Der Kanton Waadt hat am Samstag, 31. Oktober 2026, einen Cyberangriff auf die IT-Supportplattform seiner nachobligatorischen Bildung bekannt gegeben. Personendaten von rund 38'000 Schülerinnen und Schülern sowie 3500 Lehrpersonen wurden kopiert. Laut der kantonalen Medienmitteilung, über die SWI swissinfo.ch unter Berufung auf Radio Télévision Suisse (RTS) berichtet, wurden keine sensiblen Daten erfasst.
Welche Daten wurden gestohlen?
Der Diebstahl betrifft Identifikationsdaten und den Austausch mit dem IT-Support. Gemäss der Mitteilung des Kantons Waadt haben die Hacker Folgendes kopiert:
- die Namen und Vornamen der Nutzerinnen und Nutzer;
- ihre schulischen E-Mail-Adressen;
- den Inhalt der an den IT-Support gerichteten Anfragen.
Passwörter stehen nicht auf der Liste. Laut den kantonalen Behörden speichert die Plattform sie nicht. Der Kanton betont zudem, dass keine schulischen Daten entwendet wurden, weder Noten noch Dossiers der Schülerinnen und Schüler.
Unsere Analyse: Der Inhalt einer Supportanfrage hängt davon ab, was die jeweilige Person hineingeschrieben hat. Die Mitteilung, wie swissinfo.ch sie wiedergibt, führt nicht aus, was diese Nachrichten enthielten.
Wie der Kanton seit Montag reagiert hat
Der unbefugte Zugriff wurde am Montag, 26. Oktober 2026, entdeckt, fünf Tage vor der öffentlichen Bekanntgabe. Der Kanton beschreibt mehrere Massnahmen in dieser Reihenfolge:
| Datum | Schritt, laut Kanton Waadt |
|---|---|
| 26. Oktober 2026 | Entdeckung des unbefugten Zugriffs; Plattform vom Netz genommen und gesichert |
| Ohne genaues Datum | Information der Nutzerinnen und Nutzer; Meldung an das Bundesamt für Cybersicherheit und an die kantonale Datenschutzbehörde |
| 31. Oktober 2026 | Veröffentlichung der Mitteilung; eine Strafanzeige muss noch eingereicht werden |
Die Strafanzeige ist zum Zeitpunkt der Mitteilung angekündigt, aber noch nicht eingereicht.
Einen Cyberangriff in der Schweiz melden: zwei Anlaufstellen
Der Kanton hat sich an zwei Behörden mit unterschiedlichen Rollen gewandt. Das Bundesamt für Cybersicherheit (BACS) behandelt Cybervorfälle unter technischen Gesichtspunkten. Die Datenschutzbehörden prüfen, was mit den Personendaten geschehen ist. Diese Rollenteilung ist bereits in unserem Artikel über Datenschutzverletzungen in der Schweiz beschrieben.
Seit dem 1. April 2025 müssen Betreiberinnen und Betreiber kritischer Infrastrukturen ihre Cybervorfälle dem BACS melden. Für ein gewöhnliches Unternehmen bleibt diese Meldung freiwillig. Die konsultierten Quellen sagen nicht, ob die Waadtländer Plattform unter diese Pflicht fällt. Sie halten lediglich fest, dass der Kanton die Meldung erstattet hat.
Auf Bundesebene steigt die Zahl der Meldungen. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Adrian Lobsiger, zählte seit Anfang 2026 deren 455, gegenüber 343 im gesamten Jahr 2025. Er gab dies am 25. Oktober 2026 bekannt. Diese Zahlen umfassen die beim Eidgenössischen Datenschutzbeauftragten eingegangenen Meldungen, nicht jene an die kantonalen Behörden.
Phishing: die Verhaltensregeln des Kantons
Das Hauptrisiko für Schülerinnen, Schüler und Lehrpersonen ist Phishing. Der Kanton Waadt fordert sie auf, gegenüber solchen Versuchen wachsam zu bleiben. Seine Empfehlungen lassen sich in drei Punkten zusammenfassen:
- niemals das eigene Passwort weitergeben;
- dringenden oder ungewöhnlichen Nachrichten misstrauen;
- jede verdächtige Nachricht melden.
Unsere Analyse: Ein Name, eine schulische Adresse und der Betreff einer früheren Supportanfrage genügen, um eine glaubwürdige gefälschte Nachricht zu verfassen, zum Beispiel im Namen des IT-Supports. Derselbe Mechanismus war beim Cyberangriff auf einen Dienstleister der Pensionskassen von Zürich und der Post festgestellt worden: Ein Datenleck macht Betrugsversuche überzeugender.
Diese Daten können für «Profiling», «Erpressung» und «Betrug» genutzt werden, sagt die Cybersicherheitsexpertin Solange Ghernaouti gegenüber RTS. Um die Szenarien der Betrüger zu verfolgen, veröffentlicht das BACS jede Woche konkrete Fälle, die unser Leitfaden zur Sensibilisierung für Phishing als Schulungsmaterial verwendet.
Ein weiterer Angriff in einer Schweizer Serie
Der Waadtländer Angriff folgt auf mehrere jüngste Vorfälle in der Schweiz, erinnert swissinfo.ch. Die Quelle nennt einen IT-Dienstleister der Pensionskasse des Bundes Publica und die Online-Verkaufsplattform Ricardo.
Im Fall von Publica ist der Dienstleister PK Softech, ein Softwareanbieter mehrerer Pensionskassen. Der Eidgenössische Datenschutzbeauftragte hat am 23. Oktober 2026 eine Untersuchung gegen PK Softech eröffnet. Auch zwei Berner Institutionen gehören zu den Opfern, wie unser Artikel über die Berner Pensionskassen ausführt.
Für Solange Ghernaouti zeigt diese Art von Angriff einmal mehr die Verwundbarkeit der digitalen Infrastrukturen. Sie sieht darin einen Mangel an Sicherheit, Schutz und Voraussicht. Diese Feststellung bleibt jene einer Expertin: Der Kanton hat sich nicht zu den Ursachen des Vorfalls geäussert.
Für eine Organisation, die Daten einer externen Plattform anvertraut, werfen diese Fälle eine praktische Frage auf: Wer hält ihre Daten, und wen ruft man bei einem Vorfall an? Unser Leitfaden, um einen Reaktionsplan vorzubereiten, beschreibt die Meldungen, die nach einem Angriff zu erstatten sind.
Was man noch nicht weiss
- Die Urheberschaft des Angriffs. Laut Solange Ghernaouti ist es weiterhin schwierig herauszufinden, wer dahintersteckt. Sie nennt zwei mögliche Lesarten: eine kriminelle, des Geldes wegen, «weil sich diese Daten gut verkaufen»; oder eine politische, mit dem Willen, die Zivilgesellschaft zu destabilisieren und Misstrauen gegenüber den Institutionen zu schaffen.
- Die Betreiberin der Plattform. Die Quellen sagen nicht, ob der Kanton diesen IT-Support selbst betreibt oder einen Dienstleister beizieht.
- Der Angriffsvektor. Die Mitteilung, wie sie wiedergegeben wird, präzisiert nicht, wie sich die Hacker Zugang verschafft haben und seit wann.
- Das Schicksal der Daten. Bisher deutet nichts darauf hin, ob sie veröffentlicht, weiterverkauft oder genutzt wurden.
- Die genaue Zahl. Der Kanton spricht von rund 38'000 Schülerinnen und Schülern sowie 3500 Lehrpersonen, also gemäss unserer Berechnung von rund 41'500 Personen.
Quellen
- SWI swissinfo.ch (RTS), 31. Oktober 2026: «Data of 40,000 Swiss students and teachers stolen»
- 2clics.com, 26. Oktober 2026: «Violation de données en Suisse : 455 annonces au Préposé en 2026»
- 2clics.com, 25. Oktober 2026: «Cyberattaque caisse de pension : le Préposé enquête sur PK Softech»
- 2clics.com, 16. Oktober 2026: «Cyberattaque chez un prestataire : les caisses de pension de Zurich et de La Poste touchées»
- 2clics.com: «Plan de réponse aux cyberattaques : le préparer dans une PME» und «Sensibilisation à la cybersécurité des employés : méthodes pour PME»
