Hackerangriff auf PK Softech: 27.000 IPCT-Versicherte gefährdet

Kontext

Auf einen Blick

• 27'000 IPCT-Versicherte könnten Opfer werden
• Angriff auf PK Softech Ende September
• Daten von einigen Hundert in einem IPCT-Ordner
• IPCT bereitet ein Schreiben an die Versicherten vor

Wichtige Fakten

• Was → Hackerangriff auf den Anbieter PK Softech
• Wann → Ende September
• IPCT-Personenkreis → 27'000 angeschlossene Personen
• Daten auf dem Server → Informationen zu einigen Hundert Versicherten
• Schreiben → 17'000 Aktive und 10'000 Pensionierte
• Ermittlung → Bundesanwaltschaft
• Erwähnte Gruppe → Akira

Der Angriff und der Tessiner Personenkreis

Ende September hat ein Hackerangriff PK Softech getroffen, den Softwareanbieter zahlreicher Schweizer Pensionskassen. Den im Beitrag wiedergegebenen Informationen zufolge befand sich auf dem Server des Unternehmens ein Ordner mit der Bezeichnung IPCT, der die Daten einiger Hundert Versicherter enthielt. IPCT ist die Vorsorgeeinrichtung des Kantons Tessin.

Das mögliche Tessiner Ausmass ist grösser als der entdeckte Ordner: 27'000 bei der IPCT angeschlossene Personen könnten Opfer des Angriffs sein. Die Zahl bezeichnet somit den von der Quelle angegebenen potenziellen Personenkreis, nicht eine Liste von Personen, bei denen bereits ein Datenabzug bestätigt wurde. Die Quelle präzisiert nämlich, dass das Ausmass der Schäden im Tessin noch nicht bekannt ist.

Daniele Rotanzi, der Direktor der IPCT, verwies auf die Vielfalt der angeschlossenen Personen: Dazu gehören Lehrkräfte, Verwaltungsangestellte, Staatsräte, Polizisten und Richter sowie Mitarbeitende in Altersheimen und Sozialarbeitende von Organisationen. Dies ist die vom Direktor gelieferte berufliche Beschreibung; der Beitrag bietet keine Aufschlüsselung nach Wohnort oder Grenzgängerstatus.

«Vorerst wissen wir nicht mit Sicherheit, ob Daten zu unseren Versicherten vorhanden sind.»

Die Aussage von Rotanzi verdeutlicht die wichtigste Einschränkung der Nachricht. Die Zahl von 27'000 betrifft die angeschlossenen Personen, die möglicherweise betroffen sind; die Zahl von einigen Hundert betrifft die Daten, die im auf dem Server festgestellten IPCT-Ordner enthalten waren. Die Quelle stellt weder fest, ob die beiden Zahlen übereinstimmen, noch ob alle Informationen aus dem Ordner entwendet wurden. Die IPCT kündigt unterdessen ein Schreiben an die angeschlossenen Personen an, voraussichtlich in der darauffolgenden Woche, um sie über den Vorfall und die möglichen Risiken zu informieren, einschliesslich der Nutzung persönlicher Informationen durch Dritte.

Operative Details

Die Zahl der Versicherten

Die Entscheidung, allen Versicherten zu schreiben, ermöglicht einen zahlenmäßigen Vergleich innerhalb derselben Mitteilung. IPCT nennt 17'000 aktive Personen und 10'000 Pensionierte; die Summe beträgt 27'000. Grundlage ist somit die Aufteilung des Versichertenkreises, die nach der Sitzung vom vergangenen Freitag mitgeteilt wurde. Die Quelle stellt diese Werte nicht als Zeitreihe dar.

Die Berechnung beweist nicht, dass alle Mitglieder der beiden Gruppen betroffen waren. Sie zeigt lediglich, wie die Gesamtzahl der Versicherten in der vom Institut angekündigten Mitteilung aufgeteilt wird. Diese Unterscheidung ist auch deshalb nützlich, weil der Bericht gleichzeitig von einem potenziellen Personenkreis von 27'000 Personen und von einem Ordner mit Daten von einigen Hundert spricht: Die erste Angabe betrifft die Zugehörigkeit zur IPCT, die zweite die auf dem Server vorgefundene Dokumentation.

Für einen Grenzgänger, der im Kanton Tessin arbeitet, ermöglicht die Quelle jedoch keine auf dem persönlichen Status basierende Einschätzung. Sie macht keine Angaben zur Zahl der Grenzgänger und gibt nicht an, wie viele Versicherte einen G-Ausweis haben; auf die Quellensteuer, Rückvergütungen, KVG, INPS, Brogeda oder die Doppelbesteuerung geht sie nicht ein. Diese Begriffe bezeichnen Themen, die im Bericht nicht erfasst werden. Aus diesem Vorfall lässt sich daher weder ein Anteil betroffener Grenzgänger ableiten noch das mögliche Risiko mit einem bestimmten Steuerregime oder einem bestimmten Grenzübergang verknüpfen.

Der Inhalt des Schreibens ist, soweit er vorab bekannt ist, in kommunikativer Hinsicht präziser: IPCT will über die Möglichkeit eines Abflusses personenbezogener Daten und deren mögliche Nutzung durch Dritte informieren. Der Ton wird ruhig sein. Den Versicherten wird mitgeteilt, dass Renten und Beiträge sicher sind, zusammen mit dem Hinweis, auf ungewöhnliche E-Mails oder Telefonanrufe zu achten. Die Quelle trennt damit die Sicherheit der Renten und Beiträge von der Möglichkeit einer missbräuchlichen Nutzung persönlicher Informationen.

Wichtige Punkte

Der Vergleich mit Publica und das weitere gerichtliche Vorgehen

Der Verweis auf die Pensionskasse des Bundes Publica hilft, die verschiedenen Ebenen des Falls auseinanderzuhalten. Im Fall von Publica erklärt der Bericht, dass Informationen entwendet wurden, und nennt einen gefährdeten Personenkreis von 100'000 Personen, darunter Bundesräte, Agenten und Militärangehörige. Im Fall der IPCT spricht der Text hingegen von einer Möglichkeit: Es liegen noch keine Informationen über das Ausmaß der Schäden im Tessin vor, und es besteht keine Gewissheit, dass die Daten der Versicherten betroffen sind. Die 100'000 von Publica und die 27'000 der IPCT können daher nicht addiert werden: Sie beziehen sich auf zwei verschiedene Pensionskassen, auch wenn der Angriff denselben Softwareanbieter getroffen hat.

Laut dem Tages-Anzeiger sollen die Hacker bereits die Zahlung eines Lösegelds verlangt haben. Auch in Bezug auf die Gruppe Akira bleibt der Konjunktiv erforderlich: Die Cyberkriminellen könnten Zugriff auf persönliche Daten verschiedener Art haben, vom Vor- und Nachnamen bis zur AHV-Nummer, einschließlich Adresse, Telefonnummer, E-Mail-Adresse, Vorsorgedaten und IBAN. Die Liste beschreibt Kategorien potenziell offengelegter Informationen, bestätigt jedoch nicht, dass jedes Datenfeld in der IPCT-Akte vorhanden ist oder den Tessiner Versicherten entwendet wurde.

Auf juristischer Ebene hat die Bundesanwaltschaft eine Untersuchung eingeleitet. IPCT hat daraufhin Strafanzeige eingereicht und beantragt, als Privatklägerin anerkannt zu werden, mit dem erklärten Ziel, so viele Informationen wie möglich zu erhalten. Dies ist der in der Quelle dokumentierte weitere Verlauf; ein Ergebnis der Untersuchung wird nicht berichtet, und eine endgültige Feststellung zu den IPCT-Daten wird nicht genannt.

Auch für Grenzgänger ist die überprüfbare Tatsache daher nicht ein bereits festgestellter individueller Verlust. Der Bericht nennt keine Versicherten, beziffert nicht den Anteil der möglicherweise betroffenen Versicherten und sagt nicht, dass die Daten der Akte entwendet wurden. Die Nachricht dokumentiert hingegen den Angriff auf PK Softech, das Vorhandensein der IPCT-Akte, die vorgesehene Mitteilung an die Versicherten und die eingeleiteten gerichtlichen Schritte. Die Informationslücke betrifft gerade das Ausmaß der Schäden im Tessin, das noch zu klären ist.

Quelle: ticinonews.ch