Der kriminelle Hacker-Angriff auf die Computersysteme des Schweizer Klinik- und Pflegedienst-Anbieters Ameos am Montag, 7. Juli 2025, hatte doch schwerwiegendere Folgen als bisher bekannt. Ameos betreibt in Oberhausen neben Pflegeeinrichtungen die wichtigen Kliniken St. Clemens (Sterkrade) und St. Josef (Alt-Oberhausen).

„Im Rahmen der laufenden Prüfungen und Ermittlungen hat sich bestätigt, dass die Täter an einigen Standorten der Ameos-Gruppe unrechtmäßig auf einen Teil der personenbezogenen Daten zugreifen konnten“, schreibt Ameos-Kommunikationsleiterin Erken Schröder aus Zürich. „Betroffen sind die deutschen Einrichtungen der Ameos-Gruppe – darunter möglicherweise auch personenbezogene Daten der Ameos-Einrichtungen Oberhausen.“

Personenbezogene Daten können neben Namen, Bankverbindung und Mail-Adresse auch Diagnose-Daten sein. Auf Nachfrage der Redaktion kann die Schweizer Holding nicht angeben, welche Art von Daten betroffen sind. Jährlich versorgt die Ameos-Gruppe nach eigenen Angaben in der Schweiz und in Deutschland eine halbe Million Menschen. Theoretisch kann jeder Patient, jeder Pflegebedürftige in den Oberhausener Gesundheitseinrichtungen von Ameos betroffen sein.

Nach Hacker-Angriff: Ameos fordert zur Datenprüfung auf Webseite auf

Eine pauschale Aussage jedenfalls kann Ameos nicht treffen. „Ob im Einzelfall personenbezogene Daten betroffen sind, muss leider aufwendig und individuell geprüft werden.“ Deshalb fordert Ameos nun alle Patienten und Pflegebedürftigen bzw. deren Angehörige auf, auf einer speziell eingerichteten Webseite des Unternehmens prüfen zu lassen, ob auch ihre Daten von den kriminellen Tätern abgezweigt worden sind.

Das ist alleine schon deshalb im Eigeninteresse der Ameos-Kunden, weil die persönlichen Daten missbräuchlich verwendet werden können. „Es kann nicht ausgeschlossen werden, dass diese Daten im Internet zum Nachteil der betroffenen Personen verwendet werden oder Dritten zugänglich gemacht werden“, gibt Ameos an. „Die Angreifer könnten beispielsweise die erlangten Daten wie E-Mail-Adressen dazu nutzen, die Betroffenen in Betrugsmaschen zu verwickeln.“ Man solle deshalb auf verdächtige Mails mit Links in seinem Mail-Postfach achten.

Ameos erstattet Strafanzeige nach Cyber-Angriff

Das Auskunftsformular und weitere Detail-Infos findet man unter folgender Internetadresse: https://www.ameos.eu/datenschutz/datenschutzvorfall-gem-art-34-dsgvo/. Dabei muss man nicht nur Angaben zur Person ausfüllen, sondern auch noch die Kopie des Personalausweises hochladen - um die Identität des möglicherweise betroffenen Bürgers nachweisen zu können. „Jeder Antrag wird sorgfältig geprüft und individuell beantwortet“, versichert Schröder.

Ameos spricht von einer kriminellen Attacke, an der das Unternehmen keine Schuld habe. Beim Landeskriminalamt hat Ameos deshalb Strafanzeige erstattet. „Die Ameos-Gruppe wurde unverschuldet Opfer eines kriminellen Cyberangriffs“, meint Ameos-Vorstand Freddy Eppacher. „Ein Angriff auf Einrichtungen des Gesundheitswesens wiegt besonders schwer, weil diese Orte der Hilfe, Sicherheit und Fürsorge sind. Meist zielen derlei Angriffe bewusst auf die Schwächung der kritischen Infrastruktur ab, was besonders niederträchtig ist.“

Patientenversorgung trotz Angriff gesichert

Die IT-Abteilung von Ameos hatte am Montagabend, 7. Juli 2025, den Angriff registriert - und vorsorglich alle IT-Systeme abgeschaltet. Tagelang arbeiteten die IT-Experten daran, dass die gesamte Computertechnik wieder rund läuft. Dabei waren auch die digitalen medizinischen Anwendungen betroffen. Vorstand Eppacher bedankt sich deshalb ausdrücklich bei der gesamten Belegschaft, die diese schwierige Zeit mit vielen Anstrengungen überwunden hat. „Dank des koordinierten Engagements aller Teams blieb die Versorgung der Patientinnen und Patienten jederzeit gesichert. Die Ameos-Gruppe blieb medizinisch jederzeit einsatzbereit.“

Die Datenschutz-Grundverordnung

Im Artikel 82 heißt es: „Jeder an einer Verarbeitung beteiligte Verantwortliche haftet für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wurde.“ Man wird von der Haftung nur befreit, wenn der Datenverarbeiter, hier Ameos, nachweist, „dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist“.

Konkrete Fragen der Redaktion nach einem möglichen Schadenersatz für einstige Patienten, deren Daten durch den Cyberangriff gestohlen worden sind, ließen die Schweizer zunächst unbeantwortet. Nach der Datenschutzgrundverordnung (DSGVO) ist allerdings nicht ausgeschlossen, dass ein Schadenersatzanspruch der Betroffenen besteht.

Am 29. August reagierte Ameos dann noch einmal mit den Worten: „Selbstverständlich kommt die AMEOS Gruppe den Vorgaben nach Art. 34 DSGVO proaktiv nach – unabhängig davon, ob die bereitgestellten Formulare genutzt werden oder nicht. Betroffene Personen werden unaufgefordert nach Abschluss des Prüfverfahrens (postalisch) informiert, sofern ihre personenbezogenen Daten betroffen sind.

• Alle Nachrichten aus Oberhausen lesen Sie hier.+++Abonnieren Sie unseren Oberhausen-Newsletter per Mail (Newsletter-Anmeldung) und unseren kostenlosen Familien-Newsletter+++Folgen Sie uns auf Facebook oder Instagram+++Themenseiten: Polizei und Feuerwehr, Centro, Karls Erlebnis-Dorf, Serie: „Die starken Macher unserer Wirtschaft“, Wohnen und Immobilien, Gastro, Baustellen, Kitas, Schulen, Fronleichnamskirmes, RWO, Lokalsport+++Laden Sie die News-App aufs Handy (Android-Version, Apple-Version).

Die Nutzung der Formulare ist demnach freiwillig und nicht erforderlich, um die Informationen gem. Art. 34 DSGVO zu erhalten. Sie könne jedoch auf freiwilliger Basis dazu beitragen, die Bearbeitungsdauer zu verkürzen, teilt Ameos weiter mit. „Darüber hinaus weisen wir darauf hin, dass es im Zuge des Cyberangriffs keinen zentralen Datenabfluss aus den klinischen Informationssystemen sowie den Personalmanagementsystemen gegeben hat.“