Ein Pharmagroßhändler ist gerade zum neuesten Namen auf einer wachsenden Liste amerikanischer Gesundheitsunternehmen geworden, die von Hackern angegriffen wurden, die es auf Patientendaten abgesehen haben. Der McKesson-Datenschutzvorfall, der am 28. August 2026 offengelegt wurde, hat bereits eine Lösegeldforderung in Höhe von mehreren Dutzend Millionen Dollar ausgelöst und sensible medizinische Informationen von möglicherweise Millionen von Patienten gefährdet.
Summary
Wichtigste Erkenntnisse
- McKesson entdeckte am 25. August 2026 einen unbefugten Zugriff auf Anwendungen von Drittanbietern und meldete den Vorfall in einer SEC-Einreichung.
- Die Erpressergruppe ShinyHunters behauptet, sie habe etwa 284 Millionen Datensätze aus den Snowflake- und Salesforce-Umgebungen von McKesson gestohlen – eine Zahl, die Datenbankzeilen und keine bestätigte Anzahl eindeutiger Patienten darstellt.
- Hacker sagen, sie hätten Vishing-Anrufe genutzt, um Mitarbeiter zu täuschen und Okta-Single-Sign-on-Konten zu kapern, und seien dann in einem viertägigen Zeitfenster zwischen dem 21. und 25. August seitlich in Cloud-Systeme vorgedrungen.
- ShinyHunters forderte ein Lösegeld von 55.236.150 $ und gab McKesson 72 Stunden Zeit zu reagieren; das Unternehmen soll dies nie getan haben.
- McKesson bestätigte zeitweilige Servicebeeinträchtigungen, weigerte sich jedoch zu sagen, wie viele Personen betroffen waren oder welche Lösegeldforderung es erhalten hatte.
Der Vorfall und die Behauptungen von ShinyHunters
McKessons eigene Offenlegung war vorsichtig formuliert und arm an Details, bestätigte aber den Kern der Geschichte: Eindringlinge verschafften sich Zugang zu Anwendungen von Drittanbietern und zogen Daten ab, bevor das Unternehmen den Vorfall bemerkte. Der McKesson-Datenschutzvorfall wurde intern erstmals am 25. August 2026 gemeldet, und das Unternehmen teilte der US-Börsenaufsicht SEC mit, seine Untersuchung befinde sich noch „in einem frühen Stadium“ und man habe noch nicht festgestellt, ob der Vorfall finanziell wesentlich sei.
McKessons Chief Information and Technology Officer, Francisco Fraga, teilte Kunden mit, dass der bestätigte unbefugte Zugriff und die Datenexfiltration „eine Teilmenge von Kunden innerhalb unserer Geschäftsbereiche Oncology & Multispecialty und Medical-Surgical“ betroffen habe. Er sagte außerdem, das Unternehmen trenne Systeme nicht proaktiv vom Netz und glaube nicht, dass Kunden Maßnahmen ergreifen müssten, räumte jedoch ein, dass die Untersuchung noch andauere.
Wie die Hacker eindrangen
ShinyHunters, beschrieben als eine der aktivsten Daten-Erpressungsoperationen der vergangenen zwei Jahre, teilte Bleeping Computer und TechCrunch mit, dass sie sich über Voice-Phishing – oder Vishing – Anrufe, die auf McKesson-Mitarbeiter abzielten, Zugang verschafft hätten. Laut der Gruppe stützte sich die Kampagne auf eine Lookalike-Domain, mckesson[.]claims, die dazu gebaut wurde, den internen Helpdesk oder das IT-Team des Unternehmens zu imitieren – eine Taktik, die zu einem breiteren Muster passt, das Forscher bei ReliaQuest bereits bei mehreren angegriffenen Organisationen mit dem Namensschema „.claims“ beobachtet hatten.
Sobald die Angreifer Mitarbeiter dazu gebracht hatten, Zugangsdaten preiszugeben, übernahmen sie Okta-Single-Sign-on-Konten. Von dort aus, so ShinyHunters, seien sie in McKessons Salesforce- und Snowflake-Cloud-Umgebungen gewechselt, in denen der Großteil der Patienten- und Geschäftsdaten des Unternehmens liegt.
Was sie nach eigenen Angaben gestohlen haben
Der Umfang des behaupteten Diebstahls ist es, was diesen Vorfall besonders macht. ShinyHunters teilte Bleeping Computer mit, sie hätten in vier Tagen, zwischen dem 21. und 25. August, etwa ein Terabyte an Daten exfiltriert und dass allein die Snowflake-Umgebung rund 284 Millionen Datensätze geliefert habe. Die Gruppe hat inzwischen klargestellt, dass diese Zahl rohe Datenbankzeilen und keine bestätigte Anzahl eindeutiger Patienten widerspiegelt, und gab zu, dass sie die Beute noch nicht vollständig analysiert habe, um festzustellen, wie viele Personen tatsächlich darin repräsentiert sind.
Diese Unterscheidung ist wichtig. Sie bedeutet, dass das wahre Ausmaß des McKesson-Datenschutzvorfalls selbst nach Angaben der Hacker weiterhin unklar ist, und McKesson hat keine eigene Schätzung abgegeben.
Unabhängig von der genauen Kopfzahl sind die angeblich gestohlenen Datenkategorien umfangreich. ShinyHunters sagt, der Datensatz umfasse Namen, Privatadressen, Geburtsdaten, Sozialversicherungsnummern, Patienten-IDs, Telefonnummern, E-Mail-Adressen, Medicaid-Nummern, Krankenaktennummern, Informationen zu Medikamenten und Allergien, Krankheiten, Behinderungen, Termindetails und Informationen zu Ärzten. Die Gruppe behauptet außerdem, dass die gestohlenen Dateien auch verstorbene und unheilbar kranke Patienten, Verschreibungs- und Medikamentenversandaufzeichnungen, Rechnungen, interne Kommunikation sowie Informationen zu Gesundheitsdienstleistern und Kliniken betreffen, die McKessons Dienste nutzen. TechCrunch berichtete, es habe eine kleine Stichprobe der geleakten Daten mit öffentlichen Aufzeichnungen abgeglichen, doch keine der weitergehenden Behauptungen wurde bislang unabhängig von externen Forschern oder von McKesson selbst bestätigt.
Unabhängig von Patientendaten sagen die Hacker, dass auch Informationen über McKesson-Mitarbeiter – einschließlich Privatadressen – bei der Exfiltration mit erfasst wurden, wodurch sich die Auswirkungen über die Kundenbasis des Unternehmens hinaus ausdehnen.
Ein Ultimatum über 55 Millionen Dollar und McKessons Reaktion
Erpressung, nicht nur Diebstahl, scheint hier das Endziel zu sein. ShinyHunters teilte Bleeping Computer mit, sie hätten McKesson unmittelbar nach Abschluss des Datendiebstahls am 25. August kontaktiert und ein Lösegeld von genau 55.236.150 $ gefordert, wobei sie dem Unternehmen eine Frist von 72 Stunden zur Reaktion setzten. Laut der Gruppe sei McKesson auf die Forderung überhaupt nicht eingegangen.
Öffentlich hält sich McKesson an ein enges Skript. Sprecherin Kristina Chang sagte gegenüber TechCrunch, das Unternehmen „setzt den Betrieb in allen Geschäftsbereichen fort“ und glaube nicht, dass es weiterhin unbefugte Aktivitäten in seinen Systemen gebe. Das Unternehmen bestätigte, dass Kunden zeitweilige Servicebeeinträchtigungen im Zusammenhang mit dem Vorfall erleben könnten, weigerte sich jedoch, konkrete Fragen zur Lösegeldforderung oder zur Anzahl der Personen, deren Daten betroffen waren, zu beantworten.
Dieses Schweigen ist für sich genommen bemerkenswert. Warum das wichtig ist: Wenn ein Unternehmen, das in dem Umfang von McKesson Patientendaten verarbeitet, nicht bestätigt, wie viele Menschen betroffen sind, bleiben Patienten, Leistungserbringer und Aufsichtsbehörden im Unklaren über das tatsächliche Ausmaß – und diese Unsicherheit hält oft lange an, nachdem die ersten Schlagzeilen verblasst sind.
Ein sich ausweitendes Muster von Cyberangriffen im Gesundheitswesen
McKesson ist kein Einzelfall – es ist der jüngste Eintrag in einer sich schnell ausbreitenden Welle von Angriffen auf US-Gesundheits- und Medizintechnikunternehmen. Erst letzte Woche traf ein Cyberangriff den Medizingerätehersteller Boston Scientific und verursachte erhebliche Störungen in großen Teilen seines Netzwerks, das größtenteils offline genommen wurde, was an einen früheren Vorfall beim ebenfalls im Gerätebereich tätigen Unternehmen Stryker erinnert, bei dem Hacker interne Tools missbrauchten, um Tausende von Mitarbeitergeräten aus der Ferne zu löschen.
Auch Abbott Laboratories und Medtronic waren in den vergangenen Monaten von Cyberangriffen betroffen. Datenschutzverletzungen trafen das Healthtech-Unternehmen TriZetto und den Anbieter elektronischer Patientenakten CareCloud, wobei jeweils mehr als 3 Millionen Patienten betroffen waren. ShinyHunters selbst hat sich zudem zu Vorfällen bei dem zu Amazon gehörenden One Medical und dem Zahnversicherer DentaQuest bekannt, ebenso wie zu Angriffen auf Medtronic, iRhythm und AdaptHealth.
Health-ISAC hat Gesundheitsorganisationen bereits gewarnt vor der zunehmenden Welle von ShinyHunters-Angriffen, die auf Social Engineering abzielen, das sich gegen Unternehmenskonten sowie Cloud- oder SaaS-Plattformen richtet – genau das Vorgehen, das angeblich gegen McKesson eingesetzt wurde. Für eine Branche, die einige der sensibelsten personenbezogenen Daten überhaupt speichert, deutet die Wiederholung desselben Musters von Vishing-zu-Cloud-Einbruch darauf hin, dass Angreifer eine Methode gefunden haben, die zuverlässig funktioniert, und Cyberangriffe im Gesundheitswesen durch Gruppen wie ShinyHunters zeigen keinerlei Anzeichen einer Verlangsamung.
FAQ
Wer war für den McKesson-Datenschutzvorfall verantwortlich?
Die Hackergruppe ShinyHunters übernahm die Verantwortung für den Cyberangriff und erklärte, sie habe sich durch Vishing-Anrufe und Social Engineering, die auf McKesson-Mitarbeiter abzielten, Zugang verschafft.
Welche Art von Daten wurde beim Cyberangriff auf McKesson gestohlen?
ShinyHunters behauptet, sie habe etwa 284 Millionen Datensätze mit persönlichen und geschützten Gesundheitsinformationen entwendet, zusammen mit personenbezogenen Mitarbeiterdaten wie Privatadressen. Die Zahl bezieht sich auf Datenbankzeilen und nicht auf eine bestätigte Anzahl eindeutiger Patienten.
Wie gelangten die Hacker in die Systeme von McKesson?
Laut den Hackern täuschten Vishing-Anrufe Mitarbeiter dazu, Zugangsdaten preiszugeben, die dann genutzt wurden, um Okta-Single-Sign-on-Konten zu kapern. Von dort aus bewegten sich die Angreifer in die Cloud-basierten Salesforce- und Snowflake-Umgebungen von McKesson, um Daten zu extrahieren.
Hat McKesson das von den Hackern geforderte Lösegeld bezahlt?
McKesson lehnte es ab, Details zu einer möglichen Lösegeldzahlung offenzulegen. ShinyHunters sagt, sie hätten 55.236.150 $ mit einer Frist von 72 Stunden gefordert und dass McKesson auf die Forderung nie reagiert habe.
{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[{„@type“:“Question“,“name“:“Wer war für den McKesson-Datenschutzvorfall verantwortlich?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Die Hackergruppe ShinyHunters übernahm die Verantwortung für den Cyberangriff und erklärte, sie habe sich durch Vishing-Anrufe und Social Engineering, die auf McKesson-Mitarbeiter abzielten, Zugang verschafft.“}},{„@type“:“Question“,“name“:“Welche Art von Daten wurde beim Cyberangriff auf McKesson gestohlen?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“ShinyHunters behauptet, sie habe etwa 284 Millionen Datensätze mit persönlichen und geschützten Gesundheitsinformationen entwendet, zusammen mit personenbezogenen Mitarbeiterdaten wie Privatadressen. Die Zahl bezieht sich auf Datenbankzeilen und nicht auf eine bestätigte Anzahl eindeutiger Patienten.“}},{„@type“:“Question“,“name“:“Wie gelangten die Hacker in die Systeme von McKesson?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Laut den Hackern täuschten Vishing-Anrufe Mitarbeiter dazu, Zugangsdaten preiszugeben, die dann genutzt wurden, um Okta-Single-Sign-on-Konten zu kapern. Von dort aus bewegten sich die Angreifer in die Cloud-basierten Salesforce- und Snowflake-Umgebungen von McKesson, um Daten zu extrahieren.“}},{„@type“:“Question“,“name“:“Hat McKesson das von den Hackern geforderte Lösegeld bezahlt?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“McKesson lehnte es ab, Details zu einer möglichen Lösegeldzahlung offenzulegen. ShinyHunters sagt, sie hätten 55.236.150 $ mit einer Frist von 72 Stunden gefordert und dass McKesson auf die Forderung nie reagiert habe.“}}]}
Artikel mit Unterstützung künstlicher Intelligenz erstellt und von der Redaktion überprüft.
