«Besonders betroffen sind die Sicherheitsorgane»

Daten-Debakel beim Bund

«Besonders betroffen sind die Sicherheitsorgane»

Unbekannte haben Daten von Pensionskassen geklaut. Die Folgen sind gravierend. Der Bund warnt: Im Extremfall wären NDB-Agenten im Ausland gefährdet.

Publiziert: 09:57 Uhr

Bundesrätin Karin Keller-Sutter (62) kam mit einer brisanten Information in die Mittwochssitzung des Bundesrats. Sie betraf die Pensionskasse des Bundes Publica – genauer: Risiken durch den Hackerangriff auf eine externe Softwarefirma, mit der Publica zusammenarbeitet.

Der Bund tappt im Dunkeln, die Bundesanwaltschaft ermittelt. Das offizielle Statement der Pensionskasse lautet: «Welche Daten und wie viele Personen tatsächlich betroffen sind, wird derzeit untersucht. Die Abklärungen erfolgen in enger Zusammenarbeit mit Fachpersonen des Bundes, die uns in diesem Vorfall mit ihrem Know-how unterstützen.» Das Finanzdepartement teilt mit: «Der Bundesrat wurde am Mittwoch über die Situation im Nachgang zum Cyberangriff auf einen externen Softwareanbieter der Pensionskasse Publica informiert. Weder der Bundesrat noch ein Departement üben eine Aufsichtsfunktion über Publica aus.»

«Unklar, welche Daten abgeflossen sind»

Blick-Recherchen zeigen: Der Bund geht intern von «erheblichen Schäden» aus und bezeichnet den Vorfall wörtlich als «gravierend». Gegenwärtige wie pensionierte Beschäftigte des Bundes müssten mit «längerfristigen Auswirkungen» rechnen: «Besonders betroffen sind die Sicherheitsorgane des Bundes», heisst es in der vertraulichen Informationsnotiz – also der Nachrichtendienst des Bundes (NDB), die Gruppe Verteidigung im VBS und das Bundesamt für Polizei (Fedpol).

Was bedeutet das im schlimmsten Fall? Die offizielle Auskunft der Pensionskasse sagt dazu nichts: «Über mögliche Szenarien spekulieren wir nicht. Die Analysen sind komplex und dauern noch an. Entscheidend ist jetzt, zu klären, welche Daten tatsächlich abgeflossen sind und welche Personen betroffen sein könnten.»

Doch diese Klärung kann Wochen oder Monate dauern.

Heikle Missionen für Geiseln im Ausland

Ein Beispiel dafür, was die Bundesverwaltung besonders beunruhigen könnte: das Schicksal einer Schweizerin, die zusammen mit einer Österreicherin in der Gewalt eines Ablegers der Terrormiliz Islamischer Staat sein soll. Anders, als Medienberichte vermuten liessen, gibt es für eine Befreiung noch immer keine offizielle Bestätigung – möglicherweise dauert die Geiselnahme noch an.

Eine Geiselbefreiung verläuft mit vielen Hochs und Tiefs. Bis sie tatsächlich gelingt, braucht es in der Regel diplomatische Bemühungen auf allen denkbaren Kanälen, den Einsatz von Mitarbeitern des NDB und eine enge Abstimmung mit befreundeten ausländischen Diensten. Schweizer Agenten können dabei im Ausland als Geschäftsleute getarnt aktiv sein. Im Zeitalter biometrischer Pässe und künstlicher Intelligenz könnten Geiselnehmer einen Agenten durch den Abgleich von gehackten Daten des Bundes mit offiziellen Einreiselisten enttarnen.

Geheimer Auftrag für Staatssekretär Mäder

Nach Informationen von Blick warnt der Bund intern vor dem Risiko, bei bestimmten Mitarbeitenden bestehe die Gefahr, sie könnten von den Behörden eines anderen Landes erkannt und vertieft befragt – und im Extremfall sogar festgesetzt werden. Der Staatssekretär für Sicherheitspolitik, Markus Mäder (55), hat dem Vernehmen nach einen geheimen Auftrag erhalten. Das VBS will sich hierzu nicht äussern.

Wer sich in Bern umhört, stösst auf viele ungeklärte Fragen – und eine Mauer des Schweigens. «Zurzeit laufen umfangreiche Abklärungen, welche Daten betroffen sind. Aus diesen Gründen äussern wir uns nicht dazu», teilt die Pensionskasse Publica mit. «Wir haben unmittelbar nach Bekanntwerden des Vorfalls einen Krisenstab eingesetzt. Er koordiniert den Informationsfluss und die Massnahmen.»

Rückschlüsse auf die Verteidigungsfähigkeit

Klar ist: Was früher bestenfalls Science-Fiction war, kann durch den Einsatz von künstlicher Intelligenz zur Wirklichkeit werden.

Nach Blick-Informationen wurden auch die Kantone informiert. Denn eine Kombination bestimmter Sätze der entwendeten Daten lässt möglicherweise Rückschlüsse auf die Verteidigungsfähigkeit der Schweiz zu. Militärische Analysesoftwares sind in der Lage, Daten aus öffentlichen Quellen, Cyberangriffen und dem Darknet zusammenzuführen, um Ziele für einen denkbaren Angriff zu definieren.

Ein Insider sagt es so: «Wenn eine geklaute Liste des NDB mit Social Media abgeglichen wird, entsteht ein Profil darüber, wer welche Funktion ausübt und wo sich Personen aufhalten. Selbst wenn Betroffene privat keine Verbindung zu ihrem Arbeitgeber angeben, stellt die KI diesen Bezug in Sekundenschnelle her.»

Das Geschäft der Data Broker

Eine weitere Möglichkeit: Die Daten landen bei Datenhändlern. Alle Informationen, die eine Pensionskasse von ihrer Klientel besitzt (Einkommen, Adresse, Namen, Alter, Familienstand) sind für die sogenannten Data Broker wertvoll. Im harmlosen Fall werden gut verdienenden Beamten beim Onlineshopping höhere Preise angezeigt, im schlimmsten Fall könnten die Betroffenen Zielscheibe von Erpressung und Identitätsdiebstahl werden.

Der Publica-Vorfall weckt ungute Erinnerungen an frühere Datenskandale, etwa an das Xplain-Debakel. Die externe Softwarefirma Xplain wurde 2023 Opfer eines Ransomware-Angriffs, wodurch sensible Daten der Bundesverwaltung geklaut wurden und später im Darknet landeten. Eine zentrale Empfehlung der Aufarbeitung lautet: Externe Softwarelieferanten sollten keine «scharfen», also echten Daten erhalten, sondern lediglich Testdaten.

Ein Vergleich mit anderen Ländern zeigt zudem, wie brisant die Lage ist: Liechtenstein lebt nach einem Datenklau seit Monaten im Ungewissen. Bis heute sind die Hintergründe des Hackerangriffs unklar – noch wird das Land nicht erpresst. Möglicherweise handelt es sich um einen Fall hybrider Kriegsführung: Angefangen von Reputationsschäden für den Finanzmarkt des Fürstentums bis zum Aufdecken möglicher Sanktionsumgehungen ist vieles denkbar. In Dänemark klauten kürzlich Unbekannte über einen privaten IT-Dienstleister Daten von rund 8,8 Millionen Menschen – Namen und Adressen, aber auch persönliche Identifikationsnummern. Und erst diese Woche steuerten Hacker die Temperatur in Hunderten französischen Supermärkten: Kühlregale und Tiefkühltruhen heizten mitten in der Nacht auf bis zu 50 Grad Celsius auf. Tonnen von verdorbenen Lebensmitteln landeten im Abfall.

Auch wenn vieles heute noch unklar ist: Der Fall der Pensionskasse Publica dürfte Bern noch lange beschäftigen. Ein grundlegendes Prinzip der modernen IT-Sicherheit lautet auf Englisch «Assume Breach»: Gehe immer davon aus, dass jemand bereits in deinem Netz ist.