Was ist passiert?
Anfang Oktober bestätigte der Bund: Publica, die Pensionskasse des Bundes, wurde über deren Softwarelieferantin PK Softech AG Opfer eines Cyberangriffs. Rund 112'000 Betroffene wurden benachrichtigt und vor Kontaktaufnahmen durch die Hacker gewarnt.
Die Beute: Name, Vorname, Geburtsdatum, AHV‑Nummer, Adresse, Telefonnummer, E‑Mail-Adresse, Zivilstand sowie Vorsorgedaten wie Lohn und das Vorsorgeguthaben, zudem Angaben zu den Ehe- oder Lebenspartnern.
Was ist neu?
Jetzt, rund einen Monat später, berichtet das SRF von einer Lösegeldforderung, die bei den Behörden eingegangen sein soll. Die Hacker drohen laut dem Bericht, die erbeuteten Daten zu veröffentlichen oder weiterzuverkaufen.
Diese Daten haben es laut SRF in sich. Denn betroffen sind neben «normalem» Bundespersonal auch Mitarbeitende des Nachrichtendienstes des Bundes (NDB) und des Bundesamts für Polizei (Fedpol). Diese arbeiten zum Teil mit verdeckten Identitäten. Auch Alt Bundesrätinnen und Alt Bundesräte sind potenziell vom Diebstahl betroffen.
Zwar bestätigen weder die Publica, noch die PK Softech AG gegenüber «Schweiz heute» eine Lösegeldforderung, jedoch bestätigen gegenüber SRF «mehrere Quellen», dass das Verteidigungsdepartement (VBS) von der Erpressung wisse.
Wie reagiert der Bund?
Das ist nicht bekannt. Zwar hat der Bundesrat in seiner letzten Sitzung über den Fall Publica gesprochen, über die Inhalte dieses Gesprächs ist jedoch nichts bekannt.
Hinweise über die Reaktion des Bundes gibt lediglich die seit dem Angriff verstrichene Zeit. Akira wird meist schnell nach dem Erbeuten der Daten aktiv und stellt Forderungen. Da bis jetzt keine Daten veröffentlicht wurden, spricht einiges dafür, dass entweder Lösegeld geflossen ist oder Akira die Daten weiterverkauft hat. Nicht auszuschliessen ist, dass Verhandlungen immer noch laufen.
Wer sind die Hacker?
Hinter dem Angriff auf die Publica steht die Hackergruppe Akira Ransomware Group. Sie ist eine der weltweit aktivsten und gefährlichsten Cyberbedrohungen, die vor allem kleine und mittlere Unternehmen sowie kritische Infrastrukturen in Nordamerika, Europa und dem DACH-Raum ins Visier nimmt.
Für ihre Attacken setzt die Gruppe auf eine Kombination aus Schwachstellen im IT-System der Firmen sowie Techniken wie Phishing und Password Spraying. Nach dem Eindringen in das System legen die Angreifer administrative Konten an, deaktivieren das Sicherheitssystem, stehlen sensible Unternehmensdaten und löschen diese dann auf den Firmenservern. Dann werden die Opfer-Firmen erpresst, wobei die Lösegeldforderungen häufig passgenau an die vorhandenen Versicherungssummen der Opfer festgelegt werden.
Insgesamt wird Akira mit rund 200 Attacken auf Schweizer Unternehmen und Strukturen in Verbindung gebracht. Im Jahr 2025 etwa nahm die Gruppe Schweizer Präzisionshersteller Keller Laser, Vardeco, J. Schneeberger Maschinen und Pibor Iso ins Visier.
