ShinyHunters reklamiert 284 Millionen Datensätze von McKesson – und der Gesundheitsleak wächst

McKesson, einer der größten Gesundheitsdistributoren Nordamerikas, hat bestätigt, dass Eindringlinge auf seine Systeme zugegriffen und Daten exfiltriert haben – wenige Tage, nachdem die Erpressergruppe ShinyHunters behauptet hatte, sie habe Datensätze zu bis zu 284 Millionen Patienteneinträgen erbeutet. Das Unternehmen offenbarte den Vorfall in einem Form-8-K-Dokument bei der U.S. Securities and Exchange Commission und bestätigte, dass ermittelt wird.

Zum Weiterlesen: Niederländische Polizei verhaftet mutmaßlichen ShinyHunters-Anführer, während die FBI-Breach-Folgen wachsen · Sonys japanische ISP-Sparte meldet Datenpanne mit 2,6 Millionen Datensätzen.

Die Zahlen sind außergewöhnlich, und das gilt auch für die Art und Weise, wie der Angriff abgelaufen sein soll: nicht über eine Software-Schwachstelle, sondern über einen Telefonanruf. Laut BleepingComputer und CyberInsider erklärte ShinyHunters Reportern, man habe Mitarbeitende per Voice-Phishing – Vishing – dazu gebracht, Zugangsdaten herauszugeben, und mit diesen Logins Okta-Single-Sign-on-Konten übernommen. Von dort aus sei die Gruppe in die Salesforce- und Snowflake-Umgebungen des Unternehmens vorgedrungen und habe über vier Tage, zwischen dem 21. und dem 25. August, etwa ein Terabyte an Daten exfiltriert.

McKesson erklärte, den Vorfall erstmals am 25. August entdeckt zu haben. In der öffentlichen Mitteilung beschrieb das Unternehmen „einen Cybersicherheitsvorfall mit Drittanwendung und unbefugtem Zugriff sowie der Exfiltration von Daten“ und erklärte, der Vorfall scheine Daten zu betreffen, die „eine Teilmenge von Kunden unserer Geschäftsbereiche Oncology & Multispecialty und Medical-Surgical“ beträfen.

Die Zahl 284 Millionen, entwirrt

Der wichtigste Vorbehalt dieser Geschichte ist: 284 Millionen sind nicht 284 Millionen Menschen. ShinyHunters hatte zunächst Schlagzeilen befeuert, die auf ebenso viele betroffene Patienten hindeuteten; später stellte die Gruppe gegenüber BleepingComputer klar, die Zahl sei eine Rohzählung von rund 284 Millionen Datensätzen oder Zeilen und man habe die Beute nicht genau genug analysiert, um zu wissen, wie viele einzelne Personen darin vorkommen. Eine Person erscheint typischerweise in vielen Zeilen – Termine, Rezepte, Rechnungen, Kommunikation –, sodass die tatsächliche Zahl der Betroffenen mit ziemlicher Sicherheit niedriger liegt, auch wenn die praktische Exposition weiterhin enorm sein kann.

ShinyHunters zufolge umfassen die Daten Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern, Patienten-IDs, Telefonnummern, E-Mail-Adressen, Medicaid-Nummern, Aktenzeichen, Informationen zu Medikamenten und Allergien, Erkrankungen und Diagnosen, Termindetails und Arztinformationen. Die Gruppe behauptet zudem, Mitarbeiterdaten, Abrechnungs- und Rezeptdaten, interne Kommunikation und – laut CyberInsider – E-Mail-Inhalte zwischen Ärzten und Patienten zu besitzen, jedoch keine Anhänge. Nichts davon ist unabhängig verifiziert, und McKesson hat die konkreten Datenarten oder die Zahl der Betroffenen nicht bestätigt.

Von einem Anruf zum Cloud-Datenlager

Die Mechanik ist wichtig, weil sie sich in nahezu jeder ShinyHunters-Kampagne wiederholt. Vishing umgeht technische Kontrollen, indem es Menschen ins Visier nimmt: Ein Angreifer gibt sich als IT-Helpdesk aus, überredet einen Mitarbeitenden, einen Einmalcode vorzulesen oder eine Push-Benachrichtigung zu bestätigen, und erbt damit dessen Identität im Identitätsanbieter. Einmal in Okta, erreicht der Angreifer oft alles, wozu diese Identität berechtigt ist – in diesem Fall die SaaS-Anwendungen, in denen sensible Geschäftsdaten liegen.

Snowflake und Salesforce nehmen in diesem Drehbuch eine Sonderstellung ein. Beide sind weit verbreitet, beide bündeln riesige Mengen an Kundendaten, und beide sind mit gestohlenen Zugangsdaten zugänglich, wenn eine Organisation nicht starke, phishingresistente Authentifizierung und enge Zugriffsüberprüfungen eingezogen hat. Sicherheitsforschende warnen seit einem Jahr, dass Datendiebstahlgruppen gelernt haben, die Ransomware-Verschlüsselung ganz zu überspringen, die Daten einfach aus Cloud-Datenlagern zu kopieren und das Opfer dann mit der Drohung der Veröffentlichung zu erpressen. ReliaQuest, das die Kampagne verfolgte, bemerkte laut Bericht, dass ShinyHunters Domains im .claims-Muster nutzte, die das Ziel benennen.

ShinyHunters sagte gegenüber BleepingComputer, man habe 55.236.150 Dollar gefordert und McKesson 72 Stunden zur Antwort gegeben. Das Unternehmen habe nie geantwortet, so die Gruppe.

Warum das Gesundheitswesen immer wieder getroffen wird

McKesson sitzt im Zentrum der US-Arzneimittelversorgung und liefert rund ein Drittel der verschreibungspflichtigen Medikamente an Krankenhäuser, Apotheken und Praxen und betreibt die Apothekenkette Health Mart. Das macht das Unternehmen aus Gründen, die weit über die eigene Bilanz hinausgehen, zu einem lohnenden Ziel: Die Daten sind eine Mischung aus Identitätsinformationen, klinischen Details und Finanzunterlagen – genau das Profil, das Angreifer sowohl für Erpressung als auch für nachgelagerten Betrug suchen.

Das Unternehmen ist zudem der jüngste Name in einer Reihe von Gesundheitsleaks, die ShinyHunters oder Gruppen mit ähnlicher Taktik zugeschrieben werden und laut Berichten Abbott Laboratories, Baxter International, Medtronic, DentaQuest und Amazons Altsysteme von One Medical umfassen. Das Muster deutet auf eine professionalisierte Angriffskette hin: billige Identitäten, Cloud-Datenlager und Veröffentlichungsdruck, industriell wiederholt gegen eine Branche, die auf Altsystemen und dünnen Margen läuft.

Der wertvollste Datensatz im Gesundheitswesen ist nicht ein einzelner Eintrag. Es ist die Fähigkeit, Identität, Erkrankung und Verordnung zu einem Bild einer Person zu verbinden – und genau das hält ein Distributionsmittler in der Hand.

Das Erpresser-Drehbuch ist die eigentliche Lektion

Ransomware bedeutete einst gesperrte Dateien und einen Entschlüsselungsschlüssel. Das ShinyHunters-Modell ist einfacher und aus Sicht der Angreifer effizienter: Kopie stehlen, Veröffentlichung androhen, aus der Annahme heraus verhandeln, dass die größte Angst des Opfers regulatorisch und reputationsbezogen ist, nicht operativ. Die DSGVO der Europäischen Union und die US-Meldegesetze machen die Veröffentlichung zu einer konkreten Haftung. Deshalb ist die Frist der Gruppe – und McKessons offenkundiges Schweigen – der Teil, den man beobachten muss.

Es lohnt sich, genau zu sein, was „Datendiebstahl“ hier bedeutet. Wenn das exfiltrierte Material Sozialversicherungsnummern, Medicaid-Nummern und detaillierte Diagnosen enthält, entfaltet sich der Schaden über Jahre: Identitätsdiebstahl, medizinischer Abrechnungsbetrug und höchst überzeugendes Phishing, das auf ein echtes Rezept oder einen Termin verweisen kann. Anders als eine Kreditkartennummer lässt sich eine Diagnose nicht neu ausstellen. Diese Asymmetrie macht Gesundheitsdaten einzigartig gefährlich und einzigartig wertvoll.

Ein bekanntes Drehbuch, in großem Maßstab

ShinyHunters ist nicht neu. Die Gruppe wird seit Jahren mit prominenten Datendiebstählen in Verbindung gebracht, und ihre jüngsten Kampagnen haben sich auf eine wiederholbare Formel eingespielt: eine Identität sozial manipulieren, in einen SaaS-Mandanten eindringen und aus einer Cloud-Datenplattform exfiltrieren. Der Wechsel von verschlüsselungsbasierter Ransomware zu reinem Diebstahl und Erpressung eliminiert den schwierigsten Teil der kriminellen Lieferkette – ein funktionierendes Verschlüsselungswerkzeug zu betreiben und Verhandlungsinfrastruktur zu unterhalten –, behält aber den größten Teil des Hebels, denn die Drohung zu veröffentlichen ist es, die Opfer tatsächlich bewegt.

Das Cloud-Datenlager ist zum bevorzugten Ausgang geworden. 2025 zwang eine Welle von Snowflake-Kontokompromittierungen zahlreiche große Organisationen, Datendiebstahl offenzulegen, und die Lehren aus dieser Welle – starke Authentifizierung erzwingen, Netzwerkzugriff beschränken, ruhende Konten prüfen und auf ungewöhnliche Exportmengen achten – gelten auch hier. Salesforce wiederum ist das System of Record für Kundenbeziehungen und sammelt oft weit sensiblere Details an, als Teams erwarten, einschließlich Support-Notizen und Kommunikation. Wer beides lesen kann, erbeutet nicht ein System, sondern ein Profil eines Unternehmens.

Es gibt ein Risiko zweiter Ordnung, das weniger Beachtung findet: den Markt der Datenhändler für gestohlene Datensätze. ShinyHunters existiert nicht isoliert, und gestohlene Gesundheitsdatensätze haben ein langes Nachleben in Betrugsökosystemen, selbst wenn ein Lösegeld gezahlt oder eine Leak-Seite abgeschaltet wird. Deshalb bleibt die übliche Empfehlung lange relevant – Kredit einfrieren, auf unbekannte medizinische Abrechnungen achten und misstrauisch gegenüber Kommunikation sein, die echte persönliche Details nennt.

Die regulatorische Uhr läuft bereits

McKessons SEC-Meldung ist selbst ein Signal. Börsennotierte Unternehmen müssen wesentliche Cybersicherheitsvorfälle offenlegen, und die Formulierung „frühe Phase“, noch nicht wesentlich, ist die übliche Ausgangsposition, solange Forensik läuft. Diese Einschätzung kann sich ändern. Nach der US-Regel zur Meldung von HIPAA-Verstößen müssen betroffene Personen in der Regel innerhalb von 60 Tagen nach Entdeckung eines Verstoßes gegen ungesicherte geschützte Gesundheitsdaten benachrichtigt werden, und die Generalstaatsanwälte der Bundesstaaten haben eigene, teils kürzere Fristen und Meldepflichten. Bei einem derart breiten Datensatz wird allein die Benachrichtigung gewaltig.

Der Vorfall fällt zudem in eine Phase erhöhter regulatorischer Aufmerksamkeit für die Cybersicherheit im Gesundheitswesen, nach einer Reihe von Angriffen auf Medizingerätehersteller, Krankenhausketten und Abrechnungsdienstleister. Aufsichtsbehörden und Gesetzgeber fragen wiederholt, warum eine Branche, die die sensibelste Kategorie personenbezogener Daten hält, so langsam darin ist, phishingresistente Authentifizierung und Cloud-Daten-Governance einzuführen. McKessons Fall wird ein weiterer Beleg in dieser Debatte.

Was zu beobachten ist

Drei Dinge werden bestimmen, wie sich das auflöst. Erstens McKessons Untersuchung: ob das Unternehmen die tatsächliche Zahl der Betroffenen bestimmen und den von Staatsgesetzen und möglicherweise HIPAA geforderten Benachrichtigungsprozess beginnen kann. Zweitens, ob die Aussage „keine Aktion erforderlich“ hält oder revidiert wird – solche Formulierungen weichen in der Regel auf, sobald Forensikfirmen ihre Arbeit beenden. Drittens, ob die Branche dies als Cloud-Identitätsproblem statt als McKesson-Problem behandelt. Das konkrete Opfer wird wechseln; das Drehbuch nicht.

Da ist auch die Frage der Lösegeld-Frist. Erpressergruppen eskalieren von einer verpassten Frist typischerweise zu Teilleaks, die das Opfer unter Druck setzen und beweisen sollen, dass die Daten echt sind. Ob ShinyHunters dies durchzieht und wie McKesson reagiert, wird die nächste Phase der Geschichte prägen. Vorerst lautet die Position des Unternehmens, der Betrieb sei normal und Kunden müssten nicht handeln – eine Aussage, die man zunächst für bare Münze nehmen kann, auf die man sich aber nicht verlassen sollte, ohne den Verlauf genau zu verfolgen.