McKesson, eines der größten Gesundheitsvertriebsunternehmen des Landes, hat bestätigt, dass es einen Datenverstoß erlitten hat, nachdem die Erpressungsgruppe ShinyHunters behauptet hat, atemberaubende 284 Millionen Datensätze mit sowohl personenbezogenen Daten (PII) als auch geschützten Gesundheitsdaten (PHI) gestohlen zu haben. Die Bestätigung erfolgt, während eine von Angreifern gesetzte Frist Berichten zufolge unmittelbar bevorsteht, was den Druck auf ein Unternehmen erhöht, das einen enormen Anteil der US-amerikanischen Pharma- und Medizinversorgungskette berührt.

Was ShinyHunters behauptet, von McKesson gestohlen zu haben

ShinyHunters, eine Gruppe, die für groß angelegte Datendiebstähle und Erpressungskampagnen bekannt ist, hat die Verantwortung für die Exfiltration von 284 Millionen Datensätzen aus McKessons Systemen übernommen. Die Gruppe gibt an, dass die gestohlenen Daten eine Mischung aus PII wie Namen und Kontaktdaten sowie PHI umfassen, die Kategorie gesundheitsbezogener Daten, die unter Vorschriften wie HIPAA besonderen rechtlichen Schutz genießt. Da McKesson als kritisches Bindeglied zwischen Pharmaherstellern, Apotheken und Gesundheitsdienstleistern fungiert, kann der Umfang der verarbeiteten Daten Patientenakten im Zusammenhang mit Verschreibungen, Bestellungen von Medizinprodukten und Kommunikation mit Anbietern umfassen, und nicht nur Daten aus einem einzelnen Krankenhaus oder einer einzelnen Klinik.

Das schiere Ausmaß der behaupteten Beute – fast 300 Millionen Datensätze – würde diesen Vorfall zu einem der größten behaupteten Gesundheitsdatendiebstähle der jüngeren Vergangenheit machen. Zum Zeitpunkt der Bestätigung hat McKesson eingeräumt, dass ein Verstoß aufgetreten ist, wobei der volle Umfang der tatsächlich erlangten und gestohlenen Daten noch im Rahmen der Untersuchung des Unternehmens ermittelt wird.

Warum PII- und PHI-Diebstahl gefährlicher ist als ein typischer Datenverstoß

Nicht alle Datenverstöße bergen dasselbe Risiko, und die Kombination von PII und PHI ist besonders besorgniserregend. PII allein – wie Namen, Adressen und Telefonnummern – kann bereits Phishing und Identitätsdiebstahl befeuern. Wenn jedoch PHI hinzukommt, gewinnen Kriminelle Einblick in die Krankengeschichte, Verschreibungen oder Gesundheitszustände einer Person. Diese Informationen können genutzt werden, um äußerst überzeugende Betrugsmaschen zu entwickeln, wie gefälschte Apothekenmitteilungen, betrügerische Versicherungsansprüche oder gezielte Phishing-Nachrichten, die echte medizinische Details referenzieren, um legitim zu wirken.

PHI ist für Opfer zudem schwerer zu ändern als ein Passwort oder sogar eine Sozialversicherungsnummer. Die Diagnosehistorie oder das Verschreibungsprotokoll einer Person verfällt nicht und setzt sich nicht zurück, was bedeutet, dass exponierte medizinische Daten für Angreifer über Jahre hinweg nutzbar bleiben können. Dies ist einer der Gründe, warum Gesundheitsdaten auf Dark-Web-Marktplätzen konstant einen Aufpreis erzielen und warum Datenverstöße bei Pharmadistributoren, Krankenhausnetzwerken und Krankenversicherern anhaltende Aufmerksamkeit von Erpressungsgruppen auf sich ziehen.

McKessons Bestätigung und die Erpressungsfrist erklärt

McKessons öffentliche Bestätigung folgt einem vertrauten Muster, das in jüngsten Erpressungsfällen im Gesundheitssektor zu sehen ist: Ein Bedrohungsakteur behauptet einen großen Datendiebstahl, setzt eine Frist für Zahlung oder öffentliche Veröffentlichung, und das betroffene Unternehmen arbeitet unter öffentlichem Druck daran, den Vorfall zu verifizieren und einzudämmen. Dies ist nicht das erste Mal, dass McKesson sich im Zentrum eines Erpressungsstillstands befindet. Das Unternehmen wurde zuvor auch in einem separaten Lösegeldforderungsfall der Gruppe Rhysida genannt, ein Fall, der McKessons anhaltende Exposition gegenüber erpressungsgetriebenen Angriffen und das breitere Muster hervorhob, dass Gesundheits- und Lieferkettenunternehmen von diesen Gruppen gezielt ins Visier genommen werden.

Während McKesson bestätigt hat, dass ein Verstoß aufgetreten ist, hat das Unternehmen weder den vollständigen Umfang der entwendeten Daten detailliert noch die Zahl von 284 Millionen von ShinyHunters endgültig validiert. Diskrepanzen zwischen den Behauptungen der Angreifer und den bestätigten Verlusten sind in diesen Situationen üblich, und der wahre Umfang wird oft erst nach forensischen Untersuchungen klarer, obwohl allein der bestätigte Verstoß ausreicht, um bei allen, die mit McKesson-verbundenen Apotheken, Anbietern oder Lieferkanälen interagiert haben, Vorsicht walten zu lassen.

Schritte, die Patienten und Apothekenkunden jetzt unternehmen sollten

Angesichts der Natur von McKessons Geschäft in der Gesundheitsversorgungskette ist sich vielen Patienten möglicherweise nicht einmal bewusst, dass ihre Daten durch seine Systeme liefen, da McKesson oft im Hintergrund für Apotheken und Anbieter arbeitet, anstatt direkt mit Patienten zu interagieren. Dennoch gibt es konkrete Schritte, die sich lohnen:

  • Achten Sie auf Phishing-Versuche, die spezifische medizinische Details, Verschreibungen oder Anbieternamen referenzieren, da diese auf Missbrauch gestohlener PHI hinweisen können.
  • Überwachen Sie Konto- und Versicherungsauszüge auf ungewöhnliche Belastungen oder Ansprüche, die in Ihrem Namen eingereicht wurden.
  • Ziehen Sie Dienste zur Überwachung von Anmeldedaten und Dark Web in Betracht, insbesondere angesichts des Umfangs der Datensätze, die ShinyHunters nach eigenen Angaben erlangt hat.
  • Seien Sie vorsichtig bei unaufgeforderten Anrufen oder Nachrichten, die vorgeben, von einer Apotheke oder einem Gesundheitsanbieter zu stammen und darum bitten, persönliche Informationen zu „verifizieren".
  • Behalten Sie offizielle Benachrichtigungen von McKesson oder betroffenen Apotheken im Auge, die möglicherweise spezifische Anweisungen enthalten, sobald die Untersuchung abgeschlossen ist.

Was das für Sie bedeutet

Selbst wenn Sie noch nie von McKesson gehört haben, bedeutet seine Rolle als Gesundheitsdistributor, dass Ihre Daten Teil von Datensätzen sein könnten, die über Apotheken oder Anbieter verarbeitet wurden, die es unterstützt. Der McKesson-Datenverstoß mit PHI ist eine Erinnerung daran, dass Gesundheitsversorgungskettenunternehmen, nicht nur Krankenhäuser und Versicherer, hochwertige Ziele für Erpressungsgruppen sind, wegen der Menge und Sensibilität der Daten, die sie verarbeiten. Bis McKessons Untersuchung abgeschlossen ist, ist es eine vernünftige Vorsichtsmaßnahme, jede medizinbezogene Kommunikation mit erhöhter Aufmerksamkeit zu behandeln.

Der McKesson-Vorfall unterstreicht einen breiteren Trend: Angreifer zielen zunehmend auf das Verbindungsgewebe des Gesundheitssystems ab, nicht nur auf die sichtbarsten Institutionen. Für Patienten ist die praktische Antwort unabhängig davon, welches Unternehmen die Daten falsch behandelt hat, dieselbe: Exposition annehmen, entsprechend überwachen und unerwartete medizinbezogene Kontaktaufnahmen mit Misstrauen behandeln. Informiert zu bleiben, während McKessons Untersuchung fortschreitet, und zu prüfen, wie frühere Erpressungsversuche gegen das Unternehmen abgelaufen sind, kann Ihnen helfen, das reale Risiko einzuschätzen und angemessen zu reagieren, anstatt aus Alarmismus zu handeln.