Bund verschweigt Details zu Ransomware-Attacke – und verursacht ein mediales Schlamassel
Die Folgen des Cyberangriffs auf die Baselbieter Software-Entwicklerfirma PK Softech AG sind weiter unklar. Der Fall entwickelt sich zum kommunikativen Schlamassel.
Wie watson-Recherchen zeigen, wurden bei der Krisenkommunikation längere Zeit Informationen zurückgehalten, die etwas Licht ins Dunkel gebracht hätten – und diese sind für die mehr als 100'000 potenziell Betroffenen der Pensionskasse des Bundes und die Öffentlichkeit relevant.
Nach wochenlangen Spekulationen und widersprüchlichen Angaben kam es am Dienstag zum medialen Chaos. Involviert waren das Schweizer Radio und Fernsehen (SRF) und die Nachrichtenagentur Keystone-SDA.
Was ist passiert?
Die Ransomware-Bande Akira versucht tatsächlich, die von ihr gehackte Software-Firma PK Softech zu erpressen. Doch eine konkrete Lösegeldsumme ist nicht bekannt. Und auch das Ausmass des Schadens ist weiter unklar.
Publica-Sprecherin Beatrice Rychen erklärte am Mittwoch gegenüber watson:
Hier kommt das bekannte Verhaltensmuster der Ransomware-Bande Akira ins Spiel. IT-Sicherheitsfachleute sprechen von TTP («Tactics, Techniques and Procedures»). Ein fachkundiger watson-User hat darauf aufmerksam gemacht.
Die US-Sicherheitsbehörden FBI und CISA dokumentierten bereits 2025 in einem Bulletin, dass Akira-Erpressungen nach einem strikten Muster ablaufen: Die Täter schreiben nie einen konkreten Geldbetrag in ihre anfängliche Erpressernachricht. Sie hinterlassen dem Opfer auf den angegriffenen IT-Systemen lediglich eine Mitteilung mit einem Code und dazu einen Link zu einem Verhandlungschat im Darknet. Die geforderte Summe erfährt erst, wer sich dort einloggt.
Kontakt verweigert
Das Akira-Vorgehen wird nun durch PK Softech bestätigt.
Damit erscheint klar: Die gehackte Firma und der Bund, als betroffener Software-Abnehmer, wussten schon kurz nach dem Cyberangriff, dass die berüchtigte Ransomware-Bande dahintersteckt. In der Krisenkommunikation wurde aber verschwiegen, dass ein (allgemeines) Schreiben der Erpresser vorliegt.
Wie die Recherchen von watson zeigen, verweigern die Verantwortlichen bei PK Softech jegliche Kontaktaufnahme mit den unbekannten Cyberkriminellen.
Auf Nachfrage bestätigt die Firma, dass sie die von Akira in ihrem Netzwerk hinterlassene Aufforderung, sich über einen anonymen Chat zu melden, ignoriere. Sie will demnach nicht über die Bezahlung eines Lösegelds verhandeln.
Die Pensionskasse des Bundes, Publica, bekräftigt in einer aktuellen Stellungnahme ebenfalls, in keinem Kontakt mit der Ransomware-Bande zu stehen und selbst keine Lösegeldforderung erhalten zu haben.
Gegenüber der Öffentlichkeit und den Medien verstiess man jedoch gegen die wichtigste Regel der Krisenkommunikation: Transparenz über das, was man weiss, und ehrliches Eingestehen dessen, was man noch nicht weiss.
Die seit Bekanntwerden des Cyberangriffs aufs Minimum beschränkte Kommunikation der gehackten IT-Firma und ihrer wichtigsten Kundin, Publica, sorgte diese Woche für beträchtliche Verwirrung. Betroffen waren die Schweizer Nachrichtenagentur Keystone-SDA und das SRF mit seinen wichtigsten TV-Nachrichten-Sendungen (dazu gleich mehr).
Wie kam es zum kommunikativen Chaos?
Weil die Bundesbehörden und die gehackte Software-Entwicklerfirma nur häppchenweise informierten, kam es am Dienstag zu einer fragwürdigen Situation in der nationalen Berichterstattung zum Cyberangriff:
- 05:58 Uhr: Das SRF publizierte online eine exklusive Recherche und schrieb unter Berufung auf anonyme Quellen, die Täter hätten ein Lösegeld gefordert und drohten damit, die Daten zu veröffentlichen oder weiterzuverkaufen. Das Verteidigungsdepartement (VBS) wisse davon.
- Im SRF-Artikel hiess es auch: «Die gehackte Softwarelieferantin PK Softech AG und die Bundespensionskasse Publica erklären auf Anfrage, bei ihnen sei keine Lösegeldforderung eingegangen.» Ein von SRF befragter externer IT-Sicherheitsexperte schloss daraus, die Täter könnten ihre Lösegeldforderung direkt beim Bund gestellt haben.
- Nachmittags: Die Schweizer Nachrichtenagentur Keystone-SDA, von der auch watson täglich Informationen bezieht, schrieb in einer ersten Meldung, es gebe «eine Lösegeldforderung an den Softwarelieferanten des Bundes». Sprich: an die gehackte Entwicklerfirma PK Softech.
- Früher Abend: Die Nachrichtenagentur machte eine Kehrtwende und korrigierte sich. Laut Titel einer neuen SDA-Meldung gab es doch «keine Lösegeldforderung von Hackern an den Publica-Softwarelieferanten». Das Staatssekretariat für Sicherheitspolitik (Sepos) liess verlauten, es seien «keine konkreten Lösegeldforderungen» bekannt.
- Späterer Abend: Die Hauptausgabe der SRF-«Tagesschau» und die News-Sendung «10 vor 10» thematisierten den Erpressungsversuch als wichtigste Meldung, liessen aber behördliche Dementis unerwähnt. Vor einem Millionenpublikum wurde die Schlagzeile vom Morgen wiederholt, es gebe eine Lösegeldforderung.
Die Pensionskasse des Bundes (Publica) hatte zuvor auf ihrer Informations-Webseite zum Cyberangriff eine «Richtigstellung» veröffentlicht. Darin heisst es explizit:
Und weiter steht dort zu lesen:
Das SRF ging weder in der «Tagesschau»-Hauptausgabe noch bei «10 vor 10» auf diese neuen Angaben ein.
In der SRF-Radio-Nachrichtensendung um 20 Uhr wurde hingegen die Stellungnahme des Bundes erwähnt, wonach es «keine konkreten Lösegeldforderungen» gebe.
Wurde bereits in aller Stille Lösegeld bezahlt?
Die jüngsten Entwicklungen lassen nicht darauf schliessen. Die Bestätigung der PK Softech AG, den Kontaktversuch der Täter vollständig ignoriert zu haben, sollte die Spekulationen externer Experten entkräften, es sei bereits Geld geflossen oder es liefen im Hintergrund taktische Verhandlungen.
Als der Bund kommunizierte, es seien «keine konkreten Lösegeldforderungen bekannt», und die PK Softech AG betonte, man habe «zu keinem Zeitpunkt Kontakt zu den Angreifern aufgenommen», dann war das faktisch zweimal dieselbe Aussage. Übersetzt bedeutet das Dementi «Keine Lösegeldforderung» allerdings nur: Niemand hat den von der Erpresserbande hinterlassenen Darknet-Link angeklickt.
Was wissen wir zu den Folgen der Ransomware-Attacke?
Das Ausmass des mit dem Cyberangriff verbundenen Datenabflusses und die Auswirkungen sind nicht absehbar.
Laut «Tages-Anzeiger» droht dem Bund ein Daten-GAU, weil den Cyberkriminellen höchst sensible Personendaten des Bundes in die Hände gefallen sein könnten.
watson-Recherchen zeigten gewisse Unstimmigkeiten, was den Umgang von PK Softech mit den von der Kundschaft zur Verfügung gestellten Versichertendaten betrifft.
Gemäss Publica-Update vom Dienstag sind keine Fälle bekannt, «in denen Personen nachweislich im Zusammenhang mit dem Cyberangriff kontaktiert oder geschädigt wurden». Auch würden weiterhin keine Hinweise vorliegen, dass Daten aus dem Angriff im Darknet veröffentlicht wurden.
Publica-Sprecherin Beatrice Rychen erklärt:
Die Kommunikationschefin versichert:
Die PK Softech AG zählt verschiedene Schweizer Pensionskassen zu ihren Kundinnen. Im Fall der Pensionskasse des Bundes (Publica) sowie der Stadtzürcher Pensionskasse (PKZH) befürchten die Verantwortlichen, dass unverschlüsselte Versichertendaten abgeflossen sein könnten.
Insider-Informationen?
Droht der Verkauf sensibler Daten an fremde Geheimdienste?
Grundsätzlich ja.
Hier muss aber strikt zwischen Fakten und Spekulationen getrennt werden. Dass Tarnidentitäten von Elitesoldaten, Bundespolizisten und Agenten des Nachrichtendienstes (NDB) betroffen sind, ist kein gesicherter Fakt.
Der «Tages-Anzeiger», der als erstes Akira als Täterschaft benannte, schrieb am 20. Oktober, dies könnte der Fall sein. Der Bund habe wegen der Risiken eine Taskforce eingerichtet. Zuvor hatte der «SonntagsBlick» berichtet, die «Sicherheitsorgane des Bundes» seien «besonders betroffen».
Dass Akira diese sensiblen Daten nun gezielt an fremde Staaten verkaufen will, ist zum aktuellen Zeitpunkt nur eine Befürchtung, respektive das Worst-Case-Szenario. Hinweise auf entsprechende Deals liegen keine vor.
Wurde gegen das Informations-Sicherheitsgesetz (ISG) verstossen?
Das bleibt wohl die juristische Kernfrage für die Aufsichtsbehörden, allen voran den Eidgenössischen Datenschutzbeauftragten (EDÖB). Seit April 2025 gilt gemäss ISG eine strikte 24-Stunden-Meldepflicht für Cyberangriffe auf kritische Infrastrukturen und deren Lieferanten.
Da PK Softech nachweislich unmittelbar nach dem Cyberangriff allgemeine Erpresserschreiben erhielt, hätte der Vorfall dem Bundesamt für Cybersicherheit (BACS) umgehend gemeldet werden müssen. Ob die Firma das wahre Ausmass anfangs unterschätzte oder gesetzliche Fristen missachtete, klärt nun der EDÖB. Bei Zuwiderhandlung drohen empfindliche Bussen von bis zu 100'000 Franken.
Quellen
- publica.ch: Informations-Seite zum Cyberangriff auf Softwarelieferanten
- srf.ch: «Tagesschau»-Hauptausgabe vom 10. November
- srf.ch: «10 vor 10» vom 10. November
- srf.ch: Hacker fordern Lösegeld nach Angriff auf Publica-Lieferantin (10. November)
- tages-anzeiger.ch: Versäumnis bei kleiner Firma verursachte den Daten-GAU des Bundes (21. Oktober, aktualisiert am 28. Oktober)
- tages-anzeiger.ch: Berüchtigte Hacker haben Daten von Alt-Bundesräten und erpressen die Schweiz (20. Oktober)
- blick.ch: Daten-Debakel beim Bund - «Besonders betroffen sind die Sicherheitsorgane» (18. Oktober)
- cisa.gov: Akira Ransomware (2025)
