Datenabfluss bei Ameos-Kliniken nach Cyberangriff; DSGVO-Verfahren laufen

Im Juli 2025 hatte ich über IT-Ausfälle bei Ameos-Kliniken und Einrichtungen berichtet und dann herausgefunden, dass ein Cyberangriff die Ursache war (der Betreiber mauerte tagelang). Nun stellt sich heraus, dass bei diesem Angriff Daten von Patienten abgeflossen sind. Und Ameos hat die Betroffenen nicht informiert, sondern erwartet, dass Patienten anfragen. Mittlerweile laufen aus verschiedenen deutschen Bundesländern DSGVO-Prüfverfahren gegen Ameos.

Rückblick auf den Cybervorfall bei Ameos

Die AMEOS Group aus der Schweiz betreibt mit 8.000 Mitarbeitern, als einer der größten Anbieter im Medizinbereich, 101 Kliniken und weitere medizinische Einrichtungen mit über 10.900 Betten in Deutschland, Österreich und der Schweiz.

Mir waren Anfang Juli 2025 aus diversen Quellen Berichte über massive IT-Probleme in deutschen Kliniken gemeldet worden. Ich hatte zum 8. Juli 2025 im Blog-Beitrag IT-Ausfall in deutschen Kliniken (7.-8. Juli 2025); Ameos betroffen – was ist da los (Citrix Bleed 2)? über diese Meldungen berichtet und seitdem kontinuierlich Informationen nachgetragen.

Aus dem initialen Bild war bald klar, dass es bei Ameos seit dem 7. Juli 2025 eine deutschlandweite IT-Störung gab, die eigentlich alle Ameos-Einrichtungen betraf. Meine Information lautete, dass ein zentraler IT-Dienstleister in Deutschland mutmaßlich gehackt worden war. Vom Betreiber wurde aber nach meinen Beobachtungen massiv gemauert. Auf Medienanfragen teilte Ameos nur mit, das die Ursache in Zusammenarbeit mit einem Dienstleister bekannt sei und behoben werde. Es wurde von einem Netzwerkfehler gesprochen, ohne nähere Erläuterungen zu geben.

Ich ging, auf Grund mir vorliegender Informationen (Notebooks von der IT in Einrichtungen einkassiert, alles abgeschaltet), frühzeitig von einem Cyberangriff aus. Und ich hatte eine Vermutung im Hinblick auf eine mögliche Ursache (Citrix-Bleed2) in den Raum gestellt. Quellen berichteten mir, dass massiv Druck auf die Belegschaft ausgeübt werde, nur nichts nach außen dringen zu lassen. Zum Schutz der Quellen hatte ich sogar bestimmte Informationen aus meinen Beiträgen rausgelassen oder nachträglich entfernt.

Zum 9. Juli 2025 schickte ich der Ameos-Presseabteilung in der Schweiz eine eigene Presseanfrage und habe darauf hingewiesen, dass ich als IT-Blogger die Leserschaft gerne etwas detaillierter über diese IT-Probleme informieren wolle. In der Anfrage hatte ich geschrieben: "Ich kenne es, dass Anbieter zeitnah grob angeben, welche Dienste und Software-Produkte betroffen sind. Im Anschluss wird ein Incident-Report veröffentlicht, der den IT-Technikern ggf. die Möglichkeit eröffnet, zu reagieren und Gegenmaßnahmen zu ergreifen, um eine Störung künftig zu vermeiden." In der Anfrage hatte ich konkrete Fragen gestellt und mein Blog-Beitrag zum vermuteten Cybervorfall war da ja schon online.

Auf meine konkrete Anfrage, welche IT-Dienste und Produkte der Ameos-Gruppe betroffen sind, welche Folgen die Einschränkung der Dienste habe, welche Einrichtungen betroffen waren und was der genaue Grund für die IT-Probleme sei, habe ich bis heute keine Antwort bekommen.

Gut Ameos ist nicht verpflichtet, mir als IT-Blogger Auskunft zu geben. Ich hatte aber "den Ball ins Spielfeld geworfen", damit die Verantwortlichen das aufgreifen und was draus hätten machen können. Die Verantwortlichen der Südwestfalen IT hatten diesen Ball seinerzeit aufgegriffen und mir nach dem Cybervorfall den Incident-Report zukommen lassen, aus dem ich  für die Leserschaft frei zitieren durfte.

Von Ameos erhielt ich lediglich eine allgemeine Pressemitteilung, in der ein Cybervorfall eingestanden wurde. Ich hatte dies dann zum 9. Juli 2025 im Blog-Beitrag Ameos-Klinikverbund: IT-Ausfall Folge eines Hacker-/Cyberangriffs aufbereitet.

Datenabfluss, Informations-GAU und DSGVO-Verfahren

Es mag sein, dass bestimmte Informationen aus juristischer Sicht gerne unter dem Deckel gehalten werden, um sich nicht bezüglich Schadensersatzanforderungen zu exponieren. Aber eine "Deckel drauf-Politik" rächt sich meist und die Karre ist schnell richtig in den Dreck gefahren.

Bei dem Cyberangriff sind wohl leider Daten von Patienten abgeflossen. Das geht aus der von Ameos geschalteten DSGVO-Auskunftsseite nach §35  (siehe obiges Bild) hervor. In diesem Kommentar hatte ein Blog-Leser zum 28. August 2025 auf diese Seite hingewiesen und dazu geschrieben:

Auf deren Website kann man nun ein Formular nach §34 ausfüllen, um Infos zu bekommen, ob man von dem Datenleck betroffen ist. Ein Pflichtfeld u.A. ist, dass mein eine Kopie seiner Personalausweises hochlädt. Also da traf mich doch der Schlag.

Sie haben nicht nur 1x beweisen, dass sie nicht mit Patientendaten umgehen können und nun wollen sie noch mehr wertvolle Daten von mir. Ich finde es ein Graus. Wenn mein Perso einmal im Darknet gelandet ist, dann kann ich mir gleich eine neue Identität zulegen.

Es ist natürlich eine schwierige Kiste, Ameos muss sicherstellen, dass keinen "falschen Personen" eine DSGVO-Auskunft zugestellt wird. Andererseits sehe ich eine "Ja-/Nein-Entscheidung" zur Betroffenheit, ohne weitere Details unkritisch.

Laut diesem MDR-Bericht hat die Ameos-Gruppe einen "kurzzeitigen" Zugriff auf Daten der IT eingestanden und auch fristgerecht eine DSGVO-Meldung bei den Landesdatenschutzbeauftragten eingereicht. Aber laut DSGVO muss der Betreiber direkt die Betroffenen informieren.

Die von Ameos praktizierte "Umkehr", dass potentiell Betroffene sich freiwillig melden sollen, stößt bei Landesdatenschutzbeauftragten auf heftige Kritik, wie der MDR in diesem Artikel offen legt. Patienten der Ameos-Kliniken, die wissen wollen, ob und mit welchen Daten sie vom Datenleck betroffen sind, haben Beschwerde bei den zuständigen Landesdatenschutzbeauftragten wegen der Vorgehensweise von Ameos eingereicht.