Hacker forderten laut SRF nach Datendiebstahl bei Publica Lösegeld vom Bund

Wie der Angriff ablief

Hacker der Gruppe Akira griffen im September die IT-Systeme der PK Softech AG an, eines Softwareanbieters mit Sitz im Baselbiet. Zu ihren Kunden zählen mehrere Schweizer Pensionskassen, darunter Publica, die Pensionskasse des Bundes. PK Softech entdeckte den Angriff Ende September, erstattete Strafanzeige und informierte die Bundesstellen, Publica sowie weitere Kunden, darunter die Pensionskasse der Stadt Zürich. Anfang Oktober bestätigte der Bund, dass Publica über ihren Zulieferer betroffen sei, und rund 112.000 Personen wurden informiert und davor gewarnt, dass die Angreifer sie kontaktieren könnten. Zu den erbeuteten Daten gehören Namen, Geburtsdaten, AHV-Nummern, Adressen, Telefonnummern, E-Mail-Adressen und Zivilstand sowie Angaben zu Löhnen, Altersguthaben und Details zu Ehepartnern oder Partnern.

Eine Lösegeldforderung taucht auf

SRF berichtete am 10. November, Akira habe ein Lösegeld gefordert und gedroht, die erbeuteten Daten zu veröffentlichen oder weiterzuverkaufen; mehrere Quellen bestätigten dies dem Sender. Das Verteidigungsdepartement (VBS) soll von dem Erpressungsversuch wissen. Laut SRF könnten die Daten auch Mitarbeitende des Nachrichtendienstes des Bundes und des Bundesamts für Polizei (Fedpol) umfassen, von denen einige unter falschen Identitäten arbeiten; auch ehemalige Bundesräte könnten betroffen sein. Der Cybersicherheitsberater Nicolas Mayencourt, der Behörden in Erpressungsfällen berät, geht davon aus, dass die Angreifer ihre Forderung höchstwahrscheinlich direkt beim Bund hinterlegt haben.

„Der Schluss daraus ist, dass die Täter ihre Lösegeldforderung direkt beim Bund deponiert haben.“

Publica und PK Softech erklärten gegenüber SRF beide, sie hätten keine Lösegeldforderung erhalten; PK Softech beteuert, nie Kontakt zu den Angreifern aufgenommen zu haben. Mayencourt sagte, er sehe keinen Grund, an diesen Dementis zu zweifeln.

Reaktionen und Dementis des Bundes

Das Sekretariat für Sicherheitspolitik (Sepos), das dem Verteidigungsdepartement untersteht, teilte der Nachrichtenagentur Keystone-SDA am 10. November mit, der Bund habe kein Lösegeld gezahlt. Seine Sprecherin Ursina Bentele sagte, den an der Bearbeitung des Vorfalls beteiligten Bundesstellen aus mehreren Departementen seien keine konkreten Lösegeldforderungen an sie bekannt.

„Den an der Bearbeitung des Vorfalls beteiligten Bundesstellen aus mehreren Departementen sind keine konkreten Lösegeldforderungen an sie bekannt.“

Bundesratssprecherin Nicole Lamon bestätigte, dass die Regierung den Fall an ihrer letzten Sitzung besprochen habe, wollte aber keine Details nennen. Das Nationale Zentrum für Cybersicherheit, das zum Verteidigungsdepartement gehört, rät weiterhin davon ab, Lösegeld zu zahlen.

Warum die Daten nicht aufgetaucht sind

Mehr als einen Monat nach dem Angriff sind keine erbeuteten Daten online aufgetaucht. Mayencourt sieht drei mögliche Erklärungen: Es wurde Lösegeld gezahlt, die Daten wurden ins Ausland verkauft, oder die Verhandlungen werden bewusst in die Länge gezogen. Die Bundesanwaltschaft erklärte vor mehr als zwei Wochen, ihre ersten Ermittlungen deuteten auf Akira als Urheber des Angriffs auf PK Softech hin. Der Fall wurde in ein bestehendes Verfahren zu Angriffen auf Schweizer Unternehmen zwischen 2023 und 2025 eingegliedert, zu denen sich Akira bekannt hatte.

„Es ist nicht üblich, dass es so lange dauert.“

Ruags frühere Lösegeldzahlung

Die Ruag, der bundeseigene Rüstungskonzern, zahlte vor einem Jahr ein Lösegeld an Akira, nachdem die Gruppe Daten bei einer Tochtergesellschaft in den Vereinigten Staaten erbeutet hatte – entgegen den Empfehlungen des Bundes. Das Unternehmen hat eine lange Geschichte von Kontroversen. Granaten mit seinem Logo tauchten 2012 während des syrischen Bürgerkriegs in Aleppo auf, und mutmasslich russische Hacker hatten über zwei Jahre lang Daten des Konzerns gestohlen, als dies 2016 bekannt wurde. Eine Untersuchung zeigt nun, dass die interne Kontrolle bei dubiosen Leopard-Panzergeschäften über Jahre versagte, und die Ruag fordert 51 Millionen Euro (47 Millionen Franken) Schadenersatz von zehn Personen.