PK Softech: Die Daten der Pensionskasse Stadt Zürich lagen beim Lieferanten. Für einen Systemwechsel, der erst 2027 kommt.

01 Was seit dem 13. Oktober dazugekommen ist

Wir haben den Fall am 13. Oktober aus Sicht der Pensionskassen beschrieben (unsere Publica-Analyse). Damals war offen, welche Daten fehlen und wen es trifft. Seither ist einiges klarer geworden:

• Die Datenfelder. Laut Tages-Anzeiger Namen, Geburtsdaten, AHV-Nummern, Geschäfts- und Privatadressen, Lohnangaben, teils Bankverbindungen, Telefon und E-Mail, Zivilstand, Angaben zu Ehe- und Lebenspartnern und in einzelnen Fällen zu Kindern [ watson 2026 ] .
• Die Betroffenen. Darunter laut Recherche besonders exponierte Angestellte: Mitarbeitende des Nachrichtendienstes NDB, von fedpol und der Gruppe Verteidigung. Eine interne Einschätzung sehe für einzelne verdeckt arbeitende Personen eine «Gefahr für Leib und Leben».
• Weitere Kassen. Die Pensionskasse Stadt Zürich bestätigte am Donnerstag, 15. Oktober, dass Personendaten ihrer Versicherten entwendet wurden [ cash.ch / AWP 2026 ] . Die Migros-Pensionskasse informierte ebenfalls über ein Datenleck [ finews 2026 ] .
• Noch offen. Die Pensionskasse Post wurde Ende September von PK Softech informiert. Ob Daten ihrer Versicherten betroffen sind, bleibt laut eigener Aussage unklar [ Inside IT 2026 ] .

Publica selbst will den vom Tages-Anzeiger genannten Umfang nicht bestätigen und nur «gesicherte Erkenntnisse» kommunizieren. Der Bund spricht von «umfangreichen Abklärungen». Auf der Darknet-Seite von Akira stand am Dienstag noch kein Eintrag zum Angriff, Opferdaten waren nicht publiziert [ watson 2026 ] .

02 Die PKZH-Daten lagen dort für einen Systemwechsel

Im laufenden Betrieb ist die PKZH gar nicht Kundin von PK Softech. Sie arbeitet mit einem anderen Anbieter und plant, Anfang 2027 auf das System von PK Softech umzusteigen. Zur Vorbereitung hat sie dem Lieferanten Daten übergeben, Inside IT spricht von Testdaten [ Inside IT 2026 ] . Das System, mit dem die Kasse Renten auszahlt und Sparguthaben verwaltet, war nicht betroffen [ finews 2026 ] .

Im ungünstigsten Fall fehlen laut PKZH: Name, Geburtsdatum, AHV-Nummer, Adresse, geschäftliche und private E-Mail und Telefonnummer, versicherter Lohn, Vorsorgeguthaben, Zivilstand, Angaben zum Partner und die IBAN. Das ist ein vollständiges Profil für einen Betrugsanruf. Wer Ihren Lohn, Ihr Guthaben und Ihre IBAN kennt, klingt am Telefon wie Ihre Pensionskasse.

Wie PK Softech die PKZH-Daten intern abgelegt hatte, ist öffentlich nicht bekannt. Die Frage stellt sich trotzdem jedem Verwaltungsrat einer Vorsorgeeinrichtung, die in den nächsten Jahren ihr System wechselt: Wer hat bei uns entschieden, dass für den Test echte AHV-Nummern nötig sind? Und wo stehen die Kopien heute?

03 Offerz: dasselbe Muster, eine Woche später

Der zweite Fall kommt aus dem Onlinehandel und ist kleiner, aber lehrreicher, weil Offerz offen erklärt hat, wie es passiert ist. In der Nacht auf den 7. Oktober griff jemand auf eine Testumgebung des Onlineshops zu. Bemerkt wurde es zwei Tage später, informiert hat Offerz am 16. Oktober [ Swiss Cybersecurity 2026 ] .

Der Ablauf laut Offerz: Für technische Arbeiten wurde eine Kopie der Bestelldaten aus dem Januar 2026 erstellt und in einen Cloud-Speicher gelegt, auf den die Testumgebung zugreifen konnte. Nach den Arbeiten hätte die Datei gelöscht werden sollen. Sie wurde es nicht. Für Server und Programmierung war ein externer IT-Dienstleister zuständig.

Offerz kann nicht nachweisen, dass Daten tatsächlich abgezogen wurden, geht aber vorsorglich davon aus, weil der Zugriff möglich war. Karten- und Kontodaten sowie Passwörter waren laut Offerz nicht in der Kopie. Die Firma hat die Betroffenen per E-Mail informiert und den Vorfall dem EDÖB und dem BACS gemeldet. So sieht eine saubere Meldung aus. Die Kopie selbst hätte es nie geben müssen.

Name, Adresse und Zahlungsart einer Bestellung reichen für eine glaubwürdige Nachricht über eine angebliche Rückerstattung. Dasselbe Muster haben wir beim Ricardo-Leck beschrieben (unsere Analyse).

04 Was das DSG von Ihnen verlangt

Für Testdaten heisst das konkret: Eine Testumgebung mit echten Daten ist rechtlich eine Produktionsumgebung. Sie braucht dieselben Zugriffskontrollen, dieselbe Protokollierung, dieselbe Verschlüsselung. Dazu einen Zweck, der endet, und eine Löschung, die jemand bestätigt. Fehlt eines davon, haben Sie sich im Sinn von Art. 9 nicht vergewissert. Sie haben nur unterschrieben.

Bei einem Datensatz mit AHV-Nummer, IBAN und Lohn ist das hohe Risiko im Sinn von Art. 24 kaum zu bestreiten. Die Meldepflicht an den EDÖB liegt bei Ihnen, auch wenn die Daten auf einem Server lagen, den Sie nie gesehen haben. Die Pensionskassen in diesem Fall können ihren Versicherten erst dann genau sagen, was fehlt, wenn der Lieferant es weiss. Stellen Sie die Frage nach den Kopien deshalb, bevor Sie unterschreiben.

05 Wie ein Test beweist, wo Ihre Daten liegen

Die fünf Forderungen an Lieferanten aus der Publica-Analyse gelten weiter. Für Migrationen und Testumgebungen kommen drei Fragen dazu. Wichtiger ist, wie Sie die Antworten prüfen.

1. «Welche Kopien unserer Daten existieren bei Ihnen, ausserhalb der Produktion?» Migrationsablagen, Testsysteme, Exporte für Fehleranalysen, Cloud-Speicher von Subunternehmern. Verlangen Sie eine Liste mit Ort, Zweck, Datum und Löschdatum.
2. «Warum brauchen Sie für diesen Test echte Daten?» Für die meisten Migrationstests reichen pseudonymisierte Bestände: echte Struktur, echte Sonderfälle, falsche AHV-Nummern und IBAN. Wer das ablehnt, soll begründen, welcher Test ohne echte Werte scheitert.
3. «Wer hat die letzte Kopie gelöscht, und wo steht das?» Offerz hatte eine Löschregel. Es fehlte jemand, der ihre Ausführung prüfte.

Ein Fragebogen beantwortet diese Fragen mit Ja. Ein Test beantwortet sie mit einem Fund. In einem Lieferketten-Assessment gehen wir vom Zugriff aus, den ein Angreifer nach einer Kompromittierung des Lieferanten hätte, und suchen von dort aus nach Ihren Daten. Drei Methoden tragen dabei am meisten:

• Markierte Datensätze. Sie legen vor einer Datenlieferung einige erfundene Versicherte mit eindeutigen Namen und E-Mail-Adressen an. Taucht einer davon später in einer Testumgebung, einem Ticket oder einem Leak auf, wissen Sie, welche Lieferung es war.
• Suche in Test- und Cloud-Umgebungen. Öffentlich erreichbare Speicher, Staging-Server mit Produktivdaten, alte Exporte. Genau dort lag die Offerz-Kopie.
• Prüfung der Zugänge. Wer aus der Testumgebung was erreicht. Eine Testumgebung, die auf denselben Speicher zugreift wie ein Exportjob, ist ein Weg zu den Daten.

Planen Sie in den nächsten zwölf Monaten einen Systemwechsel oder geben Sie Daten an einen Lieferanten für Tests? Dann wissen Sie nach unserer Threat Map, wo jede Kopie Ihrer Personendaten liegt, wer sie erreicht und welche zuerst weg muss. Ab CHF 5’000, in 14 Tagen.