McKesson bestätigt Cyberangriff – 284 Millionen Datensätze sind nur eine Behauptung
McKesson bestätigte am 28. August 2026 einen Cyberangriff, den das US-Gesundheitsunternehmen am 25. August in seinen Informationssystemen entdeckt hatte. Der Bericht von BleepingComputer gibt eine separate Kundenmitteilung des Unternehmens wieder, wonach Unbefugte auf Anwendungen von Drittanbietern zugriffen und Daten exfiltrierten. Welche Informationen und wie viele Personen betroffen sind, ist nicht bestätigt.
Ebenfalls am 28. August behauptete die Erpressergruppe ShinyHunters, etwa 284 Millionen patientenbezogene Datensätze erbeutet zu haben. Diese Zahl bezeichnet nach der späteren Erläuterung der Gruppe jedoch einzelne Datensätze oder Zeilen, nicht 284 Millionen eindeutig identifizierte Patienten. McKesson hat weder die Zahl noch die von den Angreifern genannten Datenkategorien bestätigt.
Was McKesson tatsächlich offengelegt hat
Der Form-8-K-Bericht von McKesson nennt den 25. August 2026 als Entdeckungstag und wurde am 28. August unterzeichnet. Darin beschreibt das Unternehmen einen Cybersicherheitsvorfall in seinen Informationssystemen und eine Untersuchung im frühen Stadium.
Zum Zeitpunkt der Einreichung hatte McKesson nicht festgestellt, dass der Vorfall wesentlich sei oder bereits wesentliche Auswirkungen auf die Finanzlage oder das Geschäftsergebnis habe beziehungsweise vernünftigerweise erwarten lasse. Das ist eine vorläufige Einschätzung der wirtschaftlichen Wesentlichkeit, keine Entwarnung zum Datenschutz und keine Aussage über die Zahl möglicher Betroffener.
Nach der separat veröffentlichten Kundeninformation aktivierte McKesson seine Verfahren zur Reaktion auf Sicherheitsvorfälle, begann eine Untersuchung und zog externe Cybersicherheitsfachleute hinzu. Öffentlich ungeklärt blieben zunächst die betroffenen Drittanbieter-Anwendungen, der Zugangsweg und der genaue Inhalt der entwendeten Daten.
Bestätigt, von Angreifern behauptet und noch offen
Die Beweislage besteht aus drei deutlich voneinander abzugrenzenden Ebenen:
- Bestätigt: McKesson entdeckte am 25. August einen Vorfall in seinen Informationssystemen. Nach der Kundenmitteilung waren Drittanbieter-Anwendungen von unbefugtem Zugriff und Datenexfiltration betroffen. Die Untersuchung lief weiter; eine wesentliche wirtschaftliche Auswirkung war in der SEC-Meldung noch nicht festgestellt.
- Von Angreifern behauptet: ShinyHunters reklamiert den Angriff für sich und nennt ungefähr 284 Millionen patientenbezogene Datenzeilen sowie rund ein Terabyte entwendeter Daten. Die Gruppe behauptet, Mitarbeiter per Telefonmanipulation getäuscht, Okta-Konten kompromittiert und dadurch auf Salesforce- und Snowflake-Umgebungen zugegriffen zu haben.
- Noch offen: Nicht öffentlich bestätigt sind die Identität der Täter, der Zugangsweg, die betroffenen Anwendungen und Datenfelder, die Zahl individueller Personen sowie der geografische und zeitliche Gesamtumfang.
Die Täterangabe ist schon nach ihrer eigenen Definition keine Patientenzahl. ShinyHunters erklärte, das Material noch nicht vollständig ausgewertet zu haben und die Zahl der darin vorkommenden individuellen Personen nicht zu kennen. Mehrere Zeilen können sich auf dieselbe Person beziehen; zugleich lässt sich aus der Rohzahl nicht ableiten, wie vollständig oder aktuell einzelne Einträge sind.
Auch die behauptete Angriffskette bleibt unbewiesen. Dass McKesson den Zugriff auf Drittanbieter-Anwendungen bestätigte, belegt weder einen Einbruch über Okta noch einen Zugriff auf Salesforce oder Snowflake. Solange forensische Ergebnisse oder weitere Unternehmensangaben fehlen, dürfen diese technischen Einzelheiten nur als Darstellung der mutmaßlichen Täter gelten.
Welche sensiblen Daten angeblich betroffen sind
ShinyHunters behauptet, das Material enthalte Namen, Adressen, Geburtsdaten, Telefonnummern, E-Mail-Adressen und US-Sozialversicherungsnummern. Hinzu kämen angeblich Patienten- und Medicaid-Kennungen, medizinische Aktennummern sowie Angaben zu Medikamenten, Allergien, Erkrankungen, Behinderungen, Terminen und behandelnden Ärzten.
Die Gruppe nennt außerdem Informationen über Verstorbene und unheilbar kranke Menschen, Rezepte, Medikamentensendungen, Rechnungen, Mitarbeiterdaten und interne Kommunikation. McKesson hat diese Kategorien nicht einzeln bestätigt. Die Bezeichnung „patientenbezogene Datensätze“ ist deshalb kein Nachweis dafür, dass jede Datenzeile eine vollständige Patientenakte enthält.
Sollten Identitätsmerkmale und Gesundheitsinformationen gemeinsam abgeflossen sein, könnte ihre Kombination das Risiko gezielter Täuschungsversuche erhöhen. Angaben zu Medikamenten, Ärzten oder Terminen könnten betrügerische Nachrichten im Namen einer Praxis, Apotheke oder Versicherung glaubwürdiger erscheinen lassen. Dauerhafte Kennungen und medizinische Informationen lassen sich zudem nicht so einfach ersetzen wie ein kompromittiertes Passwort.
Eine Betroffenheit von Personen in Deutschland, Österreich oder der Schweiz ist bislang nicht belegt. Allein aus McKessons internationaler Geschäftstätigkeit lässt sich nicht schließen, dass Daten aus dem deutschsprachigen Raum Teil des Vorfalls sind. Dafür wären konkrete Angaben des Unternehmens, seiner Kunden oder zuständiger Behörden erforderlich.
Die entscheidenden Größenangaben fehlen weiterhin
Die bestätigte Aussage reicht derzeit nur bis zum unbefugten Zugriff auf Drittanbieter-Anwendungen und zur Exfiltration nicht näher bezeichneter Daten. Eine überprüfte Zahl betroffener Personen, eine validierte Liste der Datenfelder und eine unabhängige Bestätigung des von ShinyHunters beschriebenen Materials liegen nicht öffentlich vor.
Damit stehen ein bestätigter Cyberangriff und Datenabfluss einer wesentlich detaillierteren, aber unbewiesenen Tätererzählung gegenüber. Die Zahl von 284 Millionen ist weder ein bestätigter Umfang des Datenlecks noch eine belastbare Patientenzahl. Mehr Klarheit können erst die weitere Untersuchung, mögliche individuelle Benachrichtigungen und etwaige Meldungen an Datenschutz- oder Gesundheitsbehörden schaffen.
Lesen Sie auch:
Newsletter abonnieren
Erhalten Sie die neuesten Nachrichten zu Web3, KI und Krypto direkt in Ihren Posteingang.