Datenleck bei Pensionskassen: der EDÖB eröffnet eine Untersuchung

Am 22. Oktober 2026 hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) eine formelle Untersuchung gegen die PK Softech AG eröffnet. Die Mitteilung datiert vom 23. Oktober 2026. Bei einem Cyberangriff auf diesen Softwarelieferanten wurden Daten mehrerer Pensionskassen der 2. Säule entwendet. Publica, die Pensionskasse des Bundes, ist genannt. Die Untersuchung sagt noch nicht, welche Personen betroffen sind.

Was geschehen ist

Ende September 2026 wurde die PK Softech AG Opfer eines Angriffs mit Erpressungssoftware. Publica gibt an, der Angriff habe dem Lieferanten gegolten, nicht den eigenen Systemen.

Am 8. Oktober 2026 hat PK Softech den EDÖB über einen Cyberangriff und mögliche Verletzungen der Datensicherheit informiert. Die betroffenen Kassen haben den Vorfall dem EDÖB ebenfalls gemeldet.

Am 14. Oktober 2026 hat der EDÖB eine informelle Abklärung bei Publica eröffnet. Am 22. Oktober 2026 hat er eine formelle Untersuchung gegen die PK Softech AG eröffnet.

Worauf die Untersuchung zielt

Der EDÖB will drei Dinge. Er will überblicken, welche Personendaten die Kassen dem Lieferanten übergeben haben. Er will den rechtlichen Rahmen dieser Übermittlungen und dessen Umsetzung klären. Er will das Ausmass der abgeflossenen Daten bestimmen.

Die Mitteilung hält fest, dass zur hängigen Untersuchung keine weiteren Angaben gemacht werden können.

Was Publica angegeben hat

Publica schreibt, ihre Systeme seien nicht betroffen. Das Vorsorgeguthaben sei sicher. Die Rente werde wie üblich ausbezahlt. Die Testumgebung beim Lieferanten ist vom System getrennt, das die Renten auszahlt. Dieses System bleibt auf der Infrastruktur von Publica.

Publica kann noch nicht sagen, welche Personen betroffen sind und wie viele. In Frage kommen Daten von versicherten Personen, von Rentenbezügerinnen und Rentenbezügern und von ehemaligen Versicherten. Es kann sich um Name, Adresse, Geburtsdatum, AHV-Nummer, Telefon, E-Mail-Adresse und Vorsorgedaten handeln, etwa Lohn, versicherter Lohn und Guthaben. Bei Rentenbezügerinnen und Rentenbezügern kann auch die IBAN betroffen sein.

Publica hat keinen Hinweis, dass diese Daten im Darkweb veröffentlicht wurden. Sie will die Personen direkt informieren, sobald sie weiss, wer betroffen ist. Am 8. Oktober 2026 hat sie den Versicherten geschrieben, von denen sie eine E-Mail-Adresse hat. Die übrigen und die Rentenbezügerinnen und Rentenbezüger erhalten einen Brief.

Am 15. Oktober 2026 hat Publica Strafanzeige bei der Bundesanwaltschaft eingereicht.

Publica bittet, auf Kontaktaufnahmen nicht zu antworten, die Personendaten oder Bankdaten verlangen.

Die anderen genannten Kassen

Die Mitteilung des EDÖB spricht von mehreren grossen Vorsorgeeinrichtungen. Sie nennt Publica.

Nach der Nachrichtenagentur Keystone-SDA vom 15. Oktober 2026 haben die Pensionskasse der Stadt Zürich und die Pensionskasse der Post angegeben, dass bei einem externen Anbieter Personendaten entwendet wurden. Die Guthaben und die Auszahlung der Renten waren nicht betroffen. Die Zürcher Kasse hat ebenfalls Strafanzeige eingereicht.

Die Presse hat auch die Bernische Pensionskasse und die Bernische Lehrerversicherungskasse genannt. Am 20. Oktober 2026 schrieb die Bernische Pensionskasse, sie wisse weiterhin nicht, ob Daten ihrer Versicherten abgeflossen seien. Sie hat am 19. Oktober 2026 Strafanzeige eingereicht. Die Anmeldeunterlagen für ihr Portal verschickt sie ausschliesslich per Brief.

Was das Gesetz vorsieht

Das Bundesgesetz über den Datenschutz (DSG) unterscheidet den Verantwortlichen und den Auftragsbearbeiter. Der Auftragsbearbeiter bearbeitet Daten für den Verantwortlichen.

Art. 8 DSG verpflichtet Verantwortlichen und Auftragsbearbeiter, durch geeignete organisatorische und technische Massnahmen eine dem Risiko angemessene Datensicherheit zu gewährleisten.

Art. 9 DSG erlaubt, eine Bearbeitung einem Auftragsbearbeiter zu übertragen, wenn ein Vertrag oder das Gesetz dies vorsieht und die Daten nur so bearbeitet werden, wie der Verantwortliche es darf. Der Verantwortliche muss sich vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann. Ein weiterer Beizug braucht die vorgängige Genehmigung des Verantwortlichen.

Art. 24 Abs. 1 DSG verpflichtet den Verantwortlichen, dem EDÖB so rasch als möglich eine Verletzung der Datensicherheit zu melden, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt. Die Meldung nennt mindestens die Art der Verletzung, ihre Folgen und die getroffenen oder vorgesehenen Massnahmen.

Art. 24 Abs. 3 DSG verpflichtet den Auftragsbearbeiter, dem Verantwortlichen so rasch als möglich jede Verletzung der Datensicherheit zu melden.

Art. 24 Abs. 4 DSG verpflichtet den Verantwortlichen, die betroffene Person zu informieren, wenn dies zu ihrem Schutz nötig ist oder wenn der EDÖB es verlangt. Er kann diese Information einschränken, aufschieben oder darauf verzichten. Das gilt namentlich, wenn eine öffentliche Mitteilung eine gleichwertige Information sicherstellt.

Eine Meldung nach Art. 24 darf in einem Strafverfahren gegen die meldepflichtige Person nur mit deren Einwilligung verwendet werden.

Der EDÖB prüft den Rahmen dieser Übermittlungen. Er hat ihn noch nicht qualifiziert.

Was die Untersuchung nicht entscheidet

Die formelle Untersuchung ist kein Urteil. Sie stellt noch keine Verletzung fest. Sie setzt keine Busse fest. Sie sagt nicht, welche Personen betroffen sind.

Sie betrifft nicht alle Pensionskassen der Schweiz. Sie richtet sich gegen die PK Softech AG, wegen Daten mehrerer Einrichtungen, denen dieses Unternehmen Software lieferte.

Publica hat keinen Hinweis auf eine Veröffentlichung im Darkweb. Presseberichte vom 20. Oktober 2026 haben Daten früherer Bundesrätinnen und Bundesräte und eine Erpressung erwähnt. Der EDÖB bestätigt diese Darstellung nicht. Das Verfahren läuft.

AHV-Nummer, Lohn und IBAN sind Personendaten. Die Untersuchung reiht sie damit allein nicht unter die besonders schützenswerten Personendaten des DSG ein. Besonders schützenswert sind namentlich Angaben über die Gesundheit, über Ansichten, biometrische Daten oder Strafverfolgungen.

Die Strafanzeigen betreffen den Cyberangriff. Sie sind nicht der Entscheid des EDÖB.

Häufige Fragen

• Ist das Vorsorgeguthaben blockiert? Publica schreibt nein. Ihre Produktivsysteme sind nicht betroffen. Die Rente wird weiter ausbezahlt. Die Pensionskasse der Stadt Zürich hat gesagt, ihre Guthaben und die Rentenauszahlung seien nicht betroffen gewesen.
• Kann man schon wissen, ob man betroffen ist? Publica weiss es noch nicht. Sie informiert die Personen direkt, sobald sie sie bestimmen kann.
• Welche Daten können bei Publica abgeflossen sein? Name, Adresse, Geburtsdatum, AHV-Nummer, Telefon, E-Mail-Adresse und Vorsorgedaten können es sein. Bei Rentenbezügerinnen und Rentenbezügern kann es auch die IBAN sein. Die Liste der Personen steht nicht fest.
• Hat der EDÖB PK Softech bereits sanktioniert? Nein. Die Untersuchung vom 22. Oktober 2026 ist hängig. Sie stellt weder eine Verletzung noch eine Busse fest.
• Sind alle Schweizer Kassen betroffen? Nein. Der EDÖB spricht von mehreren grossen Einrichtungen, die Kundinnen dieses Lieferanten sind, darunter Publica.
• Sind die Daten im Darkweb veröffentlicht? Publica schreibt, sie habe keinen Hinweis darauf.
• Soll man auf eine Nachricht antworten, die eine IBAN oder ein Passwort verlangt? Publica bittet, nicht zu antworten. Die Bernische Pensionskasse verschickt die Unterlagen zu ihrem Portal nur per Brief.
• Gilt die Meldung an den EDÖB als Geständnis in einem Strafverfahren? Nein. Eine Meldung nach Art. 24 DSG darf in einem Strafverfahren gegen die meldepflichtige Person nur mit deren Einwilligung verwendet werden.

Der Basic-Tarif von Avocados AI kostet CHF 4.99 pro Monat, der Preis eines Kaffees. Er dient dazu, die Mitteilungen der Pensionskasse, die erhaltenen Anzeigen und die Fragen zu ordnen. Er ersetzt nicht die Prüfung des Dossiers durch eine Anwältin oder einen Anwalt. Der Ratgeber zum Schweizer Datenschutz stellt den Rahmen der Datensicherheit und der Meldung an den Beauftragten dar.

Quellen

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, Mitteilung vom 23. Oktober 2026. Pensionskasse des Bundes Publica, Informationen zum Cyberangriff und Strafanzeige vom 15. Oktober 2026. Nachrichtenagentur Keystone-SDA, 15. Oktober 2026. Bernische Pensionskasse, Mitteilung vom 20. Oktober 2026. Bundesgesetz über den Datenschutz, Art. 8, 9 und 24. Massgebend ist allein die amtliche Veröffentlichung.