Die Klage offenbart ein besorgniserregendes Versagen in den grundlegendsten Sicherheitsmaßnahmen. Angreifer nutzten sogenanntes Credential-Stuffing, um über 14.000 Konten zu kompromittieren und damit auf die Daten von 7 Millionen Kunden zuzugreifen. Diese Angriffsmethode ist seit Jahren bekannt und leicht zu verhindern — durch Multifaktor-Authentifizierung oder erzwungene Passwort-Änderungen.
Besonders skandalös: 23andMe hatte seit einem MyHeritage-Datenleck 2017 gewusst, dass gestohlene Anmeldedaten in Umlauf waren, unternahm aber nichts. Stattdessen ließ die Firma verdächtige Aktivitäten monatelang unbeachtet. Im Juli 2023 verzeichnete das System einen ungewöhnlichen Anstieg von Login-Versuchen, im August diskutierten Nutzer auf Reddit bereits über einen möglichen Datenklau — doch 23andMe reagierte erst, als Cyberkriminelle das Material aktiv zum Verkauf anboten und Lösegeld forderten.
Die geraubten Informationen umfassten DNA-Rohdaten, Gesundheitsberichte, genetische Verwandtschaftsinformationen und geografische Standortangaben. Im Oktober 2023 wurden über 1,1 Millionen Datensätze speziell mit Bezug zu asiatisch-pazifischen und aschkenasisch-jüdischen Nutzern auf dem Dark Web angeboten — ein Umstand, den Generalstaatsanwalt Bonta kritisch im Kontext wachsender rassistischer und antisemitischer Gewalt bewertet.
Kalifornien argumentiert, dass genetische Informationen den höchsten Schutzstandard erfordern und das kalifornische Genetic Information Privacy Act explizit eine verstärkte Schutzpflicht vorsieht. 23andMe muss mit erheblichen Geldstrafen und einstweiligen Verfügungen rechnen. Zudem hatte Bonta bereits während des Insolvenzverfahrens 2024 interveniiert, um zu verhindern, dass genetische Daten unbefugt an Dritte verkauft werden. Der Konflikt führte zu einem Vergleich in Höhe von 50 Millionen Dollar.
Für deutsche Unternehmen und Behörden gilt dies als warnendes Beispiel. Das BSI und der Bundesdatenschutzbeauftragte fordern seit langem technische Standards für hochsensible personenbezogene Daten. Verstöße können zu DSGVO-Bußgeldern bis 4 Prozent des Jahresumsatzes führen.