Datenschutz ist auch eine Führungsaufgabe
Von Sandra Willmeroth
Der Cyberangriff auf den Softwareanbieter PK Softech Ende September hat einmal mehr gezeigt, wie verwundbar die IT-Infrastruktur der beruflichen Vorsorge ist. Bei dem Angriff wurden Daten mehrerer Pensionskassen entwendet, darunter auch solche der Pensionskasse des Bundes Publica. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat inzwischen eine Untersuchung über den Umfang der abgeflossenen Daten und über die rechtlichen Rahmenbedingungen ihrer Weitergabe an den Dienstleister eingeleitet.
Der Fall wirft ein Schlaglicht auf ein grundsätzliches Problem der beruflichen Vorsorge: Viele Pensionskassen haben ihre IT und Teile der Administration an externe Dienstleister ausgelagert, was insbesondere für kleinere Vorsorgeeinrichtungen sinnvoll ist, denen die personellen und finanziellen Ressourcen für eigene IT-Abteilungen fehlen. Spezialisierte Anbieter können solche Aufgaben häufig effizienter und kostengünstiger erfüllen. Wodurch allerdings auch Abhängigkeiten entstehen. Pensionskassen müssen sich darauf verlassen können, dass ihre Dienstleister die vereinbarten Sicherheitsstandards einhalten und mit den ihnen anvertrauten Daten sorgfältig umgehen. Eine vertragliche Zusicherung allein bietet dafür noch keine Gewähr.
Vorsorgeeinrichtungen sind attraktive Ziele für Hacker, weil sie über umfangreiche persönliche Informationen ihrer Versicherten verfügen. Nebst Namen, Adressen und AHV-Nummern gehören dazu Lohnangaben, der Umfang der Vorsorgeguthaben und teilweise auch persönliche Angaben zu Invalidität oder Hinterlassenenleistungen. Ein unbefugter Zugriff kann deshalb weitreichende Folgen haben. Die Verantwortung für den Schutz dieser Versichertendaten liegt nicht allein bei den beauftragten IT-Unternehmen, ebenso sind die Führungsorgane der Vorsorgeeinrichtungen hier gefordert. Denn nach Art. 51a BVG trägt das oberste Organ der Vorsorgeeinrichtung die Gesamtverantwortung für die Führung der Organisation und dazu gehört auch die angemessene Überwachung ausgelagerter Dienstleistungen. Zur Wahrnehmung dieser Verantwortung gehören beispielsweise regelmässige Kontrollen und nachvollziehbare Verfahren für die Aufbewahrung und Löschung von Daten – wobei es vermutlich aber auch mit umfassenden Kontrollmechanismen nie eine vollständige Sicherheit geben wird. Umso wichtiger ist es, mögliche Schwachstellen frühzeitig zu erkennen und für den Ernstfall vorbereitet zu sein.
Der Vorfall bei PK Softech bietet deshalb einen guten Anlass für Pensionskassen, ihre bestehenden Vereinbarungen und Kontrollprozesse zu überprüfen. Denn mit der zunehmenden Digitalisierung der beruflichen Vorsorge wächst nicht nur die Bedeutung effizienter IT-Systeme, sondern auch die Verantwortung für die Sicherheit der darin gespeicherten Daten.
