Am Abend des 7. Juli 2025 schaltete die IT-Abteilung der Ameos-Klinikgruppe sämtliche digitalen Systeme ab. Ein Cyberangriff hatte die Organisation von mehr als 100 Kliniken und Krankenhäusern an mehr als 50 deutschen Standorten lahmgelegt. Röntgengeräte blieben stumm. Laborergebnisse ließen sich nicht abrufen, die Kommunikation mit Rettungsleitstellen funktionierte nicht mehr, Ärzte gaben auf: Einige griffen wieder auf handschriftliche Dokumente zurück.
Wochen später stellte der Konzern, der eigenen Angaben zufolge mehr als eine halbe Million Patienten im Jahr behandelt, klar: Kriminelle hatten Patientendaten und Beschäftigtendaten aus dem Unternehmen erbeutet. Das ist beileibe kein Einzelfall. Das Bundeskriminalamt meldete in seinem Bundeslagebild Cybercrime 2024 insgesamt 131.391 Fälle mit Tatort Deutschland und millionenfach Straftaten aus dem Ausland. Was Kliniken und Konzerne trifft, hat längst auch den Privatanwender am heimischen Bildschirm im Visier.
Phishing, Ransomware & die Industrialisierung des Betrugs
Eine Untersuchung von Bitkom unter 1.021 Internetnutzenden, veröffentlicht im März 2025, kam zu einem klaren Befund: 61 Prozent hatten innerhalb der vorangegangenen zwölf Monate persönlich Erfahrungen mit Cyberkriminalität gemacht. Phishing-Mails zählen zu den häufigsten Einfallstoren. Nach den Daten von AAG Information Technology liegt Deutschland hier 2024 weltweit auf dem zweiten Platz.
Die Methoden haben sich geändert. Während man früher auf schlecht formatierte E-Mails mit offensichtlichen Rechtschreibfehlern stieß, setzen die Angreifer heute auf KI-generierte Nachrichten. Die Sicherheitsfirma Proofpoint berichtete 2025, dass man Business Email Compromise jetzt mit Deepfake-Audio kombiniert. Mithilfe einer täuschend echt gefälschten Sprachnachricht vom angeblichen Geschäftsführer, in der darum gebeten wird, Geld zu überweisen, sei das Opfer leicht zu überzeugen. Gleichzeitig machen Phishing-as-a-Service-Plattformen den technischen Einstieg in die Cyberkriminalität immer leichter. Wer früher Kenntnisse in der Programmierung brauchte, kauft heute ein fertiges Angriffspaket im Darknet.
Gruppen, die sich auf Ransomware wie Qilin spezialisiert haben, haben den Erpressungsvorgang laut dem OpenText Nastiest Malware Report 2025 mit eigenen Verhandlungsführern professionell gestaltet. Der Angriff auf die Ameos-Kliniken zeigt: Nicht einmal die kritische Infrastruktur im Gesundheitswesen ist ausreichend geschützt. Das Bundesamt für Sicherheit in der Informationstechnik verzeichnete in seinem Lagebericht 2025 im Zeitraum der Meldung durchschnittlich 119 neue Schwachstellen pro Tag.
Wie Nutzer seriöse Angebote von Betrug unterscheiden
Gegen gefälschte Online-Shops, Betrüger, die sich Zugang zu Online-Bezahlverfahren verschaffen, und unseriöse Plattformen hilft vor allem eines: das Nachprüfen vor Eingabe persönlicher Daten der Anbieter. Die Verbraucherzentrale stellt mit dem Fakeshop-Finder ein kostenloses Werkzeug zur Verfügung, das Online-Shops vorab nach technischen und inhaltlichen Merkmalen auf ihre Seriösität prüft.
Gleiche Hinweise geben auch spezialisierte Bewertungsportale wie jene für Finanzdienstleister oder renommierte Casino-Vergleichsportale wie casino.org/de-at/, auf denen sich lizenzierte Glücksspielanbieter anhand von Nutzerbewertungen oder den auf der Anbieterseite veröffentlichten Lizenzdaten und Sicherheitsstandards einordnen lassen. Solche Portale ersetzen nicht das eigene Vorsichtigsein, doch sie fassen viele Informationen zusammen, die Einzelnutzer selbst nur schwer alleine finden.
Ein Impressum, eine nachprüfbare Lizenzangabe, transparente Kontaktdaten und die Möglichkeit, auf gesicherten Wegen zu bezahlen, liefern erste Anhaltspunkte für Seriosität. Fehlen diese Merkmale, ist Skepsis angebracht. Die Verbraucherzentrale Hamburg meldete 2025 im Wochentakt neue Fakeshops, die mit kopierten Produktbildern und täuschend echtem Layout operierten.
Passkeys und das langsame Sterben des Passworts
Während die Angriffsmethoden raffinierter werden, verändert sich auch die Verteidigung. Das klassische Passwort, jahrzehntelang Grundlage jeder digitalen Zugangskontrolle, verliert seine Schutzwirkung. Eine 2025 veröffentlichte Untersuchung an 14,2 Millionen realen Passwörtern zeigte, dass ein KI-System 85,6 Prozent davon in unter zehn Sekunden knacken konnte. Achtstellige Kombinationen mit Sonderzeichen, lange als sicher eingestuft, bieten keinen verlässlichen Schutz mehr.
Die technische Alternative heißt Passkey. Bei der Registrierung erzeugt das System ein kryptografisches Schlüsselpaar. Der private Schlüssel verbleibt auf dem Gerät des Nutzers und verlässt es nie. Statt ein Passwort einzutippen, bestätigt der Nutzer den Login per Fingerabdruck oder Gesichtserkennung. Da der Schlüssel an ein bestimmtes Gerät und eine bestimmte Website gebunden ist, laufen Phishing-Versuche ins Leere. Es gibt kein Geheimnis, das gestohlen oder erraten werden könnte.
BSI-Präsidentin Claudia Plattner bezeichnete Passkeys als ein Beispiel dafür, wie technische Lösungen technischen Herausforderungen begegnen könnten. Microsoft kündigte an, ab März 2026 Passkey-Profile automatisch zu aktivieren und über seinen Entra-ID-Dienst synchronisierbar zu machen. Google hat die Technologie bereits für seine Gmail-Konten zur Standard-Anmeldemethode gemacht.
Was Nutzer heute tun können
Solange Passwörter nicht vollständig abgelöst sind, bleibt ein Mindestschutz notwendig. Fünf Maßnahmen reduzieren die Angriffsfläche spürbar:
• Passwortmanager nutzen, die für jeden Dienst einzigartige und lange Zugangsdaten erzeugen. Wer dasselbe Passwort auf mehreren Plattformen verwendet, gibt Angreifern nach einem einzigen Leak Zugang zu allen Konten.
• Zwei-Faktor-Authentifizierung per Authenticator-App aktivieren statt per SMS. SIM-Swapping-Angriffe können SMS-Codes abfangen, App-basierte Verfahren und Passkeys sind deutlich resistenter.
• Software-Updates zeitnah einspielen. Bekante Sicherheitslücken gehören zu den einfachsten Einfallstoren für automatisierte Angriffe.
• Unerwartete Nachrichten mit Skepsis behandeln, selbst wenn Absender und Layout vertraut wirken. Ein kurzer Blick auf die tatsächliche Absenderadresse entlarvt viele Phishing-Versuche.
• Unbekannte Online-Anbieter vor der Dateneingabe prüfen, etwa über den Fakeshop-Finder der Verbraucherzentrale oder spezialisierte Bewertungsportale. Der Aufwand beträgt wenige Minuten, kann aber erheblichen Schaden verhindern.
Keine dieser Maßnahmen bietet absoluten Schutz. Die IT-Abteilung der Ameos-Kliniken war professionell ausgestattet und wurde trotzdem getroffen. Für Privatpersonen liegt der Unterschied selten zwischen sicher und unsicher. Er liegt zwischen einem leichten und einem schwierigen Ziel. Am Standort Osnabrück dauerten die Ermittlungen zum Datenabfluss bei Ameos im Januar 2026 noch an.
Gastbeitrag/ Gewerbliches Angebot
