Abbott bestätigt Cyber-Einbruch – ShinyHunters behauptet Diebstahl von Millionen Patientendaten

Abbott Laboratories hat einen unbefugten Zugriff auf interne Systeme in seinem Geschäftsbereich Cancer Diagnostics bestätigt, nachdem die Erpresserbande ShinyHunters das Gesundheitsunternehmen auf ihre Datenleck-Seite gesetzt und mit der Veröffentlichung gestohlener Daten gedroht hatte. Der bestätigte Einbruch ist einer von zwei separaten Cybervorfällen, die Abbott derzeit gleichzeitig untersucht.

Was Abbott tatsächlich bestätigt hat

Abbott räumte einen unbefugten Zugriff auf das ein, was es als "eine begrenzte Anzahl interner Systeme nur in unserem Cancer Diagnostics-Geschäft" beschrieb, insbesondere auf Altsysteme, die aus der Übernahme von Exact Sciences stammen. Das Unternehmen erklärte, der Vorfall "beeinträchtigt keine Geschäftsabläufe, Produkte oder Produktverfügbarkeit, keine Fertigungs- oder Laborabläufe". Separat bestätigte Abbott, dass ihm ein "potenzieller" Vorfall im Zusammenhang mit seinem Kundenportal LabCentral bekannt sei, bestritt jedoch die Schwere dieser Behauptung und sagte, das Portal enthalte "keine proprietären/sensiblen Kunden- oder Geschäftsinformationen".

Was ShinyHunters behauptet – und warum es wichtig ist, dass es unbestätigt ist

ShinyHunters, eine finanziell motivierte Erpressergruppe mit einer Geschichte von hochkarätigen Unternehmenseinbrüchen, behauptet, durch einen Vishing-Angriff (Sprach-Phishing) Mitte Juni, der sich gegen Abbott-Mitarbeiter richtete, ersten Zugang erhalten zu haben und schließlich ein Microsoft Entra Single Sign-On-Konto kompromittiert zu haben. Von dort aus behauptet die Gruppe, auf Daten von Microsoft Entra, ServiceNow, SharePoint, Databricks und Coupa zugegriffen und diese exfiltriert zu haben – eine Reihe von Unternehmenssystemen, die, wenn wahr, einen breiten internen Zugriff weit über eine einzelne Diagnostik-Tochter hinaus darstellen würden.

Das Ausmaß des behaupteten Diebstahls macht diesen Vorfall bedeutsam: ShinyHunters behauptet, mehr als 30 Millionen Zeilen personenbezogener Kundendaten, über eine Million Sozialversicherungsnummern, mehr als 22 Millionen Kundennotizen mit Arzt-Patienten-Gesprächen und mehr als 20 Millionen medizinische Aufträge gestohlen zu haben. Es ist wichtig anzumerken, dass diese Zahlen vollständig aus den eigenen Behauptungen des Bedrohungsakteurs stammen – die Sicherheitsmedien, die über den Vorfall berichten, haben ausdrücklich erklärt, dass sie den Umfang der gestohlenen Daten nicht unabhängig verifiziert haben, und Abbott hat diese spezifischen Zahlen nicht bestätigt.

Die Erpressungsfrist

ShinyHunters setzte zunächst eine Frist auf den 18. Juli – heute – zur Veröffentlichung der angeblich gestohlenen Daten, es sei denn, Abbott verhandele über eine Zahlung, und hat diese Frist inzwischen auf den 21. Juli verlängert. Die Verlängerung einer Leak-Frist ist eine übliche Erpressungstaktik, die auf laufende Verhandlungen, Unsicherheit über den Hebelwert der Daten oder einfach auf Drucktest des Opfers hindeuten kann, und sollte nicht als Bestätigung gelesen werden, dass ein Deal bevorsteht.

Ein zweiter separater Vorfall

Erschwerend kommt hinzu, dass ein zweiter Bedrohungsakteur, der unter dem Namen ShadowByt3$ operiert, separat behauptet, in das Core Laboratory Diagnostics-Geschäft von Abbott über dessen Kundenportal LabCentral eingedrungen zu sein, und zwar unter Verwendung kompromittierter Kundenanmeldedaten, mit einem angeblichen Zugriffsdatum vom 4. Juli. Im Gegensatz zur Behauptung von ShinyHunters sagt ShadowByt3$, das gestohlene Material bestehe aus Fertigungszertifikaten, technischen Handbüchern, Spezifikationen und Regulierungsdokumenten – keine Kundendaten. Abbotts öffentliche Stellungnahme zu LabCentral scheint sich speziell auf diese zweite Behauptung zu beziehen.

Warum dies über Abbott hinaus relevant ist

Sollte auch nur ein Bruchteil des von ShinyHunters behaupteten Datensatzes zutreffen, würde dies zu den schwerwiegenderen Gesundheitsdatenvorfällen des Jahres 2026 zählen, angesichts der Sensibilität klinischer Arzt-Patienten-Notizen und der Menge angeblich betroffener Sozialversicherungsnummern. ShinyHunters hat in diesem Jahr eine Reihe von Unternehmens-Cloud-Umgebungen mit ähnlichen Taktiken von Social Engineering zu SSO-Kompromittierung angegriffen, ein Muster, das unterstreicht, wie ein einzelnes kompromittiertes Identity-Provider-Konto zu einem Zugriff auf den gesamten SaaS-Stack einer Organisation führen kann.

Was als nächstes zu beobachten ist

Die Frist vom 21. Juli ist der nächste konkrete Meilenstein – ob ShinyHunters die Daten tatsächlich veröffentlicht, die Frist erneut verlängert oder still wird, wird etwas über die Glaubwürdigkeit seiner Behauptungen aussagen. Kunden und Patienten von Abbott, die von den Exact Sciences-Systemen betroffen sind, sollten auf offizielle Benachrichtigungen über Datenschutzverletzungen achten, die – nach US-amerikanischem Bundes- und Landesrecht zur Offenlegung von Datenschutzverletzungen – erforderlich wären, wenn Abbott bestätigt, dass tatsächlich personenbezogene oder Gesundheitsdaten exfiltriert wurden, unabhängig davon, was das Unternehmen bisher öffentlich gesagt hat.