23andMe: Gen-Daten von über 15 Millionen Menschen stehen zum Verkauf

Teilen

23andMe meldet Insolvenz an. Das kalifornische Unternehmen bietet kommerzielle Gen-Analysen an und ist im Besitz der Erbdaten von Millionen von Menschen. Der kalifornische Justizminister befürchtet durch den Verkauf negative Folgen für Nutzer:innen und erinnert an das Recht auf Löschung der Daten.

Was wird mit den Gendaten der Kund:innen passieren, wenn 23andMe verkauft wird? – Alle Rechte vorbehalten Imago / Westend61

Nach mehreren erfolglosen Verkaufsversuchen meldet das DNS-Analyse-Unternehmen 23andMe Insolvenz an und bittet um gerichtliche Unterstützung bei dem Verkauf, wie das Unternehmen gestern mitteilte. Die bisherige Geschäftsführerin und Mitgründerin Anne Wojcicki tritt von ihrer Position zurück und kündigte an, das Unternehmen zurückkaufen zu wollen. Die Firma kämpfte in der Vergangenheit mit finanziellen Schwierigkeiten und war Opfer eines Datendiebstahls.

23andMe bietet DNS-Testkits an, mit denen Nutzer:innen ihr Genom analysieren können, um mehr über ihre Herkunft und Gesundheit zu erfahren oder Verwandte zu finden. Über 15 Millionen Menschen haben so schon ihre Genetik analysiert. Im Oktober 2023 gab 23andMe bekannt, dass Kriminelle Nutzer:innendaten gestohlen hätten und diese im Internet zum Verkauf anbieten. Durch Credential Stuffing verschafften diese sich Zugang zu rund 14.000 Accounts. Bei der Methode werden erbeutete Login-Daten genutzt, um sich bei anderen Diensten einzuloggen, bei denen User:innen das gleiche Passwort benutzen.

Diebstahl von Millionen Datensätzen<\h3>

Über das „DNA-Relatives“-Feature gelang es den Hackern Daten von rund sieben Millionen anderen Nutzer:innen zu stehlen, die als Verwandte durch 23andMe identifiziert wurden. Die Daten beinhalten den Namen der Person, Geburtsjahr, Verwandtschaftsverhältnis, Prozentsatz der mit Verwandten geteilten DNS, Abstammungsberichte und den selbst angegebenen Aufenthaltsort. Die Firma beschuldigte zuerst die User:innen, einigte sich dann aber auf einen Vergleich von 30 Millionen US-Dollar mit den Geschädigten.

Die Biotech-Firma verlor nach dem Vorfall stark an Wert. Allein im Jahr 2024 sank der Aktienkurs um 75 Prozent. Die ehemalige Geschäftsführerin Anne Wojcicki versuchte bereits zweimal 23andMe zu kaufen, aber wurde durch den Verwaltungsrat gestoppt. „Nach einer gründlichen Bewertung der strategischen Alternativen haben wir festgestellt, dass ein gerichtlich beaufsichtigtes Verkaufsverfahren der beste Weg ist um den Wert des Unternehmens zu maximieren“, sagt der Vorsitzende des Sonderausschusses des Verwaltungsrats Mark Jensen. Wojcicki kündigte bereits an, wieder ein Angebot vorzulegen.

Unklare Zukunft für Kund:innen<\h3>

Eine zentrale Frage ist, was mit den Gen-Daten der Kund:innen passiert, wenn das Unternehmen verkauft wird. Für Behörden beispielsweise dürfte die riesige Gendatenbank interessant sein. 2018 nutzten amerikanische Strafbehörden eine öffentliche Genom-Datenbank, um den sogenannten „Golden-State-Killer“ nach 40 Jahren zu überführen. Nutzer:innen können dort ihre DNS-Sequenzen veröffentlichen, die sie mit Tests von Anbietern wie 23andMe herausgefunden haben. Entfernte Verwandte des Mörders veröffentlichten dort ihre Test-Ergebnisse, was den Ermittlern den entscheidenden Hinweis brachte.

Aufgrund der Unsicherheit die mit dem Verkauf einhergeht, erinnerte der kalifornische Justizminister Rob Bonta am Wochenende an das Recht auf Löschung der Daten für Menschen in Kalifornien. „Jeder Käufer ist verpflichtet, die geltenden Gesetze in Bezug auf die Behandlung von Kundendaten einzuhalten“, lässt 23andMe dazu in der Pressemitteilung verlauten.

Auf der Website weist das Unternehmen darauf hin, dass es der europäischen Datenschutzgrundverordnung (DSGVO) unterliegt. Auch in Europa können deshalb Nutzer:innen die Löschung ihrer Daten und die Vernichtung des genetischen Materials beantragen. Letztes Jahr wurden jedoch Berichte bekannt, nach denen dies nicht problemlos möglich ist. 23andMe würde einige genetische Daten aus rechtlichen Gründen behalten, etwa wenn diese in Studien benutzt werden oder für weitere Forschungsarbeiten gebraucht würden. Etwa 80 Prozent der Nutzer:innen haben laut 23andMe eingewilligt, dass ihre Daten für Forschungszwecke benutzt werden dürfen.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.