Der US-Gentest-Anbieter 23andMe wurde von der britischen Datenschutzbehörde ICO mit einer Geldstrafe von 2,3 Millionen Pfund belegt. Grund war ein schwerwiegender Cyberangriff im Sommer 2023, bei dem sensible Daten von über 150.000 britischen Nutzer:innen gestohlen wurden – darunter Familienstammbäume, Gesundheitsberichte, Namen und Postleitzahlen.
Versäumnisse bei der Sicherheit
Laut der ICO hatte das Unternehmen unzureichende Sicherheitsmaßnahmen – etwa keine ausreichende Zwei-Faktor-Authentifizierung. Der Hack erfolgte durch sogenanntes Credential Stuffing, bei dem gestohlene Passwörter aus anderen Leaks systematisch ausprobiert wurden. 23andMe entdeckte den Vorfall erst, als ein Mitarbeiter die Daten im Herbst 2023 auf Reddit zum Verkauf sah – Monate nach Beginn des Angriffs.
Massive internationale Auswirkungen
Weltweit waren laut Angaben rund 7 Millionen Nutzer:innen betroffen. Viele verlangten daraufhin die Löschung ihrer DNA-Daten. Das Unternehmen beantragte im März 2024 Gläubigerschutz in den USA, gleichzeitig läuft ein Übernahmeangebot über 305 Mio. US-Dollar durch die ehemalige CEO Anne Wojcicki.
Kritik und Konsequenzen
Datenschutzkommissar John Edwards nannte den Vorfall einen „tiefgreifend schädlichen Verstoß“:
„Diese Art von Daten kann nicht einfach wie ein Passwort geändert werden.“
Die britische Strafe reiht sich in eine Reihe ähnlicher Maßnahmen der ICO ein. Unter anderem wurden auch die NHS-IT-Firma Advanced (3,1 Mio. Pfund) und das Bauunternehmen Interserve (4,4 Mio. Pfund) für Datenschutzverstöße sanktioniert.
23andMe verspricht Verbesserungen
Ein Sprecher des Unternehmens betonte, man habe inzwischen Sicherheitsmaßnahmen verstärkt. Künftig soll es einfacher sein, Kundendaten zu löschen oder aus Studien auszusteigen. Außerdem wird kostenlose Identitätsüberwachung für zwei Jahre angeboten.
