Datenleck beim Lieferanten: was der Fall Publica von Ihnen verlangt
Bei einem Lieferanten der Bundespensionskasse Publica sind Daten abgeflossen. Was geschah, was das Gesetz von wem verlangt, was wir zusagen, was zu prüfen ist.
Am 8. Oktober 2026 hat Publica, die Pensionskasse der Bundesverwaltung, bekannt gegeben, dass Daten aus den Systemen eines ihrer Softwarelieferanten abgeflossen sind. Bei Publica selbst ist niemand eingedrungen. Beim Lieferanten schon. Jedes Unternehmen und jede Verwaltung, die Personendaten einer externen Firma anvertraut, sollte diesen Fall genau lesen.
Was passiert ist
Laut Publica und dem Bundesrat hat ein externer Softwarelieferant Ende September einen Cyberangriff festgestellt. Er hat Strafanzeige erstattet und die zuständigen Bundesstellen, Publica und seine weiteren Kunden informiert. Die Bundesanwaltschaft hat ein Verfahren eröffnet. Keine andere Bundesstelle hat eine Geschäftsbeziehung mit dem Lieferanten.
Publica hat die Firma nicht genannt. Watson und Inside IT haben sie als PK Softech AG in Reinach BL identifiziert, die seit 2017 die Software liefert, mit der Publica ihre Versicherten und Rentenbeziehenden verwaltet. PK Softech erklärte, Angreifer hätten mit Schadsoftware einen Teil ihrer IT-Infrastruktur erreicht, sie habe die betroffene Umgebung isoliert und müsse davon ausgehen, dass Daten aus ihren Systemen abgeflossen sind. Ihre Dienste sind seit dem 2. Oktober wieder verfügbar.
Publica versichert das Personal der Bundesverwaltung und des ETH-Bereichs: Ende 2025 rund 70'000 aktive Versicherte und 41'600 Rentenbeziehende. Am 8. Oktober hat sie die Versicherten per E-Mail angeschrieben, deren Adresse sie hatte. Die übrigen und die Rentenbeziehenden sollen in den folgenden Tagen einen Brief erhalten. Laut diesem Schreiben, wie Watson berichtet, gehören zu den möglicherweise betroffenen Daten Namen, Geburtsdaten, AHV-Nummern, Adressen, Telefonnummern, E-Mail-Adressen, Lohn, versicherter Lohn, Altersguthaben, Zivilstand und Angaben zu Ehe- oder Lebenspartnern. Was davon tatsächlich abgeflossen ist, wird noch abgeklärt.
Publica ist nicht die einzige Kundin. Am 9. Oktober nannte Inside IT weitere Kunden von PK Softech, darunter die Bernische Pensionskasse, die Bernische Lehrerversicherungskasse, die Migros-Pensionskasse, die Pensionskasse Post und die Syngenta Pensionskasse. Einige davon haben öffentlich erklärt, dass sie mögliche Datenabflüsse gemeinsam mit PK Softech prüfen. Der Direktor der Bernischen Pensionskasse sagte der Nachrichtenagentur Keystone-SDA, es gebe keine Anzeichen, dass Daten von Versicherten gestohlen wurden, ganz ausschliessen könne man es aber nicht.
Warum das der Normalfall ist
Eine Pensionskasse kauft ihre Verwaltungssoftware ein. Eine Arztpraxis ihr Patientensystem, eine Gemeinde ihre Registersoftware, ein Treuhandbüro seine Buchhaltung. Die Verantwortung für die Daten bleibt bei dem, der sie erhoben hat, aber die Daten können auch beim Lieferanten liegen: in einem gehosteten System, in einer Sicherung, in einer Kopie für Support oder Tests. Ein Angreifer, der die Daten von fünfzig Kunden will, muss nur eine Tür probieren statt fünfzig.
Die Schweiz hat das schon erlebt. Nach dem Angriff auf Xplain, einen IT-Lieferanten von Bundesstellen, hat der Bundesrat am 1. Mai 2024 Massnahmen beschlossen, um Datenabflüsse bei IT-Lieferanten der Bundesverwaltung zu verhindern. Die Lehre ist damals wie heute dieselbe: Ein Vertrag entscheidet, wie schnell Sie von einem Vorfall erfahren und was der Lieferant überhaupt behalten durfte.
Was das Gesetz verlangt, und von wem
Das Schweizer Datenschutzgesetz (DSG) teilt die Pflichten auf zwei Rollen auf. Der Verantwortliche, also das Unternehmen oder die Behörde, die über den Zweck der Bearbeitung entscheidet, muss dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) eine Verletzung so rasch als möglich melden, wenn sie voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt. Der Auftragsbearbeiter, also der Lieferant, muss dem Verantwortlichen jede Verletzung der Datensicherheit melden, ob sie riskant aussieht oder nicht. Die Betroffenen müssen informiert werden, wenn sie sich selbst schützen müssen, zum Beispiel durch ein neues Passwort, oder wenn der EDÖB es verlangt.
Der Leitfaden des EDÖB zu diesen Meldungen fügt zwei Punkte hinzu, die hier zählen. Bei einem Ransomware-Angriff kann ein Verantwortlicher je nach Umständen nicht erst längere Abklärungen abwarten, bevor er meldet. Und wo ein hohes Risiko nicht ausgeschlossen werden kann, darf er nicht warten, bis feststeht, ob Personendaten betroffen sind. Die Uhr, die zählt, beginnt also bei Ihrem Lieferanten. Steht in Ihrem Vertrag nichts darüber, wie schnell der Lieferant Sie informieren muss, erfahren Sie davon, wenn der Lieferant beschliesst, es Ihnen zu sagen.
Wo Elchi Studios steht
Für die Websites und Projekte, die wir für Kunden hosten, sind wir in dieser Geschichte der Lieferant. Hier steht, wozu uns unsere veröffentlichten Texte verpflichten und wozu nicht.
Der Auftragsverarbeitungsvertrag für Website- und Hosting-Kunden, Version 1.6, verpflichtet uns, den Kunden über jede Verletzung der Datensicherheit bei Personendaten unverzüglich zu informieren, spätestens 24 Stunden nachdem wir davon erfahren (Ziffer 4.6). Er nennt jeden Unterauftragsbearbeiter mit seinem Land (Ziffer 5.1). Endet der Vertrag, geben wir die Daten auf Verlangen des Kunden zurück oder löschen sie, sofern das Gesetz uns nicht zur Aufbewahrung verpflichtet, und bestätigen die Löschung auf Verlangen schriftlich (Ziffern 8.1 und 8.2). Bei Kunden, die einem Berufsgeheimnis unterstehen, etwa Anwaltskanzleien und Arztpraxen, und uns das mitgeteilt haben, wird jeder Zugriff unseres Personals auf ihre Inhalte protokolliert, und der Kunde erhält das Protokoll auf Verlangen (Ziffer 11.3).
Gespeicherte Daten liegen auf unseren eigenen Servern bei europäischen Anbietern in der Schweiz, in Deutschland, den Niederlanden und Frankreich. Unsere Vertrauensseite nennt die vier Ausnahmen und was jede davon sieht: Resend für Benachrichtigungs-E-Mails, Stripe für Zahlungen von EMX Team, Cloudflare für unsere DNS-Zonen und Spamhaus für die Sperrlisten des Spamfilters. Ein Kunde kann jederzeit exportieren, ohne uns zu fragen: EAuth-Konten mit ihren Passwort-Hashes, EMX-Postfächer über IMAP oder die API, und die Texte, Bilder und Daten einer Website.
Was wir nicht haben: ein Zertifikat nach ISO 27001, einen SOC-2-Bericht oder eine unabhängige Sicherheitsprüfung. Die Vertrauensseite sagt das. Wir können angegriffen werden wie jeder andere Lieferant. Was wir versprechen können, ist die Frist, die Liste, wer die Daten sonst noch hat, und dass ein Kunde mit allem gehen kann.
Was Sie diese Woche prüfen sollten
- Listen Sie jeden Lieferanten auf, der Personendaten hat oder erreichen kann. Nicht nur das Hosting. Auch den Anbieter Ihrer Fachsoftware mit Fernwartungszugang, und jeden, der für eine Migration oder einen Test eine Kopie erhalten hat.
- Suchen Sie in jedem Vertrag die Klausel zu Sicherheitsvorfällen. Sie brauchen eine Frist in Stunden. „Umgehend“ ist keine Frist.
- Fragen Sie, wo Kopien liegen. Produktion, Sicherung, Support, Test. PK Softech sagte, ihre Testsysteme enthielten grundsätzlich keine Daten im Klartext. Fragen Sie Ihren Lieferanten, ob er dasselbe sagen kann, schriftlich.
- Prüfen Sie das Vertragsende. Muss der Lieferant löschen, und bestätigt er die Löschung?
- Legen Sie jetzt fest, wer meldet. Bestimmen Sie die Person, die über eine Meldung an den EDÖB entscheidet und die Betroffenen informiert, und halten Sie für beides einen Entwurf bereit. Der EDÖB ist deutlich: Sie warten nicht auf Gewissheit.
- Wenn Sie bei einer dieser Kassen versichert sind, rät Publica zur Vorsicht bei ungewöhnlichen E-Mails, Anrufen und Nachrichten. Wer Ihre AHV-Nummer und Ihren Lohn kennt, hat damit nicht bewiesen, dass er für Ihre Pensionskasse arbeitet.
Quellen
- Cyberangriff auf Softwarelieferant von Publica: Datenabfluss bestätigt, Swiss Federal Council, gelesen am
- Cyber attack on Publica software supplier: data leak confirmed, Publica, gelesen am
- Cyberangriff: Bundespensionskasse Publica meldet abgeflossene Daten, SRF, gelesen am
- Pensionskasse des Bundes: Cyberangriff auf Publica-Softwarefirma, Watson, gelesen am
- Datenabfluss bei Pensionskasse des Bundes, Inside IT, gelesen am
- Weitere Pensionskassen prüfen Datenabflüsse, Inside IT, gelesen am
- Cyberangriff auf Softwarefirma betrifft auch Berner Pensionskassen, cash.ch, gelesen am
- Leitfaden des EDÖB betreffend die Meldung von Datensicherheitsverletzungen und Information der Betroffenen nach Art. 24 DSG, FDPIC (EDÖB), gelesen am
- Cyberangriff auf Xplain: Massnahmen zur Vermeidung von künftigen Datenabflüssen sowie Sicherheitsprüfung nach der Übernahme des Unternehmens, Swiss Federal Council, gelesen am
- Trust: data location, CLOUD Act, security, Elchi Studios, gelesen am
Geschrieben von Samuel Krauss, Founder. Abgelegt unter security, data-protection, switzerland, suppliers.
Übersetzt aus dem Englischen. Zum englischen Original