23andMe akzeptiert neue Sicherheitsauflagen in 18-Mio-Dollar-Vergleich

Was ist passiert

23andMe, das bekannte Unternehmen für Gentests und Abstammungsdienste, sieht sich den rechtlichen Konsequenzen seines massiven Datenlecks aus dem Jahr 2023 gegenüber. Das Unternehmen gab bekannt, dass es einen Vergleich in Höhe von 18 Millionen US-Dollar mit einer Koalition von 42 US-Bundesstaaten unter der Führung der New Yorker Generalstaatsanwältin Letitia James erzielt hat. Diese Vereinbarung beinhaltet nicht nur eine Geldstrafe, sondern erlegt dem Unternehmen auch erhebliche und verbindliche neue Sicherheitsanforderungen auf, wie es Kundendaten in Zukunft schützen muss. Im Rahmen des Vergleichs wird 23andMe allein an den Bundesstaat New York über 705.000 US-Dollar zahlen.

Die Ereigniskette begann im Oktober 2023, als Cyberkriminelle Zugang zu den Profilinformationen von Millionen von 23andMe-Nutzern erlangten. Nach dem Vorfall geriet das Unternehmen in finanzielle Schwierigkeiten und beantragte im März 2025 Insolvenzschutz. Dieses Insolvenzverfahren löste ernsthafte Bedenken hinsichtlich der Zukunft der Kundendaten aus. Generalstaatsanwältin James und die Koalition reichten im Juni 2025 Klage gegen 23andMe ein, um die persönlichen genetischen Informationen der Amerikaner während des Insolvenzverfahrens des Unternehmens zu schützen. Diese rechtliche Intervention umfasste auch Ansprüche im Zusammenhang mit der Untersuchung des Datenlecks.

Infolge der Insolvenz wurde der wertvollste Vermögenswert von 23andMe – die Kundendaten – an TTAM Research verkauft, eine gemeinnützige Organisation, die von der Gründerin und ehemaligen CEO des Unternehmens, Anne Wojcicki, gegründet wurde. Diese Übertragung schlug ein neues Kapitel für den Datenschutz auf. Der aktuelle Vergleich mit der Koalition der Generalstaatsanwälte legt direkt strenge Regeln fest, die diese neue Organisation, TTAM, befolgen muss. Ziel ist es, die Wiederholung vergangener Fehler zu verhindern und die hochsensiblen genetischen Daten zu sichern. Diese Entwicklung stellt einen wichtigen Präzedenzfall in der Welt der Technologie und Datensicherheit dar und zeigt, dass Unternehmen ihrer Datenverantwortung auch im Falle einer Insolvenz nicht entgehen können. Für weitere Entwicklungen und ähnliche Vorfälle können Sie die Datenleck Nachrichten verfolgen.

Welche Daten wurden kompromittiert

Die Cyberkriminellen zielten auf die Benutzerprofile auf der 23andMe-Plattform ab. Laut den Erklärungen des Unternehmens und den Dokumenten der Generalstaatsanwaltschaft waren die Informationen von über sechs Millionen Personen von dem Leck betroffen. Die kompromittierten Daten umfassten äußerst persönliche und sensible Informationen wie die Abstammungs- und Herkunftsinformationen der Nutzer. Diese Art von genetischen und genealogischen Daten kann nicht nur die Identität einer Person preisgeben, sondern auch ihre Familienbande, ihre ethnische Herkunft und potenzielle erbliche Gesundheitszustände. Daher birgt die Offenlegung dieser Daten gegenüber Cyberkriminellen sehr ernste Risiken, einschließlich Identitätsdiebstahl, Betrug und sogar gezielter Erpressung. Das Leck der Profilinformationen eines Nutzers kann indirekt auch dessen Verwandte gefährden, die über DNA-Übereinstimmungen verbunden sind, was Datenlecks bei genetischen Daten weitaus gefährlicher macht als andere Arten von Lecks. Obwohl eine vollständige Liste der kompromittierten Daten nicht veröffentlicht wurde, deuten die Begriffe „Profilinformationen“ und „Abstammungsinformationen“ darauf hin, dass Details wie Benutzernamen, Geburtsdaten, geografische Standorte und familiäre Verbindungen betroffen sein könnten.

Wie geschah der Angriff

Von den ersten Tagen des Lecks an behauptete 23andMe, dass der Angriff nicht das Ergebnis eines direkten Eindringens in seine eigenen Systeme war. Nach Angaben des Unternehmens wurde der Vorfall mit einer Technik namens „Credential Stuffing“ durchgeführt. Bei dieser Methode verwenden Cyberkriminelle Kombinationen aus Benutzernamen und Passwörtern, die bei früheren Datenlecks bei anderen Unternehmen erbeutet wurden, um automatisch zu versuchen, sich bei Konten auf verschiedenen Plattformen anzumelden.

Der Hauptgrund für den Erfolg dieser Art von Angriff ist die Gewohnheit vieler Internetnutzer, dieselben oder sehr ähnliche Passwörter für verschiedene Websites und Dienste wiederzuverwenden. Angreifer setzen Bots ein, die Listen mit Millionen gestohlener Anmeldeinformationen gegen Plattformen wie 23andMe testen. Wenn ein Benutzer in seinem 23andMe-Konto ein Passwort verwendet hat, das von einer anderen Website durchgesickert ist, können die Angreifer leicht darauf zugreifen. In seiner Erklärung zum Zeitpunkt des Vorfalls führte 23andMe die Hauptursache des Lecks auf eine schlechte Passwortverwaltung der Benutzer und insbesondere auf die Nichtaktivierung der Multi-Faktor-Authentifizierung (MFA) zurück. MFA bietet eine starke Schutzschicht gegen solche Angriffe, indem sie zusätzlich zum Passwort einen zweiten Verifizierungsschritt erfordert, z. B. einen an ein Telefon gesendeten Code.

Wer war betroffen

Direkt von dem Leck betroffen sind die mehr als sechs Millionen Kunden, die den Gentest-Service von 23andMe genutzt haben. Diese Personen wollten durch die Analyse ihrer DNA mehr über ihre Abstammung, ihre ethnische Herkunft und ihre genetischen Veranlagungen erfahren. Aufgrund der Natur des Credential-Stuffing-Angriffs könnte die Zahl der indirekt Betroffenen jedoch viel höher sein. Sobald Angreifer Zugang zu einem Konto haben, können sie möglicherweise auch auf die grundlegenden Profilinformationen anderer Benutzer zugreifen, die über die Funktion „DNA-Verwandte“ verbunden sind. Dies bedeutet, dass selbst die Daten von Personen gefährdet sind, deren Konten nicht direkt kompromittiert wurden. Die Betroffenen sind dem Risiko von Betrug und gezielten Cyberangriffen ausgesetzt, da ihre Identität und ihre persönlichsten Informationen – ihre genetischen Daten – offengelegt wurden.

Was Sie tun können

Dieser Vorfall unterstreicht einmal mehr die Bedeutung der Eigenverantwortung im Bereich der digitalen Sicherheit. Hier sind einige Schritte, die Sie unternehmen können, um Ihre Konten vor ähnlichen Angriffen zu schützen:

• Passwortverwaltung: Verwenden Sie für jeden Onlinedienst einzigartige und komplexe Passwörter. Die Wiederverwendung desselben Passworts auf mehreren Websites bedeutet, dass ein Leck auf einer Website alle Ihre anderen Konten gefährden kann. Die Verwendung eines Passwort-Managers kann diesen Prozess vereinfachen.
• Multi-Faktor-Authentifizierung (MFA): Aktivieren Sie diese Funktion unbedingt bei 23andMe und allen anderen Diensten, die MFA unterstützen. MFA ist eine der effektivsten Methoden, um unbefugten Zugriff auf Ihr Konto zu verhindern, selbst wenn Ihr Passwort gestohlen wird.
• Recht auf Datenlöschung: Als Teil des Vergleichs wird TTAM Research den Nutzern weiterhin das Recht einräumen, ihre Daten zu löschen. Die Anforderung, Ihre persönlichen Daten von einem Dienst zu löschen, den Sie nicht mehr nutzen oder dem Sie nicht vertrauen, kann Sie vor möglichen zukünftigen Lecks schützen.
• Überprüfung auf verdächtige Aktivitäten: Überprüfen Sie Ihre Konten regelmäßig auf unbekannte Anmeldeversuche oder andere verdächtige Aktivitäten.

Was das Unternehmen sagt

Als das Leck zum ersten Mal bekannt wurde, nahm 23andMe eine Haltung ein, die die Schuld größtenteils den Benutzern zuschob. In den damaligen Erklärungen des Unternehmens wurde betont, dass der Angriff kein Eindringen in das eigene Netzwerk war, sondern auf die schlechten Passwortgewohnheiten der Benutzer und die Nichtverwendung von MFA zurückzuführen war. Die Untersuchung durch 42 Generalstaatsanwälte und der daraus resultierende Vergleich über 18 Millionen US-Dollar zeigen jedoch, dass von Unternehmen eine proaktivere Rolle beim Schutz von Benutzerdaten erwartet wird. Die neuen Sicherheitsauflagen, die TTAM Research, das die Daten von 23andMe erworben hat, auferlegt wurden, sind ein Beweis dafür, dass diese Verantwortung nun rechtlich anerkannt ist. Zu den neuen Anforderungen an TTAM gehören die Durchführung angemessener Risikoanalysen, die Einrichtung eines Beirats für Datensicherheit und die fortgesetzte Gewährung des Rechts der Nutzer auf Löschung ihrer Daten. Dies zeigt, dass die Regulierungsbehörden Benutzerfehler nicht länger als alleinige Entschuldigung akzeptieren und höhere Sicherheitsstandards von Unternehmen erwarten.

Quelle

https://www.infosecurity-magazine.com/news/23andme-18m-data-breach-settlement/