Datenleck beim Lieferanten: Warum die Verantwortung bei Ihnen bleibt

Ende September wurde die PK Softech AG angegriffen, ein Softwarelieferant mehrerer grosser Schweizer Pensionskassen. Keine dieser Kassen wurde selbst gehackt. Trotzdem sind es ihre Versicherten, die jetzt Post bekommen, und ihre Namen, die in den Schlagzeilen stehen.

Das betrifft nicht nur Pensionskassen. Fast jede Organisation gibt Personendaten an Dienstleister weiter, für die Lohnbuchhaltung, die Software, das Hosting oder ein Projekt. Dieser Beitrag zeigt, was bei einem Datenleck beim Lieferanten gilt und was Sie vorbereiten können.

Was ist beim Angriff auf PK Softech passiert?

Am 29. September 2026 wurde bei PK Softech Schadsoftware eingeschleust, die Daten verschlüsselte. Am 8. Oktober bestätigte der Bund, dass Daten abgeflossen sind, laut PK Softech aus der eigenen IT-Infrastruktur und nicht aus den Systemen der Kunden. Die Bundesanwaltschaft ermittelt.

Publica, die Migros-Pensionskasse, die Pensionskasse Post und die beiden Berner Kassen prüfen, ob sie betroffen sind. Im ungünstigsten Fall geht es um Namen, Geburtsdaten, AHV-Nummern, Adressen sowie Lohn- und Vorsorgedaten. Die Renten selbst sind laut den Kassen nicht gefährdet.

Wie kommen Ihre Daten überhaupt zum Lieferanten?

Auf drei Wegen, und den dritten übersehen viele Organisationen.

1. Betrieb: Der Anbieter betreibt die Software für Sie auf seinen eigenen Servern.
2. Wartung und Support: Um einen Fehler zu beheben, braucht der Hersteller Einblick, oft in echte Daten.
3. Projekte: Für eine Migration oder einen Test wird eine Kopie der Daten übergeben.

Den dritten Weg zeigt die Pensionskasse Stadt Zürich. Sie bestätigte am 16. Oktober, dass Daten ihrer Versicherten entwendet wurden, obwohl sie das System von PK Softech noch gar nicht nutzt. Die Daten waren für den geplanten Wechsel Anfang 2027 übermittelt worden. Das ist normaler Projektalltag, und gerade deshalb fehlen solche Kopien in vielen Übersichten darüber, welche Daten wo liegen.

Wer ist verantwortlich, wenn der Lieferant gehackt wird?

Das Datenschutzgesetz (DSG) unterscheidet den Verantwortlichen, der über Zweck und Mittel der Bearbeitung entscheidet, vom Auftragsbearbeiter, der die Daten in dessen Auftrag bearbeitet. Beide müssen nach Art. 8 DSG eine dem Risiko angemessene Datensicherheit gewährleisten.

Die Verantwortung wandert mit dem Auftrag aber nicht ab. Nach Art. 9 Abs. 2 DSG muss sich der Verantwortliche vergewissern, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann. Einen Dritten darf der Dienstleister nur mit Ihrer vorgängigen Genehmigung beiziehen (Art. 9 Abs. 3). Für kantonale und kommunale Stellen gilt in der Regel das kantonale Datenschutzrecht, das ähnliche Pflichten kennt.

Wer muss bei einem Datenleck beim Dienstleister was melden?

• Der Dienstleister meldet Ihnen eine Verletzung der Datensicherheit so rasch als möglich (Art. 24 Abs. 3 DSG).
• Sie melden dem EDÖB so rasch als möglich, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die Betroffenen führt (Art. 24 Abs. 1 DSG).
• Sie informieren die Betroffenen, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt (Art. 24 Abs. 4 DSG).

Ob ein hohes Risiko vorliegt, entscheiden also Sie, oft mit unvollständigen Informationen. PK Softech konnte auch drei Wochen nach dem Angriff noch nicht sagen, welche Kunden betroffen sind.

Warum ist das Datenleck erst der Anfang?

Gestohlene Personendaten machen den nächsten Angriff glaubwürdiger. Eine Nachricht der angeblichen Pensionskasse, die Ihre AHV-Nummer und Ihren versicherten Lohn kennt, wirkt echt, ob per E-Mail oder am Telefon.

Die betroffenen Kassen warnen ihre Versicherten deshalb ausdrücklich vor ungewöhnlichen Nachrichten und Anrufen. Solche Folgeangriffe treffen Ihre Mitarbeitenden und Ihre Kunden, nicht den Lieferanten.

Was können Sie jetzt tun?

1. Erfassen Sie, welche Dienstleister welche Personendaten haben. Zählen Sie Projektkopien, Testdaten und Support-Zugriffe mit.
2. Geben Sie für Tests anonymisierte Daten weiter und lassen Sie Kopien nach Projektende löschen. Das DSG verlangt ohnehin, dass nicht mehr benötigte Daten vernichtet oder anonymisiert werden (Art. 6 Abs. 4).
3. Prüfen Sie Ihre Verträge. Regeln Sie die Meldefrist, Ihr Prüfrecht und die Genehmigung von Unterauftragnehmern.
4. Legen Sie vorab fest, wer meldet. Bestimmen Sie, wer intern das Risiko beurteilt und die Meldung an den EDÖB macht.
5. Bereiten Sie Ihr Team auf die Folgenachrichten vor. Wer weiss, dass nach einem Leck gezielte E-Mails und Anrufe kommen, erkennt sie eher.

Den letzten Punkt können Sie üben, bevor es ernst wird. Korix testet mit realistischen Phishing Simulationen, ob Ihr Team eine glaubwürdige Nachricht erkennt und meldet, auch wenn sie echte Details enthält.

Dieser Beitrag ersetzt keine Rechtsberatung.