Der Vorfall im Überblick
Am 28. und 29. August 2026 berichteten BleepingComputer und CyberNews, dass die Gruppe ShinyHunters die Verantwortung für einen Angriff auf die McKesson Corporation übernimmt, den größten Pharmagroßhändler der USA. Nach Angaben der Gruppe lief die Operation vom 21. bis 25. August und zielte auf die Snowflake- und Salesforce-Umgebungen von McKesson; erbeutet worden seien rund 1 TB Daten mit 284 Millionen Datensätzen. McKesson entdeckte den Vorfall am 25. August und bestätigte ihn noch am selben Tag mit einem Formular 8-K bei der US-Börsenaufsicht SEC.
McKesson hat weder die Zahl von 284 Millionen noch die Datenarten oder den Angriffsweg bestätigt. Solange das Unternehmen seine forensische Untersuchung nicht abgeschlossen und keine offiziellen Benachrichtigungen verschickt hat, gilt jede ShinyHunters zugeschriebene Zahl als Behauptung, nicht als Tatsache. Fest steht: McKesson hatte einen Sicherheitsvorfall, der schwer genug war, um eine 8-K-Meldung auszulösen, und eine bekannte Erpressergruppe reklamiert ihn mit einer Forderung von 55,2 Mio. US-Dollar für sich.
Wie konnten Angreifer gleichzeitig auf Snowflake und Salesforce zugreifen?
ShinyHunters nutzt nachweislich massenhaft abgegriffene Zugangsdaten, um Cloud-SaaS-Mandanten in großem Stil zu übernehmen. 2024 lief eine Kampagne gegen Snowflake-Kunden – darunter AT&T, Ticketmaster und Advance Auto Parts –, bei der Konten ohne erzwungene Mehr-Faktor-Authentifizierung (MFA) ausgenutzt wurden. Die Zugangsdaten hatten Infostealer Monate zuvor auf Entwickler-Laptops, CI/CD-Systemen und Rechnern von Dienstleistern gesammelt.
Der Mechanismus ist simpel: Ein Nutzer installiert einen Infostealer (häufig per Phishing oder über ein manipuliertes Tool), die Schadsoftware greift gespeicherte Browser-Passwörter und Token-Dateien ab, und die Zugangsdaten werden verkauft oder für später aufbewahrt. Verlangt die SaaS-Plattform keine MFA pro Sitzung oder erbeuten die Angreifer direkt ein gültiges Sitzungstoken, melden sie sich an, ohne eine passwortbasierte Erkennung auszulösen. Snowflake-Konten, Salesforce Connected Apps und Servicekonten für ETL oder Datenpipelines sind beliebte Ziele: Sie haben oft Lesezugriff auf große Mengen geschäftskritischer Daten und sind häufig von MFA-Richtlinien ausgenommen, die nur für die Anmeldung von Endnutzern gelten.
Bestätigt die Untersuchung einen Einstieg über Zugangsdaten, entspräche das dem Muster von 2024: keine Schwachstelle in den Produkten von Snowflake oder Salesforce selbst, sondern eine Lücke in den Zugriffskontrollen des Kunden auf diesen Plattformen.
Was McKesson bestätigt hat – und was nicht
Das Formular 8-K belegt, dass McKesson von einem Cybersicherheitsvorfall am oder vor dem 25. August 2026 ausgeht. Nach den SEC-Regeln muss ein börsennotiertes Unternehmen das 8-K innerhalb von vier Geschäftstagen einreichen, nachdem es einen Vorfall als „wesentlich oder wahrscheinlich wesentlich“ eingestuft hat. Umfang, Angriffsweg und betroffene Daten beschreibt die Meldung selbst nicht; solche Details folgen meist in späteren 10-Q- oder 10-K-Berichten, ergänzenden 8-K-Meldungen oder über gesetzlich vorgeschriebene Benachrichtigungen.
McKesson hat nicht bestätigt, dass ShinyHunters verantwortlich ist, dass Snowflake oder Salesforce betroffen waren, dass auf Patientendaten zugegriffen wurde oder dass es um 284 Millionen Datensätze geht. Die Untersuchung lief zum Zeitpunkt der Veröffentlichung noch. In seinen Bereichen Arzneimittelvertrieb und Technologiedienste ist McKesson nach HIPAA sowohl „Covered Entity“ als auch „Business Associate“; wurde auf geschützte Gesundheitsdaten (PHI) zugegriffen, bestehen Meldepflichten – unabhängig davon, ob sich das Unternehmen öffentlich zu den Behauptungen äußert.
Was das für Health-IT-Teams bedeutet
Ob die Zahlen von ShinyHunters stimmen oder nicht: Das Muster des mutmaßlichen Angriffs ist lehrreich für jedes Team, das Software für das Gesundheitswesen entwickelt oder betreibt und Gesundheitsdaten in Cloud-Analytics- oder CRM-Plattformen speichert.
Die Meldefristen nach HIPAA sind fix. Bestätigt die Untersuchung einen unbefugten Zugriff auf PHI, begann die 60-Tage-Frist für die Benachrichtigung der Betroffenen mit dem Entdeckungsdatum (25. August). Bei mehr als 500 Betroffenen in einem US-Bundesstaat muss McKesson zudem das Office for Civil Rights (OCR) des US-Gesundheitsministeriums HHS informieren und große Medien in diesem Bundesstaat benachrichtigen – innerhalb derselben 60 Tage. Teams, deren Systeme auf der Dateninfrastruktur von McKesson aufsetzen – Apothekensysteme, Gesundheits-Data-Warehouses, Analytics für die Lieferkette –, sollten jetzt ihre Business Associate Agreements (BAAs) prüfen, um zu wissen, wo ihre eigenen Meldepflichten beginnen.
Kontrollen für Massenzugriffe in Snowflake sind keine Option, sondern Pflicht. Snowflake erlaubt es, MFA-Pflicht, Netzwerkrichtlinien und Row-Access-Policies auf Kontoebene zu konfigurieren. Viele Organisationen aktivieren MFA für BI-Werkzeuge der Endnutzer, lassen Servicekonten und ETL-Verbindungen aber mit einfachen API-Schlüsseln laufen. Ein einziger kompromittierter API-Schlüssel oder ein Browser-Sitzungstoken kann einem Angreifer Rechte auf ACCOUNTADMIN-Niveau verschaffen, für die ein DBA Monate braucht. Liegen in Ihrem Snowflake-Konto Gesundheitsdaten – Abrechnungsdaten, Laborwerte, Verordnungshistorien –, müssen Servicekonten regelmäßig rotiert, MFA oder zertifikatsbasierte Authentifizierung für alle Verbindungsarten erzwungen und der Zugriff per Netzwerkrichtlinie auf bekannte IP-Bereiche beschränkt werden.
Salesforce Connected Apps sind ein typischer Abflusspunkt. Connected Apps mit Bulk-API-Zugriff („Chatter API“ oder Standard-API-Scope) können mit einem einzigen OAuth-Token große Datenmengen exportieren. Prüfen Sie, welche Connected Apps in Ihrer Salesforce-Org vollen API-Zugriff oder keine IP-Beschränkung haben. Token-Ablauf und das Widerrufen von Refresh-Tokens sollten automatisiert sein, nicht manuell.
Die Größenordnung von 284 Millionen zeigt, wie schnell Massenexporte laufen. Laut ShinyHunters dauerte die gesamte Operation vom 21. bis 25. August – fünf Tage. Bei 284 Millionen Datensätzen entspräche das einer Exportrate von durchschnittlich mehreren zehn Millionen Zeilen pro Tag. Der Snowflake-Befehl COPY INTO und die Salesforce Bulk API sind genau für diesen Durchsatz gebaut. SIEM- und DLP-Werkzeuge, die bei auffälligen Exportvolumina alarmieren, sind das wichtigste Erkennungsmittel; sie müssen gezielt auf Bulk-Export-APIs abgestimmt sein, nicht nur auf das Volumen interaktiver Abfragen.
Sofort-Checkliste für Teams mit Gesundheitsdaten in Cloud-SaaS
- Snowflake: MFA für alle Nutzer und Servicekonten erzwingen.
SHOW USERSausführen undHAS_MFAprüfen. Servicekonten mit Key-Pair- oder OAuth-Anmeldung sollten kurzlebige Tokens (15 Minuten) und Netzwerkrichtlinien mit bekannten IP-Bereichen nutzen. - Snowflake: Rechteketten für ACCOUNTADMIN und SYSADMIN auditieren.
SHOW GRANTS ON ROLE ACCOUNTADMINausführen und jeden Nutzer nachverfolgen, der in diese Rolle eskalieren kann. Berechtigungen entziehen, die älter sind als die letzte Zugriffsprüfung. - Snowflake: QUERY_HISTORY für den 21.–25. August prüfen. Nach COPY-INTO-Befehlen auf externe Stages, großen SELECT-*-Abfragen mit hohen Zeilenzahlen und Anmeldungen aus IP-Bereichen außerhalb der Netzwerkrichtlinie suchen. Das ist der Kompromittierungsindikator für alle, die dieselben Plattformen wie McKesson nutzen.
- Salesforce: Connected Apps mit API-Scope auditieren. Unter Setup → Connected Apps → Manage die Apps mit vollem API- oder Chatter-API-Zugriff prüfen, ebenso IP-Lockerungen und Token-Laufzeiten.
- Salesforce: Integrationszugänge rotieren. Jede Salesforce-Integration (ETL, BI, externe Portale), die sich per Benutzername und Passwort anmeldet, auf OAuth-Flows über Connected Apps mit kurzen Token-Laufzeiten und IP-Beschränkung umstellen.
- Verträge prüfen: BAA und AVV. Wer die Dateninfrastruktur von McKesson als nachgelagerter Nutzer verwendet, sollte jetzt sein BAA heraussuchen – und bei EU-Daten den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO: Welche Meldefristen sind vereinbart, und muss der Dienstleister Sie innerhalb einer bestimmten Frist informieren, wenn Ihre Daten betroffen sind?
- SIEM-Alarme für Bulk-Export-APIs. Wenn Ihr SIEM nicht bei ungewöhnlicher Nutzung von Bulk-APIs (Snowflake COPY INTO, Abfragevolumen der Salesforce Bulk API) alarmiert, diese Erkennungen vor Ende des nächsten Sprints ergänzen.
Häufig gestellte Fragen
Hat McKesson bestätigt, dass 284 Millionen Datensätze gestohlen wurden?
Nein. McKesson hat per SEC-Formular 8-K vom 25. August 2026 einen Vorfall bestätigt, nicht aber den Umfang, den Angriffsweg oder die von ShinyHunters behaupteten Datenarten. Die Zahl von 284 Millionen stammt aus dem Beitrag der Gruppe selbst und gilt als unbestätigt, bis McKesson seine Untersuchung abschließt und offizielle Benachrichtigungen verschickt.
Welche Datenarten will ShinyHunters bei McKesson erbeutet haben?
ShinyHunters behauptet, die Daten enthielten US-Sozialversicherungsnummern, Diagnosen, Rezeptdaten und Patientenaktennummern. Sollte sich das bestätigen, wären das geschützte Gesundheitsdaten (PHI) nach HIPAA, was Pflichtbenachrichtigungen an Betroffene, das US-Gesundheitsministerium HHS und gegebenenfalls Behörden der Bundesstaaten auslöst. McKesson hat diese Datenarten nicht bestätigt.
Welche Meldepflichten nach HIPAA hat McKesson bei einem Vorfall dieser Größe?
Nach der HIPAA Breach Notification Rule müssen Covered Entities Betroffene innerhalb von 60 Tagen nach Entdeckung informieren. Sind in einem Bundesstaat 500 oder mehr Personen betroffen, sind zusätzlich große Medien dort zu benachrichtigen. Jeder Vorfall mit 500 oder mehr Betroffenen muss binnen 60 Tagen dem HHS Office for Civil Rights (OCR) gemeldet werden. McKesson entdeckte den Vorfall am 25. August 2026; die 60-Tage-Frist endete damit am 24. Oktober 2026. Zum Vergleich: Nach der DSGVO wären es 72 Stunden für die Meldung an die Aufsichtsbehörde.
Wie konnten Angreifer bei McKesson gleichzeitig Snowflake und Salesforce kompromittieren?
ShinyHunters hat in der Vergangenheit massenhaft gestohlene Zugangsdaten genutzt – von Infostealern auf Entwicklerrechnern, in CI-Umgebungen und aus Passwortdatenbanken gesammelt –, um Cloud-SaaS-Mandanten ohne erzwungene MFA zu übernehmen. In der Snowflake-Kampagne 2024 nutzte die Gruppe Monate zuvor gestohlene Zugangsdaten, um auf Dutzende große Mandanten zuzugreifen, ohne die Anomalieerkennung auszulösen, weil die Anmeldungen aus bekannten IP-Bereichen zu kommen schienen. Salesforce-Konten mit einfacher Anmeldung, vor allem Servicekonten für ETL oder Integrationen, sind ähnlich anfällig. Ein einziges kompromittiertes privilegiertes Cloud-Konto kann binnen Stunden die Bulk-Export-APIs beider Plattformen öffnen.
Quellen
BleepingComputer — McKesson discloses breach after ShinyHunters claims patient data theft (August 28–29, 2026)
CyberNews — McKesson breached: ShinyHunters claims 284M records (August 28–29, 2026)
SEC EDGAR — McKesson Corporation (CIK 0000927653) Form 8-K filings