Eidgenössisches Departement des Innern EDI

Bundesamt für Sozialversicherungen BSV Direktionsstab DS – IT-Management ITM

eGov-Mitteilung Nr. 061 vom 18.11.2025 Geht an: • Die Durchführungsstellen der 1. Säule/FamZ • Durchführungsorgane nach Art. 14 FamZG

Betreff: Ablösung Vasco Token. Aktueller Stand und Planung.

Ablösung Vasco-Token durch AGOV. Aktueller Stand und Planung.

Ausgangslage Für den Zugriff auf besonders schützenswerte Personendaten im Rahmen der Durchführung der 1. Säule/FamZ werden als zweiter Loginfaktor seit mehreren Jahren die sog. Vasco-Token eingesetzt. Ein Vasco-Token ist ein kleines elektronisches Gerät, das zeitbasierte Einmalpasswörter (sog. One- Time Passwords) ausgibt. Ein One-Time Password wird nach der Eingabe der üblichen Logindaten wie Benutzername und Passwort angefordert und erhöht die Sicherheit erheblich. Die Kosten für die Be- schaffung und den Betrieb der Vasco-Token sind hoch. Die Ausgleichsfonds der 1. Säule werden dies- bezüglich jährlich mit ca. CHF 400'000 belastet.

Mit dem Behördenlogin AGOV stellt die Bundesverwaltung gemeinsam mit den Kantonen und Gemein- den einen Identitätsprovider zur Verfügung, der die Vasco-Token überflüssig macht.

Aktueller Stand Es sind zwei Fälle zu unterscheiden, wie die Vasco-Token für das Login der Applikationen der

1. Säule/FamZ verwendet werden:

• Fall 1: Für das Login in eine Applikation wird der Identitätsprovider CH-LOGIN in Kombination mit einem Vasco-Token als zweiter Faktor verwendet. Seit September 2025 ist es nicht mehr möglich, ein CH-LOGIN mit einem neuen Vasco-Token zu verknüpfen. Ende 2027 wird das CH-LOGIN ausser Betrieb gesetzt. Somit müssen CH-LOGINS zeitnah auf AGOV migriert werden. Für die Migration steht ein webbasierter Migrationsassistent zur Verfügung. Dieser wird ausgelöst, sobald beim Zugriff auf eine Applikation nicht mehr ein bestehendes CH-LOGIN verwendet, sondern ein neues AGOV- Konto registriert wird (Weitere Informationen finden Sie hier). Wird der Migrationsprozess von CH- LOGIN auf AGOV korrekt abgeschlossen, verfügt das neue AGOV-Konto über ein äquivalentes Au- thentifizierungsniveau wie vorhin beim CH-LOGIN und es ist keine zusätzliche Video-Identifikation erforderlich.

• Fall 2: Für das Login in eine Applikation wird der Identitätsprovider OTP-LOGIN in Kombination mit einem Vasco-Token als zweiter Faktor verwendet. OTP-LOGIN wird insbesondere für den Zugriff auf Telezas3 oder SWAP verwendet. Für diese Login-Methode sind zurzeit KEINE Massnahmen notwendig. Die Bundeskanzlei, die ZAS und das BSV erarbeiten zurzeit die technischen Grundlagen und insbesondere einen Pfad für die Migration der OTP-LOGINs auf AGOV. Geplant ist eine Migra- tion ab 2027, welche durch die Spezialisten der ZAS eng begleitet wird.

Effingerstrasse 20, CH-3003 Bern www.bsv.admin.ch

061_egov-mitteilung-d_2025-11-18.docx

Fazit • «CH-LOGIN» in Kombination mit Vasco-Token müssen zeitnah auf AGOV migriert werden. Bei kor- rekter Durchführung des webbasierten Migrationsassistenten steht nach der Migration auf AGOV dasselbe Authentifizierungsniveau zur Verfügung wie bei «CH-LOGIN». • OTP-LOGIN in Kombination mit Vasco-Token werden voraussichtlich 2027 auf AGOV migriert. Die genaue Planung wird zu gegebener Zeit kommuniziert. • Es kann sein, dass Mitarbeitende der Durchführungsstellen bereits mit AGOV auf Applikationen der 1. Säule/FamZ zugreifen können, aber für den Zugriff z.B. auf Telezas3 oder SWAP weiterhin OTP- LOGIN in Kombination mit einem Vasco-Token nutzen müssen.

Wir danken Ihnen für die Kenntnisnahme.

Der Bereich DS/ITM

Für allfällige Fragen wenden Sie sich an egov@bsv.admin.ch

2/2

061_egov-mitteilung-d_2025-11-18.docx