Was ist passiert?
Das Genetik-Testunternehmen 23andMe hat sich auf eine Zahlung von 18 Millionen Dollar geeinigt, um Ansprüche einer Koalition von 43 Staatsanwälten beizulegen. Diese werfen dem Unternehmen vor, genetische Daten von Kunden unzureichend geschützt zu haben. Dies ist bereits die zweite Vergleichszahlung des Unternehmens im Zusammenhang mit Datenschutzverletzungen.
Hintergrund & Bedeutung
23andMe war 2023 in einen erheblichen Datenverlust verwickelt, bei dem Angreifer auf genetische Informationen von etwa 6,9 Millionen Nutzern zugreifen konnten. Die Ermittlungen ergaben, dass schwache Passwörter und mangelnde Multi-Faktor-Authentifizierung (MFA) zu einem Account-Takeover führten. Für die IT-Security-Branche ist dieser Fall exemplarisch: Biometrische und genetische Daten sind permanent und können nicht wie Passwörter geändert werden. Ein Datenverlust dieser Art stellt eine lebenslange Gefährdung dar.
Empfehlungen für IT-Teams
Unternehmen sollten folgende Maßnahmen implementieren: Erzwingen Sie Multi-Faktor-Authentifizierung (MFA) als Standard für alle Nutzerkonten. Führen Sie regelmäßige Sicherheitsaudits durch, insbesondere bei sensitiven Daten wie biometrischen Informationen. Implementieren Sie Zero-Trust-Architekturen und Daten-Klassifizierung. Schulen Sie Mitarbeiter in Security-Best-Practices und etablieren Sie ein robustes Incident-Management-Verfahren. Auch Penetrationstests können kritische Schwachstellen offenbaren.
Fazit
Der 23andMe-Fall unterstreicht, dass technische Sicherheitsmaßnahmen allein nicht ausreichen. Unternehmen mit hochsensiblen Daten müssen Datenschutz als strategische Priorität behandeln, um Regulierungskosten und Reputationsschäden zu vermeiden.
Quelle: Original Artikel