Der Schweizer Bundes-Pensionsfonds Publica hat bestätigt, dass Daten geleakt wurden, nachdem ein externer Softwarelieferant Opfer eines Cyberangriffs geworden war. Der Fall des Datenlecks beim Pensionsfonds Publica ist ein klares Beispiel dafür, wie die Kompromittierung eines einzelnen Anbieters die persönlichen Informationen von Menschen gefährden kann, die nie mit diesem Anbieter zu tun hatten. Die Details sind noch begrenzt, daher trennt dieser Beitrag, was bestätigt wurde, von dem, was nicht bestätigt wurde.

Was Publica bisher bestätigt hat

Den verfügbaren Berichten zufolge erklärte Publica, dass es einem Datenleck ausgesetzt war, nachdem ein Cyberangriff einen seiner externen Softwareanbieter getroffen hatte. Die Berichterstattung beruft sich auf die Schweizer Nachrichtenagentur Keystone-SDA und Reuters, die die Ankündigung an einem Donnerstag meldeten. Schweizer Staatsanwälte sollen das Leck untersuchen.

Das ist der Umfang der gesicherten Fakten. Der Pensionsfonds selbst wurde nicht als direktes Ziel beschrieben; der Angriff traf einen Lieferanten, und anschließend wurden mit Publica verbundene Daten geleakt.

Wie eine Lieferantenverletzung Pensionsdaten gefährdete

Organisationen wie Pensionsfonds sind auf externe Anbieter für Software, Verwaltung und Datenverarbeitung angewiesen. Um ihre Aufgabe zu erfüllen, halten diese Anbieter oft Kopien von Mitgliederdatensätzen oder haben Zugang zu Systemen, die diese enthalten. Wird der Anbieter kompromittiert, können die Daten durch eine Tür abfließen, die der Pensionsfonds nicht kontrolliert.

Deshalb ist das Drittrisiko so wichtig. Ein Fonds kann über eine starke interne Sicherheit verfügen und dennoch betroffen sein, wenn die Abwehrmaßnahmen eines Partners versagen. Für die Mitglieder ist das praktische Ergebnis dasselbe wie bei einer direkten Verletzung: Ihre Informationen könnten in den Händen anderer sein.

Das Ausmaß dieses Problems ist groß. Unsere Berichterstattung über den ITRC-Bericht zu Datenlecks im ersten Halbjahr 2026 zeigt, wie viele Menschen in diesem Jahr bereits von Datenlecks betroffen sind, und Lieferantenkompromittierungen sind eine wiederkehrende Art, wie sich diese Vorfälle entfalten.

Was über das Leck weiterhin unbekannt ist

Mehrere wichtige Fragen haben noch keine öffentliche Antwort. Den Berichten zufolge ist nach wie vor unklar, welche Daten genau geleakt wurden. Die Berichte belegen nicht, wie viele Menschen betroffen sind, welche Informationskategorien offengelegt wurden oder wer den Angriff ausgeführt hat. Der Lieferant wurde in dem von uns geprüften Material nicht identifiziert.

Wir können auch nicht sagen, ob die Daten veröffentlicht, verkauft oder verwendet wurden. Solange Publica oder die Ermittler keine Einzelheiten nennen, sollte jede Behauptung über die Art der Daten oder die Zahl der Betroffenen als Spekulation behandelt werden.

Die Beteiligung der Schweizer Behörden deutet darauf hin, dass der Fall ernst genommen wird, und es sind wahrscheinlich Updates zu erwarten, sobald die Untersuchung voranschreitet. Für Kontext dazu, wie Schweizer Gerichte mit Cyberkriminalität umgehen, lesen Sie unseren Bericht über das Urteil des Schweizer Gerichts im Nefilim-Ransomware-Fall, wobei dieser Fall nichts mit diesem Vorfall zu tun hat.

Wie Sie sich vor Phishing und Identitätsbetrug schützen können

Wenn unklar ist, was offengelegt wurde, besteht der vernünftige Ansatz darin, sich auf den häufigsten Folgemissbrauch vorzubereiten: Phishing und Identitätsnachahmung. Angreifer nutzen oft Nachrichten über ein Datenleck als Köder und versenden Nachrichten, die von der betroffenen Organisation zu stammen scheinen.

Was das für Sie bedeutet

Wenn Sie Mitglied oder versicherte Person bei Publica sind, könnten Sie betroffen sein, aber das wurde für keine einzelne Person bestätigt. Sie müssen nicht in Panik geraten. Sie müssen jedoch bei unerwarteten Kontaktaufnahmen vorsichtig sein.

  • Behandeln Sie unaufgeforderte Nachrichten mit Misstrauen. E-Mails, Texte oder Anrufe, die vorgeben, von Publica, Ihrem Arbeitgeber oder einer Regierungsstelle zu stammen, und nach persönlichen Daten, Passwörtern oder Zahlungen fragen, sollten nicht standardmäßig vertraut werden.
  • Überprüfen Sie über offizielle Kanäle. Gehen Sie auf die offizielle Website von Publica oder nutzen Sie Kontaktdaten, die Sie bereits kennen, statt Links oder Nummern aus einer Nachricht.
  • Teilen Sie niemals Zugangsdaten oder Codes. Eine legitime Organisation wird Sie nicht nach Ihrem Passwort oder Einmalcodes fragen.
  • Verwenden Sie einzigartige Passwörter und Multi-Faktor-Authentifizierung für Ihre E-Mail, Ihr Bankkonto und alle Pensions- oder Versicherungsportale, damit ein offengelegter Login nicht andere freischalten kann.
  • Überwachen Sie Ihre Konten. Achten Sie auf Kontoauszügen und in offizieller Korrespondenz auf Aktivitäten, die Sie nicht erkennen.
  • Seien Sie wachsam gegenüber Identitätsnachahmung. Wenn jemand Sie mit Details kontaktiert, die korrekt erscheinen, beweist das nicht, dass er legitim ist, da geleakte Daten Betrug überzeugend machen können.

Wichtige Erkenntnisse

Der Vorfall des Datenlecks beim Pensionsfonds Publica zeigt, dass Ihre Daten nur so sicher sind wie die schwächste Organisation, die sie verarbeitet. Publica hat ein Leck bestätigt, das mit einem Angriff auf einen Lieferanten zusammenhängt, aber die Art der Daten und die Zahl der Betroffenen bleiben unklar.

Bleiben Sie in der Zwischenzeit wachsam gegenüber Phishing- und Identitätsnachahmungsversuchen und folgen Sie den offiziellen Hinweisen von Publica, sobald sie veröffentlicht werden. Für einen breiteren Kontext dazu, wie häufig Vorfälle wie dieser sind, lesen Sie unsere Zusammenfassung des ITRC-Berichts zu Datenlecks im ersten Halbjahr 2026.