SAN FRANCISCO / LONDON (IT BOLTWISE) – Kalifornien geht juristisch gegen den Gentest-Anbieter Chrome Holding Co. vor: Dem Unternehmen wird vorgeworfen, Sicherheitslücken über Monate hinweg nicht erkannt zu haben und Kunden über Datenschutzpraktiken getäuscht zu haben. Betroffen seien rund 7 Millionen Profile, darunter tausende Datensätze von Menschen in Kalifornien. Besonders brisant ist die angebliche Verwendung von gestohlenen Anmeldedaten aus einem früheren MyHeritage-Vorfall sowie eine weitere Zahlung an Angreifer im Jahr 2023. Die Klage zielt auf dauerhaftes Unterlassen und hohe Geldstrafen ab.
In Kalifornien eskaliert ein Fall, der für die gesamte Branche der Verbraucherdaten und besonders für Anbieter genetischer Tests ein Warnsignal sein dürfte: Der Generalstaatsanwalt klagt gegen den Gentest-Anbieter Chrome Holding Co. sowie gegen das TTAM Research Institute. Im Zentrum steht ein massives Datenleck aus dem Jahr 2023, bei dem nach den Angaben der Klage etwa 7 Millionen Profile kompromittiert worden sein sollen. Entscheidend ist dabei weniger nur das Ausmaß, sondern die zeitliche Dimension: Der Angriff soll rund fünf Monate unentdeckt geblieben sein. Damit verschiebt sich der Fokus von „was ist passiert“ hin zu „warum wurde es nicht früher erkannt“ und „welche Pflichten folgten daraus“.
Technisch soll der Einbruch über ein Verfahren namens Credential Stuffing erfolgt sein. Dabei nutzen Angreifer bereits bekannte Zugangsdaten aus früheren Leaks und testen sie automatisiert gegen andere Konten, bis ein Teil davon durch wiederverwendete Passwörter oder fehlende Schutzmechanismen („rate limiting“, bot-fähige Captchas, schutzorientierte Authentifizierung) erfolgreich ist. Laut Klage sollen die Täter Login-Daten aus einem Einbruch bei MyHeritage aus dem Jahr 2017 verwendet haben. Ihr Ziel war eine Schwachstelle in der Funktion DNA Relatives. Der Vorfall zeigt damit exemplarisch, wie klassische Identitäts- und Account-Sicherheitsmaßnahmen in Verbraucher-Apps unmittelbar über Erfolg oder Misserfolg entscheiden.
Die gestohlenen Daten werden in der Klage als besonders sensibel beschrieben: rohe genetische Informationen, Abstammungsdetails und sensible Gesundheitsberichte. Für Unternehmen bedeutet das eine verschärfte Risikolage, weil genetische Daten nicht nur personenbezogene Informationen sind, sondern potenziell auch Rückschlüsse auf Gesundheit, Familienbeziehungen und medizinische Veranlagungen zulassen. Besonders brisant wird der Fall dadurch, dass mehr als 855.000 Betroffene in Kalifornien leben sollen. Ergänzend behauptet die Klage, das Unternehmen habe im Oktober 2023 400.000 US-Dollar in Kryptowährung an Angreifer gezahlt. Unabhängig von Details ist diese Kombination aus Datenexfiltration und Lösegeld-Zahlung aus Sicht der Regulatorik häufig schwer zu rechtfertigen, weil sie Resilienz- und Incident-Response-Prozesse infrage stellt.
Markt- und Branchenkontext macht deutlich, dass der Fall nicht isoliert zu betrachten ist. Gentest-Anbieter stehen im Wettbewerb um Reichweite, Analysequalität und Personalisierung, wodurch sie oft große Datenmengen zentral in Plattformen verarbeiten. Gleichzeitig steigt der Druck, „Always-on“-Dienstleistungen bereitzustellen, was Sicherheitskontrollen nicht selten zu Authentifizierungs- und Monitoring-Fragen verschiebt. Wie aus der Datenschutz- und Sicherheitsberatung zu erfahren ist, beurteilen viele Experten Vorfälle dieser Art zunehmend anhand messbarer Steuerung: Erkennung innerhalb akzeptabler Zeitfenster, nachvollziehbare Zugriffskontrollen, saubere Segmentierung von Datensphären und systematische Tests gegen Credential-Resuse. In früheren Leaks im Identitätsbereich hat sich gezeigt, dass fehlende oder falsch konfigurierte Schutzgates oft den größten Hebel darstellen, um Folgeschäden zu reduzieren.
Ein weiterer Aspekt ist die Unternehmensbiografie: 23andMe meldete im März 2025 Insolvenz an und wurde anschließend vom TTAM Research Institute unter Leitung von CEO Anne Wojcicki übernommen. Seither firmiert das Unternehmen unter Chrome Holding Co. Die aktuelle Klage richtet sich sowohl gegen Chrome Holding Co. als auch gegen das TTAM Research Institute und soll parallel zu Verfahren vor dem US-Insolvenzgericht laufen, in denen es unter anderem um den möglichen Verkauf der vor der Pleite gesammelten genetischen Daten geht. Genau an dieser Schnittstelle wird es für alle Beteiligten kompliziert: Rechtliche Verantwortung, Datenhandhabung und die Frage, welche Governance-Routinen vor oder nach der Umstrukturierung griffen, lassen sich in komplexen Übergängen schwer auseinanderhalten.
Rechtlich argumentiert die Behörde, die Sicherheitslücken und die verspätete Entdeckung stünden im Widerspruch zu mehreren kalifornischen Gesetzen, darunter dem Genetic Information Privacy Act, dem California Consumer Privacy Act (CCPA) sowie dem Gesetz gegen unlauteren Wettbewerb. Zusätzlich wirft die Klage dem Unternehmen „falsche Werbung“ vor, indem die Stärke der Sicherheitsprotokolle gegenüber Verbrauchern bewusst übertrieben worden sein soll. Experten aus dem Datenschutzrecht bringen dabei häufig vor, dass es nicht ausreicht, im Nachhinein zu sagen, man habe Sicherheitsmaßnahmen gehabt: Entscheidend sei die Plausibilität und Wirksamkeit der Maßnahmen im konkreten Bedrohungsmodell. Wie ein Datenschutzrechtler in einem Branchenkommentar sinngemäß betont, wird bei sensitiven Daten heute stärker auf „Nachweis statt Behauptung“ abgestellt.
Für die technische Praxis lässt sich daraus eine klare Vergleichsperspektive ableiten: Während Credential Stuffing klassisch über Identitäts- und Rate-Limit-Mechanismen eingedämmt werden kann, scheitern viele Organisationen daran, dass Monitoring nicht hinreichend mit Authentifizierungsereignissen korreliert. In der Praxis heißt das, dass Logging allein nicht genügt, wenn keine nutzer- und anwendungsbezogene Anomalieerkennung (z. B. ungewöhnliche Login-Patterns, Geräte- und Geo-Abweichungen, Konto-Übernahme-Indikatoren) etabliert ist. Im Unterschied zu „On-device“-Ansätzen, bei denen Eingaben unmittelbar am Endgerät validiert werden, verschiebt sich bei Cloud-Plattformen die Verantwortung auf serverseitige Kontrollen, inklusive Schutz gegen Credential-Reuse, ausreichender MFA-Abdeckung und automatisierter Reaktion. So wird aus einem Security-Baustein ein Betriebssystem für sichere Authentifizierung.
Mit Blick auf die kommenden Wochen und Monate bleibt der Ausgang juristisch offen, die Signalwirkung ist jedoch bereits jetzt hoch. Die Klage fordert dauerhafte Unterlassungsverfügungen und empfindliche Geldstrafen; pro Verstoß werden laut Meldung Beträge zwischen 1.000 und 7.500 US-Dollar genannt. Für Unternehmen in regulierten Datenräumen bedeutet das, dass Security-Programme nicht nur technisch, sondern auch vertraglich und kommunikationsseitig belastbar sein müssen: Marketingversprechen zur Sicherheit werden in solchen Verfahren häufig als Teil der Bewertung herangezogen. Künftig dürften Betroffene, Aufsichtsbehörden und Gerichte stärker auf nachweisbare Kontrollen, Incident-Response-Zeiten und ein überprüfbares Risk-Management setzen. Daraus folgt für Developer und Security-Teams eine klare Aufgabe: Schutzmechanismen gegen Identitätsmissbrauch müssen messbar in CI/CD- und Monitoring-Pipelines integriert werden, damit „unentdeckt“ nicht zur Kernkritik wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Kalifornien klagt nach Datenleck: Millionen 23andMe-Profile betroffen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Kalifornien klagt nach Datenleck: Millionen 23andMe-Profile betroffen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Kalifornien klagt nach Datenleck: Millionen 23andMe-Profile betroffen« bei Google Deutschland suchen, bei Bing oder Google News!