Die Pensionskasse der Stadt Zug teilt mit, dass Daten ihrer Versicherten zu jenen gehören könnten, die beim Cyberangriff auf PK Softech gestohlen wurden, einen Softwareanbieter mehrerer Schweizer Pensionskassen mit Sitz in Reinach. Laut ihrer Mitteilung, über die das Fachportal Inside IT am 9. November 2026 berichtete, führt die Verbindung über Libera, das Beratungsunternehmen, dem sie ihre Verwaltung anvertraut hat.
Was die Zuger Kasse mitgeteilt hat
Die von Inside IT berichteten Fakten lassen sich in wenigen Punkten zusammenfassen. Der Angriff auf PK Softech erfolgte Ende September 2026. Die Zuger Kasse gibt an, ein erstes Mal Mitte Oktober 2026 darüber informiert worden zu sein.
Gestützt auf die damaligen Informationen glaubte sie, nicht betroffen zu sein, erklärt sie. Erst in der Woche vom 2. November 2026 erfuhr sie, dass Daten ihrer Versicherten betroffen sein könnten. Sie habe umgehend die nötigen Massnahmen ergriffen, sagt sie.
Laut der Kasse verfügte PK Softech über folgende Daten ihrer Versicherten:
- Name, Geburtsdatum und Adresse;
- AHV-Nummer (Alters- und Hinterlassenenversicherung);
- Lohndaten;
- in einigen Fällen Telefonnummer und E-Mail-Adresse.
Die Kasse hat den Vorfall dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gemeldet und ihre Versicherten informiert. Sie versichert, dass die Altersguthaben sicher sind. Ebenfalls laut der Kasse sind keine besonders schützenswerten Daten wie Dossiers zu Arbeitsunfähigkeit oder Invalidität betroffen.
Eine Auslagerungskette: Kasse, Verwalter, Software
Der Fall Zug zeigt, wie Vorsorgedaten bei einem Dienstleister landen, den die versicherte Person nicht kennt. Die Kasse hat ihre Verwaltung an Libera ausgelagert. Libera wiederum nutzt die Software von PK Softech. Bei Letzterer waren die Daten der Versicherten gespeichert, so die Kasse.
Ein weiterer von 2clics verfolgter Fall zeigt eine Variante desselben Musters. Am 16. Oktober 2026 erklärte die Stadt Zürich, die Daten ihrer Pensionskasse seien im Hinblick auf die Umstellung auf ein neues Verwaltungssystem an einen Softwareanbieter übermittelt worden. Der Diebstahl ereignete sich dort und nicht in den Systemen der Kasse. Wir hatten damals über den Cyberangriff auf die Kassen von Zürich und der Post berichtet, ohne sagen zu können, ob dieser Anbieter PK Softech war. Inside IT zählt die Pensionskasse der Stadt Zürich nun zu den Kassen, die diese Software nutzen.
Unsere Analyse: Je mehr Glieder die Kette zählt, desto langsamer fliesst die Information. In Zug lagen mehrere Wochen zwischen der ersten Information Mitte Oktober und der Mitteilung über eine mögliche Betroffenheit.
PK Softech: Welche Pensionskassen ermitteln
Laut Inside IT haben mehrere Kassen, die die Software von PK Softech nutzen, kurz nach dem Angriff Abklärungen zu möglichen Datenabflüssen eingeleitet. Dazu gehören die Pensionskasse des Bundes Publica, die Bernische Pensionskasse, die Pensionskasse der Migros, jene der Post, jene von Syngenta und jene der Stadt Zürich.
Abklärungen einzuleiten heisst nicht, betroffen zu sein. Der Fall des Datenlecks bei Publica ist erwiesen, ebenso jener zweier Berner Pensionskassen: der Bernischen Pensionskasse und der Bernischen Lehrerversicherungskasse. Die gemeldeten Daten unterscheiden sich von Kasse zu Kasse.
| Kasse | Als möglicherweise betroffen genannte Daten | Was die Kasse zu den Guthaben sagt |
|---|---|---|
| Stadt Zug | Name, Geburtsdatum, Adresse, AHV-Nummer, Lohn, teilweise Telefon und E-Mail | Altersguthaben sicher |
| Stadt Zürich (schlimmstes Szenario) | Name, Adresse, E-Mail, Telefon, AHV-Nummer, Zivilstand, Partner, IBAN, versichertes Einkommen, Guthaben | Kasse und Rentenauszahlung funktionsfähig |
| Die Post | Name, Adresse, Geburtsdatum, AHV-Nummer, Kontaktdaten, E-Mail, Vorsorgeinformationen | Vorsorgevermögen und Renten nicht gefährdet |
Quellen: Mitteilung der Zuger Kasse, wiedergegeben von Inside IT; Mitteilungen der Stadt Zürich und der Pensionskasse der Post, über die 2clics am 16. Oktober 2026 berichtete.
Was das Datenschutzgesetz vorsieht
Das Bundesgesetz über den Datenschutz (DSG) regelt die Meldung solcher Vorfälle in seinem Artikel 24. Der Verantwortliche muss dem EDÖB «so rasch als möglich» eine Verletzung der Datensicherheit melden, die voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt.
Derselbe Artikel betrifft direkt die Auftragsbearbeitung. Der Auftragsbearbeiter muss dem Verantwortlichen «so rasch als möglich» jede Verletzung melden, ohne Bedingung zur Schwere. Der Verantwortliche informiert anschliessend die betroffenen Personen, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt.
Der Beauftragte seinerseits hat das Dossier bereits an die Hand genommen. PK Softech hat ihm den Angriff am 8. Oktober 2026 gemeldet. Er eröffnete am 14. Oktober eine informelle Vorabklärung bei Publica und am 23. Oktober 2026 eine formelle Untersuchung gegen PK Softech. Er will klären, welche Daten die Kassen dem Unternehmen anvertraut hatten, auf welcher Rechtsgrundlage und was gestohlen wurde.
Was Versicherte oder angeschlossene KMU tun können
Versicherte können bei ihrer Kasse erfragen, welche Daten sie über sie bearbeitet. Artikel 25 DSG gibt ihnen dieses Auskunftsrecht. Die Auskunft ist kostenlos und wird in der Regel innert 30 Tagen erteilt. Sie umfasst namentlich die Empfänger, denen die Daten bekanntgegeben wurden.
Ein nützlicher Punkt in diesem Dossier: Laut demselben Artikel bleibt der Verantwortliche, der Daten von einem Auftragsbearbeiter bearbeiten lässt, auskunftspflichtig. Versicherte wenden sich also an ihre Kasse, ohne Libera oder PK Softech selbst ausfindig machen zu müssen.
Unsere Analyse: Identitätsdaten in Kombination mit dem Lohn oder der IBAN können eine betrügerische Nachricht glaubwürdiger machen. Eine unerwartete E-Mail, SMS oder ein Anruf, der sich auf eine Pensionskasse beruft, verdient daher eine Überprüfung über einen bekannten Kanal.
Für ein angeschlossenes KMU gehören die für seine Angestellten übermittelten Löhne zu den in Zug genannten Daten. Wie 2clics am 16. Oktober 2026 festhielt, ist die Lehre konkret: wissen, welche Dienstleister die eigenen Daten halten. Der Beauftragte stellt selbst die Frage nach dem rechtlichen Rahmen dieser Übermittlungen und dessen tatsächlicher Anwendung.
Was noch nicht bekannt ist
- Wie viele Versicherte der Zuger Kasse betroffen sind und ob ihre Daten tatsächlich entwendet wurden: Die Kasse spricht von Daten, die betroffen sein «könnten».
- Wie viele Pensionskassen insgesamt Versicherte haben, die vom Angriff auf PK Softech betroffen sind.
- Die Ergebnisse der Untersuchung des EDÖB und deren Zeitplan, die der Beauftragte nicht bekanntgegeben hat.
Quellen
- Inside IT, 9. November 2026: «Auch Pensionskasse Zug von PK-Softech-Hack betroffen»
- Bundesgesetz über den Datenschutz (SR 235.1), Art. 24, Meldung von Verletzungen, Text von Fedlex übernommen durch JuriUp
- Bundesgesetz über den Datenschutz (SR 235.1), Art. 25, Auskunftsrecht, Text von Fedlex übernommen durch JuriUp
- 2clics.com, 25. Oktober 2026: «Cyberangriff auf Pensionskassen: Der Beauftragte untersucht PK Softech»
- 2clics.com, 16. Oktober 2026: «Cyberangriff bei einem Dienstleister: Pensionskassen von Zürich und der Post betroffen»
