Mehr Datenschutzverletzungen in der Schweiz, Cyberangriff auf Pensionskassen wird untersucht

Bisher wurden in diesem Jahr 455 Vorfälle registriert, damit ist die Zahl bereits höher als die 343 Meldungen im gesamten Jahr 2025. Die Zahlen, die der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte Adrian Lobsiger in einem Interview mit dem SonntagsBlick nannte, rücken die Belastung durch Datensicherheitsvorfälle in der Schweiz im weiteren Jahresverlauf deutlich in den Fokus.

Lobsiger warnte, dass die erfasste Gesamtzahl das Ausmass des Problems wahrscheinlich unterschätze. Viele Vorfälle würden nicht gemeldet, sagte er. Die offizielle Zahl umfasse daher nur Fälle, die dem Beauftragten zur Kenntnis gebracht würden. Die Zahlen beträfen Sicherheitsvorfälle allgemein. Aus den Meldungen gehe nicht hervor, wie viele davon mit Cyberangriffen zu tun hätten oder wie viele Personendaten beträfen.

Der Anstieg fällt in eine Zeit, in der der Beauftragte einen Cyberangriff auf PK Softech untersucht, einen Softwareanbieter, dessen Dienste mehrere Schweizer Pensionskassen nutzen. Ziel der formellen Untersuchung ist es, festzustellen, welche Personendaten die Kassen mit dem Unternehmen geteilt hatten, wie diese Übermittlungen geregelt waren und welche Informationen gestohlen wurden. Damit verbindet die Untersuchung die landesweite Zahl der Vorfälle mit einer konkreten Sorge für Pensionskassen: dem Schutz sensibler Daten, die über gemeinsam genutzte Technologiedienste bearbeitet werden.

Die formelle Untersuchung des Beauftragten richtet sich gegen PK Softech, nachdem das Unternehmen am 8. Oktober einen Cyberangriff auf seine IT-Infrastruktur gemeldet hatte. Bei dem Angriff wurden Daten aus mehreren Pensionskassen gestohlen, die die Software des Anbieters nutzten. Der Beauftragte erklärte, eine Untersuchung richte sich gegen ein Unternehmen, wenn Anzeichen für einen möglichen Verstoss gegen Datenschutzvorschriften vorlägen.

Der Untersuchung ging eine informelle Vorabklärung bei Publica voraus, die am 14. Oktober begann. Am 23. Oktober eröffnete der Beauftragte das formelle Verfahren gegen PK Softech. Auch die betroffenen Pensionskassen haben wegen des Vorfalls Beschwerden eingereicht.

Die Untersuchung soll klären, welche Personendaten die Kassen dem Softwareunternehmen zur Verfügung gestellt hatten, welcher rechtliche Rahmen für diese Übermittlungen galt und wie dieser in der Praxis umgesetzt wurde. Die Ermittler prüfen auch den Umfang der gestohlenen Informationen. Lobsiger sagte, das Verfahren könnte später auf Bundesstellen und Pensionskassen ausgeweitet werden. Mit Verweis auf die Vertraulichkeit der Untersuchung wollte er sich im Interview nicht zu Einzelheiten des Falls äussern.

Publica, die Bernische Pensionskasse und die Bernische Lehrerversicherungskasse gehören zu den betroffenen Organisationen. Der Angriff hat die Datenverarbeitung zwischen den Pensionskassen und ihrem Softwareanbieter in den Fokus gerückt. Der Beauftragte will sich ein vollständiges Bild davon verschaffen, welche Personendaten geteilt und welche Daten gestohlen wurden.

Der Beauftragte warnte, dass die Verknüpfung von Daten und der Abbau von Datensilos das Risiko von Sicherheitsverletzungen erhöhen könnten. In integrierten Systemen können Informationen zwischen Organisationen und Diensten ausgetauscht werden. Deshalb sei es wichtig, zu kontrollieren, was weitergegeben werde. Lobsiger sagte, es sollten nur unbedingt notwendige Daten übermittelt werden.

Er empfahl zudem, wann immer möglich anonymisierte Testdaten zu verwenden. So lasse sich die Offenlegung identifizierbarer Personendaten während Tests begrenzen, während die wesentlichen Datenschutzfragen im Fall PK Softech im Fokus blieben: Welche Informationen wurden übermittelt, auf welcher Rechtsgrundlage und wie erfolgten diese Übermittlungen? Die Ergebnisse der Untersuchung dürften die Datenflüsse zwischen den betroffenen Kassen und dem Anbieter klären.

Lobsiger bezeichnete die Bedrohung durch künstliche Intelligenz als «real» und verwies zugleich darauf, dass menschliches Versagen die Schwachstelle bei der grossen Mehrheit der gemeldeten Angriffe sei. Seine Einschätzung stellt die Vorgehensweisen der Mitarbeitenden neben die technischen Schutzmassnahmen, wenn es um die Datensicherheitsrisiken geht.

Der Beauftragte hat auch auf praktische Schutzmassnahmen für Organisationen hingewiesen, die verknüpfte Daten bearbeiten. Sie sollten nur unbedingt notwendige Informationen übermitteln und, wo möglich, anonymisierte Testdaten verwenden. Diese Massnahmen sind für Pensionskassen und ihre Technologieanbieter relevant, während die Ermittler die Übermittlungen im Fall PK Softech untersuchen.

Für Schweizer Institutionen laufen die beiden Themen zusammen: mehr gemeldete Sicherheitsvorfälle und eine formelle Untersuchung zu gestohlenen Daten aus Pensionskassen. Die Untersuchung des Beauftragten könnte später auch Bundesstellen und die Kassen selbst einbeziehen. Sie soll klären, welche Daten PK Softech zur Verfügung gestellt wurden, welche Regeln für diese Übermittlungen galten und wie gross der Diebstahl war. Lobsigers Aussagen unterstreichen derweil, dass das Risikomanagement sowohl den Umgang der Menschen mit Daten als auch die Systeme berücksichtigen muss, über die Daten fliessen.