Es gibt Neuigkeiten, die einem die Nackenhaare aufstellen – und diese hier sind besonders brisant. Am 8. Oktober hat die PK Softech AG aus Reinach einen Cyberangriff gemeldet. Wie sich herausstellt, ist dabei die IT-Infrastruktur der Pensionskasse des Bundes, auch bekannt als Publica, betroffen. Und das könnte bedeuten, dass sensible Daten in die falschen Hände geraten sind. Ein Albtraum für alle, die auf ihre Altersvorsorge angewiesen sind!

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) ist bereits auf den Zug aufgesprungen: Am 22. Oktober wurde eine formelle Untersuchung gegen die PK Softech AG eingeleitet. Laut EDÖB-Chef Adrian Lobsiger sollen bei dem Angriff Daten mehrerer maßgeblicher Vorsorgeeinrichtungen der zweiten Säule abgezogen worden sein. Das wirft Fragen auf – nicht nur über die Sicherheit der Daten, sondern auch über die rechtlichen Aspekte der Übertragungen. Was genau ist da schiefgelaufen?

Die Dimension des Vorfalls

Ende September, also kurz vor der Meldung, wurde PK Softech Opfer eines Cyberangriffs. Trotz hoher Sicherheitsstandards gelang es Unbekannten, mit Schadsoftware in die Systeme einzudringen – ein klarer Hinweis darauf, dass Cyberkriminalität auch vor vermeintlich sicheren Einrichtungen nicht haltmacht. Und während die Behörden und das Unternehmen selbst derzeit die genauen Umstände des Datenabflusses klären, bleibt die Frage: Welche Daten sind betroffen? Publica hat bereits rund 70.000 Versicherte und 41.600 Rentenbeziehende – da sind die Möglichkeiten für einen erheblichen Schaden durchaus gegeben.

Publica selbst hat bereits den betroffenen Personen Informationen über den Vorfall zukommen lassen und Maßnahmen ergriffen. Das sind immerhin 44,9 Milliarden Franken Bilanzsumme, die hier auf dem Spiel stehen. Und es ist nicht nur ein paar Adressen, die da vielleicht abhanden gekommen sind – laut einer Sprecherin von Publica könnten auch vertrauliche Personendaten wie Lohnangaben, Vorsorgeguthaben und Rentenhöhen betroffen sein. Das lässt einem schon ein bisschen das Herz stocken, oder?

Die rechtlichen Rahmenbedingungen

Jetzt wird’s spannend: Eine Pensionskasse hat eine sehr komplexe Datenarchitektur. Diese umfasst nicht nur die versicherten Personen, sondern auch Arbeitgeber, externe Stellen wie IV-Stellen oder Ärzte und Rückversicherer. Jeder dieser Bereiche hat eigene rechtliche Grundlagen, die genau geregelt sein müssen. Zum Beispiel gibt es Verträge mit Arbeitgebern, die die datenschutzkonforme Handhabung von Daten vorschreiben. Wenn die nicht eingehalten werden, dann könnte es ganz schön eng werden.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Die Bundesanwaltschaft hat bereits Ermittlungen aufgenommen, und die PK Softech ist nicht untätig geblieben. Das Unternehmen hat externe Spezialisten hinzugezogen und die betroffene Umgebung sofort vom Netz getrennt. Man könnte sagen, sie haben schnell reagiert – aber das hilft natürlich nicht, wenn die Daten bereits abflossen sind. Und was tut man, wenn man denkt, dass die eigenen Daten in einem Cyberangriff entwendet wurden? Ein echtes Dilemma, das nicht nur die PK Softech, sondern auch die Pensionskassen und deren Versicherten betrifft.

Das Ganze wirft ein grelles Licht auf die Sicherheitsvorkehrungen in der Altersvorsorge. Man möchte doch meinen, dass gerade hier höchste Priorität auf Datenschutz gelegt wird. Aber wie es aussieht, gibt es immer noch Risiken, die nicht unterschätzt werden sollten. Es bleibt abzuwarten, welche weiteren Erkenntnisse die Untersuchung des EDÖB ans Licht bringen wird – und vor allem, wie die betroffenen Personen damit umgehen.