Ende September wurde die PK Softech AG, eine externe Softwarelieferantin der BLVK, trotz hoher Sicherheitsstandards Opfer eines Cyberangriffs. Die ersten Ermittlungen haben ergeben, dass dabei Personendaten abgeflossen sind. Ob auch Daten der BLVK und ihrer Versicherten betroffen sind, steht noch nicht fest.

Die PK Softech AG ist eine externe Softwarelieferantin der BLVK. Sie hat bei der BLVK ein Verwaltungssystem für den Versichertenbestand installiert: Mit dieser Software werden zum Beispiel Eintritte, Mutationen und Austritte erfasst. Diese Daten werden direkt bei der BLVK verarbeitet und gesichert. Sie werden nicht bei PK Softech gehostet – die Softwarelieferantin hat einzig für Testzwecke Zugriff auf die Personendaten.

Die BLVK darf Personendaten von Versicherten durch beauftragte Dienstleister wie die PK Softech AG bearbeiten lassen, soweit es für die Erfüllung ihres gesetzlichen Auftrags notwendig ist. Darunter fällt auch der Betrieb der Verwaltungssysteme. Eine Einwilligung der versicherten Personen braucht es dazu nicht. Die rechtliche Grundlage ist in Art. 85a BVG festgelegt.

Der Cyberangriff richtete sich gegen die PK Softech AG. Betroffen sind ihre Systeme. Das Verwaltungssystem, mit dem die BLVK Sparguthaben verwaltet und Renten auszahlt, ist von diesem Angriff nicht betroffen. Der Betrieb bei der BLVK läuft normal.

Das steht noch nicht fest. Die BLVK und die PK Softech AG klären diese Frage in laufenden Untersuchungen. Bis Klarheit besteht, müssen wir davon ausgehen, dass auch Daten unserer Versicherten betroffen sein könnten.

Folgende Daten könnten betroffen sein:

• Vorname, Name, Geburtsdatum
• AHV-Nummer und Zivilstand
• Adresse, Telefonnummer, E-Mail-Adresse
• Vorsorgedaten: Lohn, versicherter Lohn, Vorsorgeguthaben
• Angaben zu Angehörigen: Ehepartnerin oder Ehepartner, Kinder, Lebenspartnerin oder Lebenspartner
• Rentenart, z. B. Altersrente
• IBAN-Nummer

Sobald feststeht, ob und in welchem Umfang Personendaten von der BLVK betroffen sind, werden wir Sie persönlich per Brief informieren. Zurzeit dauern die Untersuchungen noch an. Neue Erkenntnisse veröffentlichen wir laufend auf dieser Seite.

Ja, möglicherweise. Zu den Daten, die betroffen sein könnten, gehört auch die Rentenart. Es ist aber eher unwahrscheinlich, dass Personen betroffen sind, welche die BLVK bereits verlassen haben.

Sollte sich herausstellen, dass ehemalige Versicherte auch betroffen sind, so werden selbstverständlich auch sie direkt informiert.

Nein. Sensible Daten (beispielsweise im Zusammenhang mit dem Gesundheitszustand einer invaliden Person) werden nicht im Verwaltungssystem verwaltet. Deshalb können solche Informationen nicht durch diesen Angriff abgeflossen sein.

Ja. Die Vorsorgegelder und Renten sind sicher und durch den Vorfall nicht gefährdet.

Nein. Mit Angaben wie dem Vornamen und Namen, der AHV-Nummer oder der IBAN allein kann niemand Geld bei der BLVK beziehen. Für eine Auszahlung braucht es ein schriftliches, unterschriebenes Gesuch und eine Prüfung Ihrer Identität. Bei Verheirateten braucht es für jegliche Kapitalauszahlung zusätzlich die schriftliche Zustimmung der Ehepartnerin oder des Ehepartners. Eine Änderung der Bankverbindung prüft die BLVK zusätzlich nach.

Betrüger können die Daten aber nutzen, um gegenüber Versicherten glaubwürdig aufzutreten. Wichtig: Die BLVK fordert Sie nie auf, Geld zu überweisen oder Ihre Bankverbindung per E-Mail oder Telefon zu ändern.

Betrügerinnen und Betrüger nutzen oft echte persönliche Angaben, um vertrauenswürdig zu wirken. Seien Sie besonders vorsichtig, wenn:

• Sie unerwartet angerufen werden oder ein E-Mail oder ein SMS erhalten, das sich auf die BLVK oder Ihre Vorsorge bezieht.
• Sie unter Zeitdruck gesetzt werden.
• Sie nach Passwörtern, Codes oder Bankdaten gefragt werden.
• Sie einen Link anklicken oder einen Anhang öffnen sollen.

Die BLVK fragt Sie nie am Telefon, per E-Mail oder per SMS nach Passwörtern oder Codes. Wir verlangen auch nie Bankdaten über Links und fordern Sie nicht über Links zu Zahlungen auf.

• Geben Sie keine persönlichen Angaben, Passwörter oder Codes weiter.
• Klicken Sie nicht auf Links und öffnen Sie keine Anhänge.
• Beenden Sie das Gespräch, wenn Sie unsicher sind.
• Kontaktieren Sie die BLVK unter der offiziellen Nummer +41 31 930 83 83.

Wichtig: Falls Sie Passwörter oder Zugangsdaten weitergegeben haben, ändern Sie diese sofort. Falls Sie Bankdaten oder Sicherheitscodes preisgegeben haben, kontaktieren Sie sofort Ihre Bank. Erstatten Sie Anzeige bei der Polizei und informieren Sie die BLVK, wenn der Vorfall Ihre Vorsorge betrifft.

Nein. Das Arbeitgeberportal und das Versichertenportal «myBLVK» sind vom Angriff auf die Umgebung von PK Softech nicht betroffen. Sie werden beide bei einem Drittanbieter gehostet.

Die BLVK hat den Cyberangriff den zuständigen Behörden gemeldet und Strafanzeige erstattet. Gemeinsam mit der PK Softech AG klärt sie ab, ob und in welchem Umfang Daten der BLVK betroffen sind.

Nachdem die PK Softech AG den Angriff bemerkt hatte, trennte sie die betroffene Umgebung umgehend vom Netz. Sie zog externe Spezialistinnen und Spezialisten bei, informierte die zuständigen Behörden und erstattete Strafanzeige. Die staatlichen Ermittlungsbehörden haben ihre Arbeit aufgenommen.

Sobald neue Erkenntnisse vorliegen, informieren wir Sie auf dieser Seite. Das Datum der letzten Aktualisierung finden Sie jeweils oben auf der Seite. Falls Ihre persönlichen Daten betroffen sind, informieren wir Sie per Post mit einem Schreiben.

Telefon: +41 31 930 83 83
E-Mail: info@blvk.ch