ShinyHunters erbeutet Daten von 3,8 Millionen Medtronic-Kunden

Veröffentlicht am 09.07.2026

Namen, Geburtsdaten, Sozialversicherungsnummern und – besonders heikel – Gesundheitsdaten von knapp 3,8 Millionen Menschen sind in die Hände von Kriminellen gelangt. Der Medizintechnikkonzern Medtronic hat begonnen, die Betroffenen über einen Datendiebstahl zu informieren, der bereits im April 2026 stattfand. Verantwortlich ist nach aktuellem Stand die berüchtigte Hackergruppe ShinyHunters. Der Fall zeigt einmal mehr, wie folgenschwer ein einziger erfolgreicher Angriff auf ein Unternehmen für Millionen Menschen sein kann – und warum gerade Gesundheitsdaten zu den begehrtesten Beutestücken im Darknet zählen.

Was ist passiert?

Medtronic, einer der weltweit größten Hersteller von Medizintechnik, hat eine umfangreiche Datenpanne öffentlich gemacht. Betroffen sind rund 3,8 Millionen Personen, deren persönliche und medizinische Daten von Angreifern entwendet wurden. Der eigentliche Einbruch in die Systeme fand bereits im April 2026 statt – die Benachrichtigung der Betroffenen erfolgt also mit erheblicher zeitlicher Verzögerung, was bei Datenpannen dieser Größenordnung leider nicht ungewöhnlich ist, da die forensische Aufarbeitung Zeit benötigt.

Nach den bislang bekannten Informationen wurden bei dem Angriff folgende Datenkategorien erbeutet:

• Namen der Betroffenen
• Kontaktdaten (etwa Anschrift, Telefonnummer, E-Mail-Adresse)
• Geburtsdaten
• Sozialversicherungsnummern (Social Security Numbers, im US-Kontext ein zentrales Identitätsmerkmal)
• Gesundheitsdaten – also medizinische Informationen, die zu den sensibelsten personenbezogenen Daten überhaupt gehören

Verantwortlich für den Angriff ist laut Medtronic die Hackergruppe ShinyHunters. Diese Gruppierung ist in der IT-Sicherheitsszene seit Jahren als eine der aktivsten und bekanntesten Akteure bekannt, wenn es um den Diebstahl und den Weiterverkauf großer Datenmengen geht.

Der technische Hintergrund – verständlich erklärt

ShinyHunters ist eine Cybercrime-Gruppe, die sich darauf spezialisiert hat, große Datenbestände von Unternehmen zu stehlen und anschließend im Darknet – also dem verschlüsselten, nur mit spezieller Software erreichbaren Teil des Internets – zum Verkauf anzubieten oder zu veröffentlichen. Das Geschäftsmodell solcher Gruppen ist meist zweigeteilt: Entweder verkaufen sie die Daten an andere Kriminelle, oder sie erpressen das betroffene Unternehmen direkt mit der Drohung, die Daten zu veröffentlichen (ein Vorgehen, das man als Erpressung durch Datenleck oder „Extortion“ bezeichnet).

Im Fall von Medtronic zeigt sich genau dieses Muster: ShinyHunters hatte zunächst öffentlich angekündigt, 9 Millionen Datensätze sowie mehrere Terabyte an internen Daten auf einer Darknet-Plattform anzubieten. Interessant ist die weitere Entwicklung: Der entsprechende Eintrag ist inzwischen wieder verschwunden. In der Sicherheitsbranche wird ein solches Verschwinden häufig als Indiz dafür gewertet, dass das betroffene Unternehmen ein Lösegeld gezahlt haben könnte – denn wenn die Erpresser bezahlt werden, entfernen sie in der Regel das Angebot. Bestätigt ist eine Zahlung allerdings nicht; es handelt sich um eine plausible Vermutung, die aus dem verschwundenen Darknet-Eintrag abgeleitet wird.

Bemerkenswert ist auch die Diskrepanz zwischen den Zahlen: Während ShinyHunters von 9 Millionen Datensätzen sprach, beziffert Medtronic die Zahl der betroffenen Personen auf knapp 3,8 Millionen. Solche Abweichungen sind bei Datenpannen häufig – ein Datensatz ist nicht dasselbe wie eine Person, und die Angreifer neigen dazu, ihre Beute größer darzustellen, als sie tatsächlich ist, um den Verkaufswert zu steigern.

Medtronic hat auf den Vorfall reagiert und nach eigenen Angaben externe IT-Forensiker – also spezialisierte Ermittler, die digitale Spuren analysieren – sowie Strafverfolgungsbehörden eingeschaltet.

Wer ist betroffen?

Betroffen sind rund 3,8 Millionen Personen, deren Daten bei Medtronic gespeichert waren. Konkret handelt es sich um Menschen, deren persönliche und medizinische Informationen im Rahmen ihrer Beziehung zu dem Medizintechnikkonzern erfasst wurden – etwa als Patientinnen und Patienten, die medizinische Geräte oder Dienstleistungen von Medtronic nutzten.

Da es sich bei den erbeuteten Daten unter anderem um Sozialversicherungsnummern handelt, deutet vieles darauf hin, dass der Schwerpunkt der Betroffenen im US-amerikanischen Raum liegt. Ob und in welchem Umfang auch Personen aus Deutschland oder anderen europäischen Ländern betroffen sind, geht aus dem vorliegenden Material nicht eindeutig hervor. Als international tätiger Konzern verarbeitet Medtronic jedoch Daten von Menschen weltweit – eine Betroffenheit auch außerhalb der USA lässt sich daher nicht ausschließen.

So prüfen Sie, ob Sie betroffen sind

Medtronic informiert die betroffenen Personen aktiv über den Vorfall. Wenn Sie also in irgendeiner Form Kundin, Kunde oder Patient von Medtronic waren, achten Sie in den kommenden Tagen und Wochen besonders auf entsprechende Benachrichtigungen. Konkret bedeutet das:

1. Prüfen Sie Ihren Posteingang – sowohl den physischen Briefkasten als auch Ihre E-Mails – auf offizielle Mitteilungen von Medtronic.
2. Seien Sie skeptisch bei „Benachrichtigungen“ per Telefon oder unerwarteter E-Mail. Kriminelle nutzen bekannte Datenpannen gezielt aus, um mit gefälschten Benachrichtigungen weitere Daten abzugreifen (sogenanntes Phishing). Klicken Sie nicht vorschnell auf Links, sondern rufen Sie im Zweifel die offiziellen Kanäle von Medtronic direkt auf.
3. Überlegen Sie, ob Sie jemals in Kontakt mit Medtronic-Produkten oder -Diensten standen – etwa über medizinische Geräte oder Behandlungen.

Das müssen Sie jetzt tun

Auch wenn Sie noch keine Benachrichtigung erhalten haben, ist bei einer Datenpanne dieser Größenordnung Wachsamkeit angebracht. Die folgenden Schritte helfen Ihnen, das Risiko eines Missbrauchs Ihrer Daten zu verringern:

1. Rechnen Sie mit Phishing-Versuchen. Wer weiß, dass Ihre Daten gestohlen wurden und dass Sie mit Medtronic zu tun hatten, kann sehr überzeugende Betrugsnachrichten formulieren. Öffnen Sie keine verdächtigen Anhänge und geben Sie niemals Passwörter oder Zahlungsdaten auf Aufforderung per E-Mail preis.
2. Ändern Sie relevante Passwörter. Falls Sie ein Online-Konto bei Medtronic oder verbundenen Diensten haben, ändern Sie dort umgehend Ihr Passwort. Verwenden Sie dasselbe Passwort auch anderswo, ändern Sie es dort ebenfalls – idealerweise nutzen Sie für jedes Konto ein eigenes, starkes Passwort.
3. Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) überall dort, wo es möglich ist. Dabei wird zusätzlich zum Passwort ein zweiter Nachweis verlangt, etwa ein Code per App – das erschwert Angreifern den Zugriff erheblich, selbst wenn sie Ihr Passwort kennen.
4. Beobachten Sie Ihre Konten und Abrechnungen. Achten Sie auf ungewöhnliche Aktivitäten – etwa unbekannte Abbuchungen oder Anmeldungen. Gerade wenn Sozialversicherungsnummern gestohlen wurden, besteht die Gefahr des Identitätsdiebstahls.
5. Seien Sie besonders vorsichtig bei medizinischen Themen. Da auch Gesundheitsdaten betroffen sind, könnten Betrüger versuchen, mit vermeintlich medizinischem Wissen Vertrauen aufzubauen. Auch hier gilt: Keine sensiblen Auskünfte auf unaufgeforderte Kontaktaufnahme.

Einordnung: Warum Gesundheitsdaten so gefährlich sind – und was die DSGVO sagt

Gesundheitsdaten gehören zu den wertvollsten und zugleich gefährlichsten Datenkategorien, die es gibt. Anders als etwa eine Kreditkartennummer, die man sperren und ersetzen kann, lassen sich Gesundheitsdaten oder das Geburtsdatum nicht einfach „zurücksetzen“. Einmal in Umlauf, bleiben sie dauerhaft kompromittiert. Kriminelle können sie für Identitätsdiebstahl, gezielte Erpressung oder besonders glaubwürdige Betrugsmaschen nutzen.

Die europäische Datenschutz-Grundverordnung (DSGVO) stuft Gesundheitsdaten ausdrücklich als besondere Kategorie personenbezogener Daten ein (Artikel 9 DSGVO). Für diese gelten strengere Schutzanforderungen als für „gewöhnliche“ personenbezogene Daten. Kommt es bei solchen Daten zu einer Verletzung des Schutzes, sind Unternehmen in der Regel verpflichtet, die zuständige Aufsichtsbehörde in der Regel innerhalb von 72 Stunden zu informieren und – bei hohem Risiko für die Betroffenen – auch die betroffenen Personen selbst zu benachrichtigen. Genau eine solche Benachrichtigung findet im Fall Medtronic gerade statt.

Für Sie als Website-Betreiberin oder -Betreiber eines kleinen oder mittleren Unternehmens ist dieser Fall vor allem eine Mahnung: Auch wenn Sie kein Milliardenkonzern sind, verarbeiten Sie mit hoher Wahrscheinlichkeit personenbezogene Daten Ihrer Kunden. Die grundlegenden Pflichten der DSGVO gelten unabhängig von der Unternehmensgröße. Ein Datenleck kann nicht nur enorme rechtliche und finanzielle Folgen haben, sondern auch das Vertrauen Ihrer Kunden nachhaltig beschädigen – und dieses Vertrauen ist, wie der Fall Medtronic zeigt, deutlich schwerer wiederherzustellen als jede technische Sicherheitslücke.

Was KMU aus diesem Fall lernen können

• Datensparsamkeit zahlt sich aus: Erheben und speichern Sie nur die Daten, die Sie wirklich benötigen. Was nicht gespeichert ist, kann auch nicht gestohlen werden.
• Ein Notfallplan ist Pflicht: Überlegen Sie im Vorfeld, wie Sie im Fall eines Datenlecks reagieren – wen Sie informieren müssen und in welcher Reihenfolge. Im Ernstfall zählt jede Stunde.
• Externe Expertise einplanen: Medtronic hat sofort IT-Forensiker eingeschaltet. Auch kleinere Unternehmen sollten wissen, an wen sie sich im Notfall wenden können.
• Lösegeldzahlungen sind keine Lösung: Auch wenn im Fall Medtronic eine Zahlung vermutet wird – Zahlungen an Erpresser bieten keine Garantie, dass Daten tatsächlich gelöscht werden, und finanzieren die kriminelle Infrastruktur weiter.

Fazit

Der Datendiebstahl bei Medtronic reiht sich ein in eine lange Serie von Angriffen, bei denen die Gruppe ShinyHunters große Mengen sensibler Daten erbeutet und im Darknet zu Geld macht. Mit knapp 3,8 Millionen Betroffenen und dem Diebstahl von Namen, Kontaktdaten, Geburtsdaten, Sozialversicherungsnummern und Gesundheitsdaten handelt es sich um einen schwerwiegenden Vorfall – gerade weil medizinische Daten sich nicht einfach ändern lassen und dauerhaft ein Risiko darstellen.

Wenn Sie zu den möglicherweise Betroffenen gehören, gilt: Bleiben Sie wachsam, rechnen Sie mit Phishing-Versuchen, sichern Sie Ihre Konten mit starken Passwörtern und Zwei-Faktor-Authentifizierung ab und reagieren Sie nicht vorschnell auf unerwartete Kontaktaufnahmen. Das Verschwinden des Darknet-Eintrags mag beruhigend wirken, ist aber keine Garantie dafür, dass die Daten nicht doch bereits in weiteren Händen sind.

Für Unternehmen ist der Fall ein eindringliches Beispiel dafür, dass Datensicherheit und Datenschutz keine Nebensache sind, sondern zum Kern jeder verantwortungsvollen Geschäftstätigkeit gehören. Wir empfehlen allen Website-Betreibern, die eigenen Sicherheitsmaßnahmen und DSGVO-Prozesse regelmäßig zu überprüfen – bevor der Ernstfall eintritt.

Quelle: it-daily.net, „Medtronic: 3,8 Mio. Betroffene“, veröffentlicht am 6. Juli 2026.