Von DerSchneider

Einleitung: Als die Geheimnisse einer Nation gestohlen wurden

Im Oktober 2020 durchlebte Finnland einen Albtraum, der das Vertrauen in den Schutz persönlichster Daten nachhaltig erschütterte. Fast 33.000 Menschen, die sich in psychotherapeutische Behandlung begeben hatten, mussten erfahren, dass ihre intimsten Geheimnisse – Kindheitstraumata, Suizidgedanken, Eheprobleme, sexuelle Sorgen – gestohlen, veröffentlicht und als Waffe gegen sie eingesetzt wurden. Was als gezielter Angriff auf einen einzelnen Psychotherapieanbieter begann, entwickelte sich innerhalb weniger Wochen zum größten Kriminalfall der finnischen Geschichte gemessen an der Zahl der Opfer. Der Fall Vastaamo ist weit mehr als eine Kriminalgeschichte – er ist ein Lehrstück über die Verwundbarkeit des Gesundheitswesens im digitalen Zeitalter, über die Grenzen der Strafverfolgung bei Cyberkriminalität und über die unauflösbare Spannung zwischen technischer Effizienz und dem Schutz der verletzlichsten Daten unserer Gesellschaft.

Die Tragödie begann mit einem fatalen Fehler: Das Unternehmen, das die intimsten Geheimnisse zehntausender Menschen verwaltete, hatte seine IT-Systeme nicht im Griff. Die Folgen dieses Versäumnisses hallen bis heute nach – in den Leben der Opfer, in den Gerichtssälen Finnlands und in den Gesetzen, die als Reaktion auf die Katastrophe entstanden.

1. Das Unternehmen: Vastaamo – „Das McDonald’s der Psychotherapie“

Um zu verstehen, warum dieser Hack eine ganze Nation erschütterte, muss man das Unternehmen kennen, das im Zentrum stand.

Psykoterapiakeskus Vastaamo wurde 2008 von Ville Tapio, einem Softwareentwickler, und seiner Mutter Nina Tapio, einer Psychotherapeutin, gegründet. Der Name bedeutet übersetzt etwa „Ort der Antworten“. Die Idee war ebenso einfach wie ambitioniert: Psychotherapie sollte für mehr Menschen zugänglich werden. Das finnische Gesundheitssystem machte es Patienten damals schwer, einen passenden Therapeuten zu finden – viele Psychotherapeuten arbeiteten in eigener Praxis, und Patienten mussten einzeln anfragen, bis sie einen Termin bekamen. Vastaamo wollte dieses Problem mit einem Onlineservice lösen, der Patienten und Therapeuten zusammenbringt.

Das Geschäftsmodell erwies sich als äußerst erfolgreich. Vastaamo expandierte rasant:

Jahr	Entwicklung
2008	Gründung als Online-Plattform
2012	Eröffnung des ersten eigenen Psychotherapiezentrums
2018	22 Standorte, etwa 240 Mitarbeiter (davon 221 Psychotherapeuten)
2019	28 Standorte, über 49.000 Kunden, Einstieg des Investors Intera Partners

Die Plattform diente als zentrales Verwaltungssystem: Therapeuten machten dort ihre Sitzungsnotizen, verwalteten Termine und kommunizierten mit Patienten. In Finnland wurde Vastaamo wegen seiner niedrigen Kosten und seiner flächendeckenden Präsenz bald als „das McDonald’s der Psychotherapie“ bezeichnet. Die Zeitung Talouselämä beschrieb das Unternehmen als „neuartigen Therapieservice“ mit internationalen Wachstumsambitionen.

Im Juni 2019 stieg die Investmentgesellschaft Intera Partners als Miteigentümer ein. Die Gründerfamilie Tapio blieb weiterhin bedeutender Anteilseigner. Der Kaufpreis für die Unternehmensanteile lag bei knapp 9,7 Millionen Euro.

Was die Öffentlichkeit damals nicht wusste: Das Unternehmen, das die intimsten Geheimnisse zehntausender Menschen verwaltete, hatte seine IT-Systeme nicht im Griff. Die späteren Ermittlungen deckten ein katastrophales Bild auf.

2. Die technischen Sicherheitslücken: Ein offenes Tor

Die forensische Untersuchung der Sicherheitsfirma Nixu brachte erschreckende Details ans Licht. Der Sicherheitsspezialist Antti Kurittu, ein ehemaliger Polizeidetektiv, der von Vastaamo beauftragt wurde, beschrieb die Sicherheitslage als „definitiv ungeeignet für die Speicherung dieser Art von Informationen“. Seine Untersuchung ergab:

Die Patientendatenbank war über das Internet erreichbar.
Es gab keine Firewall.
Das Root-Benutzerkonto war nicht durch ein Passwort geschützt. Dieses Konto besitzt uneingeschränkte Rechte im System.
Das System war direkt über das Internet erreichbar – jeder, der die IP-Adresse kannte, konnte auf die Server zugreifen.

Kurittu vermutete, dass der Hacker einfach das Internet nach schlecht gesicherten Datenbanken durchsuchte, die monetarisiert werden konnten: „Sie probierten eine Reihe von Banktresoren aus, um zu sehen, welche offen waren, und stießen zufällig auf diesen hier.“

Die zwei Angriffe: November 2018 und März 2019

Entgegen der ursprünglichen Darstellung des Unternehmens, wonach es sich um einen einzigen Vorfall handelte, ergaben die Ermittlungen, dass es mindestens zwei getrennte Eindringlinge gab.

Der erste unbefugte Zugriff erfolgte im November 2018, und die Sicherheitslücke blieb bis März 2019 bestehen – über vier Monate . Während dieser Zeit konnte der Angreifer die gesamte Patientendatenbank kopieren.

Doch im März 2019 kam es zu einem zweiten, noch gravierenderen Sicherheitsvorfall. Diesmal drang der Angreifer erneut in das System ein, zerstörte Teile der Datenbank und hinterließ ein Erpressungsdokument direkt im Datenbanksystem . Dieser zweite Vorfall war es, der später zum Gegenstand der strafrechtlichen Aufarbeitung gegen die Unternehmensführung wurde.

Der damalige CEO Ville Tapio gab später zu, dass er zu diesem Zeitpunkt (März 2019) bereits von den Sicherheitsproblemen wusste und das Unternehmen Maßnahmen zur Schließung der Sicherheitslücke ergriff. Doch der Vorstand und die Hauptaktionäre – einschließlich des Investors Intera Partners – wurden nicht informiert . Die laufenden Verkaufsverhandlungen wären durch eine Offenlegung des Sicherheitsvorfalls erheblich gefährdet gewesen .

Die Besonderheit des selbst entwickelten Systems

Vastaamo verwendete ein maßgeschneidertes elektronisches Gesundheitsaktiensystem (EHR), das auf einem MySQL-Server lief und nicht auf einer von der Branche zertifizierten Standardplattform . Entscheidend war: Dieses System verschlüsselte die Patientendaten weder während der Übertragung noch bei der Speicherung, und die Daten wurden nicht anonymisiert. Jeder, der auf die Datenbank zugreifen konnte, konnte den Inhalt direkt den echten Personen zuordnen .

Die „Klasse B“-Zertifizierung als Governance-Problem

Vastaamo beantragte 2017 die Zertifizierung als Klasse B der finnischen Kanta-Gesundheitsdatenarchitektur. Diese Einstufung richtet sich an kleine Organisationen und erfordert nur Selbstzertifizierung, ohne externe Prüfung .

Nach finnischem Recht von 2014 hätte das Unternehmen jedoch innerhalb weniger Jahre auf Klasse A (strengere Standards, Anbindung an das nationale Gesundheitssystem Kanta) umstellen müssen. Vastaamo nutzte weiterhin die lockeren Klasse-B-Standards zur Expansion. Forensische Prüfungen ergaben, dass das Unternehmen sowohl 2017 als auch 2020 die Datensicherheitsanforderungen nicht erfüllte .

Besonders schwer wog ein weiteres Detail: Ville Tapio wusste seit 2019 von dem Eindringen, verschwieg es jedoch 18 Monate lang. Erst als der Erpresser im Oktober 2020 aktiv wurde, erfuhr die Öffentlichkeit von dem Desaster.

Die finnische Aufsichtsbehörde Valvira untersuchte den Fall und stellte fest, dass Vastaamo die Ursachen des Datenlecks erkannt und Maßnahmen zur Verbesserung der IT-Sicherheit ergriffen hatte. Allerdings wurde auch ein Verstoß gegen die Anforderungen an die Langzeitspeicherung von Patientendokumenten festgestellt.

3. Die Erpressung: Vom Unternehmen zum Individuum

Im September 2020 erhielt Ville Tapio eine E-Mail. Der Absender nannte sich „Ransom Man“ und behauptete, die komplette Patientendatenbank kopiert zu haben. Die Forderung: 40 Bitcoin, damals etwa 370.000 bis 450.000 Euro . Probe-Patientendatensätze in der E-Mail bewiesen, dass der Erpresser nicht bluffte.

Vastaamo meldete den Vorfall zwei Tage später den Behörden. Die finnische Polizei (KRP) übernahm die Kommunikation – undercover, indem sie sich als Ville Tapio ausgab. Ziel war es, Zeit zu gewinnen und den Täter zu identifizieren. Die Ermittler baten um eine Anleitung für die Bitcoin-Zahlung und führten eine Testüberweisung von 0,1 Bitcoin durch. Diese Transaktion sollte später zum entscheidenden Beweis werden.

Kurittu, der Sicherheitsspezialist, bestand darauf, dass die Polizei über den Erpressungsversuch informiert werde, damit sie eine parallele Untersuchung beginnen konnte. Während der Verhandlungen beobachtete Kurittu den Server, der zur Veröffentlichung der Daten genutzt wurde. Er hatte den Verdacht, dass der Täter entweder Finne war oder lange in Finnland gelebt hatte – er wusste, welche bekannten Namen er aus den Patientendaten zur Schau stellen konnte.

Doch der Erpresser verlor die Geduld. Im Oktober 2020 ging er an die Öffentlichkeit. In finnischen Foren und auf Reddit postete er:

„Wir haben die Psychotherapieklinik Vastaamo gehackt und tausende Patientendaten entwendet. Darunter äußerst sensible Therapienotizen und Sozialversicherungsnummern.“

Er nannte sich „Ransom Man“ und sprach von „wir“. Täglich veröffentlichte er 100 Patientendatensätze auf einer Darknet-Seite. Die ersten 100 Akten enthielten Aufzeichnungen über Ehebetrug, sexuelle Probleme und Suizidversuche. Auch Daten von Politikern, Personen des öffentlichen Lebens und Kindern waren darunter.

Am 24. Oktober 2020 erreichte die Eskalation ihren Höhepunkt: Fast 28.000 Patienten und ehemalige Patienten erhielten eine persönliche Erpresser-E-Mail. Darin forderten die Täter 200 Euro in Bitcoin innerhalb von 24 Stunden. Wer nicht zahlte, sollte 500 Euro zahlen – mit 48 Stunden Frist. Andernfalls würden Name, Adresse, Telefonnummer, Sozialversicherungsnummer und detaillierte Krankengeschichte veröffentlicht.

Finnlands Innenministerin Maria Ohisalo nannte die Tat „schockierend“. Die Regierung kam zu einer Krisensitzung zusammen. Nur 20 Personen zahlten das Lösegeld. Doch es sollte ihnen nichts nützen.

4. Die Opfer: „Für uns ist das ein echtes lebenslänglich“

Die Zahl der Betroffenen ist schwer zu fassen: Rund 33.000 Menschen hatten ihre Daten in der Vastaamo-Datenbank. Über 21.000 von ihnen schlossen sich dem Gerichtsverfahren als Nebenkläger an .

Meri-Tuuli Auer: Ein Gesicht hinter der Statistik

Meri-Tuuli Auer ist eine der bekanntesten Stimmen unter den Opfern. Die 30-Jährige aus der Umgebung von Helsinki beschrieb ihre Erfahrung mit Vastaamo als „wie Uber für Therapie – bequem, zugänglich, relativ günstig“. Sie wählte ihren Therapeuten, weil er kognitive Psychotherapie anbot – und weil sie sein Foto mochte: „Er sah nett aus. Er sah zugänglich aus.“

Auer litt ihr Leben lang unter Depressionen. Mit 18 war sie in einer geheimen, schwierigen Beziehung zu einem Mann, der 29 Jahre älter war als sie, was ihr Selbstwertgefühl weiter sinken ließ. Sie trank stark. „Wenn ich nicht zur Therapie gegangen wäre, weiß ich nicht, was aus mir geworden wäre. Vielleicht gibt es ein anderes Universum, in dem ich es nicht bis 30 geschafft habe.“

Als sie im Oktober 2020 die Erpresser-E-Mail in ihrem Spam-Ordner fand, wusste sie sofort, dass dies kein gewöhnlicher Spam war. Die E-Mail enthielt ihren vollständigen Namen und ihre Sozialversicherungsnummer – das finnische Äquivalent zur deutschen Rentenversicherungsnummer. „Da begann die Angst“, sagt Auer. „Ich ließ mich krankschreiben, schloss mich zu Hause ein. Ich wollte nicht raus. Ich wollte nicht, dass mich Leute sehen.“

Sie hatte ihrem Therapeuten Dinge anvertraut, die nicht einmal ihre engsten Familienmitglieder wussten – über ihren übermäßigen Alkoholkonsum und eine geheime Beziehung zu einem viel älteren Mann. „Nach der Therapie 2018 und 2019 hatte ich ein grundlegendes Sicherheitsgefühl gewonnen. Das ging 2020 verloren.“

Die Aussagen im Gerichtssaal

Im Gerichtssaal von Helsinki schilderten Opfer im Oktober 2025, was der Hack mit ihrem Leben gemacht hat. Die Aussagen, die finnische Medien dokumentierten, sind verstörend:

„Fünf Jahre Hölle. Lebenslänglich im wahrsten Sinne des Wortes. Ein schwarzes Loch der Scham, aus dem man nie herauskommt.“

Ein Opfer, das nur einen Erstgesprächstermin bei Vastaamo wahrgenommen hatte, beschrieb die Entdeckung der Erpresser-E-Mail:

„Die Luft entwich aus meinen Lungen, das Blut wich aus meinem Kreislauf, vor meinen Augen verschwamm alles, und mein ganzer Körper erstarrte vor Schock. In mein Bewusstsein strömte eine eisige, alles verschlingende Panik.“

Diese Person konnte nach dem Hack nicht mehr arbeiten und wurde schließlich berufsunfähigkeitsrentenempfängerin. Sie begann, Menschen zu meiden: „Ich konnte nicht mehr vertrauen, mich nicht konzentrieren, nicht entspannen, nicht schlafen. Ich wurde depressiv. Die körperliche Gesundheit begann schwer zu bröckeln – das war ein großer Kummer und eine Krise.“

Ein anderes Opfer formulierte die Qual, die aus der Unsichtbarkeit des Täters erwächst:

„Jeden Morgen denke ich: Ist heute der Tag? Noch immer gibt es schlaflose Nächte, fünf Jahre später. Es gibt Tränen, die nie zu Ende geweint werden.“

Besonders quälend ist die Allgegenwart der Scham:

„Das Schlimmste und Weitreichendste ist, dass ich mit meinen Traumata für jeden, der es will, verfügbar bin – im Hinterkopf ist ständig der Gedanke: Ob derjenige wohl meine Geschichte gelesen hat? Meine Geheimnisse sind nur ein paar Klicks entfernt.“

Ein zutiefst beunruhigender Vorwurf: Suizid unter den Opfern

Ein während des Gerichtsverfahrens von einem Anwalt vorgebrachter Punkt verdient besondere Beachtung. Dies ist keine bloße Anschuldigung: Der Anwalt der Opfer, Jenni Raiskio, erklärte vor Gericht, dass Familienmitglieder einiger Opfer ihr Büro kontaktiert haben, um mitzuteilen, dass ihre Angehörigen nach der Veröffentlichung der Patientendaten Selbstmord begangen haben . Es gab auch andere Opfer, die angaben, nach dem Datenleck Selbstmordgedanken gehabt zu haben. Raiskio forderte das Gericht auf, für diese Opfer eine Schweigeminute abzuhalten. Dieser Vorwurf unterstreicht die extrem schwerwiegenden menschlichen Folgen des Verbrechens – jenseits aller juristischen Kategorien.

Laut einer 2018 veröffentlichten Studie der Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD) leidet fast jeder fünfte Finne unter psychischen Erkrankungen – so viele wie in keinem anderen europäischen Land. Der Hack traf damit eine besonders verletzliche Bevölkerungsgruppe.

5. Der fatale Fehler: Die ganze Datenbank

Während die Polizei den Erpresser hinhielt und Vastaamo unter Ausschluss der Öffentlichkeit ermittelte, machte der Täter einen entscheidenden Fehler. Beim täglichen Hochladen von 100 Datensätzen passierte ihm ein Missgeschick: Für kurze Zeit war unter dem Link eine riesige Datei zu finden – vastaamo, 10,9 GB groß, eine TAR-Datei mit der kompletten Datenbank.

Die Datei war nur zwei Stunden online. Doch in dieser Zeit gelang es der Polizei, 1,2 GB herunterzuladen. Ein unbekannter Dritter lud sogar 2,1 GB herunter. Die gesamte Patientendatenbank war damit potenziell in unbekannte Hände gelangt.

Für die Ermittler war dies ein Geschenk: Der Täter hatte versehentlich sein komplettes Home-Verzeichnis hochgeladen – mit vielen persönlichen Daten seines Benutzerkontos. Darin fanden sich wichtige Spuren, darunter die IP-Adresse eines Servers, den der Hacker benutzt hatte.

Dieser Fehler bedeutete das logische Ende der Erpressungsstrategie: Wenn die gesamte Datenbank bereits veröffentlicht war, konnte keine Zahlung eines einzelnen Opfers garantieren, dass seine Daten „gelöscht“ würden. Die verzweifelten Zahlungen der 20 Personen, die gezahlt hatten, waren nutzlos.

6. Die Jagd: Von Helsinki nach Paris

Die IP-Adresse führte die Ermittler zu einem Server in der Nähe von Helsinki. Die Polizei ließ ihn beschlagnahmen – ein massiver Erfolg. Auf dem Server fanden sich die ersten konkreten Hinweise auf den mutmaßlichen Täter.

Die Beweiskette, die die Ermittler aufbauten, war beeindruckend:

SSH-Schlüssel und IP-Adresse
Der Hacker meldete sich immer mit demselben SSH-Schlüssel auf seinen Servern an. Zu den Tatzeitpunkten liefen diese Verbindungen über eine IP-Adresse, die zu einer Wohnung in London gehörte, in der Aleksanteri Kivimäki damals lebte.

Fingerabdruck auf einem Urlaubsfoto
Die Polizei analysierte ein Bild, das ein mit dem Fall verbundener Account in einem finnischen Forum gepostet hatte. Es zeigte eine Hand mit einer Wasserspray-Flasche – ein Urlaubsbild. Durch Hineinzoomen konnte die Polizei einen Fingerabdruck extrahieren, der mit Kivimäkis Fingerabdruck übereinstimmte. Der BBC-Journalist Joe Tidy bezeichnete dies als „technisch beeindruckend“.

Bitcoin-Rückverfolgung
Die 0,1 Bitcoin Testzahlung wurde über einen Wechseldienst in Monero getauscht – eine Kryptowährung, die Unverfolgbarkeit beansprucht. Dann landeten die Monero auf einem Konto bei Binance, wurden wieder in Bitcoin getauscht und über Strohmänner auf ein Bankkonto geleitet. Die Polizei glaubte, den Besitzer des Kontos gefunden zu haben: Aleksanteri Kivimäki.

Im Oktober 2022 verkündete die Polizei, einen Verdächtigen identifiziert zu haben – knapp zwei Jahre nach Bekanntwerden des Hacks. Ein 25-jähriger Finne, der sich im Ausland aufhalten sollte, wurde zur Fahndung ausgeschrieben und landete auf der Most-Wanted-Liste von Europol.

Doch wo Kivimäki war, wussten die Behörden nicht. Der Hacker war verschwunden.

Die Verhaftung in Paris

Die Wende kam am 3. Februar 2023. Französische Polizisten klopften an eine Wohnungstür in einem Vorort von Paris. Sie waren wegen eines Streits gerufen worden. Eine Frau öffnete, ließ die Beamten hinein. In der Wohnung fanden sie ihren schlafenden Partner. Bei der Ausweiskontrolle präsentierte der Mann rumänische Papiere auf den Namen „Assan Ahmed“. Doch vor ihnen stand ein großer Mann mit blonden Haaren und grünen Augen. Die Polizisten wurden misstrauisch und ließen einen Background-Check machen. Das Ergebnis: Der große Blonde hieß eigentlich Aleksanteri Kivimäki und war einer der meistgesuchten Verdächtigen Europas. Er wurde verhaftet und an Finnland ausgeliefert.

7. Der Täter: Aleksanteri Kivimäki

Der Mann, der all das verursachte, ist Aleksanteri Kivimäki, geboren 1997 in der Nähe von Helsinki. Er ist kein unbeschriebenes Blatt.

Die frühen Jahre: Vom Teenager zum „unantastbaren Hackergott“

Bereits als Jugendlicher schloss er sich Hackergruppen an. Mit „Hack the Planet“ drang er in das E-Mail-System der US-Eliteuniversität MIT ein und baute ein Botnetz aus 50 Computern auf. 2014, mit 17 Jahren, war er Mitglied der berüchtigten Gruppe Lizard Squad, die zu Weihnachten die Netzwerke von PlayStation und Xbox lahmlegte. 160 Millionen Gamer waren betroffen.

Der BBC-Journalist Joe Tidy interviewte Kivimäki damals per Video-Call. Der junge Mann mit kurzen blonden Haaren nannte sich „Ryan“ und zeigte keine Reue:

„Ich habe nur ein paar Kinder gezwungen, Zeit mit ihren Familien zu verbringen, anstatt zu zocken.“

2015 wurde Kivimäki wegen dieser und anderer Hacks verurteilt – zu zwei Jahren auf Bewährung, da er zur Tatzeit minderjährig war. Beobachter kritisierten das Urteil als viel zu milde. Kurz nach dem Urteil änderte er seine Twitter-Biografie zu „Untouchable Hackerg“ – ein unantastbarer Hackergott.

Danach wurde es stiller um ihn. Bis zum Herbst 2020.

Die Rückkehr: Ransom Man

Als der Vastaamo-Hack öffentlich wurde, ermittelte die Polizei. Der Täter, der sich „Ransom Man“ nannte, hatte einen entscheidenden Fehler gemacht: Er lud versehentlich eine 10,9 GB große TAR-Datei mit der kompletten Datenbank hoch. In dieser Datei fanden die Ermittler die IP-Adresse eines Servers in der Nähe von Helsinki.

Kivimäkis Verteidigung versuchte später, die Beweise zu entkräften. Er argumentierte, die Server gehörten einem Startup, das er mit anderen gegründet habe; mehrere Personen hätten Zugriff gehabt; der SSH-Schlüssel sei geteilt worden. Seine Forenposts enthielten Fehler und zeigten, dass er keine Ahnung gehabt habe. Die Zahlungen auf seinem Konto hätten nichts mit den Erpressungen zu tun.

Doch das Gericht ließ diese Argumente nicht gelten.

Die Flucht und die Verhaftung

Nach seiner Verurteilung im April 2024 wurde Kivimäki zunächst freigelassen, da die Behörden befürchteten, er könnte zu lange in Untersuchungshaft verbringen und dadurch Anspruch auf staatliche Entschädigung erlangen. Im September 2025 wurde er aus der Haft entlassen.

Am 26. Februar 2026 erhöhte das Berufungsgericht Helsinki die Strafe auf 6 Jahre und 11 Monate – ein Monat weniger als die Höchststrafe von 7 Jahren. Kivimäki legte Berufung ein. Doch im Juli 2026 lehnte der Oberste Gerichtshof seinen Antrag auf Berufung ab. Das Urteil ist damit rechtskräftig .

Kivimäki ist derzeit auf der Flucht. Sein Anwalt Peter Jaari erklärte, er verstehe, dass sein Mandant sich nicht im Gefängnis befinde. Er kenne seinen genauen Aufenthaltsort nicht, glaube aber, dass er sich im Ausland aufhalte. Die Polizei hat ihn zur Festnahme ausgeschrieben, um den Rest seiner Strafe zu verbüßen. Das Gefängnis Vantaa wurde als Vollzugsort bestimmt.

8. Der Prozess: Ein Kino als Gerichtssaal

Am 13. November 2023 begann in Finnland ein Prozess der Superlative. Der genaue Ort des Gerichtsgebäudes war geheim. Die Verhandlung fand nicht abends, sondern tagsüber statt. Und sie wurde in ein Kino übertragen – denn es war schlicht unmöglich, allen mutmaßlichen Opfern und Nebenklägern einen Besuch im Gerichtssaal zu garantieren. Rund 33.000 Kunden von Vastaamo waren betroffen, über 21.000 von ihnen schlossen sich dem Verfahren gegen Kivimäki als Nebenkläger an .

Die Anklagepunkte

Die Staatsanwaltschaft warf Kivimäki eine beispiellose Liste von Straftaten vor:

Datenschutzverstoß gegen Vastaamo
Versuchte Erpressung von Vastaamo
Verbreitung von Informationen, die das Privatleben von Personen verletzen – in 9.231 Fällen
Versuchte Erpressung von 20.745 Personen
Erfolgreiche Erpressung von 20 Personen

Bei jedem Vorwurf sah die Staatsanwaltschaft eine besondere Schwere gegeben.

Die Verteidigungsstrategie

Kivimäki bestritt alles. Seine Verteidigung argumentierte:

Er brauche das Geld nicht.
Die Server gehörten offiziell einem Startup, das er mit anderen gegründet habe; mehrere Personen hätten Zugriff gehabt.
Der SSH-Schlüssel sei geteilt worden.
Seine Forenposts enthielten Fehler und zeigten, dass er keine Ahnung gehabt habe.
Die Zahlungen auf seinem Konto hätten nichts mit den Erpressungen zu tun.
Die Ermittler hätten sich auf ihn fixiert und andere Beteiligte nicht genug untersucht.

Das Urteil

Im April 2024 verkündete das Bezirksgericht West-Uusimaa sein Urteil. Die Richter folgten der Argumentation der Staatsanwaltschaft:

„Es gibt nicht den einen Beweis, der Kivimäki zweifelsfrei überführen würde. Doch alle Indizien zusammen betrachtet beweisen seine Schuld.“

Kivimäki wurde zu 6 Jahren und 3 Monaten Freiheitsstrafe verurteilt .

Doch Kivimäki ging in Berufung. Im Februar 2026 bestätigte das Berufungsgericht Helsinki das Urteil in allen fünf Anklagepunkten und erhöhte die Strafe auf 6 Jahre und 11 Monate – knapp unter der Höchststrafe. Die Richter begründeten die Erhöhung mit der besonderen Schwere der Tat: sorgfältig geplant, gegen eine außergewöhnlich große Zahl verletzlicher Opfer gerichtet, aus erheblichem finanziellem Eigeninteresse. Ein Monat wurde abgezogen, weil Kivimäki mit einigen Opfern Entschädigungsvereinbarungen getroffen hatte.

Kivimäki legte auch gegen dieses Urteil Berufung ein. Doch im Juli 2026 lehnte der Oberste Gerichtshof seinen Antrag auf Berufung ab. Das Urteil ist damit rechtskräftig .

9. Die mutmaßlichen Mittäter

Der Fall ist noch nicht abgeschlossen. Die finnische Staatsanwaltschaft hat Anklage gegen einen weiteren mutmaßlichen Beteiligten erhoben.

Der Verdächtige in Estland

Laut Staatsanwaltschaft wird einem Mann, der in Estland lebt, vorgeworfen, an der Vorbereitung des Erpressungsmaterials beteiligt gewesen zu sein sowie an dem Versuch, Vastaamo zu erpressen, und an der Verbreitung sensibler Kundendaten im Internet. Konkret soll er Nutzer eines Server-Systems gewesen sein, das Kivimäki angeblich administrierte und mit dem der Hack durchgeführt wurde.

Der Verdächtige ist ein 28-jähriger US-Amerikaner, der in Estland lebt. Er wurde wegen Beihilfe zur versuchten schweren Erpressung angeklagt. Die Polizei verband ihn mit dem Fall durch Bitcoin-Rückverfolgung: Bei einer verdeckten Operation folgte das Nationale Ermittlungsbüro (NBI) den Zahlungen und stellte fest, dass einige auf ein Konto von Kivimäki und einige auf ein Konto flossen, auf das der Verdächtige Zugriff hatte.

Der Verdächtige bestreitet die Vorwürfe. Er wurde während der Ermittlungen nicht festgenommen, aber die Polizei hat im Rahmen der Rechtshilfe mit der estnischen Polizei Ermittlungsmaßnahmen gegen ihn durchgeführt.

10. Die Verantwortung des Unternehmens und seiner Führung

Ein Kapitel des Falls, das viele Opfer als besonders bitter empfinden, ist die Frage der Unternehmensverantwortung.

Ville Tapio: Der CEO, der schwieg

Ville Tapio, der CEO und Mitgründer, wusste nach Überzeugung der Staatsanwaltschaft seit 2019 von dem Eindringen in das System. Er soll die Informationen jedoch verschwiegen haben – auch gegenüber dem Investor Intera Partners, der im Juni 2019 einstieg. Der Verkaufspreis betrug fast 9,7 Millionen Euro.

Die zentrale Frage der internen Vertuschung ist bis heute nicht vollständig geklärt. Die Aussagen von Ville Tapio und seinen beiden IT-Mitarbeitern widersprechen sich fundamental . Beide Seiten beschuldigen sich gegenseitig der Vertuschung des März-2019-Vorfalls.

Tapio behauptet, seine Untergebenen hätten den Vorfall gekannt, aber nichts gesagt, um ihre eigenen schwerwiegenden Fehler in der Datensicherheit zu vertuschen. Die IT-Mitarbeiter hingegen geben an, Tapio habe aktiv und intensiv an der Aufklärung des Vorfalls mitgewirkt und dann entschieden, die Angelegenheit als „Serverausfall“ zu behandeln . Die Verteidigung der IT-Mitarbeiter argumentiert, sie hätten die Sicherheitslücke im November 2017 geöffnet und erst am 15. März 2019 geschlossen, nachdem sie den Einbruch und die Erpressungsnachricht entdeckt hätten. Tapio sei damals nicht informiert worden, sondern habe die Darstellung erhalten, der Server sei aufgrund eines technischen Datenbankfehlers abgestürzt .

Diese widersprüchlichen Aussagen bedeuten, dass eine der beiden Seiten nicht die Wahrheit sagt – und die vollständige Aufklärung der internen Vertuschung steht bis heute aus .

Im April 2023 verurteilte das Bezirksgericht Helsinki Tapio wegen eines Datenschutzverstoßes zu drei Monaten Haft auf Bewährung. Sowohl Tapio als auch die Staatsanwaltschaft legten Berufung ein.

Doch im September 2025 teilte die Staatsanwaltschaft mit, dass sie keine Anklage wegen schweren Betrugs gegen Tapio erheben werde – obwohl sie „wahrscheinliche Gründe“ für einen Betrugsverdacht sah. Die Begründung: Ein wichtiges privates oder öffentliches Interesse erfordere keine Anklage, auch wegen der millionenschweren Schadensersatzvereinbarung, die Tapio und seine Eltern mit dem Käufer getroffen hatten.

Im Dezember 2025 hob das Berufungsgericht Helsinki das Urteil gegen Tapio wegen Datenschutzverstoßes auf und sprach ihn frei. Die Begründung: Die damals geltenden Gesetze verlangten keine spezifischen technischen Maßnahmen wie Pseudonymisierung oder Verschlüsselung der Patientendaten. Diese Entscheidung zur Unternehmensverantwortung ist ein wichtiger Bestandteil des Gesamtbildes – und für viele Opfer ein schwerer Schlag.

11. Auswirkungen auf das Gesundheitssystem und Regulierungsbehörden

Der Fall hat auch zu einer Überprüfung des nationalen finnischen Gesundheitssystems Kanta geführt. Nach dem Vorfall stellte das Parlament die Sicherheit von Kantas Datenbank in Frage. Ein zentrales Problem ist: Verschiedene Gesundheitsdienstleister halten sich in unterschiedlichem Maße an Datenschutzanforderungen, und einige Institutionen investieren weitaus weniger in die Informationssicherheit als andere. Da die Öffentlichkeit nicht beurteilen kann, wie gut verschiedene Dienstleister Daten schützen, wird das gesamte System als unsicher wahrgenommen.

Die Diskussion in den finnischen Medien hat auch die Frage aufgeworfen, ob die für die Aufsicht zuständige Behörde Valvira es versäumt hat, Unternehmen von der Größe Vastaamos angemessen zu prüfen und zu verwalten. Die Aufsicht beschränkte sich offenbar auf papierbasierte Selbstauskünfte, ohne tatsächliche technische Prüfungen vor Ort .

12. Gesetzesreformen als Reaktion auf den Fall

Finnland reagierte mit gesetzgeberischen Maßnahmen. Die finnische Regierung beschloss im November 2020 umfassende Maßnahmen:

Recht auf Änderung der Sozialversicherungsnummer: Eine Gesetzesänderung sollte es Opfern von Identitätsdiebstahl ermöglichen, ihre Sozialversicherungsnummer zu ändern, um weiteren Missbrauch zu verhindern .

Verpflichtung zum Anschluss an das Kanta-System: Die Verpflichtung zur Nutzung der staatlichen Kanta-Gesundheitsdatenplattform wurde auf alle Dienstleister ausgeweitet, die Patienteninformationssysteme nutzen. Diese Systeme müssen nun standardisierte Tests und Sicherheitsbewertungen bestehen.

Zusätzliche Ressourcen: Der nationalen Aufsichtsbehörde für Wohlfahrt und Gesundheit sowie dem finnischen Institut für Gesundheit und Wohlfahrt wurden zusätzliche Ressourcen zugewiesen, um die Anleitung und Aufsicht über Datenmanagementsysteme zu verbessern.

Einheitlicher Sperrdienst: Entwicklung eines einheitlichen Sperrdienstes, der es Opfern von Datenlecks ermöglicht, an einer Stelle alle offiziellen Verbote, Sperrungen und Einschränkungen zu beantragen.

Den Opfern des Vastaamo-Hacks bringt das nichts – die Reformen kommen zu spät für die 33.000 Menschen, deren Daten bereits im Umlauf sind.

In der finnischen Öffentlichkeit etablierten sich die Hashtags #enlue und #enjaa – übersetzt: „Ich lese nicht und ich teile nicht“. Ein Appell an alle, die gestohlenen Patientenakten nicht weiterzuverbreiten.

13. Die aktuelle Situation (Stand September 2026)

Die BBC berichtete im Januar 2026, dass die gestohlenen Therapiedaten weiterhin online kursieren und die Suche nach ihnen durch eine separate Suchmaschine erleichtert wurde.

Aleksanteri Kivimäki, der Haupttäter, befindet sich weiterhin auf der Flucht. Nach dem endgültigen Urteil hat die finnische Polizei eine internationale Fahndung ausgeschrieben. Sein Anwalt erklärte, er wisse nicht, wo sein Mandant sich aufhalte, vermutlich aber im Ausland.

Die finnische Staatsanwaltschaft hat Anklage gegen einen weiteren Verdächtigen erhoben – einen 28-jährigen US-Bürger, der in Estland lebt.

14. Die Opfer und ihr Kampf um Sichtbarkeit

Meri-Tuuli Auer hat beschlossen, ihre Geschichte öffentlich zu machen. Sie veröffentlichte ein Buch mit dem Titel „Kaikki saa tietää“ (Alle werden es erfahren). Sie sagt:

„Zumindest kann ich meine eigene Version erzählen, die, die man nicht in den Patientenkarten sieht.“

Auer hat akzeptiert, dass ihre Daten wahrscheinlich dauerhaft im Internet bleiben werden:

„Um meines eigenen Wohlbefindens willen ist es besser, nicht darüber nachzudenken.“

Doch sie betont auch:

„Keine Strafe kann das wiedergutmachen, aber es war wichtig, dass das Leiden der Opfer anerkannt wurde.“

Fazit: Ein Fall ohne wirkliches Ende

Der Vastaamo-Skandal hat einen Täter, der rechtskräftig verurteilt ist – und dennoch frei ist, weil er sich der Strafverfolgung entzogen hat. Er hat ein Unternehmen, das untergegangen ist, dessen Gründer aber freigesprochen wurde. Und er hat 33.000 Opfer, deren Daten für immer im Internet kursieren.

Ein Opfer brachte die Situation im Gerichtssaal auf den Punkt: „Wir können unsere Strafe nicht absitzen. Für uns ist das im wahrsten Sinne des Wortes lebenslänglich.“

Der Fall Vastaamo ist mehr als eine Kriminalgeschichte. Er ist ein Lehrstück über die Verletzlichkeit des Gesundheitswesens im digitalen Zeitalter, über die Grenzen der Strafverfolgung bei Cyberkriminalität und über die unauflösbare Spannung zwischen technischer Effizienz und Datenschutz.

Finnland hat aus dem Fall Konsequenzen gezogen: neue Gesetze, höhere Sicherheitsstandards, ein geschärftes Bewusstsein. Doch für die 33.000 Menschen, deren Therapieaufzeichnungen für immer im Netz kursieren, kommt jede Lehre zu spät.

Eine besondere Ironie der Geschichte: Während der Haupttäter auf der Flucht ist und der CEO des Unternehmens freigesprochen wurde, sind es die Opfer, die die schwerste Strafe tragen – eine Strafe ohne Ende, ohne Urteil, ohne Möglichkeit auf Bewährung.

Quellen

Yle: „Vastaamo-hakkerin vankeustuomio jää voimaan – asianajajan mukaan Aleksanteri Kivimäki ei ole vankilassa“, 12.07.2026
Yle: „Police issue wanted notice for Vastaamo hacker Aleksanteri Kivimäki“, 12.07.2026
Yle: „US citizen charged in psychotherapy centre extortion case“, 14.09.2025
Yle: „Vastaamo victims‘ lawyer: Some took their own lives after patient record leak“, 29.02.2024
Yle: „Vastaamos tidigare vd frias från sitt fängelsestraff“, 17.12.2025
Yle: „Vastaamon tietomurto: joku yrityksen avainhenkilöistä ei puhu totta maaliskuun 2019 tapahtumista“, 08.02.2021
Yle: „Paljastaako pilkutus jotakin Vastaamon kiristäjästä?“, 25.10.2020
Yle: „Court hands Kivimäki 6-year prison sentence in historic hacking case“, 29.04.2024
Korkein oikeus: „Högsta domstolen avslog ansökan om besvärstillstånd i ärendet gällande dataintrånget i Vastaamo därefter följande utpressningsbrott“, 12.07.2026
Helsingin hovioikeus: Urteil im Fall Ville Tapio, Dezember 2025
Vakuutusoikeus: Entschädigungsentscheidung, Juni 2026
Valtiokonttori: Entschädigungszahlungen an Vastaamo-Opfer, ab Januar 2025
Poliisi: „NBI to continue criminal investigation into exceptionally large-scale hacking of psychotherapy customer files“, 26.10.2020
Poliisi: „Police have another suspect in Vastaamo case“, 07.05.2025
Deutsches Ärzteblatt: „Vertrauliche Psychotherapiedaten in Finnland gehackt“, 27.10.2020
Deutsches Ärzteblatt: „Finnland: Vertrauliche Psychotherapiedaten gehackt“, 09.11.2020
BBC News Brasil: „Um hacker roubou as anotações da minha terapeuta – agora meus segredos mais profundos estão na internet para sempre“, 16.01.2026
The Guardian: „He called himself an ‚untouchable hacker god‘. But who was behind the biggest crime Finland has ever known?“, 17.01.2026
City: „BBC: Vastaamon tietomurto tuhosi potilaiden luottamuksen – terapiamuistiinpanot leviävät yhä verkossa“, 18.01.2026
Digital Watch Observatory: „Finnish data breach exposed thousands of patients“, 19.01.2026
Valvira: „Päätöslyhennelmä päätöksestä Dnro V/40325/2020 Psykoterapiakeskus Vastaamo Oy:n tietojärjestelmän valvonta-asiassa“
CyberSecurity Help: „Notorious Finnish hacker ‚Zeekill‘ arrested in France“, 23.09.2025
CyberSecurity Help: „Vastaamo hacker sentenced to over 6 years in prison“, 23.09.2025
ts.fi: „Poliisi epäilee myös toista henkilöä Vastaamo-tietomurron kiristystutkinnassa“, 07.05.2025
Demokraatti.fi: „Korkein oikeus: Vastaamo-jutun seitsemän vuoden tuomio pysyy – Tekijä karkuteillä“, 13.07.2026
Yle: „Sunnuntai 25.10.2020 (radio)“, 25.10.2020
Valtioneuvosto: Entscheidung über Maßnahmen gegen Identitätsdiebstahl, November 2020
Etelä-Suomen Sanomat: „Tietosuojarikoksesta syytettyä Vastaamon ex-toimitusjohtajaa kuullaan oikeudessa“, 09.03.2023
KMV-lehti: „Vastaamoon kohdistunut tietomurto oli syyttäjien mukaan erityisen suunnitelmallinen“, 18.10.2023
ICTLC: „The Vastaamo case – Finland’s worst data breach“, 24.10.2023
AP News: „Finnish hacker imprisoned for accessing thousands of psychotherapy records and demanding ransoms“, 29.04.2024
NRK: „Finsk hacker stjal pasientjournaler – krevde løsepenger i kryptovaluta“, 26.02.2023
Iltasanomat: „Vastaamo-murto paljastui vuosi sitten – poliisi uskoo ratkaisuun“, 20.10.2021

neustes