Cyberangriff könnte Daten von Pensionskassen in Zürich und bei der Schweizerischen Post offengelegt haben

Ein Sicherheitsvorfall bei einem Softwareanbieter hat sensible Pensionsdaten aus Zürich und möglicherweise auch der Schweizerischen Post ins Visier der Ermittlungen gerückt. Der Angriff ereignete sich Ende September, als Zürich den Wechsel seiner Pensionskasse auf ein neues Verwaltungssystem vorbereitete. Daten waren bereits übertragen worden, als die Angreifer den externen Anbieter attackierten.

Zürich hat Strafanzeige eingereicht und klärt ab, worauf die Angreifer zugegriffen oder was sie gestohlen haben und wie viele Personen betroffen sein könnten. Die Stadt teilte mit, dass der Betrieb der Pensionskassen und die Auszahlung der Renten weiterhin gewährleistet seien.

Der Vorfall betrifft mehr als eine Institution. Die Schweizerische Post bestätigte, dass ihre Pensionskasse denselben Anbieter nutzte und vom Angriff betroffen war. Ob Daten von Versicherten kompromittiert wurden, ist noch nicht geklärt. Die Bekanntgabe folgt auf Berichte, wonach auch die Bernische Pensionskasse und die Bernische Lehrerversicherungskasse im Rahmen derselben Angriffskampagne Daten verloren haben.

Bei der möglichen Offenlegung geht es um persönliche und finanzielle Angaben, die von Vorsorgeeinrichtungen verwaltet werden. Damit ist die Untersuchung für Mitarbeitende, Rentnerinnen und Rentner sowie Begünstigte in mehreren Schweizer Regionen relevant. Die verfügbaren Informationen zeigen weder das endgültige Ausmass des Datendiebstahls noch, wer für den Angriff verantwortlich ist.

Im schlimmsten Fall umfasst der Datensatz ein detailliertes Abbild der Identität, Beziehungen und Finanzen von Personen. Die Pensionskasse der Stadt Zürich teilte mit, dass möglicherweise betroffene Informationen Namen, Postadressen, E-Mail-Adressen und Telefonnummern umfassen. Auch Sozialversicherungsnummern und der Zivilstand könnten betroffen sein.

Die Liste reicht bis zu Angaben über Partnerinnen und Partner, IBAN-Kontonummern, versicherten Verdienst und Vorsorgevermögen. Die Ermittler haben nicht bestätigt, dass auf alle diese Datenkategorien zugegriffen wurde. Zürich untersucht die Systeme des Anbieters weiterhin, um genau festzustellen, welche Daten gestohlen wurden.

Für Mitglieder Schweizer Pensionskassen gehören solche Angaben zum Kern ihrer alltäglichen finanziellen Identität. Eine IBAN kann einer Person zugeordnet werden, während eine Sozialversicherungsnummer und Angaben zur Vorsorge dabei helfen können, jemanden über verschiedene Verwaltungssysteme hinweg zu identifizieren. Kontaktangaben können zudem gezielte Phishing-Versuche ermöglichen, auch wenn der Ausgangsbericht keine solchen Versuche erwähnt.

Die Schweizerische Post nannte ähnliche Kategorien, die möglicherweise betroffen sind, darunter Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern, Kontaktangaben, E-Mail-Adressen und Vorsorgeinformationen. Die beiden Institutionen haben noch keine bestätigte Zahl der betroffenen Personen veröffentlicht.

Die Rentenzahlungen und der Betrieb der Kassen laufen während der forensischen Untersuchungen weiter. Zürich teilte mit, dass das Verwaltungssystem für die Vermögensverwaltung und Rentenauszahlungen nach bisherigem Kenntnisstand nicht betroffen sei. Die Stadt erklärte ausserdem, dass ihre Pensionskassen und die Auszahlungen weiterhin funktionieren.

Die Schweizerische Post teilte mit, dass Vorsorgevermögen und Vorsorgeleistungen nicht gefährdet seien. Diese Unterscheidung ist wichtig für Mitglieder, die verstehen möchten, was der Vorfall in der Praxis bedeutet. Betroffen sind laut Bericht Daten, die bei einem externen Softwareanbieter gespeichert waren. Es wurde nicht von einem Angriff berichtet, der die Auszahlung von Leistungen beeinträchtigt oder Vorsorgevermögen verschoben hätte.

Für die Kassen bleibt dennoch ein erheblicher Verwaltungsaufwand. Sie müssen ermitteln, auf welche Dateien die Angreifer zugegriffen haben, ob Daten kopiert oder entfernt wurden und wie viele aktuelle oder ehemalige Mitglieder in den betroffenen Datensätzen aufgeführt sind. Zudem müssen sie sich mit dem Anbieter und den Ermittlern abstimmen, bevor sie umfassend informieren können.

Zürich hat Strafanzeige eingereicht. Die Schweizerische Post hat den Vorfall bestätigt und erklärt, sie prüfe, ob Angaben von Versicherten kompromittiert wurden. Keine der beiden Institutionen hat im Ausgangsbericht eine endgültige Zahl der betroffenen Personen genannt.

Der Angriff hat bereits Vorsorgeeinrichtungen in mindestens drei Teilen der Schweiz erreicht. Die städtischen Pensionskassen von Zürich und die Schweizerische Post sind die jüngsten Organisationen, die mit dem Vorfall in Verbindung gebracht werden. Auch die Bernische Pensionskasse und die Bernische Lehrerversicherungskasse nutzten denselben Softwareanbieter. In der Vorwoche war öffentlich geworden, dass dort Daten gestohlen worden waren.

Das Muster zeigt, wie ein einzelner Anbieter Institutionen verbinden kann, die ansonsten unabhängig voneinander arbeiten. Ein Anbieter, der Daten für mehrere Pensionskassen verwaltet, kann zu einem besonders attraktiven Zugangspunkt werden, vor allem bei Systemwechseln, wenn Informationen übertragen oder zusammengeführt werden. Im Ausgangsbericht werden weder der Anbieter noch die Angreifer oder die technische Methode des Angriffs genannt.

Die betroffenen Organisationen betreuen unterschiedliche Gruppen, darunter städtische Angestellte, Mitarbeitende der Schweizerischen Post und Personen, die über die öffentlichen Kassen des Kantons Bern versichert sind. Das endgültige Ausmass hängt davon ab, welche Datensätze beim Anbieter gespeichert waren und auf welche Systeme die Angreifer zugreifen konnten.

Schweizer Pensionskassen stehen nun unter Druck, ihre Mitglieder klar und jeweils institutionenspezifisch zu informieren. Sie müssen bestätigte Fakten von einer möglichen Offenlegung unterscheiden, gleichzeitig Beweise für die Strafuntersuchung sichern und den laufenden Betrieb schützen.

Was als Nächstes bekannt gegeben wird, hängt von den Ergebnissen der Untersuchungen in den Systemen des Anbieters ab. Zürich versucht herauszufinden, welche Informationen gestohlen wurden und wie viele Personen betroffen sind. Die Schweizerische Post führt eine eigene Prüfung durch und hat nicht bestätigt, ob Daten von Versicherten kompromittiert wurden.

Mitglieder sollten im Verlauf der Untersuchung weitere Mitteilungen ihrer Pensionskasse erwarten. Die bisherigen Informationen erlauben eine klare Unterscheidung: Vorsorgevermögen und Rentenzahlungen bleiben im Betrieb, persönliche Daten und Vorsorgeangaben könnten hingegen offengelegt worden sein. Das genaue Ausmass ist noch ungeklärt.

Der Fall lenkt auch die Aufmerksamkeit darauf, wie Schweizer Vorsorgeeinrichtungen beim Technologiewechsel mit externen Anbietern umgehen. Zürich hatte Daten im Vorfeld eines geplanten Wechsels auf ein neues Verwaltungssystem übertragen. Dieser zeitliche Zusammenhang belegt keine Ursache, erklärt aber, weshalb sich zum Zeitpunkt des Angriffs Daten beim Anbieter befanden.

Die im Bericht genannten Institutionen müssen bestätigte Erkenntnisse mitteilen, allfällige Schutzmassnahmen erläutern und betroffenen Personen sagen, was sie tun müssen. Bis dahin sollten Mitglieder den offiziellen Mitteilungen ihrer Pensionskasse folgen und bei unerwarteten Nachrichten, in denen sie um persönliche Angaben oder Bankdaten gebeten werden, vorsichtig sein.