Laut der Nachrichtenagentur Keystone-SDA, zitiert von SWI swissinfo.ch, sind bei einem Cyberangriff auf einen externen Softwaredienstleister Personendaten der Pensionskasse der Stadt Zürich entwendet worden. Auch die Pensionskasse Post gibt an, von diesem Angriff betroffen zu sein, weiss aber noch nicht, ob die Daten ihrer Versicherten kompromittiert wurden. Am selben Tag meldete das Onlinemagazin Republik einen Diebstahl von Nutzerdaten auf einem anderen Weg, über ein ungenügend geschütztes Analysetool.

Wie der Angriff die Pensionskassen erreichte

Es handelt sich um einen Angriff über die Lieferkette: Nicht die Systeme der Kassen selbst wurden in erster Linie infiltriert, sondern jene eines Softwareanbieters, mit dem sie zusammenarbeiten. Laut der Stadt Zürich fand der Angriff Ende September statt. Im Hinblick auf die Umstellung auf ein neues Verwaltungssystem waren die Daten der Kasse zuvor an diesen Dienstleister übermittelt worden.

Die Zürcher Kasse hat Strafanzeige eingereicht und versucht, genau zu ermitteln, welche Informationen gestohlen wurden und wie viele Personen betroffen sind. Die Stadt versichert, dass die Kasse und die Auszahlung der Renten funktionsfähig bleiben. Das Verwaltungssystem, mit dem das Vermögen verwaltet und die Renten ausbezahlt werden, sei gemäss den kommunizierten Angaben nicht betroffen.

Der Fall ist kein Einzelfall. Vergangene Woche war bekannt geworden, dass auch bei der Bernischen Pensionskasse und der Bernischen Lehrerversicherungskasse Daten entwendet worden waren, ebenfalls über einen externen Softwareanbieter, wie swissinfo.ch berichtet.

Welche Daten betroffen sind

Bei der Kasse der Stadt Zürich umfasst das ungünstigste Szenario die persönlichen Kontaktangaben (Name, Adresse, E-Mail, Telefonnummer), die AHV-Nummer, den Zivilstand, Angaben zu Partnerinnen und Partnern, die IBAN-Nummer sowie Vorsorgedaten wie das versicherte Einkommen und das Guthaben.

Seitens der Post hält die Pensionskasse in einer Mitteilung fest, dass das Vorsorgevermögen und die Rentenleistungen nicht gefährdet sind. Sie räumt jedoch ein, dass Daten wie Name, Adresse, Geburtsdatum, AHV-Nummer, Kontaktangaben, E-Mail-Adresse und Vorsorgeinformationen betroffen sein könnten.

Die konsultierten Quellen führen nicht aus, welche Schritte den Versicherten empfohlen werden. Es ist daher Sache der Kassen, die betroffenen Personen nach Abschluss der Analyse zu informieren. Unsere Einschätzung: Die Kombination aus Kontaktangaben, einer IBAN und Vorsorgedaten ist genau die Art von Information, die eine betrügerische Nachricht glaubwürdiger machen kann. Das rechtfertigt besondere Aufmerksamkeit gegenüber ungewöhnlichen Anfragen, die sich auf eine Pensionskasse berufen.

Republik: eine bekannte, aber nicht behobene Sicherheitslücke

Der Fall Republik, über den Keystone-SDA am selben Tag berichtete, folgt einem anderen Szenario, auch wenn er eine Gemeinsamkeit aufweist: die Abhängigkeit von einem Drittanbieter-Tool. Unbekannte nutzten eine Sicherheitslücke in Metabase aus, einem Analysetool. Laut dem Magazin bestand seit August ein unbefugter Zugriff. «Die Sicherheitslücke war seit dem 6. August bekannt, aber wir haben die nötigen Gegenmassnahmen nicht rechtzeitig ergriffen», räumt die Republik ein.

Das Magazin weiss nicht, wer hinter dem Angriff steckt. Vieles deutet auf eine breit angelegte, automatisierte Angriffswelle hin, die sämtliche Metabase-Installationen nach Zugangsdaten und Schlüsseln für weiterverkäufliche KI-Dienste durchsucht. Nichts weist derzeit darauf hin, dass die Republik gezielt ins Visier genommen wurde. Dennoch wurden Daten von aktiven Verlegerinnen und Verlegern, Abonnentinnen und Abonnenten, Newsletter-Empfängerinnen und -Empfängern sowie aller ehemaligen Nutzerinnen und Nutzer eingesehen: E-Mail-Adressen, Namen und gegebenenfalls Telefonnummern, Geburtsjahr und Geschlecht. Laut dem Magazin sind keine Kreditkartendaten abgeflossen. Es hat den Vorfall dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten gemeldet.

KMU-Cybersicherheit: woran das BACS erinnert

Diese Vorfälle erinnern an ein von PME veröffentlichtes Interview mit Roman Hüssy, Co-Leiter des Govcert beim Bundesamt für Cybersicherheit (BACS). Laut dem Magazin war bereits ein Drittel der Schweizer KMU Opfer eines Cyberangriffs. «In der Schweiz liegt die Bewältigung von Vorfällen in der Eigenverantwortung der betroffenen Organisation, das BACS handelt subsidiär», erklärt Roman Hüssy. Das Govcert funktioniere nach seinen Worten «wie eine Feuerwehr», die Erste Hilfe und eine erste technische Beurteilung leistet.

Der Ablauf wird so beschrieben: Die betroffene Organisation kontaktiert das BACS über ein Formular oder die 24h/24 erreichbare Pikettlinie, danach wird der Vorfall nach einem vierstufigen Modell eingestuft, von «gering» bis «kritisch». Betreiber kritischer Infrastrukturen unterliegen ihrerseits einer gesetzlichen Pflicht, jeden Vorfall unverzüglich dem BACS zu melden. Das Amt hat keine Weisungsbefugnis: Die Wahl zwischen forensischer Analyse und sofortiger Schadensbegrenzung liegt beim Unternehmen.

Roman Hüssy nennt zwei häufige Fehler: die nur teilweise Umsetzung der Empfehlungen, die es den Angreifern erlaubt, sich weiter auszubreiten, und veraltete Kontaktdaten, die Warnungen verzögern. Der Fall Republik veranschaulicht den ersten Punkt: eine bekannte Sicherheitslücke, die jedoch zu spät behandelt wurde. Für ein KMU ist die Lehre aus diesen Fällen konkret: wissen, welche Dienstleister seine Daten besitzen, die Notfallkontakte aktuell halten und die empfohlenen Korrekturen vollständig umsetzen.

Quellen