23andMe (Chrome Holding Co.): Sicherheitsvorfall
Benutzerdaten des Genanalyseunternehmens im Darknet zum Verkauf angeboten.

Der Genanalyse-Anbieter bestätigte am 6. Oktober 2023, dass Datensätze einiger Benutzer kompromittiert wurden. Das Unternehmen geht nicht davon aus, dass in seine eigenen Systeme eingebrochen wurde.

Stattdessen wurden Daten exfiltriert, indem bereits erbeutete Zugangsdaten von Benutzern zu anderen Webseiten ausgenutzt wurden, um im Falle der mehrfahren Passwortverwendung auch auf die 23andMe-Konten zuzugreifen. Betroffen sind jedoch nicht nur die Benutzer mit gestohlenen Zugangsdaten, sondern auch die Profile möglicher Verwandter.

Auf der Plattform BreachForums wurden laut Wired eine Million Datensätze aschkenasischer Juden sowie vieler chinesischer Nutzer zum Verkauf angeboten. Die Hacker behaupten, mehr als sieben Millionen Datensätze erbeutet zu haben.

Die Namen, Profilfotos, Geburtsdaten und Informationen zu der genetischen Abstammung Betroffener werden dadurch offengelegt. Es gebe keine Hinweise darauf, dass Rohdaten der genetischen Analyse in dem Datensatz vorhanden sind.

Nachtrag vom 12.10.2023:

Laut Techcrunch wurde bereits am 11. August 2023 in dem Forum Hydra ein Datensatz von 23andMe zum Verkauf angeboten, welcher sich mit den später veröffentlichten Datensätzen deckt.

Nachtrag vom 24.10.2023:

Ein Cyberkrimineller, der sich selbst Golem nennt, hat in einem Hackerforum am 18. Oktober 2023 weitere Daten von 23andMe hochgeladen. Der Datensatz umfasst 4,1 Million Einträge. Die Datei, die hochgeladen wurde, soll laut dem Täter die Daten von Briten und Deutschen enthalten. 

Der Nutzer veröffentlichte des Weiteren Beiträge in dem er Bundeskanzler Olaf scholz vorwarf, dem Zionismus zu dienen und dass die Daten auch Informationen über die Rothschilds, Rockefeller und die königliche Familie in Großbritannien enthalten. Dese Behauptungen konnten bisher nicht bestätigt werden.

Nachtrag vom 06.12.2023:

23andme bestätigte am 1. Dezember, dass insgesamt 6,9 Millionen Personen von dem Vorfall betroffen sind. 

Zu den gestohlenen Daten von 5,5 Mio Betroffenen zählen der Name der Person, das Geburtsjahr, Beziehungskennzeichnungen, der Prozentsatz der mit Verwandten geteilten DNA, Abstammungsberichte und der selbst angegebene Aufenthaltsort.

Zu den gestohlenen Daten von 1,4 Mio Betroffenen zählen Namen, Beziehungskennzeichen, Geburtsjahr, selbst angegebene Standorte und die Angabe, ob der Nutzer sich entschieden hat, seine Informationen weiterzugeben.

Nachtrag vom 30.01.2024:

23andMe gab zu, dass die Hacker bereits am 29. April 2023 in die Kundenkonten eingebrochen und bis September 2023 Zugriff hatten. Außerdem wurde bestätigt, dass Rohdaten zu den Genotypen der Kunden sowie weitere Gesundheitsdaten von den Hackern gestohlen wurden.

Nachtrag vom 11.06.2024:

Die britischen und kanadischen Datenschutzbehörden haben gemeinsame Ermittlungen gegen 23andMe eingeleitet. Dies soll schlussendlich aufklären, wie viele und welche sensiblen Daten abgegriffen wurden. Darüber hinaus soll festgestellt werden, ob das Unternehmen gegen die Datenschutzvorgaben in Großbritannien und Kanada verstoßen hat.

Update vom 16.09.2024:

Obwohl 23andMe weiterhin Vorwürfe bezüglich nicht ausreichender Maßnahmen zum Schutz personenbezogener Daten von sich weist, erklärte sich das Unternehmen zu einer Einigungszahlung von 30 Mio. USD bereit. Nach eigenen Angaben schätzt es diese Summe sowie zusätzliche Sicherheitsmaßnahmen, z.B. gegen Credential Stuffing-Attacken und verpflichtende 2FA für alle Nutzer als angemessen ein.

Nachtrag vom 29.05.2026:

Auch mehr als eineinhalb Jahre später verfolgt der Vorfall das Unternehmen weiterhin: Der kalifornische Generalstaatsanwalt verklagt 23andMe nun. 

Nachtrag vom 02.09.2026:

Im Juli 2026 verpflichtete die New Yorker Generalstaatsanwaltschaft das Unternehmen zur Zahlung von 18 Mio. USD. Generalstaatsanwältin Letitia James erklärte, dass 23andMe (mittlerweile die Chrome Holding Co.) unregelmäßige Aktivitäten nicht angemessen überprüft und Schwachstellen nicht beseitigt hatte.