McKesson-Datenleck: Hacker behaupten, 284 Millionen Datensätze gestohlen zu haben, und fordern 55 Mio. $

Ein großes Pharma-Distributionsunternehmen ist zum jüngsten US-Gesundheitsunternehmen geworden, das von Hackern ins Visier genommen wurde, die Patientendaten suchen. Das McKesson-Datenleck, das am 28. August 2026 bekannt wurde, hat eine Berichten zufolge in die Zehnmillionen gehende Lösegeldforderung ausgelöst und Sorgen über sensible medizinische Informationen geweckt, die Millionen von Patienten betreffen könnten. Da McKesson eine zentrale Rolle in der Gesundheitsversorgungskette einnimmt, hat jeder Vorfall mit Geschäfts- und Patientendaten nicht nur Folgen für das Unternehmen selbst, sondern auch für Anbieter, Kliniken und Kunden, die auf seine Distribution und Dienstleistungen angewiesen sind.

Zentrale Erkenntnisse

McKesson stellte am 25. August 2026 einen unbefugten Zugriff auf Anwendungen Dritter fest und meldete den Vorfall in einer SEC-Einreichung.

Die Erpressergruppe ShinyHunters behauptet, aus McKessons Snowflake- und Salesforce-Umgebungen rund 284 Millionen Datensätze gestohlen zu haben — eine Zahl, die Datenbankzeilen und nicht bestätigte einzelne Patienten beschreibt.

Die Hacker sagen, sie hätten per Vishing-Anrufen Mitarbeiter getäuscht und Okta-Single-Sign-On-Konten übernommen, bevor sie sich zwischen dem 21. und 25. August über vier Tage hinweg in Cloud-Systeme ausbreiteten.

ShinyHunters forderte ein Lösegeld von 55.236.150 $ und setzte McKesson eine Frist von 72 Stunden zur Reaktion; dem Unternehmen zufolge soll dies nicht geschehen sein.

McKesson bestätigte zeitweilige Servicebeeinträchtigungen, nannte jedoch weder die Zahl der Betroffenen noch die erhaltene Lösegeldforderung.

Das Leck und die Behauptungen von ShinyHunters

McKessons eigene Mitteilung war knapp und detailarm, bestätigte aber den Kern des Vorfalls: Eindringlinge gelangten in Anwendungen Dritter und extrahierten Daten, bevor das Unternehmen den Zugriff bemerkte. Das McKesson-Datenleck wurde intern erstmals am 25. August 2026 erkannt, und das Unternehmen teilte der Securities and Exchange Commission mit, die Untersuchung befinde sich noch „in einem frühen Stadium“. McKesson erklärte zudem, noch nicht festgestellt zu haben, ob der Vorfall finanziell wesentlich sei.

McKessons Chief Information and Technology Officer Francisco Fraga teilte Kunden mit, dass der bestätigte unbefugte Zugriff und die Datenexfiltration „eine Teilmenge von Kunden innerhalb unserer Geschäftsbereiche Oncology & Multispecialty sowie Medical-Surgical“ betroffen hätten. Er sagte außerdem, das Unternehmen trenne Systeme nicht vorsorglich und gehe nicht davon aus, dass Kunden Maßnahmen ergreifen müssten, verwies jedoch darauf, dass die Untersuchung noch laufe.

Wie die Hacker eindrangen

ShinyHunters, beschrieben als eine der aktivsten Gruppen, nutzte eine Lookalike-Domain, mckesson[.]claims, um den internen Helpdesk oder das IT-Team des Unternehmens zu imitieren. Forschende von ReliaQuest hatten bereits ein breiteres Muster ähnlicher Angriffe auf verschiedene Ziele verfolgt, bei denen das Namensschema „.claims“ verwendet wurde.

Nachdem die Angreifer Mitarbeiter dazu gebracht hatten, Zugangsdaten preiszugeben, übernahmen sie Okta-Single-Sign-On-Konten. Von dort aus, so ShinyHunters, wechselten sie in McKessons Salesforce- und Snowflake-Cloud-Umgebungen, in denen der Großteil der Patienten- und Geschäftsdaten des Unternehmens liegt.

Was sie angeblich gestohlen haben

Das Ausmaß des behaupteten Diebstahls macht diesen Fall besonders auffällig. ShinyHunters teilte Bleeping Computer mit, zwischen dem 21. und 25. August über vier Tage hinweg rund ein Terabyte an Daten exfiltriert zu haben; allein die Snowflake-Umgebung habe etwa 284 Millionen Datensätze geliefert. Die Gruppe stellte später klar, dass sich diese Zahl auf rohe Datenbankzeilen und nicht auf eine bestätigte Zahl eindeutiger Patienten bezieht, und räumte ein, das Material noch nicht vollständig ausgewertet zu haben, um festzustellen, wie viele Personen tatsächlich enthalten sind.

Dieser Unterschied ist wichtig. Er bedeutet, dass das tatsächliche Ausmaß des McKesson-Datenlecks selbst nach Angaben der Hacker unklar bleibt, und McKesson hat keine eigene Schätzung veröffentlicht.

Unabhängig von der genauen Anzahl sollen die gestohlenen Datenkategorien umfangreich sein. ShinyHunters sagt, das Material enthalte Namen, Privatadressen, Geburtsdaten, Sozialversicherungsnummern, Patienten-IDs, Telefonnummern, E-Mail-Adressen, Medicaid-Nummern, medizinische Aktennummern, Informationen zu Medikamenten und Allergien, Krankheiten, Behinderungen, Termindetails und Angaben zu Ärzten. Die Gruppe behauptet außerdem, die Dateien umfassten Informationen zu verstorbenen und unheilbar erkrankten Patienten, Verschreibungs- und Medikamentenversanddaten, Rechnungen, interne Kommunikation und Informationen zu Gesundheitsdienstleistern und Kliniken, die McKessons Dienste nutzen. TechCrunch berichtete, es habe eine kleine Stichprobe der durchgesickerten Daten mit öffentlichen Aufzeichnungen verifiziert, obwohl die weitergehenden Behauptungen weder von McKesson noch von externen Forschern unabhängig bestätigt wurden.

Unabhängig von den Patientendaten sagen die Hacker, dass auch Mitarbeiterinformationen — einschließlich Privatadressen — abgegriffen wurden, wodurch die Auswirkungen über die Kundschaft des Unternehmens hinausreichen.

Ein Ultimatum über 55 Millionen $ und McKessons Reaktion

Es geht offenbar nicht nur um Diebstahl, sondern auch um Erpressung. ShinyHunters teilte Bleeping Computer mit, McKesson unmittelbar nach Abschluss des Datendiebstahls am 25. August kontaktiert und ein Lösegeld in exakt Höhe von 55.236.150 $ gefordert zu haben; dem Unternehmen seien 72 Stunden zur Antwort eingeräumt worden. Laut der Gruppe habe McKesson auf die Forderung überhaupt nicht reagiert.

Öffentlich hält sich McKesson mit einer knappen Linie zurück. Sprecherin Kristina Chang teilte TechCrunch mit, das Unternehmen „continues to operate in all lines of business“ und McKesson glaube nicht, dass es in seinen Systemen weiterhin unbefugte Aktivitäten gebe. Das Unternehmen bestätigte, dass Kunden im Zusammenhang mit dem Vorfall zeitweise Serviceeinbußen erleben könnten, ging jedoch nicht auf Fragen zur Lösegeldforderung oder zur Zahl der betroffenen Personen ein.

Diese Zurückhaltung ist für sich genommen bemerkenswert. Denn wenn ein Unternehmen, das Patientendaten in McKessons Größenordnung verarbeitet, nicht bestätigt, wie viele Menschen betroffen sind, bleiben Patienten, Anbieter und Aufsichtsbehörden im Unklaren über das tatsächliche Risiko — und diese Unsicherheit hält oft noch lange an, nachdem die ersten Schlagzeilen verschwunden sind.

Zunehmendes Muster von Cyberangriffen im Gesundheitswesen

McKesson ist kein Einzelfall — der Vorfall ist der jüngste in einer schnell wachsenden Welle von Angriffen auf US-Gesundheits- und Medizintechnikunternehmen. Erst letzte Woche traf ein Cyberangriff den Medizingerätehersteller Boston Scientific, verursachte erhebliche Störungen und legte einen Großteil seines Netzwerks lahm, ähnlich einem früheren Vorfall beim Gerätehersteller Stryker, bei dem Hacker interne Werkzeuge missbrauchten, um Tausende Mitarbeitergeräte aus der Ferne zu löschen.

Auch Abbott Laboratories und Medtronic waren in den vergangenen Monaten von Cyberangriffen betroffen. Datenlecks trafen das Health-Tech-Unternehmen TriZetto und den Anbieter elektronischer Patientenakten CareCloud; jeweils waren mehr als 3 Millionen Patienten betroffen. ShinyHunters selbst beanspruchte auch Angriffe auf das zu Amazon gehörende One Medical und den Zahnversicherer DentaQuest sowie Angriffe auf Medtronic, iRhythm und AdaptHealth für sich.

Health-ISAC hat Gesundheitsorganisationen bereits vor der wachsenden Zahl von ShinyHunters-Angriffen gewarnt, die auf Social Engineering gegen Unternehmenskonten sowie Cloud- oder SaaS-Plattformen setzen — genau das angebliche Vorgehen im Fall McKesson. Für eine Branche, die einige der sensibelsten personenbezogenen Daten speichert, deutet die wiederholte Verwendung dieses Vishing-zu-Cloud-Einbruch-Musters darauf hin, dass Angreifer eine Methode gefunden haben, die zuverlässig funktioniert, und auf Gesundheits-Cyberangriffe im Umfeld von Gruppen wie ShinyHunters gibt es bislang keine Anzeichen einer Verlangsamung.

FAQ

Wer war für das McKesson-Datenleck verantwortlich?

Die Hackergruppe ShinyHunters bekannte sich zu dem Cyberangriff und erklärte, sie habe über Vishing-Anrufe und Social Engineering gegen McKesson-Mitarbeiter Zugriff erlangt.

Welche Daten wurden beim Cyberangriff auf McKesson gestohlen?

ShinyHunters behauptet, rund 284 Millionen Datensätze mit personenbezogenen und geschützten Gesundheitsinformationen sowie Mitarbeiterdaten wie Privatadressen gestohlen zu haben. Die Zahl bezieht sich auf Datenbankzeilen und nicht auf eine bestätigte Zahl eindeutiger Patienten.

Wie verschafften sich die Hacker Zugang zu McKessons Systemen?

Den Angaben der Hacker zufolge wurden Mitarbeiter durch Vishing-Anrufe dazu gebracht, Zugangsdaten preiszugeben, die dann zur Übernahme von Okta-Single-Sign-On-Konten verwendet wurden. Von dort aus wechselten die Angreifer in McKessons cloudbasierte Salesforce- und Snowflake-Umgebungen, um Daten zu extrahieren.

Hat McKesson das von den Hackern geforderte Lösegeld bezahlt?

McKesson lehnte es ab, Details zu einer möglichen Lösegeldzahlung offenzulegen. ShinyHunters sagt, es habe 55.236.150 $ mit einer Frist von 72 Stunden gefordert und McKesson habe auf die Forderung nicht reagiert.

Der Artikel wurde mit Unterstützung künstlicher Intelligenz erstellt und von der Redaktion geprüft.