse (BLVK). Ihr Fall war Gegenstand eines Artikels über zwei Berner Pensionskassen. Laut swissinfo.ch haben die betroffenen Kassen Strafanzeige erstattet.

Am 16. Oktober 2026 berichtete 2clics, dass bei einem Angriff auf einen externen Softwaredienstleister auch Daten der Pensionskasse der Stadt Zürich gestohlen worden waren. Die Pensionskasse der Post erklärte sich ebenfalls betroffen, wusste aber nicht, ob die Daten ihrer Versicherten kompromittiert waren. Die konsultierten Quellen sagen nicht, ob es sich bei diesem Dienstleister um PK Softech handelt.

Vorabklärung oder formelle Untersuchung: Was ist der Unterschied?

Der Beauftragte ist in zwei Schritten vorgegangen, mit zwei unterschiedlichen Adressaten. Die Vorabklärung vom 14. Oktober war informell und betraf eine Kundenkasse, Publica. Die formelle Untersuchung vom 23. Oktober richtet sich gegen den Dienstleister selbst, PK Softech.

Gemäss der Mitteilung wird eine formelle Untersuchung gegen das Unternehmen geführt, wenn Hinweise auf eine mögliche Verletzung der Datenschutzvorschriften vorliegen. Der Beauftragte erwartet davon einen Gesamtüberblick zu drei Punkten:

  • die Personendaten, welche die Pensionskassen PK Softech zur Verfügung gestellt hatten;
  • den rechtlichen Rahmen dieser Datenübermittlungen und wie er in der Praxis umgesetzt wurde;
  • das Ausmass der gestohlenen Informationen.

Unsere Einschätzung: Indem er von der Kundenkasse zu ihrem Lieferanten weitergeht, nimmt der Beauftragte die gesamte Kette der Datenbearbeitung in den Blick. Es geht nicht nur darum, wer angegriffen wurde, sondern auch darum, was übermittelt worden war und auf welcher Grundlage.

Was der Cyberangriff für die Versicherten der 2. Säule bedeutet

Derzeit sagt keine Quelle, welche Daten genau bei PK Softech gestohlen wurden. Genau das soll die Untersuchung des Beauftragten klären. Die Versicherten von Publica, der BPK und der BLVK haben deshalb noch keine klare Antwort.

Der Zürcher Fall vermittelt einen Eindruck davon, was eine Kasse einem Softwaredienstleister anvertrauen kann. Im ungünstigsten Szenario nannte die Pensionskasse der Stadt Zürich:

  • Name, Adresse, E-Mail-Adresse und Telefonnummer;
  • AHV-Nummer und Zivilstand;
  • Angaben zu Partnerinnen und Partnern sowie die IBAN-Nummer;
  • Vorsorgedaten wie versicherter Lohn und Guthaben.

Die Renten schienen in den am 16. Oktober gemeldeten Fällen hingegen nicht gefährdet. Die Stadt Zürich gab an, dass ihre Kasse und die Auszahlung der Renten funktionsfähig blieben. Die Pensionskasse der Post versicherte, dass das Vorsorgevermögen und die Rentenleistungen nicht gefährdet seien.

Die Quellen nennen keine konkreten Schritte, die den Versicherten empfohlen werden. Es ist Sache der Kassen, die betroffenen Personen nach Abschluss ihrer Analyse zu informieren. Unsere Einschätzung: Kontaktangaben in Verbindung mit einer IBAN und Vorsorgedaten können eine betrügerische Nachricht glaubwürdiger machen. Eine ungewöhnliche Anfrage, die sich auf eine Pensionskasse beruft, verdient deshalb besondere Aufmerksamkeit.

Für ein KMU, das einem Dienstleister Daten anvertraut, erinnert der Fall an eine Frage, die der Beauftragte selbst stellt: Welcher rechtliche Rahmen regelt diese Übermittlung, und wird er tatsächlich angewendet?

Was noch nicht bekannt ist

  • Die Zahl der betroffenen Versicherten und die genaue Art der bei PK Softech gestohlenen Daten.
  • Die vollständige Liste der betroffenen Kundenkassen über Publica, die BPK und die BLVK hinaus.
  • Ein allfälliger Zusammenhang zwischen PK Softech und den Angriffen, welche die Pensionskassen der Stadt Zürich und der Post gemeldet haben.
  • Die Urheberschaft des Angriffs: Die konsultierten Quellen nennen sie nicht.
  • Die Dauer der Untersuchung und ihre möglichen Folgen: Die Mitteilung macht dazu keine Angaben.

Quellen