Welche Daten könnten der PKZH entwendet worden sein?

Im schlimmsten von der PKZH genannten Fall kann der Datenabfluss Name, Adresse, E-Mail-Adresse, Telefonnummer, AHV-Nummer, Zivilstand, Informationen über Partner, IBAN und Vorsorgedaten wie versichertes Einkommen und Vermögen umfassen. Die Kasse prüft noch, welche Informationen entwendet wurden und wie viele Personen betroffen sind: Die vollständige Liste wird daher nicht als endgültig präsentiert.

Waren die Vorsorgegelder und Renten betroffen?

Die PKZH teilte mit, dass die Vorsorgegelder und die Rentenzahlungen nicht betroffen waren. Auch das Verwaltungssystem, das zur Verwaltung der Vermögen und zur Auszahlung der Renten verwendet wird, soll von dem Angriff nicht betroffen gewesen sein. Die Quelle meldet keine Unterbrechungen der Leistungen; die noch laufende Prüfung betrifft hingegen die Daten und die Anzahl der betroffenen Personen.

Wann erfolgte der Angriff, und warum befanden sich die Daten beim Anbieter?

Der Cyberangriff ereignete sich Ende September. Vor dem Wechsel zu einem neuen Verwaltungssystem waren die Daten der Kasse an ein Softwareunternehmen übermittelt worden. Die PKZH hat die Mitteilung mit diesem Angriff in Verbindung gebracht und Strafanzeige erstattet. Die Kasse rekonstruiert nun das Ausmaß des Datenabflusses.

Ist die Beteiligung der Pensionskasse der Posta bestätigt?

Nein. Zunächst war auch von der Pensionskasse der Posta die Rede, aber die Quelle präzisiert, dass die Beteiligung nicht bestätigt ist. Auf ihrer Website erschienen Warnhinweise. Der Text erwähnt außerdem die öffentliche bernische Kasse, die in den Tagen zuvor bekannt gegeben hatte, Opfer des Cyberangriffs geworden zu sein.

Cyberangriff: Pensionskasse Zürich getroffen

Di Laura Bianchi · Veröffentlicht am 15 Oktober 2026

Schweizer Verwaltungsgebäude in der Stadt mit einem dezenten Hinweis auf Cybersicherheit

Persönliche Daten der PKZH bei einem Angriff auf einen Softwareanbieter entwendet Vorsorgegelder und Renten wurden nicht angetastet Der Angriff ereignete sich Ende September

Kontext

Auf einen Blick

Persönliche Daten der PKZH bei einem Angriff auf einen Softwareanbieter entwendet
Vorsorgegelder und Renten wurden nicht angetastet
Der Angriff ereignete sich Ende September
PKZH hat Strafanzeige erstattet

Wichtige Fakten

Kasse: PKZH, Pensionskasse der Stadt Zürich
Angriff: gegen einen externen Softwareanbieter
Wann: Ende September
Schlimmstes Szenario: Kontaktdaten, AHV, IBAN und Vorsorgedaten
Auswirkungen: Vorsorgegelder und Rentenzahlungen nicht betroffen
Verwaltungssystem: wäre nicht betroffen gewesen
Vorgehen: Strafanzeige von der PKZH eingereicht
Abklärung: Entwendete Daten und betroffene Personen noch zu bestimmen

Am Donnerstag teilte die PKZH, die Pensionskasse der Stadt Zürich, mit, dass persönliche Daten ihrer Versicherten entwendet worden seien. Der Cyberangriff traf einen externen Softwareanbieter, ohne die Vorsorgegelder oder die Auszahlung der Renten zu beeinträchtigen. Die Mitteilung trennt somit den Diebstahl von Informationen von der Auszahlung der Leistungen.

Der Cyberangriff geht auf Ende September zurück. Da der Wechsel zu einem neuen Verwaltungssystem vorgesehen war, hatte die Kasse ihre Daten bereits an das Unternehmen übermittelt. Die PKZH hat Strafanzeige erstattet. Inzwischen versucht sie genau zu ermitteln, welche Informationen entwendet wurden und wie viele Personen betroffen sind.

Die Rekonstruktion des Angriffs

Das von der Kasse genannte schlimmste Szenario umfasst persönliche Kontaktdaten: Name, Adresse, E-Mail und Telefonnummer. In derselben Liste erscheinen die AHV-Nummer, der Zivilstand, Informationen zu den Partnern, die IBAN-Nummer und Vorsorgedaten wie das versicherte Einkommen und das Vermögen. Die Formulierung ist bedingt: Die Quelle stellt diese Kategorien nicht als bereits für jede Person bestätigte Liste dar.

Laut Mitteilung scheint das von der PKZH zur Verwaltung der Vermögen und zur Auszahlung der Renten verwendete Verwaltungssystem nicht vom Angriff betroffen zu sein. Für den operativen Bereich der Kasse ist dies somit die von der Quelle angegebene Grenze. Offen bleiben hingegen die Rekonstruktion der Gesamtheit der kopierten Daten und die Ermittlung der Zahl der betroffenen Versicherten.

Der Fall folgt auf Mitteilungen anderer Schweizer Pensionskassen. In den Tagen zuvor hatten andere Kassen, darunter die öffentliche Berner Pensionskasse, bekannt gegeben, Opfer des Cyberangriffs geworden zu sein. Der Text legt nicht fest, welche Daten im Berner Fall betroffen waren.

Am Donnerstag war auch eine mögliche Beteiligung der Pensionskasse der Posta vermutet worden. Die Quelle präzisiert, dass dies nicht bestätigt ist. Auf ihrer Website erschienen Warnhinweise, doch dieses Element macht aus der Vermutung keine Bestätigung. Die Mitteilung der PKZH stellt hingegen ausdrücklich einen Zusammenhang zwischen der Übermittlung der Daten, dem Projekt eines neuen Verwaltungssystems und dem Sicherheitsvorfall beim externen Anbieter her.

Operative Details

Die praktische Bedeutung für die Versicherten

Für Personen, die in der Schweiz leben oder arbeiten und bei der PKZH versichert sind, hat die Nachricht zwei getrennte Ebenen: die Kontinuität der Vorsorge und die Vertraulichkeit der Informationen. In Bezug auf die erste Ebene teilt die Kasse mit, dass Gelder und Rentenzahlungen nicht angetastet wurden; auch das Verwaltungssystem, das zur Verwaltung von Vermögen und zur Auszahlung von Leistungen verwendet wird, soll nicht betroffen gewesen sein. In Bezug auf die zweite Ebene betrifft der mögliche Datenabfluss mehr als bloße Kontaktdaten, denn das schlimmste Szenario umfasst die AHV-Nummer, die IBAN und Vorsorgedaten. Die Quelle berichtet nicht über Geldtransfers oder eine Sperrung der Renten. Die verfügbaren Angaben betreffen die Entwendung von Informationen.

Was feststeht und was offen bleibt

Table 1: Punkt
Punkt	Festgestellt oder mitgeteilt	Noch zu klären
Persönliche Daten	Die PKZH hat eine Entwendung gemeldet	Welche Kategorien tatsächlich entwendet wurden
Betroffene Personen	Die Kasse ermittelt derzeit die Zahl	Wie viele es sind
Vermögen und Renten	Gelder und Zahlungen wurden nicht angetastet	Die vollständige Analyse beim Anbieter
Pensionskasse der Post	Beteiligung nicht bestätigt	Allfällige Bestätigung

Der Wechsel zu einem neuen Verwaltungssystem erklärt, warum sich die Daten bei einem externen Unternehmen befanden: Die Quelle sagt, dass sie vor dem Angriff übermittelt worden waren. Sie sagt nicht, dass das System, mit dem die PKZH Vermögen und Renten verwaltet, getroffen wurde. Für die Leserschaft verhindert dieser Unterschied, dass ein Datenabfluss mit einer Änderung der Vorsorgeleistungen verwechselt wird.

Auch der Verweis auf die anderen Kassen muss genau gelesen werden. Die öffentliche Berner Kasse hatte bereits erklärt, Opfer des Cyberangriffs geworden zu sein, aber der Text ordnet diesem Fall nicht automatisch dieselben Datenkategorien zu. Bei der Pensionskasse der Post ist die Beteiligung dagegen weiterhin nicht bestätigt, trotz der auf der Website erschienenen Warnungen. Solange die PKZH die Überprüfung nicht abgeschlossen hat, bleiben die Zahl der Betroffenen und die tatsächliche Liste der entwendeten Informationen die beiden entscheidenden Elemente.

Wichtige Punkte

Wie man den Fall verfolgen kann, ohne die Hinweise zu verwechseln

Die Quelle beschreibt kein individuelles Verfahren mit Formularen, Fristen oder anzurufenden Nummern. Sie bietet jedoch eine Abfolge von Überprüfungen, die voreilige Schlussfolgerungen vermeidet.

Vier auf der Kommunikation basierende Schritte

1. Die betroffenen Kassen voneinander trennen. Der bestätigte Fall betrifft PKZH. Die Berner öffentliche Kasse wird als bereits angekündigtes Opfer erwähnt; Posta erscheint nur im Zusammenhang mit einer nicht bestätigten Beteiligung und Warnhinweisen auf der Website.

2. Die Liste der Daten als Worst-Case-Szenario behandeln, nicht als individuelle Bestätigung. PKZH prüft, welche Informationen entwendet wurden und wie viele Personen betroffen sind.

3. Daten und Leistungen getrennt halten. Die Mitteilung besagt, dass Vorsorgegelder und Rentenzahlungen nicht angetastet wurden und dass das Verwaltungssystem nicht betroffen gewesen sein soll.

4. Nur die angegebene formelle Handlung festhalten: PKZH hat Strafanzeige erstattet. Dies ist der von der Quelle angegebene verfahrensrechtliche Schritt; weitere Pflichten für die Versicherten werden nicht beschrieben.

Dieser Rahmen verhindert, der Quelle Anweisungen zuzuschreiben, die sie nicht enthält. Es wird weder eine Frist angegeben, innerhalb derer die Versicherten antworten müssten, noch eine individuelle Benachrichtigungsart, ein einzureichendes Dokument oder ein eigener Kommunikationskanal. Die Nachricht erlaubt es daher nicht, eine persönliche Frist festzulegen.

Das nächste überprüfbare Element wird das Ergebnis der von PKZH eingeleiteten Analyse sein: Welche Daten tatsächlich entwendet wurden und wie viele Personen betroffen sind. Bis dahin bleibt die präziseste Unterscheidung diese: bestätigter Datendiebstahl, Ausmaß noch zu bestimmen, Leistungen laut Mitteilung nicht betroffen.

Für weitere Informationen zur Vorsorge nutze strumento AVS/LPP/rendita.

Quelle: rsi.ch

Häufig gestellte Fragen

Welche Daten könnten der PKZH entwendet worden sein?: Im schlimmsten von der PKZH genannten Fall kann der Datenabfluss Name, Adresse, E-Mail-Adresse, Telefonnummer, AHV-Nummer, Zivilstand, Informationen über Partner, IBAN und Vorsorgedaten wie versichertes Einkommen und Vermögen umfassen. Die Kasse prüft noch, welche Informationen entwendet wurden und wie viele Personen betroffen sind: Die vollständige Liste wird daher nicht als endgültig präsentiert.
Waren die Vorsorgegelder und Renten betroffen?: Die PKZH teilte mit, dass die Vorsorgegelder und die Rentenzahlungen nicht betroffen waren. Auch das Verwaltungssystem, das zur Verwaltung der Vermögen und zur Auszahlung der Renten verwendet wird, soll von dem Angriff nicht betroffen gewesen sein. Die Quelle meldet keine Unterbrechungen der Leistungen; die noch laufende Prüfung betrifft hingegen die Daten und die Anzahl der betroffenen Personen.
Wann erfolgte der Angriff, und warum befanden sich die Daten beim Anbieter?: Der Cyberangriff ereignete sich Ende September. Vor dem Wechsel zu einem neuen Verwaltungssystem waren die Daten der Kasse an ein Softwareunternehmen übermittelt worden. Die PKZH hat die Mitteilung mit diesem Angriff in Verbindung gebracht und Strafanzeige erstattet. Die Kasse rekonstruiert nun das Ausmaß des Datenabflusses.
Ist die Beteiligung der Pensionskasse der Posta bestätigt?: Nein. Zunächst war auch von der Pensionskasse der Posta die Rede, aber die Quelle präzisiert, dass die Beteiligung nicht bestätigt ist. Auf ihrer Website erschienen Warnhinweise. Der Text erwähnt außerdem die öffentliche bernische Kasse, die in den Tagen zuvor bekannt gegeben hatte, Opfer des Cyberangriffs geworden zu sein.