Publica-Cyberangriff: Die Pensionskasse des Bundes wurde nicht gehackt. Ihr Softwarelieferant schon.

01 Was am 8. und 9. Oktober bestätigt wurde

Publica ist eine der grössten Pensionskassen der Schweiz. Sie versichert die Angestellten der Bundesverwaltung und des ETH-Bereichs, Ende 2025 rund 70’000 aktive Versicherte und 41’600 Rentnerinnen und Rentner, bei einer Bilanzsumme von knapp 45 Milliarden Franken [ swissinfo 2026 ] . Welche Daten genau abgeflossen sind und wie viele dieser Personen betroffen sind, klären Publica und die Bundesstellen noch ab. Die Bundesanwaltschaft hat ein Verfahren eröffnet.

Am 9. Oktober wurde aus einem Fall eine Branche. Die Bernische Pensionskasse und die Bernische Lehrerversicherungskasse meldeten, sie seien über dieselbe Softwarelieferantin betroffen. Ein Datendiebstahl lasse sich nicht ausschliessen [ cash.ch / AWP 2026 ] . Inside IT nannte den Anbieter, PK Softech, der den Angriff gegenüber AWP bestätigte, und listete weitere Kassen auf, die nun prüfen [ Inside IT 2026 ] .

02 Der Weg führt wieder über den Lieferanten

Die Schweiz kennt das Muster. Im Mai 2023 brach die Ransomware-Gruppe Play beim Berner IT-Dienstleister Xplain ein, der Software für Polizei- und Justizbehörden des Bundes und der Kantone baute. Im Juni stellte die Gruppe die Daten ins Darknet. Das damalige NCSC analysierte den Datensatz und veröffentlichte am 7. März 2024 seinen Bericht [ Bundesrat 2024 ] . Von rund 1,3 Millionen Dateien betrafen etwa 5 Prozent die Bundesverwaltung, rund 65’000 Dokumente. Darunter waren 4’779 Dateien mit Personendaten, 121 klassifizierte Objekte und 4 Objekte mit lesbaren Passwörtern [ Securityonline 2024 ] .

Der NCSC-Bericht liess eine Frage ausdrücklich offen: warum diese Daten überhaupt beim Lieferanten lagen. Ob die aktuelle Softwarefirma mehr Daten hielt, als sie für ihre Arbeit brauchte, weiss heute niemand ausserhalb der Ermittlungen, und wir spekulieren nicht darüber. Die Frage, die jede Pensionskasse diese Woche ihrem eigenen Lieferanten stellen sollte, ergibt sich trotzdem direkt aus Xplain: Welche unserer Daten liegen bei Ihnen, und warum?

Es ist der dritte Fall dieser Art in einem Monat, der Schweizer Leser betrifft. In Dänemark öffnete eine Zwei-Personen-Firma mit legalem Registerzugang und dem Passwort «123456» den Weg zu 8,8 Millionen Personendaten (unsere Analyse). Bei Ricardo flossen Kontaktdaten von 890’000 Konten ab, verknüpft mit Bestellungen (unsere Analyse). Und jetzt eine Branchensoftware, über die gleich mehrere grosse Vorsorgeeinrichtungen ihre Versicherten verwalten.

In unseren Einsätzen bei Finanz- und Vorsorgekunden finden wir den kürzesten Weg zu den sensiblen Daten selten im Rechenzentrum des Kunden. Meistens führt er über einen Support-Zugang, den ein Softwarehaus für Wartung und Updates offen hat. Der Zugang ist dokumentiert, vertraglich geregelt und im Firewall-Regelwerk eingetragen. Getestet hat ihn trotzdem kaum jemand, weil er beiden Seiten gehört und darum keiner.

03 Was Sie von Ihrem Softwarelieferanten verlangen

«Sich vergewissern» ist der Teil, den die meisten Verträge mit einem Fragebogen erledigen. Der Lieferant kreuzt an, dass er Zugriffe protokolliert, Daten verschlüsselt und regelmässig testet. Niemand prüft es nach. Fünf Forderungen machen aus dem Fragebogen einen Nachweis:

1. Eine Liste aller Daten, die der Lieferant von Ihnen hält. Produktiv, Test, Backup, Support-Tickets mit Screenshots. Was nicht auf der Liste steht, dürfte er gar nicht haben.
2. Keine echten Versichertendaten in Test- und Entwicklungsumgebungen. Anonymisierte oder synthetische Daten für alles ausser dem Produktivbetrieb, schriftlich zugesichert.
3. Der Bericht eines unabhängigen Penetrationstests, nicht älter als zwölf Monate. Mit Umfang, Befunden und dem Nachweis, dass die kritischen Befunde behoben sind. Eine Zertifikatskopie ersetzt das nicht.
4. Fernzugänge nur auf Anfrage, mit zweitem Faktor und Protokoll. Ein Wartungszugang, der dauerhaft offen ist, ist ein Zugang für jeden, der die Zugangsdaten des Lieferanten erbeutet.
5. Eine Meldefrist in Stunden. «So rasch als möglich» steht im Gesetz. In Ihren Vertrag gehört eine Zahl, zum Beispiel 24 Stunden ab Entdeckung, damit Ihre eigene Meldung an den EDÖB und gegebenenfalls ans BACS nicht am Lieferanten hängen bleibt.

Ein Detail aus dem aktuellen Fall verdient Anerkennung. Der Lieferant hat den Angriff selbst entdeckt, Anzeige erstattet und alle Kunden informiert. Genau so soll es laufen. Die Kassen konnten ihre Versicherten innert Tagen informieren, weil die Kette funktionierte. Sie können sich darauf nur verlassen, wenn Sie die Kette vorher einmal geprüft haben.

Wissen Sie heute, welcher Ihrer Lieferanten mit welchen Zugangsdaten bis zu Ihren Versichertendaten kommt? Wenn nicht, zeigen wir es Ihnen. Sie erhalten jeden externen Zugang, den ein Angreifer über Ihre Lieferanten nutzen könnte, geprüft und nach Risiko geordnet. Beginnen Sie mit Ihrer Threat Map, ab CHF 5’000, in 14 Tagen.