Hacker Akira stehlen bei Publica Daten von 100.000 Bundesangestellten

Kontext

Auf einen Blick

• Über 100’000 Bundesangestellte betroffen
• Daten auch zu Partnern und Kindern
• Der Angriff auf einen externen Dienstleister geht auf Ende September zurück
• Akira droht, die Daten zu veröffentlichen oder zu verkaufen

Wichtige Fakten

• Was → Informationsdiebstahl zum Nachteil von Publica
• Wer → Hackergruppe Akira
• Umfang → Mehr als 100’000 Personen
• Wann → Ende September
• Daten → Namen, Geburtsdaten, Adressen, Gehälter und Telefonnummern
• Drohung → Veröffentlichung oder Verkauf der Daten
• Entwicklung → Das tatsächliche Ausmaß wurde am Dienstag bekannt
• Präzedenzfall RUAG → Hatte sich nach dem Angriff auf die US-Niederlassung zur Zahlung entschieden

Die 11.00-Uhr-Nachrichten vom 21. Oktober 2026 berichten, dass der Informationsdiebstahl zum Nachteil von Publica schwerwiegender ist als erwartet. Die Hacker von Akira haben sich die persönlichen Daten von fast allen Bundesangestellten der Eidgenossenschaft angeeignet: mehr als 100’000 Personen, darunter aktuell Beschäftigte und Personen, die nicht mehr bei der Eidgenossenschaft angestellt sind.

Auf der Liste finden sich Beamte, Richter und sogar Geheimagenten sowie ehemalige Bundesräte. Der Cyberangriff richtete sich gegen einen externen Anbieter und fand Ende September statt. Er war bereits seit ein paar Wochen bekannt, aber seine tatsächliche Dimension wurde am Dienstag durch Artikel in den Medien des Tamedia-Konzerns bekannt.

Die Daten und die Forderung der Hacker

Zu den Informationen im Besitz der Kriminellen zählen Kontaktdaten — Adressen und Telefonnummern —, Personendaten wie Namen und Geburtsdaten, Gehaltsdaten und weitere Informationen zu Partnern und Kindern. Die Quelle beschreibt keine einfache Kontaktliste: Zusammengeführt werden persönliche Angaben, Kontaktdaten, Vergütung und familienbezogene Daten.

Die Hacker sollen die Zahlung eines Lösegelds fordern. Andernfalls drohen sie mit der Veröffentlichung oder dem Verkauf der Daten. Publica soll die betroffenen Personen noch nicht über die Zahlungsforderung informiert haben; inzwischen sind einige bereits ins Visier von Betrugsversuchen geraten.

Operative Details

Der im Bericht beschriebene Umfang

Der Fall lässt sich anhand zweier Dimensionen betrachten, die der Bericht ausdrücklich nennt: wer zum betroffenen Personenkreis gehört und welche Arten von Informationen entwendet wurden. Die erste geht über den Kreis der aktiven Angestellten hinaus, da der Diebstahl auch Personen betrifft, die nicht mehr im Dienst der Eidgenossenschaft stehen. Die zweite geht über die grundlegende Identifizierung hinaus: Neben den Namen finden sich Geburtsdaten, Adressen, Telefonnummern und Gehaltsdaten.

Der Text nennt auch Partner und Kinder. Der Bezug auf die Daten beschränkt sich daher nicht auf die einzelne in der Liste aufgeführte Person. Die genannten Kategorien lassen sich wie folgt neu ordnen:

Die genannten Informationskategorien

Die Unterscheidung zwischen aktiven und ehemaligen Angestellten ist relevant, um das Ausmaß des Diebstahls zu beschreiben, aber die Quelle liefert keine zahlenmäßige Aufschlüsselung zwischen den beiden Gruppen. Dasselbe gilt für die Berufsgruppen: Bekannt ist, dass Beamte, Richter, Geheimagenten und ehemalige Bundesräte genannt werden, aber nicht, wie viele davon jeder Gruppe angehören.

Die verfügbare Angabe bleibt die aggregierte Zahl: über 100’000 Personen, verbunden mit der Formulierung «praktisch alle Bundesangestellten». Die Auflistung der Berufe dient dazu, die Vielfalt des Personenkreises zu beschreiben, nicht dazu, eine Rangfolge oder ein spezifisches Maß für jede Funktion festzulegen. Auch die Formulierung zu den Familienangehörigen ist begrenzt: Der Bericht spricht von weiteren Informationen zu Partnern und Kindern, ohne zu präzisieren, um welche Informationen es sich handelt oder wie viele Personen sie betreffen.

Wichtige Punkte

Die Abfolge des Falls und die Vorgeschichte von Akira

Der Bericht datiert den Cyberangriff auf Ende September und berichtet, dass er bereits seit ein paar Wochen bekannt war. Am Dienstag machten die von den Medien des Tamedia-Konzerns veröffentlichten Artikel sein tatsächliches Ausmaß deutlich. Der Nachrichtenbericht nennt keinen genauen Tag für den Angriff und identifiziert den betroffenen externen Anbieter nicht: Dies sind die Grenzen der verfügbaren zeitlichen und operativen Rekonstruktion.

Dokumentiert ist auch die Passage zur Information der betroffenen Personen. Was die Zahlungsforderung betrifft, soll Publica die Betroffenen noch nicht informiert haben. Der Bericht meldet jedoch, dass einige Personen bereits Ziel von Betrugsversuchen geworden sind. Er gibt nicht an, wie viele es sind, und beschreibt die bei den Versuchen angewandte Technik nicht.

Der Präzedenzfall in der Schweiz

Akira hat bereits Angriffe in der Schweiz durchgeführt, auch zum Schaden privater Unternehmen. Vor einem Jahr forderten die Bundesbehörden die Unternehmen auf, den Forderungen der Hacker nicht nachzugeben. Wenige Monate später hatte sich die RUAG, die im Besitz der Eidgenossenschaft ist, nach dem Angriff von Akira auf ihre US-amerikanische Tochtergesellschaft für die Zahlung entschieden.

Dieser Präzedenzfall bietet einen dokumentierten, aber begrenzten Vergleich: Er betrifft RUAG und ihre US-amerikanische Tochtergesellschaft, nicht Publica. Im Fall der Pensionskasse des Bundes spricht die Quelle von einer Lösegeldforderung und Drohungen mit der Veröffentlichung oder dem Verkauf, nennt aber weder den geforderten Betrag noch eine Entscheidung über die Zahlung.

Das im Nachrichtenbericht wiedergegebene Material ermöglicht es somit, den betroffenen Personenkreis, die aufgeführten Datenkategorien, das Vorliegen einer Lösegeldforderung und den Präzedenzfall RUAG zu präzisieren. Es ermöglicht hingegen nicht, eine zahlenmäßige Aufschlüsselung der betroffenen Gruppen, Einzelheiten zum externen Anbieter oder weitere Informationen zu den Betrugsversuchen hinzuzufügen.

Quelle: rsi.ch