23ANDME und der Credential-Stuffing-Vorfall, der Verwandte zur Angriffsfläche machte

Zusammenfassung

• Der bestätigte Zugriff erfolgte in Schichten:23ANDME hat zunächst offengelegt, dass etwa 0,1 % der Nutzerkonten, damals allgemein als etwa 14.000 beschrieben, mit wiederverwendeten Anmeldedaten aus anderen Diensten zugegriffen wurde. Die gemeinsame Untersuchung Kanadas und des Vereinigten Königreichs berichtete von 18.222 weltweit direkt zugegriffenen Konten. Über diese Sitzungen erlangte der Angreifer die Informationen der Profile 'DNA-Verwandte' und 'Stammbaum' von fast sieben Millionen Kunden.
• Verwandte vergrößerten die Angriffsfläche:Ein Kunde, der sich für DNA-Verwandte entschieden hatte, machte ausgewählte Profil-, Abstammungs- und Verwandtschaftsinformationen für Übereinstimmungen sichtbar. Der Angreifer musste daher nicht für jede betroffene Person ein Passwort wiederverwenden. Das Produkt wandelte einen kleinen Satz gültiger Anmeldungen in die Berechtigung um, einen viel größeren Verwandtschaftsgraphen einzusehen.
• Erkennung und Reaktion versagten in mehrfacher Hinsicht:Die Aufsichtsbehörden identifizierten intensive Phasen von Credential Stuffing, einen Plattformabsturz im Juli, verursacht durch über eine Million Anmeldungen auf einem einzigen Konto, hunderte Versuche der Profilübertragung und eine Behauptung im August über einen massiven Diebstahl. Die groß angelegte Kampagne wurde erst bestätigt, als die gestohlenen Daten im Oktober 2023 angekündigt wurden. Eine obligatorische Zwei-Faktor-Überprüfung, ein globaler Passwort-Reset und strengere Kontrollen bei Roh-DNA-Downloads folgten.
• Die Verantwortung wird geteilt, aber nicht gleichmäßig:Der Angreifer ist verantwortlich für den unbefugten Zugriff, das Scraping und die Veröffentlichung. Kunden, die ihre Passwörter wiederverwendet haben, schufen einen ersten Zugangsweg. 23ANDME allein kontrollierte die Standardauthentifizierungseinstellungen, die Filterung kompromittierter Passwörter, die Sitzungsautorisierung, die Grenzen für Verwandtschaftsanfragen, die Telemetrie, die Reaktion und die Benachrichtigung. Die späteren regulatorischen Feststellungen, eine britische Geldstrafe, ein Vergleich in einer Sammelklage, Insolvenzschutz und eine noch umstrittene Klage in Kalifornien messen unterschiedliche rechtliche Fragen; keine stützt Behauptungen über spezifischen nachgelagerten genetischen Missbrauch ohne Beweise.

Ein Passwort, viele Menschen

Ein klassisches Kontoübernahme-Szenario fragt, wie viele Konten ein Angreifer kompromittiert hat. Das ist hier notwendig, aber völlig unzureichend. DNA-Verwandte wurde entwickelt, um einem Kunden eine Reihe von genetischen Übereinstimmungen anzuzeigen. Je nach Abonnement, so die gemeinsame Untersuchung, konnte ein aktiviertes Konto entweder 1.500 oder 5.000 DNA-Verwandten-Profile einsehen. Eine Übereinstimmung konnte einen Anzeigenamen, eine vorhergesagte Verwandtschaft, einen Prozentsatz gemeinsamer DNA und optionale Felder wie Abstammung, Ort, Geburtsjahr, Foto, Nachname und Stammbaum offenlegen.

Die aktuelle Beschreibung von 23ANDME macht das zugrunde liegende Teilungsmodell noch deutlich: Entitäten entscheiden sich, bei genetischen Übereinstimmungen zu erscheinen, und ausgewählte Details werden in diesem Verwandtschaftskontext sichtbar. (23ANDME Datenschutz- und Anzeigeeinstellungen für DNA-Verwandte)

Dies war nicht dasselbe wie die Veröffentlichung eines Profils im offenen Web. Die Sichtbarkeit war an ein authentifiziertes 23ANDME-Konto, die Teilnahme an der Funktion und eine vom Dienst berechnete genetische Übereinstimmungsbeziehung gebunden. Aber bedingte Freigabe kann dennoch eine große Berechtigungsoberfläche schaffen. Sobald ein Angreifer erfolgreich die Identität eines Kunden übernommen hatte, behandelte der Dienst die Sitzung so, als hätte sie das Recht, die von anderen bereitgestellten Informationen einzusehen. Diese anderen Personen haben möglicherweise einzigartige Passwörter und eine stärkere Authentifizierung verwendet.

Ihre Sicherheit hing dennoch teilweise vom schwächsten verbundenen Konto und den Kontrollen ab, die einschränken, was dieses Konto abrufen konnte.

Dies ist das Problem des geteilten Profils. Der Inhaber des kompromittierten Kontos und die Person, deren Daten offengelegt wurden, sind oft verschiedene Personen. Der eine kontrolliert die Anmeldedaten; der andere hat das sichtbare Profil bereitgestellt; die Plattform definiert die Beziehung und gewährt den Zugriff. Eine Analyse, die das Ereignis vollständig der Passwortwiederverwendung zuschreibt, vermischt diese Rollen. Sie übersieht auch die Produktentscheidung, die den Wert jeder erfolgreichen Anmeldung vervielfacht hat.

Die Unterscheidung ist in einem genetischen Dienst besonders wichtig, da Verwandtschaftsinformationen inhärent relational sind. Ein Prozentsatz gemeinsamer DNA beschreibt eine Verbindung zwischen mindestens zwei Personen. Ein Stammbaum kann Personen enthalten, die nie ein Konto eröffnet haben. Eine vorhergesagte Verwandtschaft wird aus Vergleichsdaten generiert, die nicht betrieblich von einer Seite kontrolliert werden. Die Zustimmung eines Kunden zur Teilnahme an einer Übereinstimmungsfunktion gibt diesem Kunden nicht die technische Kontrolle darüber, wie die kompromittierte Sitzung eines anderen Kunden erkannt oder eingeschränkt wird.

All dies beweist keinen spezifischen genetischen Schaden. Die geprüften Unterlagen belegen nicht, dass ein Arbeitgeber, eine Versicherung, eine Regierungsbehörde oder eine medizinische Entscheidungsinstanz die offengelegten Informationen gegen eine betroffene Person verwendet hat. Sie belegen unbefugten Kontozugriff, automatisierte Sammlung, Online-Stellung oder Angebot bestimmter Informationen und Offenlegung definierter Profil- und Kontofelder. Die Verantwortung muss auf diesen nachgewiesenen Ereignissen und den Risiken beruhen, die die Aufsichtsbehörden gesetzlich zu bewerten hatten, nicht auf erfundenen Horrorgeschichten.

Die Beweise fallen in vier verschiedene Kategorien

Die öffentliche Akte ist über zwei Jahre gewachsen, und die Bezeichnungen sind wichtig. Vier Beweiskategorien sollten nicht vermischt werden.

Das geänderte Formular 8-K von 23ANDME vom Dezember 2023 ist ein primärer Bericht des Unternehmens. Es besagte, dass ein böswilliger Akteur auf 0,1 % der Benutzerkonten zugegriffen hatte, bei denen der 23ANDME-Benutzername und das Passwort mit zuvor kompromittierten oder anderweitig verfügbaren Anmeldedaten übereinstimmten. Es besagte auch, dass der Akteur diese Konten genutzt hatte, um auf Dateien mit Abstammungsprofilinformationen zuzugreifen, die andere Benutzer über DNA-Verwandte geteilt hatten, und einige Informationen online veröffentlicht hatte.

Das Unternehmen erklärte, es habe keine Hinweise darauf, dass es die Quelle der Anmeldedaten sei. (Geändertes Formular 8-K von 23ANDME)

Der gemeinsame Bericht vom Juni 2025 des kanadischen Datenschutzbeauftragten und des britischen Informationsbeauftragten ist die robusteste öffentliche konsolidierte Rekonstruktion. Er stützt sich auf Unternehmenseinreichungen, Mitarbeitergespräche, offene Quellen und die Analyse der Aufsichtsbehörden. Er enthält auch eine materielle Einschränkung: Die Aufsichtsbehörden erhielten nicht alle angeforderten Dokumente, einschließlich einiger interner Vorfallprotokolle und des forensischen Berichts, da 23ANDME Rechtsberatungsprivileg geltend machte. Dies entkräftet die Feststellungen nicht.

Es bedeutet, dass der Bericht ungewöhnlich detailliert, aber keine vollständige Offenlegung der zugrunde liegenden forensischen Akte ist. (Gemeinsamer Untersuchungsbericht Kanada-Vereinigtes Königreich)

Der Unternehmensblog, Wertpapierunterlagen, der Aufsichtsbehördenbericht, der gerichtlich genehmigte Vergleich und die spätere Klage beantworten unterschiedliche Fragen. Sie sollten sich gegenseitig stützen, wenn möglich, aber sie sollten nicht in eine reibungslose Erzählung gezwungen werden. Der Übergang von einer frühen Schätzung von 0,1 % zur späteren Zahl von 18.222 Konten der Aufsichtsbehörden ist ein gutes Beispiel: Er spiegelt das Datum des Berichts, die sich entwickelnden Beweise und die Zählmethode wider. Es ist keine Erlaubnis, eine Zahl als Lüge zu bezeichnen, nur weil die andere später kam.

Von April bis Oktober 2023: Der Angriff im Zeitverlauf

April: Sensible Konten mit optionalem Schutz

Zum Zeitpunkt des Vorfalls konnten sich Kunden mit einer E-Mail-Adresse und einem Passwort anmelden. App-basierte Multi-Faktor-Authentifizierung und Single Sign-On über Apple oder Google waren verfügbar, aber optional. Die gemeinsame Untersuchung ergab, dass etwa 78 % der Kunden weder MFA noch SSO nutzten; nur 0,2 % nutzten die angebotene app-basierte MFA. Mitarbeiterkonten, die auf Unternehmensinformationen zugriffen, hatten obligatorische MFA oder SSO, während Kundenkonten dies nicht hatten.

Diese Asymmetrie ist wichtig. Die interne Infrastruktur wurde als zweiter Faktor betrachtet, aber ein Verbraucherkonto konnte Gesundheitsberichte, Abstammungsergebnisse, Verwandtschaftsinformationen und einen Weg zur Anforderung roher genotypischer Daten mit nur einem Passwort offenlegen. Die Aufsichtsbehörden stellten auch fest, dass 23ANDME kein Credential Stuffing gegen den Kundendienst simuliert hatte und kein Vorfallhandbuch speziell für dieses Angriffsmuster hatte. Seine Penetrationstests konzentrierten sich auf die Backend-Infrastruktur.

Optionale MFA ist keine Abwesenheit von Kontrolle. Kunden, die sie aktivierten, erhielten signifikanten Schutz, und die Aufsichtsbehörden erklärten, dass keines der Konten, die MFA oder Apple- oder Google-SSO verwendeten, in dieser Kampagne von Credential Stuffing betroffen war. Aber eine optionale Sicherung legt das Übernahmerisiko auf den Benutzer, selbst wenn der Dienst sich entschieden hat, ungewöhnlich sensible Daten und Sichtbarkeit zwischen Konten zu konzentrieren. Die angemessene Frage ist nicht, ob MFA auf einer Einstellungsseite existierte.

Es ist, ob die standardmäßige Sicherheitsstufe dem entsprach, was eine erfolgreiche Sitzung tun konnte.

29. April bis 16. Mai: Die erste intensive Phase

Die Chronologie der Aufsichtsbehörden datiert die Kampagne vom 29. April bis 20. September 2023. Während der ersten intensiven Phase, die am 16. Mai endete, wurden 9.974 Konten erfolgreich zugegriffen. Credential Stuffing unterscheidet sich vom Brute-Force-Erraten gegen ein einzelnes Konto: Der Angreifer probiert Benutzername-Passwort-Paare aus, die aus anderen Lecks oder Quellen stammen, in der Erwartung, dass einige Personen sie wiederverwendet haben. Eine korrekte Anmeldung kann daher gewöhnlich erscheinen, wenn die Überwachung jedes Konto isoliert betrachtet.

Die Ökonomie begünstigt den Angreifer. Anmeldedaten-Korpora sind zwischen Diensten wiederverwendbar, Anmeldeversuche können verteilt werden, und Automatisierung verwandelt eine niedrige Erfolgsquote in eine praktikable Kampagne. Der Dienst trägt die Kosten für Anti-Bot-Kontrollen, Anomalieerkennung, Kundenreibungs- und Supportkosten. Der Angreifer benötigt nur genug erfolgreiche Sitzungen, um diese Kosten zu rechtfertigen. In diesem Fall konnte jede erfolgreiche Sitzung auch eine Ansicht auf Tausende verwandter Profile öffnen, was die erwartete Rendite pro gültiger Anmeldedaten weit über den Inhalt dieses einen Kontos hinaus erhöhte.

Dies ist die Missbrauchskontaktökonomie des Vorfalls. Der erste Kontakt des Angreifers mit dem Dienst war ein Anmeldeversuch. Ein erfolgreicher Kontakt wurde zu einer dauerhaften Sitzung. Die Sitzung wurde dann zu einem Kanal für Anfragen an die geteilten Profile anderer Personen. Jede Grenze, die billig zu überqueren blieb, erhöhte den Extraktionswert: eine weitere Anmeldung, eine weitere Übereinstimmungsseite, eine weitere Stammbaumanfrage, eine weitere Ladung Profildaten. Die Abwehrmaßnahmen mussten daher die gesamte Sequenz bepreisen, nicht nur die Passwortüberprüfung.

6. Juli: Eine Million Anmeldungen und ein Plattformabsturz

Am 6. Juli, so die Analyse der Aufsichtsbehörden der Kundenanmeldeprotokolle, meldete sich ein Computerprogramm mehr als eine Million Mal an einem einzigen Tag auf einem kostenlosen Konto ohne DNA-Probe an. Die Aktivität ließ die Plattform vorübergehend abstürzen und war mit einem erfolglosen Versuch verbunden, Profilübertragungen einzuleiten. Das Ereignis war betrieblich laut. Es war auch strukturell relevant: Profilübertragung ist eine Möglichkeit, die Verwaltung eines genetischen Profils zwischen Konten zu verschieben.

23ANDME untersuchte und ergriff Maßnahmen gegen unbefugte Übertragungen, verband die Aktivität jedoch nicht mit der breiteren Credential-Stuffing-Kampagne. Ein Plattformabsturz ist nicht automatisch ein Beweis für einen Bruch; Verfügbarkeitsvorfälle können viele Ursachen haben. Dennoch war es im Kontext ein Signal, dass ein authentifizierter Arbeitsablauf in außergewöhnlichem Umfang automatisiert wurde. Das von den Aufsichtsbehörden identifizierte Versäumnis der Rechenschaftspflicht bestand nicht darin, die gesamte Kampagne aus einem einzigen Diagramm abgeleitet zu haben.

Es bestand darin, diese Anomalie nicht mit den folgenden Ereignissen kombiniert zu haben.

28. bis 30. Juli: Etwa 400 Übertragungsversuche

Ende Juli versuchte der Akteur, Profilübertragungen mit etwa 400 Konten zu automatisieren. 23ANDME deaktivierte Übertragungsanfragen, sperrte potenziell betroffene Konten vorübergehend, verlangte Passwort-Resets für diese Kunden und fügte eine Warnung für anomales Übertragungsvolumen hinzu. Seine interne Untersuchung kam zu dem Schluss, dass auf begrenzte Informationen in 19 US-Kundenkonten zugegriffen worden war.

Diese Reaktion zeigt, dass das Unternehmen eng und schnell um einen erkannten Arbeitsablauf handeln konnte. Sie offenbarte auch eine Schwäche der Passwortkontrolle: Ein Kunde konnte ein Konto mit einem zuvor verwendeten Passwort zurücksetzen. 23ANDME änderte dieses Verhalten im August. Die Untersuchung identifizierte jedoch nicht, dass ein breiterer Angriff bereits Tausende von Konten zugegriffen hatte. Die Kontrolle war auf das Symptom beschränkt: den Übertragungsmissbrauch, nicht das System des Kontozugriffs und des Scrapings darum herum.

10. August: Eine als Scherz eingestufte Behauptung

23ANDME erhielt daraufhin Nachrichten über das Kundenportal von einer Person, die behauptete, Daten von über 10 Millionen Kunden mit insgesamt 300 Terabyte zu besitzen. Ein Mitarbeiter bemerkte auch eine ähnliche Behauptung auf Reddit unter demselben Namen. Das Sicherheitsteam untersuchte und stufte die Behauptung als Scherz ein.

Die Zahl ist eine Behauptung des Angreifers, keine bestätigte Messung, und muss als solche etikettiert bleiben. Die späteren Aufsichtsbehörden bestätigten weder 300 Terabyte noch einen Diebstahl von 10 Millionen Kunden. Ihre Feststellung betraf die Angemessenheit der Untersuchung: Verstoßbehauptungen waren für das Unternehmen selten, und diese Behauptung kam nach dem Juli-Absturz und den Übertragungsversuchen. Zusammengenommen rechtfertigten diese Ereignisse eine gründlichere Untersuchung. Der Bericht kam zu dem Schluss, dass eine robustere Untersuchung im August die Kampagne vor der zweiten intensiven Phase hätte aufdecken können.

Dieser Punkt ist für die Missbrauchsmeldung wichtig. Ein Posteingang kann mit unglaubwürdigen Behauptungen, Erpressungen, Forscherberichten, Kundenbeschwerden und Rauschen überflutet werden. Jede Nachricht als wahr zu behandeln, ist unmöglich. Die Triage als endgültige Entscheidung zu behandeln, ist jedoch ebenfalls gefährlich. Dienste mit hohem Risiko benötigen eine Eskalationsregel, die die Neuheit der Behauptung, die Artefakte des Melders, gleichzeitige Anomalien und bekannte Angriffspfade kombiniert. Die Kosten, die einem Missbraucher auferlegt werden, um eine Behauptung einzureichen, können nahezu null sein;

die Kosten einer vollständigen forensischen Untersuchung sind es nicht. Die Governance bestimmt, wann genügend unabhängige Signale vorliegen, um diese Kosten zu rechtfertigen.

September: Die zweite intensive Phase

Der Akteur nahm das intensive Credential Stuffing im September wieder auf und kompromittierte weitere 4.364 Konten. Über die gesamte Kampagne hinweg fanden die Aufsichtsbehörden zwei sichtbare Verzerrungen im Verhältnis von erfolgreichen zu fehlgeschlagenen Anmeldungen, im Mai und September. 23ANDME verfügte über Werkzeuge, die den Angriff hätten erkennen können, aber sie waren nicht so konfiguriert, dass sie auf das Muster aufmerksam machten. Die Schwellenwerteinstellung war weitgehend manuell, und das Unternehmen nutzte nicht die verfügbaren Geräte-, Browser- und Netzwerkinformationen, um verdächtige Kundenanmeldungen zu identifizieren.

Dies ist präziser, als zu sagen, dass der Dienst keine Überwachung hatte. Er hatte eine Web Application Firewall, IP-basierte Regeln, Herausforderungen, Ratenbegrenzungen, eine Sicherheitsoperationsfunktion, SIEM-Tooling und ein Bug-Bounty-Programm. Das Versagen bestand darin, dass die Kontrollen den Angriff nicht so modellierten, wie er stattfand. Eine verteilte Kampagne kann einfache IP-basierte Grenzen umgehen. Korrekte Anmeldedaten können Sperrungen nach Fehlversuchen auf den Konten, die zählen, vermeiden.

Scraping nach der Anmeldung kann wie begeisterte Produktnutzung aussehen, es sei denn, das System misst die Diagrammdurchquerung, Wiederholungsabfragen, Sitzungsgeschwindigkeit und aggregierte Verwandtschaftsreichweite.

1. bis 10. Oktober: Externe Entdeckung und erste Eindämmung

Am 1. Oktober kündigte der Akteur gestohlene Daten auf Reddit an. 23ANDME bestätigte am 5. Oktober, dass der Vorfall authentisch war, und gab am 6. Oktober bekannt, dass Profilinformationen ohne Genehmigung eingesehen worden waren. Die erste öffentliche Darstellung führte den Zugriff auf Passwortwiederverwendung zurück und erklärte, dass Informationen aus DNA-Verwandten-Profilen möglicherweise erlangt worden waren. (23ANDME Vorfall-Update und Aktionsplan)

Die Eindämmung erfolgte nicht in einem Schritt. Am 9. Oktober, vier Tage nach der Bestätigung, widerrief 23ANDME die aktiven Sitzungen. Am 10. Oktober mailte es alle Kunden an, forderte einen globalen Passwort-Reset und ermutigte zur MFA. Das Unternehmen reichte seinen ersten Bericht am 15. Oktober bei der ICO und am 18. Oktober beim kanadischen Datenschutzbeauftragten ein, nachdem das kanadische Büro dies verlangt hatte. Die ersten Berichte der Aufsichtsbehörden verwendeten eine weltweit betroffene Bevölkerung von 1.103.647; Ergänzungen Ende Oktober erhöhten dies auf 5.621.179.

Die Sequenz zeigt die Bedeutung der Sitzungskontrolle. Ein Passwortwechsel beendet nicht unbedingt eine bereits authentifizierte Sitzung. Ein Reaktionsplan muss separat Token widerrufen, andere Anmeldedaten rotieren oder widerrufen, risikoreiche Exporte stoppen, Beweise sichern und nachgelagerte Ansichten identifizieren. Die Aufsichtsbehörden stellten fest, dass vier Tage zu lang waren, um alle Sitzungen zu deaktivieren und den Reset durchzusetzen, nachdem ein Kundenereignis mit höchster Priorität bestätigt worden war.

November 2023 bis Januar 2024: Verstärkte Anmeldung, langsamere Benachrichtigung

Am 2. November deaktivierte 23ANDME die Selbstbedienungs-Downloads von Roh-DNA. Die Funktion kehrte am 27. Februar 2024 mit einer zusätzlichen Überprüfung des Geburtsdatums zurück. Die Aufsichtsbehörden stellten das Geburtsdatum als starken Authentifikator in Frage, da es öffentlich oder in anderen Lecks vorhanden sein kann, obwohl sie die späteren Sicherheitsvorkehrungen des Unternehmens insgesamt bewerteten, anstatt diesen einzelnen Schritt als ausreichend zu behandeln.

Am 9. November machte der Dienst die Zwei-Schritt-Überprüfung per E-Mail für Kunden obligatorisch, die keine App-basierte MFA oder SSO verwendeten. Die geänderte SEC-Einreichung datiert die Anforderung auf Anfang November und bestätigt, dass neue und alte Benutzer in Zukunft eine Zwei-Schritt-Überprüfung benötigen würden. App-basierte MFA existierte bereits und hätte früher obligatorisch gemacht werden können; 23ANDME entwickelte stattdessen eine reibungsärmere E-Mail-Methode.

Die Aufsichtsbehörden kamen zu dem Schluss, dass dies die Konten länger als nötig exponiert ließ, akzeptierten jedoch bis Ende 2024, dass die gesamte korrigierte Kontrollsuite angemessen war.

Die Benachrichtigung erfolgte schichtweise. Personen, deren DNA-Verwandten-Informationen veröffentlicht oder als eingesehen festgestellt wurden, erhielten im Oktober Benachrichtigungen. Einige Klarstellungen nur zum Stammbaum folgten im Dezember. Personen, deren Konten direkt von Credential Stuffing betroffen waren, wurden erst im Januar 2024 darüber informiert, fast drei Monate nach der Bestätigung und über einen Monat, nachdem das Unternehmen seine forensische Untersuchung für abgeschlossen erklärt hatte.

Der gemeinsame Bericht fand Auslassungen in den Benachrichtigungen an Aufsichtsbehörden und Einzelpersonen, einschließlich der möglichen Offenlegung von Roh-DNA, des Angriffszeitraums, des Verkaufs von Informationen und einiger Kontofelder.

Konten, Profile und Personen zählen

Der Vorfall hat keine einzige ehrliche Zahl, es sei denn, die Einheit und das Datum werden mitgeliefert.

Etwa 0,1 % oder etwa 14.000 Konten:Dies war die frühe Beschreibung des Unternehmens im Dezember 2023 der direkt von Credential Stuffing betroffenen Konten. Der Prozentsatz stand im geänderten 8-K. Zeitgenössische Berichterstattung übersetzte dies basierend auf der Dienstpopulation auf etwa 14.000.

18.222 direkt zugegriffene Konten:Dies ist die weltweite Gesamtzahl, die 23ANDME später im Juli 2024 der Untersuchung Kanada-Vereinigtes Königreich zur Verfügung stellte: 769 in Kanada und 611 im Vereinigten Königreich. Dies ist die am weitesten entwickelte direkte Kontozahl in der öffentlichen Aufsichtsbehördenakte.

5.497.376 DNA-Verwandten-Profile und 1.468.791 Stammbaum-Profile:Dies sind spätere Zählungen nach Feldgruppe, die den Aufsichtsbehörden gemeldet wurden. Der Bericht gibt an, dass die DNA-Verwandten- und Stammbaum-Gruppen sich gegenseitig ausschlossen, während die DNA-Verwandten- und Abstammungsberichtspopulationen dies nicht taten. Das Formular 10-K des Geschäftsjahres 2024 des Unternehmens rundete die Kategorien auf etwa 5,5 Millionen DNA-Verwandten-Profile und 1,5 Millionen Stammbaum-Profile. (23ANDME Formular 10-K Geschäftsjahr 2024)

6.984.430 weltweit betroffene Kunden:23ANDME meldete diese Gesamtzahl dem kanadischen Datenschutzbeauftragten am 4. Dezember 2023, mit 319.635 in Kanada. Der gemeinsame Bericht beschreibt allgemein fast sieben Millionen betroffene Kunden. Die US-amerikanische Sammelklage verwendete später etwa 6,4 Millionen US-Einwohner für ihren Klassenumfang.

Diese Zahlen beschreiben verschachtelte und sich überschneidende Populationen, nicht vier zu addierende Zahlen. Ein direkt zugegriffener Kontoinhaber konnte auch ein DNA-Verwandten-Profil haben. Eine Person konnte sowohl Abstammungsinformationen als auch ein Verwandtschaftsprofil haben. Ein Stammbaum-Profil konnte den Kontoinhaber oder eine andere im Baum dargestellte Person betreffen. Genauigkeit erfordert ein: Person, Konto, genetisches Profil, Verwandtschaftsdatensatz, Stammbaumknoten, Bericht und hochgeladene Datei sind unterschiedliche Objekte.

Die Roh-DNA-Zählung ist noch begrenzter. Im Juli 2024 berichtete 23ANDME über 18 weltweite Roh-DNA-Downloads und 49 Fälle, in denen Roh-DNA eingesehen oder durchsucht wurde. Die Aufsichtsbehörden identifizierten Schwächen in der forensischen Methode, einschließlich des Fehlens von Originalprotokollen des Cloud-Anbieters und eines falsch konfigurierten benutzerdefinierten Protokolls. Im April 2025, nach weiterer Analyse, revidierte 23ANDME die Anzahl der dem Akteur zugeschriebenen Roh-DNA-Downloads auf vier weltweit, keine in Kanada oder im Vereinigten Königreich. Die Aufsichtsbehörden haben diese Revision nicht unabhängig verifiziert.

Die korrekte Schlussfolgerung ist nicht, dass Roh-DNA von sieben Millionen Menschen heruntergeladen wurde. Die Akte stützt dies nicht. Es ist auch nicht, dass keine Roh-DNA beteiligt war. Die spätere Position des Unternehmens war vier zugeschriebene Downloads, während die Aufsichtsbehörden methodische Unsicherheit dokumentierten. Genau hier muss ein forensischer Artikel an der Beweisgrenze aufhören.

Was eine erfolgreiche Sitzung offenlegen konnte

Die Daten müssen auch nach Zugriffspfad aufgeteilt werden.

Für eindirekt zugegriffenes Kontokonnten die verfügbaren Felder vollständigen Namen, Geburtsdatum, Geschlecht bei Geburt, Geschlechtsidentität, E-Mail, Land und Postleitzahl, Größe und Gewicht; Abstammungsberichte; Gesundheitsberichte; selbst gemeldete Gesundheitszustände; und rohe genotypische Informationen umfassen. Es folgt nicht, dass jedes der 18.222 Konten alle Felder enthielt oder dass jedes verfügbare Feld heruntergeladen wurde. Der gemeinsame Bericht gibt eine spezifischere Zählung von 8.217 mit Gesundheitsberichten betroffenen Konten und 63 mit selbst gemeldeten Gesundheitszuständen.

Für einverbundenes DNA-Verwandten-Profilwar das exponierte Material eingeschränkter, aber dennoch sensibel: Namen oder Anzeigenamen, selbst gemeldetes Geburtsjahr und Ort, Profilbild, Rasse oder ethnische Zugehörigkeit, vorhergesagte Verwandtschaft, Prozentsatz gemeinsamer DNA, passende Segmente und optionale Abstammungs- und Stammbaum-Informationen. Dies war der Multiplikator. Der Akteur sah diese Datensätze über die Autorität direkt zugegriffener Konten ein.

FürStammbaum-Profilebetrifft die Akte die Informationen, die in verbundenen Stammbäumen dargestellt werden. Ein Stammbaumknoten sollte nicht mit einem einzelnen Dienstkunden oder einem rohen genetischen Datensatz gleichgesetzt werden. Das Produkt kann Verwandte und Abstammung beschreiben, ohne dass jede dargestellte Person ein getesteter Kontoinhaber ist.

Für dieListen des Angreifersvalidiert die Tatsache eines Angebots oder einer Veröffentlichung nicht jede vom Verkäufer angewandte Bezeichnung. Die Aufsichtsbehörden stellten fest, dass einige Daten angekündigt wurden und dass die Benachrichtigungen betroffener Personen diese Tatsache hätten offenlegen müssen. Die kalifornische Klage von 2026 fügt zusätzliche Behauptungen über zielgerichtete Listen, Lösegeldverhandlungen, Produktschwachstellen und Unternehmensaussagen hinzu. Diese Behauptungen sind ernst, aber zum Zeitpunkt der Veröffentlichung ist die Klage eine Einleitung des Verfahrens, kein Urteil.

Sie muss als Klage des Staates zitiert werden, nicht in eine festgestellte Tatsache umgewandelt werden. (Klage und Ankündigung des kalifornischen Attorney General)

Diese Trennung schützt betroffene Personen vor zwei Fehlern gleichzeitig: die unbefugte Offenlegung von Abstammung und Verwandtschaft zu bagatellisieren, weil es nicht immer eine Rohdatei war, und das Ereignis zu übertreiben, indem behauptet wird, die vollständigen Genome von sieben Millionen Menschen seien gestohlen worden. Beide verzerren die Verantwortung.

Das Produktdesign ermöglichte das Verhältnis

Der Zweck des Produkts war die Verbindung. DNA-Verwandte schuf Wert, indem es Kunden eine breite Palette von Übereinstimmungen und genügend Kontext zeigte, um familiäre Beziehungen zu erkennen. Sicherheitskontrollen konnten nicht einfach jegliche gemeinsame Sichtbarkeit entfernen, ohne die Funktion zu deaktivieren. Sie konnten jedoch regeln, wie viel Autorität eine Sitzung ansammelte und wie schnell sie diese Autorität ausüben konnte.

Daraus ergeben sich mindestens fünf Designfragen.

Erstens:Sollte ein Verwandtschaftsgraph unmittelbar nach jeder Anmeldung gleich sichtbar sein?Ein neues Gerät, ein ungewöhnlicher Ort oder ein kürzlich wiederhergestelltes Konto könnte eine reduzierte Ansicht erhalten, bis eine stärkere Authentifizierung erfolgt. Das Ziel ist nicht, die eigenen Ergebnisse einer Person zu verbergen. Es ist, den Selbstzugriff vom Massenzugriff auf Profile anderer Personen zu unterscheiden.

Zweitens:Was ist der maximale nutzbare Umfang einer Sitzung?Ein Produkt kann Tausende von Übereinstimmungen berechnen, aber es muss sie nicht mit Maschinengeschwindigkeit liefern oder dieselben Felder über jeden Endpunkt offenlegen. Paginierung, Sitzungsbudgets, schrittweise Offenlegung und zweckgebundene Exporte können die Extraktionskosten erhöhen, während die normale Erkundung nutzbar bleibt.

Drittens:Welche Abfragen offenbaren relationale Daten?Die Sicherheitstelemetrie muss das Produkt verstehen. HTTP-Anfragen zu zählen, ist schwächer, als eingesehene eindeutige Profile, Stammbaumerweiterung, Abruf von Abstammungsberichten, Abfragen gemeinsamer Segmente und wiederholte Durchquerung vieler Konten zu messen. Ein Angriff kann unter einer generischen Anfrageschwelle bleiben, während er alle normalen Muster der relationalen Nutzung verletzt.

Viertens:Welche Einwilligung gilt, nachdem das Konto des Betrachters kompromittiert ist?Eine Person hat sich entschieden, mit genetischen Verwandten zu teilen, die den Dienst nutzen, nicht mit jedem, der das Passwort eines Verwandten präsentieren kann. Die Einwilligung kann den Betrachter nicht authentifizieren. Die Plattform muss die Bedingungen durchsetzen, unter denen die Teilungsentscheidung sinnvoll bleibt.

Fünftens:Kann eine verbundene Person den Offenlegungspfad einsehen oder widerrufen?Der Ereignisverlauf des Kontos hilft dem direkt zugegriffenen Kunden, aber ein Verwandter, dessen Profil über die Sitzung einer anderen Person eingesehen wurde, hat kein natürliches Sitzungsprotokoll auf seinem eigenen Konto. Der Dienst benötigt daher eine grafische Vorfallanalyse und Benachrichtigung. Er muss nicht nur beantworten können, welche Konten durchbrochen wurden, sondern welche anderen Profile jede feindliche Sitzung erreicht hat.

Hier wird Datenminimierung zu einer betrieblichen Kontrolle. Das Entfernen eines optionalen Ortes, Geburtsjahrs oder Nachnamens aus relationalen Standardansichten kann die Konsequenzen verringern, ohne die Übereinstimmung abzuschaffen. Das Trennen der Profilentdeckung von detaillierten Abstammungsberichten kann eine Verstärkungsgrenze schaffen. Das Einschränken alter oder inaktiver Profile kann die erhaltene Reichweite verringern. Dies sind Produktentscheidungen, keine Lektionen über Passwörter.

MFA-Mängel und die geteilte Pflicht für Passwörter

Kunden sollten Passwörter nicht wiederverwenden. Wiederverwendung ermöglicht es einem Leck in einem Dienst, zu einem Schlüssel für einen anderen zu werden, und der Angreifer bleibt für seine Nutzung verantwortlich. Aber das Verschulden des Kunden erschöpft nicht die Verantwortung der Plattform. Dienste wissen, dass die Wiederverwendung von Anmeldedaten häufig genug ist, um ein Standardbedrohungsmodell zu sein. Die US-amerikanische Federal Trade Commission warnte 2017, dass Unternehmen, die sensible Konten schützen, Authentifizierungstechniken kombinieren sollten, da Angreifer gestohlene Anmeldedaten in großem Maßstab automatisieren.

(FTC-Leitfaden zu sicheren Passwörtern und Authentifizierung)

Die Verantwortung von 23ANDME wurde durch den Umfang der Sitzung erhöht. Der direkt zugegriffene Kunde setzte sein eigenes Konto durch Wiederverwendung einem Risiko aus; er konfigurierte nicht das Produkt, um bis zu Tausende von Übereinstimmungen offenzulegen. Die verbundenen Verwandten haben das kompromittierte Passwort überhaupt nicht gewählt. Das Unternehmen war der einzige Akteur, der die Authentifizierung dienstweit stärker machen konnte.

Die Aufsichtsbehörden identifizierten drei präventive Lücken: obligatorische MFA, Überprüfung auf kompromittierte Passwörter und minimale Passwortstärke. Die Akte zur Passwortfilterung war intern inkonsistent. Eine Antwort besagte, dass das Unternehmen nicht gegen kompromittierte Datensätze prüfte; ein Interview besagte, dass es gegen 20.000 häufig wiederholte Passwörter aus einem Datensatz von 2021 prüfte. Beide Versionen waren viel enger als eine kontinuierliche Filterung gegen ein großes Korpus.

Aktuelle technische Richtlinien unterstützen Schichtenkontrollen. NIST SP 800-63B fordert die Überprüfung potenzieller Passwörter gegen gängige, erwartete oder kompromittierte Werte und effektive Ratenbegrenzung; es stellt auch klar, dass Passwörter nicht gegen Phishing resistent sind. (NIST SP 800-63B) Der OWASP-Spickzettel zur Verhinderung von Credential Stuffing fügt kontextbezogene MFA, Geräte- und Anmeldesignale, Identifizierung offengelegter Passwörter, Sichtbarkeit von Benutzerereignissen und Metriken zu Abwehrmaßnahmen hinzu.

(OWASP-Spickzettel zur Verhinderung von Credential Stuffing) Dies sind Benchmarks, kein Beweis, dass eine einzelne Kontrolle jede Technik gestoppt hätte.

Die obligatorische Zwei-Schritt-Überprüfung per E-Mail war eine signifikante Verbesserung gegenüber der alleinigen Passwortanmeldung, aber nicht der stärkstmögliche Faktor. Wenn ein E-Mail-Konto dasselbe kompromittierte Passwort teilt, kann ein Angreifer beide erreichen. App-Authentifikatoren und phishingsichere Methoden können eine stärkere Trennung bieten. Ein ausgereiftes Design kann eine breit zugängliche obligatorische Basis mit stärkeren Optionen, risikobasierter Verstärkung und gehärteter Wiederherstellung kombinieren. Es sollte die Annahme und Umgehungswege messen, nicht einfach ankündigen, dass eine Funktion existiert.

Scraping ist ein Sicherheitsereignis, wenn die Authentifizierung erfolgreich ist

Credential Stuffing gelang nur gelegentlich im Verhältnis zur Gesamtzahl der Versuche, aber das anschließende Scraping machte diese Erfolge wertvoll. Dies ändert die Erkennung von einem Anmeldeproblem zu einem Problem des Sitzungsverhaltens.

Die Aufsichtsbehörden fanden trotz Tausender zugegriffener Konten fünf Monate lang keine Warnung. Sie konnten die Angriffsperioden Mai und September aus dem Verhältnis von erfolgreichen zu fehlgeschlagenen Anmeldungen identifizieren. Sie stellten auch fest, dass 23ANDME die notwendigen Geräte-, Browser- und Netzwerkdaten für Geräte-Fingerprinting besaß, diese aber nicht zu diesem Zweck nutzte, unter Berufung auf andere Kontrollen und Datenschutzbedenken.

Dieser Kompromiss verdient Aufmerksamkeit. Geräte-Fingerprinting kann zu aufdringlichem Tracking werden, wenn es ohne Grenzen gesammelt oder für Werbung wiederverwendet wird. Die Antwort ist keine unbegrenzte Überwachung im Namen der Sicherheit. Es ist eine Zweckbindung: Erhebung der minimal notwendigen Signale, Festlegung der Aufbewahrung, Isolierung der Betrugstelemetrie vom Marketing, Bereitstellung von Transparenz, Zugriffsbeschränkung und Wirksamkeitstests. Die Datenschutzkosten einer Kontrolle gehören in die Designüberprüfung; ebenso die Datenschutzkosten, Millionen verbundener Profile scrapbar zu lassen.

Der Dienst benötigt auch aggregierte Kontrollen. Eine einzelne IP-Adresse ist nicht die einzige nützliche Einheit. Verteidiger können Versuche nach Anmeldedatenquelle, Gerätefamilie, Netzwerkblock, Automatisierungs-Fingerabdruck, Sitzungscluster und Profilansichtsmuster bewerten. Sie können Budgets für eingesehene eindeutige Verwandte festlegen, einheitliche Durchquerung erkennen, Navigationszeitpunkt mit menschlichem Verhalten vergleichen und risikoreiche Exporte herausfordern. Das Ziel ist nicht, perfekte Bot-Erkennung vorzutäuschen.

Es ist, Extraktion langsamer, lauter und teurer zu machen, während Beweise produziert werden, auf die ein Analyst reagieren kann.

Die Missbrauchskontaktökonomie gilt auch für Reaktionskanäle. Ein Sicherheitsteam benötigt eine reibungsarme Möglichkeit für Kunden und Forscher, verdächtiges Verhalten zu melden, aber jeder billige Kanal zieht Rauschen an. Die Triage sollte Artefakte bewahren, Berichte mit Telemetrie verknüpfen und auf der Grundlage kombinierter Signale eskalieren.

Die Nachricht vom August 2023 zeigt, warum die Ablehnung einer Behauptung nicht das Ende der Akte sein kann: Selbst eine falsche Volumenbehauptung kann auf eine reale Aktivitätsklasse hinweisen, wenn die Plattform bereits unter Automatisierung abgestürzt ist und Hunderte verdächtiger Übertragungsversuche gesehen hat.

Die Benachrichtigung musste Personen folgen, nicht Konten

Das Unternehmen benachrichtigte verschiedene Gruppen zwischen Oktober 2023 und Januar 2024, als sich seine Analyse entwickelte. Dies ist im Prinzip verständlich: Der Umfang des Vorfalls ändert sich, und vorzeitige Gewissheit kann irreführen. Die regulatorischen Feststellungen waren spezifischer. Die Oktober-Benachrichtigungen an die Betroffenen verbundener Profile sagten nicht, dass einige Informationen zum Verkauf angeboten wurden. Die Benachrichtigungen an die Inhaber direkt zugegriffener Konten kamen später und beschrieben nicht konsistent alle Kontoeinstellungsfelder oder den Angriffszeitraum von April bis September.

Die ersten Berichte an die Aufsichtsbehörden ließen die Möglichkeit aus, dass Roh-DNA, Gesundheits- und Abstammungsberichte der betroffenen Konten beeinträchtigt worden sein könnten.

Das Benachrichtigungsdesign erbte das Datenmodell des Produkts. Wenn das Reaktionssystem mit einer Liste kompromittierter Konto-IDs beginnt, wird es natürlich zuerst die Kontoinhaber kontaktieren. Aber die größte Gruppe waren Personen, deren Profile über das Konto einer anderen Person erreicht wurden. Ein graphbewusster Verstoßprozess benötigt ein Expositionregister: feindliche Sitzung, Quellkonto, aufgerufener Endpunkt, verbundenes Profil, verfügbare Felder, abgerufene Felder, Zeit, Gerichtsbarkeit und Benachrichtigungsstatus.

Dieses Register verhindert auch Überbenachrichtigung. Eine Person, deren Anzeigename und Prozentsatz gemeinsamer DNA eingesehen wurden, sollte eine Benachrichtigung erhalten, die dies sagt, keine generische Warnung, die impliziert, dass eine rohe genotypische Datei heruntergeladen wurde. Ein direkt zugegriffener Kontoinhaber mit Zugriff auf Gesundheitsberichte benötigt eine andere Nachricht. Ein Stammbaumsubjekt, das kein Kontoinhaber ist, kann einen anderen rechtlichen und praktischen Weg erfordern.

Der gemeinsame Bericht stellte fest, dass der Verstoß die Benachrichtigungsschwellen gemäß Kanadas PIPEDA und der britischen DSGVO überschritt. Er stellte auch Verzögerungen und Inhaltslücken unter diesen Systemen fest. Der kanadische Datenschutzbeauftragte behandelte die verbesserten Sicherheitsvorkehrungen als Lösung des Sicherheitskontrollproblems, während der britische Datenschutzbeauftragte eine Geldstrafe von 2,31 Millionen Pfund für Verstöße mit 155.592 britischen Benutzern und Verstößen bis Ende 2024 verhängte. (Durchsetzungsakte der britischen ICO gegen 23ANDME) Die Geldstrafe ist kein Gesamtpreis für den Verstoß;

sie spiegelt die Befugnisse, die Bevölkerung und die rechtliche Analyse einer einzelnen Behörde wider.

Datenlokalität ist mehr als der Serverstandort

Dieser Vorfall zeigt drei verschiedene Lokalitäten.

Speicherlokalitätfragt, wo persönliche Informationen, Proben, Protokolle und Backups physisch oder vertraglich gehalten werden. Dies ist wichtig für Transfermechanismen, Regierungszugriff, Anbieterrisiko und Kundenerwartungen. Aber keine geprüften Beweise zeigen, dass das Verschieben desselben unveränderten Produkts auf einen Server in einem anderen Land verhindert hätte, dass wiederverwendete gültige Anmeldedaten dieselben Profile öffnen.

Zugriffslokalitätfragt, wo die Autorität angewendet wird. In diesem Fall war die entscheidende Grenze logisch: Eine erfolgreiche Kundensitzung konnte verbundene Profile erreichen. Stärkere Authentifizierung, Sitzungsrisiko, Abfragegrenzen und berechtigungsbezogene Profilebene hätten diese Lokalität geändert, selbst wenn jedes Byte in derselben Einrichtung verblieb.

Rechtliche Lokalitätfragt, welches Gesetz und welche Aufsichtsbehörde für die Person, den Verantwortlichen, die Verarbeitung und den Transfer gelten. Die kanadischen und britischen Behörden konnten ein US-Unternehmen gemeinsam untersuchen, weil kanadische und britische Einwohner betroffen waren und ihre jeweiligen Gesetze anwendbar waren. Ihr Bericht liefert getrennte Zählungen nach Land, getrennte Benachrichtigungspflichten und getrennte Feststellungen. Die Koordination reduzierte doppelte Sachverhaltsermittlungen, verschmolz aber nicht PIPEDA und die britische DSGVO zu einem einzigen Gesetz.

Die aktuelle Datenschutzerklärung des Unternehmens unterscheidet zwischen genetischen Informationen, Probeninformationen, selbst gemeldeten Informationen, Kontodaten und Teilungsentscheidungen und bietet regionenspezifische Rechte und Kontakte. Sie gibt auch an, dass die Kontolöschung die Abmeldung von der Forschung und die Vernichtung der Probe auslöst, vorbehaltlich genannter Einschränkungen. Die aktuelle Richtlinie ist nützlich, um gegenwärtige Verpflichtungen zu bewerten, aber sie ist kein Beweis dafür, was jeder Kunde im Jahr 2023 verstand oder dass die historischen Kontrollen wie versprochen funktionierten.

(Aktuelle Datenschutzerklärung von 23ANDME)

Die Insolvenz machte die rechtliche Lokalität greifbar. 23ANDME Holding Co. und ihre Tochtergesellschaften reichten im März 2025 Chapter 11-Petitionen ein. Der FTC-Vorsitzende warnte den US-amerikanischen Treuhänder, dass ein Verkauf oder Transfer sensibler genetischer, Proben-, Gesundheits- und Verwandtschaftsinformationen die Versprechen in Bezug auf Datenschutz, Wahlmöglichkeit und Löschung einhalten müsse. (FTC-Schreiben zur Insolvenz von 23ANDME) Die kanadischen und britischen Aufsichtsbehörden schrieben separat an US-Behörden über die Pflichten gegenüber Personen in ihren Hoheitsgebieten.

(Gemeinsames Schreiben Kanada-Vereinigtes Königreich zum Datenschutz bei Insolvenz)

Im Juli 2025 wurde der vom Insolvenzgericht genehmigte Verkauf fast aller Betriebsvermögenswerte an das TTAM Research Institute, später umbenannt in 23ANDME Research Institute, für 305 Millionen Dollar abgeschlossen. Der Käufer verpflichtete sich, bestehende Datenschutzentscheidungen, Löschung und Forschungsabmeldung zu respektieren; bestimmte zukünftige Transfers auf qualifizierte inländische Unternehmen zu beschränken, die die Richtlinien übernehmen; einen Datenschutzbeirat einzurichten; und über Datenschutzverfahren zu berichten.

Die SEC-Einreichung bestätigt den Abschluss, während die Vermögenskaufdokumente die Sicherheitsvorkehrungen beschreiben. (23ANDME Verkaufsabschluss Formular 8-K)

Diese Bedingungen zeigen, dass Daten-Governance als Verpflichtung durch einen Eigentümerwechsel überleben kann, anstatt als uneingeschränktes Vermögen zu reisen. Sie machen Geographie nicht zu einer vollständigen Garantie, und sie löschen nicht die Rechtsstreitigkeiten darüber, ob die individuelle Einwilligung für die Übertragung gesetzlich erforderlich war. Staatsanwälte mehrerer Bundesstaaten fochten den geplanten Verkauf an; Kunden wurden an Löschungs- und Probenvernichtungsoptionen erinnert; die Transaktion wurde dennoch unter gerichtlicher Autorität und unter ausgehandelten Bedingungen abgeschlossen.

Die Lehre ist nicht, dass Insolvenz automatisch Datenschutzversprechen aufhebt oder dass eine Datenschutzrichtlinie alle Gläubiger- und Landesrechtsfragen regeln kann. Es ist, dass die Verwaltungsbedingungen, die Löschungsfähigkeit und die gerichtsspezifischen Rechte vor der Notlage entworfen werden müssen, wenn die Beweise und das Personal stärker sind.

Kosten messen unterschiedliche Dinge

23ANDME gab 4,6 Millionen Dollar an Vorfallkosten für das Geschäftsjahr 2024 an, teilweise ausgeglichen durch 2,8 Millionen Dollar an wahrscheinlichen Versicherungserstattungen, hauptsächlich für Technologieberatung, Rechtsarbeit und andere Berater. Dies sind Kosten der Unternehmensreaktion, keine Bewertung des Kundenschadens.

Private Rechtsstreitigkeiten brachten eine weitere Reihe von Zahlen hervor. Ein vorgeschlagener US-amerikanischer Sammelklagevergleich begann mit einem nicht widerruflichen Fonds von 30 Millionen Dollar und entwickelte sich im Insolvenzverfahren. Die endgültige Struktur sah einen Fonds von mindestens 30 Millionen Dollar und bis zu 50 Millionen Dollar, Bargeldkategorien für förderfähige Ansprüche und fünf Jahre Datenschutz-, Medizin- und Genüberwachung vor. Das Insolvenzgericht erteilte die endgültige Genehmigung am 30. Januar 2026.

Die offizielle Vergleichswebsite gibt an, dass die Klasse etwa 6,4 Millionen US-Einwohner umfasst, die Frist für Bareinreichungen abgelaufen ist und die Verteilung auf die Insolvenzabstimmung wartet. (Offizielle Website des 23ANDME-Datenvergleichs)

Der Vergleich beilegt private Ansprüche und entlässt abgedeckte Ansprüche gemäß seinen Bedingungen. Es ist kein Prozessurteil, dass jede eingeklagte Behauptung wahr war, und die Vergleichsvorteile sind kein Beweis dafür, dass ein Kläger einen bestimmten genetischen Missbrauch erlitten hat. Die Überwachungsbezeichnung sollte nicht mit einer technischen Fähigkeit verwechselt werden, eine Offenlegung rückgängig zu machen. Es handelt sich um einen definierten Dienstvorteil und einen Risikounterstützungsmechanismus.

Das Formular 10-K des Geschäftsjahres 2025 beschrieb 37,5 Millionen Dollar an aggregierten Verpflichtungen aus Sammelklagen, Schiedsverfahren und staatlichen Gerichtsvergleichen, wie sie damals strukturiert waren, sowie Rechtsstreitigkeiten und regulatorische Expositionen. Diese Einreichung geht den endgültigen Anpassungen der Insolvenz und der Genehmigung voraus, sollte daher nicht durch die spätere Beschreibung des vom Gericht verwalteten Fonds ersetzt werden. Sie bleibt ein nützlicher Beweis dafür, wie sich mehrere Rechtsstreitigkeiten um einen einzigen Vorfall anhäuften. (23ANDME Formular 10-K Geschäftsjahr 2025)

Die britische Geldstrafe misst einen öffentlich-rechtlichen Verstoß für eine bestimmte Gerichtsbarkeit und einen bestimmten Zeitraum. Die kalifornische Klage von 2026 ist eine weitere öffentliche Durchsetzungsmaßnahme, die Verstöße nach dem Genetic Information Privacy Act, dem California Consumer Privacy Act, dem Gesetz über angemessene Sicherheit und den Verbraucherschutzgesetzen behauptet. Sie behauptet auch Tatsachen, die über den gemeinsamen Bericht von 2025 hinausgehen. Diese bleiben Behauptungen, bis sie eingestanden oder bewiesen sind.

Der private Vergleich, die behördliche Geldstrafe, die Versicherungserstattung und der Erlös aus dem Insolvenzverkauf gehören in getrennte Spalten; ihre Addition zu einer einzigen 'Verstoßkosten'-Zahl würde eine finanziell netto, aber rechtlich bedeutungslose Summe ergeben.

Die Abhilfe wurde spezifisch genug, um getestet zu werden

Zum 31. Dezember 2024 teilte 23ANDME den kanadisch-britischen Ermittlern mit, dass es eine breitere Reihe von Kontrollen implementiert habe. Die Aufsichtsbehörden akzeptierten die Maßnahmen insgesamt als ausreichend, um die von ihnen identifizierten Sicherheitsbedenken zu lösen, und der britische Datenschutzbeauftragte behandelte das Unternehmen ab diesem Zeitpunkt als Erfüllung der einschlägigen Sicherheitsanforderungen. Dies ist eine signifikante positive Feststellung, mit einer Einschränkung: Sie zertifiziert keine dauerhafte Wirksamkeit nach einem Eigentümer- und Organisationswechsel.

Die gemeldeten Änderungen umfassten eine Mindestpasswortlänge von 12 Zeichen, Überprüfungen gegen ein viel breiteres Korpus kompromittierter Passwörter bei Registrierung, Anmeldung und Zurücksetzung, obligatorische Zwei-Schritt-Überprüfung per E-Mail, Schutzmaßnahmen rund um Rohdaten- und Gesundheitsdownloads, eine 48-Stunden-Verzögerung vor der Roh-DNA-Lieferung, simulierte Credential-Stuffing-Übungen, überarbeitete Überwachung, mehr als 253 neue SIEM-Alarme, Verhaltensüberwachung von Sitzungen, Dark-Web-Überwachung, eine Funktion für vertrauenswürdige Browser und einen herunterladbaren Verlauf der Kontoereignisse.

Auch die Governance von Produkt, Sicherheit und Technik wurde gestärkt.

Ein Bestand an Kontrollen ist nicht dasselbe wie ein Kontrollergebnis. Der nächste nützliche Schritt besteht darin, nach Beweisen zu fragen, ohne umsetzbare Details zu verlangen.

Die 48-Stunden-Verzögerung veranschaulicht eine gute Reibung, wenn sie mit sicherer Benachrichtigung und Stornierung kombiniert wird: Sie entzieht einer feindlichen Sitzung die sofortige Extraktion und gibt dem legitimen Benutzer Zeit zu reagieren. Aber eine Verzögerung ohne zuverlässigen Kontaktkanal verzögert nur den Verlust. Eine Geburtsdatenüberprüfung kann Zeremonie hinzufügen, während sie sich auf Informationen stützt, die bereits anderswo sichtbar sind. Kontrollen müssen als Kette bewertet werden.

Dasselbe gilt für die obligatorische Zwei-Schritt-Überprüfung per E-Mail. Sie blockiert wahrscheinlich die einfache Version dieser Kampagne, wenn nur ein 23ANDME-Passwort verfügbar ist. Sie ist schwächer, wenn das E-Mail-Konto ebenfalls kompromittiert ist. Stärkere Faktoren sollten für alle Benutzer gefördert und für besonders folgenreiche Aktionen verlangt werden. Die Plattform muss Wiederherstellungswege für Personen bereithalten, die Faktoren verlieren, ohne dass ein Support-Interaktion zum einfachsten Umgehungsweg wird.

Wer kontrollierte was

Der Bedrohungsakteurkontrollierte die Entscheidung, gestohlene Anmeldedaten zu testen, Konten zu durchdringen, Produktfunktionen zu automatisieren, Profile zu scrapen und Informationen zu veröffentlichen oder anzubieten. Die kriminelle Absicht wird nicht auf das Unternehmen übertragen, nur weil die Kontrollen schwach waren.

Kunden mit wiederverwendeten Anmeldedatenkontrollierten ihre Wahl des Passworts zwischen Diensten und hätten ein einzigartiges Passwort und die verfügbare MFA verwenden sollen. Ihre Verantwortung ist real, aber begrenzt. Sie kontrollierten nicht die Überwachung, die Funktionsautorisierung, die Sitzungsinvalidierung oder die Anzahl der über ihr Konto sichtbaren Verwandten.

Verbundene Verwandte und Profilsubjektekontrollierten einige Teilungsentscheidungen und optionale Felder. Sie kontrollierten nicht die Sicherheit jedes passenden Kontos oder die Entscheidung der Plattform, nach einer Passwortanmeldung weitreichende Sichtbarkeit zu gewähren. Die Entscheidung für eine Funktion ist keine Einwilligung in feindliche Automatisierung.

23ANDMEkontrollierte die Basisauthentifizierung der Kunden, die Passwortfilterung, das Sitzungs- und Exportdesign, die Übereinstimmungssichtbarkeit, die Telemetrie, die Vorfall-Triage, den Zeitplan der Reaktion, die Datenkartierung und die Benachrichtigungen. Es wählte auch das Sensitivitätsmodell aus und konnte den Schutz von Mitarbeiterkonten mit dem von Kundenkonten vergleichen. Deshalb liegt die praktische Verantwortung am schwersten auf dem Dienst, auch wenn er nicht die Quelle der wiederverwendeten Anmeldedaten ist.

Die Aufsichtsbehörden und Gerichtekontrollierten Rechtsbehelfe nach bestimmten Gesetzen und Verfahren. Die kanadischen und britischen Datenschutzbeauftragten konnten Feststellungen zu Sicherheitsvorkehrungen und Benachrichtigungen für ihre Einwohner treffen. Die britische Behörde konnte ihre Geldstrafe verhängen. Das Insolvenzgericht konnte die Verkaufs- und Vergleichsbedingungen genehmigen. Kalifornien kann einen Landesprozess führen. Keiner hat universelle Gerichtsbarkeit über jeden Kunden oder jede Frage.

Das Nachfolgeinstitutkontrolliert den operativen Dienst und hat die Verwaltungsverpflichtungen nach dem Vermögensverkauf geerbt. Die ehemalige börsennotierte Holdinggesellschaft, umbenannt in Chrome Holding Co., bleibt für Insolvenzverteilungen und Rechtsstreitigkeiten relevant. Eine klare Bezeichnung ist wichtig, da Kunden wissen müssen, welche Entität das Produkt betreibt, welche die Daten hält, welche die Vergleichsverpflichtungen trägt und welche eine Löschungsanfrage erhält.

Was bleibt unbekannt

Die öffentliche Akte enthält nicht den vollständigen forensischen Bericht, alle Vorfallprotokolle, die vollständige feindliche Infrastruktur, die genaue Quelle der Anmeldedaten, den gesamten Endpunktcode oder den vollständigen Abfrageverlauf. Die Aufsichtsbehörden stellten ausdrücklich das Fehlen angeforderten Materials und Schwächen in der Protokollierung von Roh-Downloads fest. Ein selbstbewusster Bericht muss diese Lücken bewahren.

Es ist nicht erwiesen, dass der eigene Anmeldedatenspeicher von 23ANDME kompromittiert wurde. Das Unternehmen hat durchweg erklärt, keine Hinweise darauf gefunden zu haben, dass es die Benutzername-Passwort-Paare geliefert hat, und die Aufsichtsbehörden beschrieben eine Credential-Stuffing-Kampagne, die bei anderen Vorfällen gestohlene Anmeldedaten verwendete.

Es ist nicht erwiesen, dass fast sieben Millionen rohe genotypische Dateien oder Gesundheitsberichte heruntergeladen wurden. Die größte Bevölkerung betrifft DNA-Verwandten-, Abstammungs- und Stammbaum-Informationen. Direkte Kontofelder und Rohdatenereignisse sind kleinere, getrennt gezählte Kategorien.

Es ist nicht erwiesen, dass jede Ankündigung des Angreifers korrekt war, dass ein bestimmtes ideologisches Motiv die Auswahl oder Vermarktung der Datensätze motivierte oder dass jeder beanspruchte Datensatz einzigartig war. Die Tatsache, dass Informationen unter Verwendung sensibler Abstammungskategorien vermarktet wurden, ist wichtig für die Benachrichtigung und Risikobewertung; Motiv und nachgelagerte Nutzung erfordern noch Beweise.

Es ist in dem geprüften Material nicht erwiesen, dass eine bestimmte Person aufgrund dieses Vorfalls Diskriminierung bei der Beschäftigung, Versicherungsablehnung, medizinischen Schaden, Strafverfolgungs-Targeting oder Identitätsdiebstahl erlitten hat. Dies sind denkbare Bedenken im Zusammenhang mit genetischen und Identitätsdaten, aber die Möglichkeit ist keine Feststellung.

Es ist auch nicht erwiesen, dass die Abhilfe auf unbestimmte Zeit wirksam bleibt. Die Aufsichtsbehörden akzeptierten die kombinierten Maßnahmen bis Ende 2024. Insolvenz, Personalwechsel und die Übertragung auf ein neues Institut machen fortlaufende Sicherheit besonders wichtig. Eine Kontrolle, die eine Überprüfung bestanden hat, kann durch Konfigurationsänderung, Budgetdruck oder einen neuen Produktpfad abgebaut werden.

Verantwortung beginnt an der Grenze des Kontos eines anderen

Der Vorfall begann mit funktionierenden Anmeldedaten. Er wurde zu einer Massenoffenlegung, weil der Dienst diesen Anmeldedaten mehr Autorität zusprach, als die eigene Aufzeichnung der direkt zugegriffenen Person enthielt. Dies ist die Verantwortungslinse, die es wert ist, über 23ANDME hinaus getragen zu werden.

Jede Plattform, die um Familien, Teams, Patienten, Studenten, Stammbäume oder soziale Graphen herum aufgebaut ist, kann eine Person über die Sitzung einer anderen Person offenlegen. Der korrekte Nenner sind daher nicht die kompromittierten Konten. Es sind die Personen und Datensätze, die von der kompromittierten Autorität aus zugänglich sind. Die korrekte Kontrolle ist nicht einfach eine stärkere Anmeldung. Es ist eine stärkere Anmeldung kombiniert mit begrenztem Sitzungsumfang, produktbewusster Scraping-Erkennung, zuverlässigen Exportbeweisen, schneller Eindämmung und Benachrichtigung auf Personenebene.

Datensouveränität folgt derselben Logik. Ein Inlandsserver schafft keine lokale Kontrolle, wenn eine entfernte Sitzung einen globalen Verwandtschaftsgraphen durchqueren kann. Eine Datenschutzrichtlinie bewahrt die Wahl nicht, wenn die Verpflichtungen zur Löschung, Einwilligung und Übertragung bei einem Verkauf verschwinden. Die rechtliche Gerichtsbarkeit deckt sich nicht perfekt mit der Systemarchitektur, daher muss der Dienst Wohnsitz, Rechte und Benachrichtigungsstatus mit den Daten transportieren.

Die am besten vertretbare Schlussfolgerung ist enger als die stärkste Verstoßüberschrift und anspruchsvoller als die erste Erklärung des Unternehmens. Passwortwiederverwendung öffnete die Tür. Das Produktdesign erweiterte sie. Die Überwachung erkannte die wiederholten Durchgänge nicht. Reaktion und Benachrichtigung schlossen verschiedene Teile zu verschiedenen Daten. Die späteren Kontrollen, die Feststellungen der Aufsichtsbehörden und die gerichtlichen Bedingungen schufen eine Akte messbarer Verantwortung.

Die verbleibende Verpflichtung besteht darin, kontinuierlich zu beweisen, dass das Konto einer Person nicht länger zu einem billigen Extraktionsweg zu Tausenden anderen Leben werden kann.