KALIFORNIEN / LONDON (IT BOLTWISE) – Kaliforniens Generalstaatsanwalt Rob Bonta kündigt eine Klage gegen den Nachfolger von 23andMe an, weil eine 2023 gemeldete Datenpanne sensible genetische Informationen von nahezu sieben Millionen Menschen freigelegt haben soll. Im Zentrum steht der Vorwurf, grundlegende Schutzmaßnahmen und hinreichende Authentifizierung versäumt zu haben. Zusätzlich geht es um Hinweise, dass Kriminelle Daten nach der Panne im Dark Web gehandelt haben. Für Unternehmen im Genom- und Gesundheitsumfeld wird damit einmal mehr sichtbar, wie streng Sicherheits- und Datenschutzanforderungen greifen.
Die Klageankündigung aus Kalifornien gegen den Nachfolger von 23andMe markiert einen weiteren Wendepunkt in einem Fall, der weit über ein einzelnes IT-Vorfall-Szenario hinausgeht. Rob Bonta argumentiert, dass eine 2023 bekannt gewordene Sicherheitslücke nicht nur Konten kompromittiert, sondern auch genetische Veranlagungen, Gesundheitsrisiken sowie Angaben zu biologischen Verwandten und Angaben wie Abstammung und Ethnie betroffen habe. Besonders brisant wirkt der Kontext: In der Begründung wird die zeitliche Nähe zu zunehmender Hasskriminalität gegen asiatische Communities und Jüdinnen und Juden betont. Damit wird aus einem Datenschutzereignis schnell ein Risiko für gesellschaftliche Sicherheit.
Technisch drehen sich die Vorwürfe um typische Schwachstellen, die in vielen Verbraucher-Apps lange unterschätzt werden. Laut Darstellung der Ermittlungen sei es Angreifern möglich gewesen, Konten über eine Form von „Credential Stuffing“ zu übernehmen: Sie nutzten Passwörter, die zuvor bei anderen Diensten geleakt waren, um bei 23andMe-Konten mit ähnlich verwendeten Anmeldedaten durchzustarten. Genau hier wird die Abgrenzung zwischen „einmaliger Passwortpanne“ und „strukturellem Authentifizierungsproblem“ relevant. Moderne Abwehr erfordert Maßnahmen wie rate limiting, robuste Multi-Faktor-Mechanismen, ungewöhnliche Login-Erkennung und konsequentes Verifizieren von Identitäten beim Login-Prozess.
Damit verknüpft ist ein regulatorischer Kernpunkt, der in der genetischen Datenverarbeitung stärker wie in nahezu keinem anderen Bereich wie eine harte Leitplanke wirkt. Genetische Daten gelten typischerweise als „special category of data“, weil sie besonders sensibel sind und oft nicht wie andere Profildaten beliebig austauschbar oder anonymisierbar bleiben. In der europäischen Praxis führt das zu strengeren Anforderungen an technische und organisatorische Maßnahmen, insbesondere beim Schutz während Verarbeitung und Zugriff. In Berichten zum Verfahren wird zudem Bezug auf eine Prüfung in Abstimmung mit kanadischen Datenschutzbehörden genommen, wobei in UK explizit Authentifizierung und Verifikation während des Login-Prozesses kritisiert worden seien.
Auch die Vermarktungs- und Produktlogik der Branche verschärft die Risiken. 23andMe wurde nach einem Insolvenzantrag im Rahmen eines gerichtlichen Prozesses reorganisiert und unter einer neuen Bezeichnung weitergeführt. Bonta adressiert dabei nicht nur den Vorfall selbst, sondern auch den Anschlussfolgeschaden: Es gehe um Hinweise, dass Daten nach der Kompromittierung im Dark Web gehandelt worden seien und dass Bedrohungsakteure die Datensätze zielgruppenspezifisch beworben hätten. Für Unternehmen bedeutet das: Security lässt sich nicht auf „Patches nach Meldung“ reduzieren, sondern muss die komplette Lebensdauer von Daten berücksichtigen, inklusive Transaktions- und Verkaufsszenarien sowie der Rechteverwaltung nach M&A- oder Restrukturierungsprozessen.
Der Marktkontext macht klar, wie schnell Vertrauen in Verbraucherbiometrik und Genomdaten kippen kann. Wettbewerber wie AncestryDNA oder MyHeritage stehen zwar ebenfalls unter Beobachtung, doch der konkrete Vorfall bei 23andMe hat eine Signalwirkung, weil sich regulatorische Aufmerksamkeit und Medienberichte oft auf die gesamte Kategorie ausweiten. Analysten und Datenschutzexperten betonen in solchen Fällen häufig, dass gerade bei Logins, Kontowiederherstellungen und Datenexport-Funktionen die größte Angriffsfläche entsteht. Wer Kontoübernahmen nur als „Account Security“-Thema behandelt, unterschätzt, dass damit nicht nur Identitäten, sondern genetische und familiäre Informationen in Reichweite geraten.
Historisch betrachtet ist die Problematik nicht neu, aber die Anforderungen sind durch die Weiterentwicklung von Angriffsmethoden und die Bedeutung genetischer Daten deutlich gestiegen. In den letzten Jahren wurden wiederholt große Konten-Kompromittierungen durch Credential Stuffing beobachtet, weil Angreifer von der Wiederverwendung geleakter Passwörter profitieren. Gleichzeitig verlagerten sich Abwehrmechanismen von reinem Passwort-Management hin zu verhaltens- und risikobasierten Ansätzen: Maschinenlern-gestützte Anomalieerkennung, Session-Hardening, passwortlose oder zumindest phishing-resistente Verfahren, sowie eine konsequente Durchsetzung von Abbruch- und Sperrmechanismen bei Verdacht. Gerade in Consumer-DNA-Produkten ist die Schwelle für „ausreichend“ dabei gefährlich niedrig, wenn Schutzmaßnahmen im Onboarding oder beim Login nicht durchgängig greifen.
Für das Enterprise-Umfeld ergibt sich daraus ein klares Transfer-Thema: Sicherheits- und Datenschutzkontrollen müssen in derselben Pipeline gedacht werden wie Produktfunktionen. Wenn ein Unternehmen sensible Daten verarbeitet, sollte es die Kontenabsicherung, Datenzugriffsrechte, Logging, Monitoring und Incident Response wie eine durchgehende Systemkette behandeln. Technisch heißt das in der Praxis: Identitäts- und Zugriffsdaten dürfen nicht nur „verfügbar“, sondern müssen „verifizierbar“ sein; dazu gehören auch nachvollziehbare Audit-Trails, robuste Berechtigungsmodelle und eine schnelle Stilllegung kompromittierter Zugänge. Die Diskussion um Konto-Löschung nach Insolvenz und Weiterverkauf zeigt zudem, dass Datenschutz auch als Prozessführung sichtbar wird.
Der juristische Druck verstärkt sich dadurch, dass Datenpannen in diesem Bereich selten als isolierte IT-Störung bewertet werden. In der Vergangenheit führten bereits Bußgelder und behördliche Feststellungen dazu, dass Unternehmen ihre Authentifizierungsarchitektur, Ticketing- und Kundenkommunikation sowie ihre TOMs (technische und organisatorische Maßnahmen) überarbeiten mussten. In der aktuellen Auseinandersetzung kommt hinzu, dass das Unternehmen bzw. der Nachfolger nun auch Fragen zu Haftung, Nachweis der Schutzwirksamkeit und der konkreten Abfolge von Maßnahmen beantworten muss. Der Markt wird deshalb darauf achten, ob der Nachfolger das Sicherheitsniveau messbar angehoben hat – etwa über verifizierte Schutzmechanismen, regelmäßige Penetrationstests, deutliches Monitoring und strukturierte Response-Proben.
Mit Blick in die Zukunft wird die Branche nicht umhinkommen, den Schutz genetischer Daten noch stärker in Richtung „Privacy-by-Design und Security-by-Design“ zu verschieben. Für Entwicklerteams bedeutet das, dass Modelle für Risikoentscheidungen, Authentifizierung und Datenzugriff eng mit Datenschutzfolgenabschätzungen verknüpft sein sollten. Gleichzeitig wird die Regulierung wahrscheinlich weitere Anforderungen an Transparenz, Löschprozesse, Auskunftsfähigkeit und an die Absicherung beim Login-Prozess mit sich bringen. Unterm Strich deutet der Fall darauf hin, dass der nächste Wettbewerbsvorteil nicht allein bei der Genanalyse entsteht, sondern bei der nachweisbaren Widerstandsfähigkeit der Plattformen – und zwar unter realen Angriffsbedingungen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "23andMe-Folgekampf: Kaliforniens Generalstaatsanwalt verklagt Chrome Holding wegen Datenpanne" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "23andMe-Folgekampf: Kaliforniens Generalstaatsanwalt verklagt Chrome Holding wegen Datenpanne" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »23andMe-Folgekampf: Kaliforniens Generalstaatsanwalt verklagt Chrome Holding wegen Datenpanne« bei Google Deutschland suchen, bei Bing oder Google News!