PK Softech: Der EDÖB untersucht jetzt den Lieferanten. Seine drei Fragen sollten Sie heute über Ihre eigenen beantworten können.

01 Was seit dem 13. Oktober dazugekommen ist

Die Chronologie, zusammengesetzt aus den Meldungen der letzten vier Wochen:

Bei Publica allein geht es um über 110’000 Versicherte und Rentenbeziehende. Ob alle oder nur ein Teil betroffen sind, ist offen. Möglicherweise abgeflossen sind laut Publica Name, Geburtsdatum, AHV-Nummer, Adresse, Telefon und E-Mail, Lohn, versicherter Verdienst, Vorsorgeguthaben, Zivilstand und Angaben zu Partnerinnen und Partnern [ SRF 2026 ] . Laut watson sprechen Bundesrat und Sicherheitsbehörden von deutlich über 100’000 aktuellen und ehemaligen Bundesangestellten [ watson 2026 ] . Die Vorsorgeguthaben selbst und die Renten sind laut den Kassen nicht gefährdet [ Polizei.news 2026 ] .

02 Was der EDÖB jetzt prüft

Lesen Sie diese drei Punkte als Fragen. Welche Daten haben Sie dem Lieferanten gegeben? Auf welcher Grundlage, und wurde das so umgesetzt, wie es auf dem Papier steht? Und wie viel davon war im Moment des Angriffs tatsächlich bei ihm erreichbar?

Die erste Frage beantworten die meisten Organisationen mit einem Vertrag. Die zweite mit einem Fragebogen, den der Lieferant ausgefüllt hat. Die dritte kann ohne Test niemand beantworten, weder Sie noch der Lieferant. Genau diese Lücke wird jetzt von aussen ausgeleuchtet, mit einer Behörde als Fragesteller und mehreren Pensionskassen als Publikum.

03 Warum Lieferanten das Ziel sind

Ein Softwarehaus für Pensionskassen hält die Daten vieler Kassen gleichzeitig. Für eine Ransomware-Gruppe ist das ein Einbruch mit mehreren Opfern. Akira soll rund 100 Gigabyte komprimierte Daten erbeutet haben und erpresst das Unternehmen mit der Veröffentlichung [ inuit.at 2026 ] . Die Kassen selbst mussten dafür nicht angegriffen werden.

Dazu kommt, dass solche Angriffe billig geworden sind. Am selben Wochenende, an dem die Akira-Berichte erschienen, beschrieb ein deutscher Softwarehersteller ohne Verbindung zu diesem Fall, was er gerade erlebt hatte. Tobit.Software aus Ahaus, dessen Lösungen rund 2’000 Partner im deutschsprachigen Raum einsetzen, meldete automatisierte Angriffsversuche in bisher unbekannter Menge. Auf einigen Installationen konnten Unbefugte Chats mit KI-Agenten starten, nach Angaben des Unternehmens ohne Abfluss von Personendaten [ wortfilter.de 2026 ] .

«Cyberangriffe waren noch nie so günstig, einfach und effektiv wie heute.»

Ludwig Groten, CEO von Tobit.Software, auf LinkedIn (zitiert nach wortfilter.de)

Groten schrieb auch, er habe die Warnungen der KI-Anbieter immer für Marketing gehalten. Jetzt werde «einfach alles angegriffen, was erreichbar ist, rund um die Uhr». Für Ihre Lieferkette heisst das: Ihr Lieferant muss nicht gezielt ausgesucht werden, um getroffen zu werden. Es reicht, dass er erreichbar ist und Daten von Ihnen hält.

In unseren Einsätzen bei Finanz- und Vorsorgekunden sehen wir das wiederkehrende Muster. Der kürzeste Weg zu den Versichertendaten führt über einen Wartungszugang oder eine Datenkopie beim Softwarehaus, die beide Seiten kennen und keine Seite testet.

04 Die drei Fragen, gestellt an Ihre Lieferanten

Nach Artikel 9 DSG bleiben Sie verantwortlich, wenn ein Lieferant Ihre Personendaten bearbeitet, und müssen sich vergewissern, dass er die Datensicherheit gewährleisten kann. Er meldet Ihnen eine Verletzung nach Artikel 24 Absatz 3 so rasch als möglich. Die Meldung an den EDÖB bleibt Ihre Aufgabe [ DSG Art. 9, 24 ] . Sechs Punkte machen die Fragen des EDÖB zu Ihrer eigenen Prüfliste:

1. Datenliste pro Lieferant. Welche Felder liegen bei ihm, in Produktion, Test, Backup und Support-Tickets? Was nicht auf der Liste steht, dürfte er nicht haben.
2. Datenminimierung. Braucht der Lieferant AHV-Nummer, Lohn und Partnerdaten für seine Aufgabe? Wenn nicht, gehören sie nicht zu ihm.
3. Keine echten Daten in Testumgebungen. Synthetische oder anonymisierte Daten für alles ausser dem Produktivbetrieb, schriftlich zugesichert.
4. Zugangswege kennen und testen. Jeder Fernwartungszugang mit zweitem Faktor, zeitlich begrenzt und protokolliert. Prüfen Sie, wohin ein Angreifer mit den Zugangsdaten des Lieferanten kommt.
5. Testnachweis statt Fragebogen. Der Bericht eines unabhängigen Penetrationstests, nicht älter als zwölf Monate, mit Umfang, Befunden und Nachweis der Behebung.
6. Meldefrist in Stunden. Eine Zahl im Vertrag, zum Beispiel 24 Stunden ab Entdeckung, damit Ihre eigene Meldung nicht am Lieferanten hängen bleibt.

Könnten Sie die drei Fragen des EDÖB heute für jeden Ihrer Lieferanten beantworten? Wenn nicht, beginnen wir mit der dritten. Ihre Threat Map zeigt jeden Weg, über den ein Angreifer via Lieferant zu Ihren Daten kommt, geprüft und nach Risiko geordnet, in 14 Tagen.