Cyberangriff: Pensionskasse Zürich und Posta betroffen

Kontext

Auf einen Blick

• Der Angriff auf den Anbieter ereignete sich Ende September.
• PKZH untersucht die entwendeten personenbezogenen Daten der Versicherten.
• Vermögen und Rentenzahlungen waren nicht betroffen.
• Für die Posta ist unklar, ob Daten kompromittiert wurden.

Wichtige Fakten

• Anbieter → externes Softwareunternehmen
• Anbindung → PKZH-Daten für ein neues Verwaltungssystem übermittelt
• PKZH → Strafanzeige eingereicht
• Posta → Angriff bestätigt, Daten der Versicherten weiterhin ungewiss
• Leistungen → risikofreie Pensionsfonds und -leistungen

Der Anbieter im Zentrum des Angriffs

Ein Cyberangriff auf einen externen Softwareanbieter hat die Pensionskasse der Stadt Zürich und – bei noch ungeklärter Sachlage – die Pensionskasse der Post betroffen. Der Angriff ereignete sich Ende September. PKZH erklärte, dass ihre Daten im Hinblick auf die Umstellung auf ein neues Verwaltungssystem an den Anbieter übermittelt worden seien.

Für die Versicherten ist die Unterscheidung zwischen personenbezogenen Daten und der Verwaltung des Vorsorgevermögens zentral. Laut PKZH sind weder die Vorsorgegelder noch die Rentenzahlungen betroffen. Auch das Verwaltungssystem, das zur Verwaltung der Vermögen und zur Auszahlung der Renten eingesetzt wird, soll von dem Angriff nicht betroffen gewesen sein. PKZH hat Strafanzeige erstattet und rekonstruiert derzeit das Ausmaß der Entwendung, sowohl hinsichtlich der betroffenen Informationen als auch der Anzahl der betroffenen Personen.

Im schlimmsten Fall würde das Datenleck bei der Zürcher Kasse persönliche Kontaktdaten betreffen, darunter Name, Adresse, E-Mail-Adresse und Telefonnummer. Das angenommene Szenario könnte auch die AHV-Versicherungsnummer, Angaben zum Zivilstand und zu den Partnern, IBAN-Daten und weitere Vorsorgeinformationen wie das versicherte Einkommen und das Vermögen umfassen. Die Beschreibung bezieht sich auf das Worst-Case-Szenario, während die Abklärung des tatsächlichen Ausmasses des Datenlecks noch im Gange ist.

Auch die Pensionskasse der Posta hat mitgeteilt, Opfer des Angriffs auf den Dienstleister geworden zu sein. Es ist jedoch noch unklar, ob die Daten der Versicherten kompromittiert wurden. Zu den möglicherweise betroffenen Informationen gehören Vorsorgedaten, Kontaktdaten und die E-Mail-Adresse sowie Name, Adresse, Geburtsdatum und AHV-Nummer. Die Posta stellt klar, dass die Vorsorgeguthaben und Rentenleistungen nicht gefährdet sind.

Der Fall betrifft auch andere Kassen. In der vergangenen Woche war bekannt geworden, dass Daten der bernischen Pensionskasse und der bernischen Versicherungskasse der Lehrpersonen entwendet worden waren. Das Bild bleibt daher vorerst uneinheitlich: Bei PKZH laufen die Abklärungen zum Umfang noch, bei der Post ist nicht geklärt, ob Daten der Versicherten kompromittiert wurden, während die erwähnten Mitteilungen bestätigen, dass der Angriff auf den Anbieter mehrere Vorsorgeeinrichtungen betroffen hat.

Operative Details

Was bedeutet das für die Versicherten

Für Personen, die ihre eigene Vorsorgeposition im Blick behalten, besteht die wichtigste praktische Unterscheidung zwischen einem möglichen Diebstahl von Informationen und der Sicherheit der Guthaben. Die Mitteilungen beschreiben nicht für jede Kasse dieselbe Situation: PKZH klärt den Umfang der Daten ab, während die Posta noch nicht festgestellt hat, ob die Daten der Versicherten kompromittiert wurden. In beiden Fällen jedoch trennt die Kommunikation personenbezogene Daten von den Vorsorgeleistungen.

Zwei getrennte Ebenen

Diese Übersicht verhindert zwei Fehler. Der erste besteht darin, das schlimmste Szenario von PKZH in eine endgültige Liste umzuwandeln: Die Kasse klärt noch ab, ob Daten entwendet wurden und um welche es sich handelt. Der zweite besteht darin, die Kompromittierung der Daten bei der Posta bereits als erwiesen zu betrachten: Die Mitteilung lässt gerade diese Prüfung offen.

Der Inhalt der Kategorien macht die Unterschiede konkret. Im Fall von PKZH gehören Kontaktdaten, AHV, Zivilstand, Partner, IBAN, versichertes Einkommen und Vermögen zu unterschiedlichen Bereichen, erscheinen aber im selben schlimmsten Szenario. Für die Posta nennt die Mitteilung dagegen Name, Adresse, Geburtsdatum, AHV, Kontaktdaten, E-Mail-Adresse und Vorsorgedaten als potenziell betroffene Informationen. Die Überschneidung reicht nicht aus, um zu sagen, dass der Umfang der Betroffenheit identisch ist.

Auch der technische Aspekt ist geklärt: Der Angriff traf den externen Anbieter, während das Verwaltungssystem von PKZH, das Vermögen verwaltet und Renten auszahlt, nicht betroffen gewesen sein soll. Die Quelle berichtet daher nicht von einer Unterbrechung der Rentenzahlungen. Sie beschreibt eine Abklärung des Umfangs der mit dem Anbieter verbundenen Daten.

Für Personen, die ihre eigene Vorsorgeposition im Blick behalten, besteht die praktische Konsequenz darin, jede Mitteilung nach Kasse und Kategorie zu lesen: bestätigte Daten, mögliche Daten, nicht gefährdete Leistungen. Die Informationen über die BPK und die Berner Lehrerkasse erweitern den Umfang des Angriffs, aber der Text nennt weder eine Gesamtzahl der betroffenen Personen noch eine gemeinsame Liste für alle Institutionen.

Wichtige Punkte

Orientierung an den verfügbaren Informationen

Die Quelle ermöglicht eine Lektüre, keine Standardanfrage für alle Versicherten. Das erste Kriterium besteht darin, zu verstehen, welche Vorsorgeeinrichtung genannt wird; das zweite darin, zwischen dem zu unterscheiden, was bestätigt ist, und dem, was noch überprüft werden muss.

Vier Schritte, um die Status nicht zu verwechseln

1. Die Kasse identifizieren. Die Mitteilungen betreffen PKZH und die Pensionskasse der Posta; die vorherige Nachricht betrifft die BPK und die Versicherungskasse der bernischen Lehrpersonen. Der Status einer Einrichtung darf nicht automatisch auf die anderen übertragen werden. 2. Bestätigtes und Mögliches trennen. Bei PKZH laufen die Abklärungen zu den entwendeten Informationen und zur Zahl der betroffenen Personen noch. Bei der Posta ist noch nicht klar, ob die Daten der Versicherten kompromittiert wurden. 3. Daten und Leistungen auseinanderhalten. Die in den Mitteilungen aufgeführten persönlichen und vorsorgebezogenen Kategorien sind nicht gleichbedeutend mit einem Verlust der Guthaben. PKZH gibt an, dass die Gelder und die Rentenzahlungen nicht angetastet wurden; die Posta erklärt, dass die Guthaben und Rentenleistungen nicht gefährdet sind. 4. Bereits gemeldete formelle Schritte erkennen. PKZH hat Strafanzeige erstattet, und die Posta hat eine Mitteilung über den Angriff veröffentlicht. Dies sind die von der Quelle genannten offiziellen Schritte; sie legen nicht von selbst fest, welche Personen betroffen sind.

Der Text nennt keine Frist für die Versicherten, kein Formular, keinen Anfragekanal oder ein individuelles Verfahren, das zu befolgen wäre. Daher ist es nicht möglich, der Quelle ein Datum zuzuordnen, bis zu dem ein Antrag einzureichen ist, oder eine endgültige Liste der offengelegten Daten. Die noch offenen Fragen sind genau umrissen: PKZH muss die entwendeten Informationen und die Zahl der betroffenen Personen bestimmen; bei der Posta muss geklärt werden, ob die Daten der Versicherten kompromittiert wurden.

Die sachlich treffendste Lesart besteht daher darin, eine Liste des Worst-Case-Szenarios nicht in eine vollständige Bestätigung umzuwandeln und den Angriff auf den Dienstleister nicht mit einem Risiko für die Renten zu verwechseln. Um das allgemeine Thema der Renten zu vertiefen, konsultiere rendite pensionistiche.

Quelle: swissinfo.ch