Berüchtigte Ransomware-Bande erpresst den Bund – darum droht ein Daten-GAU
Was ist passiert?
Der Hackerangriff auf eine relativ kleine Schweizer Firma, die Pensionskassen-Software entwickelt, zieht immer weitere Kreise. Dem Bund droht deswegen ein Daten-GAU, wie eine aktuelle Recherche des «Tages-Anzeigers» zeigt.
Investigativjournalist Thomas Knellwolf schreibt in einem am Dienstag publizierten Enthüllungsbericht:
Anfang Oktober hatte die Pensionskasse des Bundes, Publica, publik gemacht, dass ihr Software-Lieferant gehackt worden war: die im Kanton Basel-Landschaft angesiedelte PK Softech AG. Sie entwickelt und vertreibt Pensionskassen-Softwarelösungen. Zur Kundschaft gehören diverse weitere Vorsorgeeinrichtungen. Staatliche und privatwirtschaftliche.
Die gestohlenen Informationen – laut Bericht sind es 100 Gigabyte (GB) an komprimierten Dateien – befinden sich offenbar in den Händen der Ransomware-Bande Akira. Deren krimineller Vorläufer-Organisation wurden schon Verbindungen zu russischen Geheimdienstlern nachgesagt.
Und es kommt angeblich noch schlimmer.
Über die Pensionskassen-Daten des Bundes liessen sich laut «Tages-Anzeiger» unter anderem Geheimagentinnen und Elitesoldaten der Schweizer Armee identifizieren.
In Bundesbern werde inzwischen befürchtet, dass der Datendiebstahl die operativen Fähigkeiten der Schweizer Sicherheitsbehörden «längerfristig beeinträchtigt».
Die Bundesanwaltschaft ermittelt.
Die Pensionskasse des Bundes nahm am Dienstagabend gegenüber watson Stellung (dazu unten mehr).
Wer sind die Angreifer?
Zur Erinnerung: Akira zählt zum Kreis der gefährlichsten Ransomware-Banden. Seit April 2024 führt die Bundesanwaltschaft ein Strafverfahren gegen die Hintermänner der Organisation und kriminelle Partner, die «Affiliates».
Mitglieder der seit 2023 unter diesem Namen agierenden Bande stammen aus dem russischen Sprachraum. Unabhängige IT-Sicherheitsforscher stiessen bei Untersuchungen auf Verbindungen zum russischen Geheimdienst FSB.
Im Oktober 2025, vor einem Jahr, warnte die Schweizer Bundespolizei (Fedpol) öffentlich vor Akira. Die Bande habe ihre Aktivitäten intensiviert, inzwischen gebe es hunderte Opfer allein in der Schweiz. Zudem empfahlen die Fachleute des Bundes dringend, nicht auf die Erpressungsversuche von Akira einzutreten, sondern Strafanzeige zu erstatten.
Im Juni 2025 wurde jedoch publik, dass sich der Schweizer Rüstungskonzern Ruag nach einem Hackerangriff auf einen US-amerikanischen Tochterbetrieb den Drohungen von Akira gebeugt und heimlich Lösegeld bezahlt hatte.
Und nun fordert Akira gemäss «Tages-Anzeiger» auch für die Pensionskassendaten Lösegeld. Sollte eine Zahlung ausbleiben, drohten die Hacker mit der Publikation oder dem Verkauf der Daten. Doch davon hätten die vom Hackerangriff betroffenen Personen bisher nichts erfahren.
Auf den einschlägigen Websites der Akira-Bande im Darknet sind bislang keine Erpresserschreiben aufgetaucht und es wurden auch keine Opferdaten veröffentlicht.
Insider-Informationen?
Der Name der Erpresserbande Akira ist wohl von einer bekannten japanischen Comic-Reihe (Manga) und einer gleichnamigen Figur darin inspiriert worden. IT-Sicherheitsforscher gehen davon aus, dass die Cyberkriminellen diese Bezeichnung gewählt haben, um sich selber als ebenso unaufhaltsame und zerstörerische Macht darzustellen.
Welche Folgen hat der Hackerangriff?
Die negativen Auswirkungen des Datendiebstahls sind aktuell nicht absehbar. Die Abklärungen laufen, wie es bei der Pensionskasse des Bundes, Publica, auf Anfrage heisst.
Die Auswertungen seien komplex und benötigten entsprechend Zeit, so die Publica-Sprecherin. «Uns ist wichtig, ausschliesslich gesicherte Erkenntnisse zu kommunizieren und keine unnötige Verunsicherung auszulösen.»
Die Krisenkommunikation des Bundes hatte sich zuvor auf ein Minimum beschränkt. Betroffene Bundesstellen wie das VBS verwiesen bei Fragen zum Fall auf die Pensionskasse. Die dortige Medienstelle ging nicht auf konkrete Fragen ein.
watson lagen bereits Anfang Oktober ernst zu nehmende Hinweise vor, dass Personendaten von Geheimdienstlern und Militär-Cyberspezialisten betroffen sein dürften. Doch beim Bund wollte man sich dazu nicht äussern.
Auch auf Nachfrage hiess es damals nur:
Laut «Tages-Anzeiger» hatte zu dem Zeitpunkt eine Prüfung bei der gehackten Firma bereits Klarheit darüber gebracht, dass «sicherheitskritische Daten des Bundes» gestohlen worden waren. Zuvor hätten das Staatssekretariat für Sicherheitspolitik (Sepos), das Fedpol und der Nachrichtendienst des Bundes (NDB) versucht, herauszufinden, inwiefern der Bund selbst von der Cyberattacke betroffen ist.
Am Sonntag berichtete dann der «Sonntagsblick» unter Berufung auf anonyme Informanten über das «Daten-Debakel», das «besonders» die Sicherheitsorgane betreffe.
Ein «Blick»-Bundeshausredaktor zitierte aus einer vertraulichen internen Informationsnotiz. Demnach haben die Angreifer unter anderem auch sensible Personendaten des NDB, der Gruppe Verteidigung im VBS und des Fedpol erbeutet. Gemäss Recherche müssen aktuelle und pensionierte Bundesangestellte mit «längerfristigen Auswirkungen» rechnen.
Taskforce eingesetzt
Wie nun der «Tages-Anzeiger» schreibt, sind selbst «die am meisten exponierten Mitarbeitenden» betroffen: «Mafiajägerinnen, Geheimagentinnen, Elitesoldaten» – also wohl auch Mitglieder der Armee-Profieinheit AAD10.
Namen, Geburtsdaten, AHV-Nummern, Geschäfts- und Privatadressen, Lohnangaben und zum Teil auch Bankverbindungen befänden sich nun in den Händen der Erpresserbande. Zudem verfüge Akira auch über Telefonnummern und E-Mail-Adressen der Betroffenen, «jeweils geschäftlich und privat». Hinzu kämen Angaben zu Zivilstand, Ehepartnerinnen und Ehepartnern respektive Lebenspartnerinnen und Lebenspartnern und teilweise sogar zu Kindern.
Laut Bericht hat Sepos-Staatssekretär Markus Mäder eine Taskforce eingesetzt. Geleitet werden sie von Anne Rivera, der Beauftragten für Informationssicherheit beim Bund.
Man befürchte, dass ausländische Geheimdienste oder kriminelle Organisationen nun Personen, die unter Tarnidentität arbeiten, identifizieren und lokalisieren können. Für solche Bundesangestellten bestehe gemäss einer internen Einschätzung sogar eine «Gefahr für Leib und Leben».
Ähnlich dramatisch präsentiert sich laut Bericht die Situation beim NDB, der nun auf gewisse Operationen verzichte. Gemäss Bericht könnten fremde Geheimdienste auch versuchen, NDB-Mitarbeitende auf Privatreisen oder an ihrem Wohnort anzusprechen, um sie zu rekrutieren. Ausserdem könnten Betroffene bei der Einreise festgenommen, unter Druck gesetzt und im schlimmsten Fall attackiert werden.
Erhöhte Vorsicht angebracht
An dieser Stelle ist in Erinnerung zu rufen, dass nach Datendiebstählen vermehrt mit betrügerischen Anfragen per Telefon, E-Mail oder Kurznachricht gerechnet werden muss.
Publica betont, man habe die versicherten und rentenbeziehenden Personen bereits am 8. Oktober vorsorglich informiert und auf mögliche Betrugsversuche aufmerksam gemacht. «Auf unserer Webseite stellen wir aktuelle Informationen und Verhaltensempfehlungen zur Verfügung.»
Erst letzte Woche wurde ein erfolgreicher Hackerangriff auf den Schweizer Raumfahrtkonzern Beyond Gravity (ehemals Ruag Space) publik. Die Hintergründe der Tat sind unklar. Dem Bundesbetrieb wurden von einem «hochprofessionellen Akteur» Daten gestohlen, wie es hiess. Gemäss SRF-Recherchen wird China hinter der Attacke vermutet.
Quellen
- tages-anzeiger.ch: Berüchtigte Hacker haben Daten von Alt-Bundesräten und erpressen die Schweiz (20. Oktober)
- srf.ch: China im Verdacht nach Cyberattacke auf Schweizer Weltraumkonzern (15. Oktober)
- publica.ch: Cyberangriff auf Softwarelieferant von Publica: Datenabfluss bestätigt
- fedpol.ch: Cyberkriminalität: Hackergruppe AKIRA intensiviert ihre Aktivitäten (Oktober 2025)
