Hacker und Pensionskassen: das Risiko der Konzentration
FAR: etwa 20'000 Begünstigte nach einem Angriff benachrichtigt Publica: etwa 112'000 potenziell betroffene Personen Ein Softwareanbieter kann mehrere Kassen
Kontext
Auf einen Blick
- FAR: etwa 20'000 Begünstigte nach einem Angriff benachrichtigt
- Publica: etwa 112'000 potenziell betroffene Personen
- Ein Softwareanbieter kann mehrere Kassen auf einen Schlag gefährden
- Die Betrugsmasche verwendete die französische Vorwahl 0033
Wichtige Fakten
- Fondazione FAR → rund 20'000 Begünstigte
- Publica → rund 112'000 potenziell betroffene Personen
- PK Softech → Reinach (BL), seit über zwanzig Jahren tätig
- Pensionskassen des Kantons Bern → über 92'000 Versicherte
- Pensionskasse der Post → 67'000 Versicherte
- Pensionskasse der Migros → 75'500 Versicherte
- Vorwahl des Anrufs → 0033
Der Anruf, der Alarm auslöste
Ein Rentner aus der Zentralschweiz wurde zwei Tage hintereinander von einer Frauenstimme angerufen. Sie sprach ein makelloses Schweizerdeutsch, aber die Nummer wies die französische Vorwahl 0033 auf.
Der Rentner ist einer der rund 20'000 Begünstigten der Fondazione FAR, die die Frühpensionierung im Baugewerbe finanziert. Nach einem Angriff auf den IT-Partner der Institution wurden alle Begünstigten per Brief informiert.
Die Liste umfasst auch Lohn, Altersguthaben und Daten der Partner. Potenziell betroffen sind rund 112'000 Personen, darunter ehemalige Bundesräte.
In beiden Fällen griffen die Hacker nicht direkt die Kassen an, sondern die Unternehmen, die ihnen die Software liefern. Für Publica ist PK Softech der Anbieter, ein seit über zwanzig Jahren tätiges Unternehmen aus Reinach (BL). Zu seinen Kunden gehören die beiden Pensionskassen des Kantons Bern mit über 92'000 Versicherten, die Pensionskasse der Post mit 67'000 und jene der Migros mit 75'500.
Die Pensionskassen verwahren vollständige Identitätsdaten, AHV-Nummern, Einkommen und Vorsorgevermögen.
Die Reaktionen der Institutionen sind unterschiedlich. Publica und FAR haben die Versicherten umgehend informiert. Die Pensionskasse der Post spricht von anonymisierten Daten und derzeit von keinem Handlungsbedarf; Migros prüft noch. Beide versprechen, allfällige Betroffene zu informieren. PK Softech gibt keine weiteren Auskünfte.
Operative Details
Das Risiko liegt in der Konzentration
Das wichtigste Element für Versicherte ist nicht nur die Kompromittierung einer einzelnen Kasse, sondern der Ort, an dem sie erfolgt. Im beschriebenen Fall erfolgt der Angriff über den IT-Partner, der die Software bereitstellt. Der gemeinsame Anbieter wird dadurch zu einem Konzentrationspunkt: Eine Sicherheitslücke kann potenziell die Daten mehrerer Institutionen mit einem einzigen Angriff offenlegen.
Der Unterschied zu einem direkten Angriff ist greifbar. Die Kasse kann das Problem erkennen und ihre Mitglieder benachrichtigen, aber die technische Reichweite umfasst auch andere Kunden desselben Unternehmens. Deshalb erscheinen in diesem Fall Fondazione FAR, Publica, die Berner Pensionskassen, Posta und Migros gemeinsam: nicht weil die Quelle einen einzigen Datendiebstahl bei allen beschreibt, sondern weil der Anbieter mehrere Vorsorgearchive miteinander verbindet. Die Präsenz von Bund, Kantonen, Posta und Migros führt den Fall daher über eine einzelne Verwaltung oder ein einzelnes Unternehmen hinaus. Diese Unterscheidung verhindert, dass aus einem potenziellen Risiko eine bereits bestätigte Datenschutzverletzung wird.
Daten, die die Kontaktaufnahme glaubwürdig machen
Wenn Gehalt, Altersguthaben und Partnerdaten hinzukommen, können Kriminelle anhand des Materials plausiblere Nachrichten vorbereiten. Die Quelle nennt auch ein Auswahlkriterium: die wohlhabendsten Personen ins Visier zu nehmen, die oft älter und daher verletzlicher sind. Das Problem betrifft daher die Kombination der Daten, nicht nur die einzelne Telefonnummer. Der Verweis auf die AHV-Nummer betrifft direkt die previdenza AVS, während Gehalt und Altersguthaben zeigen, warum eine Pensionskasse ein attraktives Ziel ist.
Auch die unterschiedlichen Reaktionen der Institutionen führen für die Versicherten zu unterschiedlichen Szenarien. Eine sofortige Benachrichtigung wie die von FAR und Publica informiert diejenigen, die betroffen sein könnten. Das in Bern erklärte Fehlen von Hinweisen schließt eine Betroffenheit nicht aus; die von Posta angegebene Anonymisierung verringert laut der Kasse die Notwendigkeit, sofort zu handeln; die Prüfungen von Migros lassen die Beurteilung offen. In allen Fällen bedeutet die potenzielle Betroffenheit im Text der Quelle nicht, dass jedem Versicherten bereits ein Datendiebstahl zugeschrieben wird.
Nützliche Tools für die Planung
Für Ihre Vorsorgestrategie nutzen Sie den Rentenplaner und den Säule-3-Simulator.
Nützliche Tools für die Planung
Für Ihre Vorsorgestrategie nutzen Sie den Rentenplaner und den Säule-3-Simulator.
Wichtige Punkte
Ein auf den erhaltenen Mitteilungen basierendes Vorgehen
Wer eine Mitteilung erhält, kann eine einfache Abfolge befolgen, ohne die von den verschiedenen Institutionen angegebenen Gewissheitsgrade zu verwechseln.
1. Die Mitteilung der eigenen Kasse lesen und aufbewahren. FAR hat nach dem Angriff auf den IT-Partner an alle seine rund 20'000 Begünstigten geschrieben. Publica hat alle Versicherten informiert. Diese Schreiben dienen als Referenz, um zu verstehen, welcher Vorfall gemeldet wird und welche Daten angegeben sind.
2. Die aufgeführten Daten von den Vermutungen unterscheiden. Im Fall Publica ist in der Quelle von mutmasslich entwendeten Daten die Rede; genannt werden Name, Geburtsdatum, AHV-Nummer, Adresse, Telefon, E-Mail, Zivilstand, Lohn, Altersguthaben und Daten der Partner. Die Auflistung darf nicht als automatische Bestätigung für jede Person oder jede mit PK Softech verbundene Kasse verstanden werden.
3. Wenn ein ähnlicher Anruf wie derjenige eingeht, den der Rentner aus der Zentralschweiz erhalten hat, nichts preisgeben. Die dokumentierten Merkmale sind eine weibliche Stimme, einwandfreies Schweizerdeutsch und die französische Vorwahl 0033. Der Rentner hatte den Hinweis seiner Kasse bereits erhalten und der Anruferin keine Daten gegeben.
4. Die Informationen der Institution abwarten. Für Bern werden die Schreiben am Donnerstag eintreffen; die Kasse sagt, sie könne eine Beteiligung nicht ausschliessen. Beide haben versprochen, die möglicherweise Betroffenen zu informieren.
Eine separate Überprüfung des Lohns
Der Lohn zählt im Fall Publica zu den potenziell betroffenen Informationen, zusammen mit dem Altersguthaben und den Daten der Partner. Daher sollte man sich beim erneuten Lesen der Unterlagen der eigenen Kasse oder der busta paga svizzera an die tatsächlich erhaltenen Informationen halten, ohne einem Schreiben Inhalte zuzuschreiben, die die Quelle nicht nennt.
Der Vorfall zeigt ein noch laufendes Kommunikationsverfahren: Einige Institutionen haben sofort geschrieben, eine kündigt die Schreiben für Donnerstag an, eine schliesst vorerst aus, dass Handlungsbedarf besteht, und eine andere prüft. Das konkreteste Vorgehen bleibt daher das dokumentierte: den Hinweis lesen, bei verdächtigen Anrufen keine Daten preisgeben und die Information der Institution abwarten, wenn sie verspricht, die Betroffenen zu erreichen. Um diese Kontrolle durch eine Überprüfung des eigenen Lohns zu ergänzen, verwende calcolatore stipendio.
Für eine genaue Nettogehaltsberechnung nutzen Sie unseren Steuervergleichsrechner: vergleichen Sie G- und B-Bewilligung mit allen Abzügen 2026.
Quelle: tio.ch
Häufig gestellte Fragen
- Welche Pensionskassen waren von den Cyberangriffen betroffen?
- Die Angriffe trafen nicht direkt die Kassen, sondern deren Softwareanbieter. Betroffen waren die Begünstigten der Stiftung FAR (rund 20'000 Personen) und Publica, die Pensionskasse des Bundes, mit etwa 112'000 potenziell betroffenen Personen. Außerdem liefert das Unternehmen PK Softech aus Reinach (BL) Software an Kassen wie jene des Kantons Bern (über 92'000 Versicherte), die Kasse der Post (67'000 Versicherte) und jene der Migros (75'500 Versicherte).
- Welche persönlichen und finanziellen Daten wurden gestohlen?
- Im Fall von Publica wurden vermutlich Name, Geburtsdatum, AHV-Nummer, Adresse, Telefonnummer, E-Mail-Adresse, Zivilstand, Lohn, Altersguthaben und Daten der Partner gestohlen. Allgemein verwahren Pensionskassen vollständige Identitäten, AHV-Nummern, Einkommen und Vorsorgevermögen – Informationen, die Kriminelle nutzen können, um glaubwürdige Telefonanrufe oder E-Mails zu formulieren und sich dabei insbesondere an wohlhabendere und ältere Personen zu richten.
- Was tun, wenn Sie einen verdächtigen Anruf oder eine Mitteilung der Kasse erhalten?
- Wenn man eine Mitteilung erhält, sollte man die Mitteilung seiner Kasse lesen und aufbewahren. Bei einem verdächtigen Anruf, wie jenem, den ein Rentner aus der Zentralschweiz mit der französischen Vorwahl 0033 und einer weiblichen Stimme auf Schweizerdeutsch erhalten hat, dürfen keinerlei Daten preisgegeben werden. Es ist wichtig, die Informationen der Institutionen abzuwarten: Die Berner Kasse kündigt Schreiben für Donnerstag an, während die Post und Migros Überprüfungen durchführen oder von anonymisierten Daten sprechen.