Datenpanne bei McKesson: Was der Angriff der ShinyHunters für deutsche Gesundheitsunternehmen bedeutet

Einleitung: Ein Datenleck von historischem Ausmaß

Ein Angriff, der selbst erfahrene Cybersicherheitsexperten aufhorchen lässt: Der US-amerikanische Pharma- und Gesundheitslogistikkonzern McKesson hat einen schwerwiegenden Cybersicherheitsvorfall offengelegt. Die berüchtigte Hackergruppe ShinyHunters behauptet, dabei 284 Millionen Patientendatensätze erbeutet zu haben – eine Zahl, die zu den größten Gesundheitsdatenpannen der Geschichte zählen würde.

Für IT-Verantwortliche und Geschäftsführer in Deutschland mag dieser Fall auf den ersten Blick wie eine amerikanische Angelegenheit wirken. Das wäre ein gefährlicher Irrtum. Die Hintergründe dieses Vorfalls – Drittanbieter-Zugriffe, erpresserische Hackerkollektive und unzureichend geschützte Patientendaten – sind universelle Schwachstellen, die auch hierzulande akut relevant sind. Gerade im Kontext der NIS2-Richtlinie, die seit Oktober 2024 in Deutschland verbindlich gilt, liefert dieser Fall wichtige Lehren.

Technischer Hintergrund: Wie ShinyHunters operiert

Wer sind die ShinyHunters?

ShinyHunters ist kein gewöhnliches Cyberkriminalitätskollektiv. Die Gruppe wurde erstmals 2020 bekannt und hat seitdem eine Reihe hochkarätiger Angriffe auf internationale Unternehmen durchgeführt – darunter Attacken auf Ticketmaster, Santander Bank und zahlreiche weitere Konzerne. Ihr Geschäftsmodell basiert auf einem zweistufigen Ansatz:

1. Datendiebstahl durch unbefugten Zugriff auf externe Anwendungen oder kompromittierte Zugangsdaten
2. Erpressung und Datenveröffentlichung über einschlägige Darknet-Foren, wenn kein Lösegeld gezahlt wird

Was beim McKesson-Angriff technisch passierte

Laut der Offenlegung von McKesson erlangten die Angreifer unbefugten Zugriff auf Drittanbieter-Anwendungen – ein entscheidender Detail. Das bedeutet: Nicht McKesson selbst war das direkte Angriffsziel, sondern ein oder mehrere externe Dienstleister, die Zugang zu den Systemen und Daten des Konzerns hatten.

Dieses Angriffsmuster – bekannt als Supply-Chain-Angriff oder Third-Party-Breach – ist besonders tückisch, weil:

• Die eigene Sicherheitsinfrastruktur des betroffenen Unternehmens intakt bleiben kann
• Klassische Perimeterschutzmaßnahmen versagen
• Die Angriffsfläche mit jedem eingebundenen Drittanbieter wächst
• Betroffene oft erst mit erheblicher Verzögerung von dem Vorfall erfahren

Die gestohlenen Daten sollen Patienteninformationen wie Namen, Adressen, Versicherungsdaten und medizinische Informationen umfassen – Datenkategorien, die nach Artikel 9 DSGVO als besonders schützenswert gelten.

NIS2-Relevanz: Was deutsche Unternehmen jetzt wissen müssen

Gesundheitssektor als kritische Infrastruktur

In Deutschland fällt der Gesundheitssektor explizit unter die NIS2-Richtlinie (umgesetzt durch das BSIG – BSI-Gesetz). Krankenhäuser, pharmazeutische Hersteller, Labore und Gesundheitsdienstleister ab einer bestimmten Unternehmensgröße gelten als „wesentliche Einrichtungen" mit erweiterten Pflichten.

Ihre konkreten Meldepflichten unter NIS2

Ein Vorfall wie der bei McKesson würde in Deutschland folgende Pflichten auslösen:

Wichtig: Die DSGVO-Meldepflicht (72 Stunden an die Datenschutzaufsichtsbehörde) und die NIS2-Meldepflicht laufen parallel – nicht alternativ. Unternehmen müssen beide Kanäle bedienen.

Haftung durch Drittanbieter

Ein kritischer Aspekt des McKesson-Falls: Der Angriff erfolgte über Drittanwendungen. Unter NIS2 sind Unternehmen jedoch verpflichtet, Risiken in der Lieferkette aktiv zu managen (Artikel 21, NIS2-Richtlinie). Das bedeutet: Auch wenn ein Dienstleister kompromittiert wurde, trägt das Auftragsunternehmen Mitverantwortung – und potenziell auch Haftung.

Das BSI hat hierzu klare Erwartungen formuliert: Vertragspartner müssen auf ihre Sicherheitsstandards geprüft, regelmäßig auditiert und bei Verstößen konsequent sanktioniert werden.

Praktische Schutzmaßnahmen: 7 konkrete Handlungsempfehlungen

1. Drittanbieter-Risikomanagement systematisch aufbauen

Erstellen Sie ein vollständiges Register aller Drittanbieter, die Zugriff auf Ihre Systeme oder Daten haben. Bewerten Sie jeden Anbieter nach Risikoklassen und hinterlegen Sie vertragliche Sicherheitsanforderungen (z. B. ISO 27001-Zertifizierung, regelmäßige Penetrationstests, Incident-Response-Pläne).

Konkrete Maßnahme: Implementieren Sie ein formalisiertes Vendor Risk Assessment als festen Bestandteil jedes Einkaufsprozesses.

2. Prinzip der minimalen Rechtevergabe (Least Privilege) konsequent umsetzen

Drittanbieter sollten ausschließlich Zugang zu den Systemen und Daten erhalten, die sie für ihre Aufgaben zwingend benötigen. Regelmäßige Zugriffsrechte-Audits stellen sicher, dass inaktive oder nicht mehr benötigte Zugriffe zeitnah entzogen werden.

Konkrete Maßnahme: Quartalsweise automatisierte Überprüfung aller externen Zugriffsrechte über ein Identity-Governance-System.

3. Multi-Faktor-Authentifizierung (MFA) ohne Ausnahmen

Der unbefugte Zugriff auf externe Anwendungen ist oft auf kompromittierte Zugangsdaten zurückzuführen. MFA ist die wirksamste und kostengünstigste Gegenmaßnahme.

Konkrete Maßnahme: MFA-Pflicht für alle externen Zugriffe, privilegierten Konten und administrative Interfaces – keine Ausnahmen, auch nicht für langjährige Partner.

4. Kontinuierliches Monitoring und Anomalieerkennung

Der McKesson-Vorfall zeigt: Angreifer können sich lange unbemerkt in Systemen aufhalten. Security Information and Event Management (SIEM)-Systeme mit Verhaltensanalyse erkennen ungewöhnliche Datenzugriffe oder -transfers frühzeitig.

Konkrete Maßnahme: Definieren Sie klare Alerting-Schwellenwerte für ungewöhnliche Datenmengen-Exports, unbekannte IP-Adressen und Zugriffe zu atypischen Zeiten.

5. Incident-Response-Plan für Drittanbieter-Vorfälle testen

Viele Unternehmen haben Notfallpläne – aber nur für direkte Angriffe auf die eigene Infrastruktur. Tabletop-Übungen, die explizit Drittanbieter-Szenarien simulieren, schließen diese Lücke.

Konkrete Maßnahme: Führen Sie mindestens einmal jährlich eine Krisenübung durch, in der ein Drittanbieter als Einfallstor simuliert wird. Testen Sie dabei explizit die NIS2-Meldefristen.

6. Datensparsamkeit und Verschlüsselung als Designprinzip

Patientendaten oder andere sensible Informationen sollten nach dem Prinzip der Datensparsamkeit (Art. 5 DSGVO) nur so lange und in dem Umfang gespeichert werden, wie es der Zweck erfordert. Sämtliche ruhenden und übertragenen Daten müssen verschlüsselt sein.

Konkrete Maßnahme: Führen Sie ein Data-Mapping durch, das zeigt, wo sensible Daten gespeichert, wer Zugriff hat und wie lange sie aufbewahrt werden.

7. BSI-Ressourcen aktiv nutzen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt umfangreiche, kostenfreie Ressourcen bereit – darunter den IT-Grundschutz-Katalog, branchenspezifische Lageberichte und das CERT-Bund-Portal. Diese Informationen sollten systematisch in das eigene Sicherheitskonzept einfließen.

Konkrete Maßnahme: Abonnieren Sie die BSI-Warnmeldungen und integrieren Sie sie in Ihren wöchentlichen Security-Review-Prozess.

Fazit: Der McKesson-Fall ist kein amerikanisches Problem

Der Angriff auf McKesson ist mehr als eine Schlagzeile aus Übersee. Er ist ein Lehrstück über die Realität moderner Cyberangriffe: Hacker umgehen zunehmend gut gesicherte Perimeter, indem sie sich über Drittanbieter und externe Anwendungen Zugang verschaffen. Kein Unternehmen, das mit sensiblen Daten arbeitet, ist immun – egal ob in den USA oder in Deutschland.

Für IT-Verantwortliche und Geschäftsführer hierzulande gilt: Die NIS2-Richtlinie ist kein bürokratisches Hindernis, sondern ein praxisorientierter Rahmen, der – konsequent umgesetzt – genau solche Angriffsvektoren adressiert. Supply-Chain-Risikomanagement, strenge Zugangskontrollen und klare Meldeprozesse sind keine Kür, sondern Pflicht.

💡 Tipp für Ihre NIS2-Compliance

Die Umsetzung der NIS2-Anforderungen – insbesondere im Bereich Drittanbieter-Management, Meldepflichten und Risikoanalyse – lässt sich erheblich effizienter gestalten, wenn Sie auf spezialisierte NIS2-Compliance-Software setzen. Moderne Plattformen helfen dabei, Lieferantenrisiken zu bewerten, Nachweise zu dokumentieren, Meldefristen automatisch zu überwachen und Auditberichte zu generieren. Eine strukturierte Softwarelösung kann gerade für mittelständische Unternehmen den Unterschied zwischen reaktiver Schadensbegrenzung und proaktiver Sicherheitsstrategie ausmachen.

Quellen: Bleeping Computer (29.08.2026), BSI-Grundschutz-Kompendium, NIS2-Richtlinie (EU) 2022/2555, DSGVO Art. 9 und Art. 33, ENISA Threat Landscape 2024