23andMe hat die Karte von dir verkauft. Zweimal.

Es begann mit einem Röhrchen. Man spuckt hinein, schickt es ab, und ein paar Wochen später bekommt man eine Karte zurück: woher die eigenen Vorfahren kamen, welche Anlagen man trägt, wer einem genetisch nahesteht. Das klingt nach Neugier, nach einem Geschenk an sich selbst. In Wahrheit war es ein Tausch, dessen Preis man erst Jahre später sieht. Denn man hat nicht nur ein Röhrchen abgegeben. Man hat das intimste Dokument abgegeben, das es von einem Menschen gibt — eine Karte, die nicht nur einen selbst zeigt, sondern auch die eigene Familie. Und diese Karte lag danach nicht mehr in den eigenen Händen. Sie lag in einer Datenbank. In einer Firma. Und Firmen haben Schicksale.

Das ist die Angst, die hinter diesem Text steht, und sie ist berechtigt: Was passiert mit dem, was man einem Unternehmen anvertraut hat, wenn das Unternehmen selbst nicht mehr sicher ist?

Zuerst wurde die Karte gestohlen

Im Oktober 2023 wurde öffentlich bekannt, dass bei 23andMe Nutzerdaten abhandengekommen waren. Das Unternehmen hatte Millionen von Menschen dazu gebracht, ihm das Persönlichste zu geben, was sie besitzen — und dann konnte es dieses Vertrauen nicht halten. Wer so etwas liest, denkt zuerst an Hacker, an ein technisches Versagen. Aber der eigentliche Schock sitzt tiefer: Man hatte geglaubt, seine intimsten Informationen lägen bei einem seriösen, großen Anbieter gut aufgehoben. Und plötzlich war klar, dass „gut aufgehoben" bei einem Cloud-Konto nur so lange gilt, wie nichts schiefgeht. Ein Passwort lässt sich ändern. Eine genetische Karte nicht. Was einmal ausgelesen, kopiert und weitergegeben wurde, lässt sich nicht zurückrufen.

Das ist der erste Unterschied, den man verstehen muss: Ein Passwort kann man wechseln, eine E-Mail-Adresse kann man aufgeben, ein Konto kann man löschen. Aber die eigene genetische Information ist unveränderlich. Sie gehört nicht nur einem selbst — sie verrät auch etwas über Eltern, Geschwister und Kinder. Wer sie einmal aus der Hand gegeben hat, hat sie für ein ganzes Netz von Menschen aus der Hand gegeben. Und er kann sie nicht mehr zurückholen, egal was in den Nutzungsbedingungen steht.

Dann wurde die Firma selbst zum Risiko

Im März 2025 meldete 23andMe Insolvenz an. Plötzlich ging es nicht mehr um einen Einbruch von außen, sondern um das Schicksal des Unternehmens selbst — und damit um die Frage, was mit den Daten all der Menschen geschieht, die dem Unternehmen einst vertraut hatten. Die Daten wurden zum Vermögenswert in einem Insolvenzverfahren. Zu etwas, das verwertet, verkauft, an einen neuen Eigentümer übergeben werden kann. Die öffentliche Debatte, die darauf folgte, war entsprechend heftig: Menschen, die einst aus Neugier ein Röhrchen eingeschickt hatten, fragten sich nun, in wessen Händen ihre genetische Karte als Nächstes landen würde.

Man muss sich das in Ruhe vor Augen führen. Es geht hier nicht um eine abstrakte Debatte über Datenschutz. Es geht um eine ganz konkrete Erfahrung, die jeder kennt, der schon einmal erlebt hat, wie ein Anbieter verschwindet, den man für selbstverständlich gehalten hat: ein Streamingdienst, der sein Angebot ändert; ein Fotodienst, der seine Bedingungen umschreibt; ein Start-up, das über Nacht vom Markt ist. Bei 23andMe war es nur ernster, weil der Einsatz ungleich höher war. Denn hier ging es nicht um Filme oder Fotos. Es ging um das, was einen Menschen im Innersten ausmacht — und es hing am Schicksal einer Bilanz.

Das ist die Illusion, die man sich eingestehen muss: „Ein großes Unternehmen wird sich schon darum kümmern." Unternehmen kümmern sich zuerst um sich selbst. Sie werden verkauft, sie werden zerschlagen, sie ändern ihre Strategie, sie gehen pleite. Das ist kein Vorwurf, das ist einfach die Natur von Firmen. Wer sein Privatleben an eine Firma hängt, hängt es an deren Geschäftsmodell, an deren Investoren, an deren Zukunft. Und diese Zukunft ist nie garantiert. Eine Klausel in den Nutzungsbedingungen, ein Eigentümerwechsel, eine Insolvenz — und schon gehört das, was man für sicher hielt, jemand anderem.

Warum „löschen" hier nicht reicht

Viele beruhigen sich mit dem Gedanken, man könne ja einfach sein Konto löschen. Aber das greift bei dieser Art von Daten zu kurz. Eine genetische Karte, die einmal in einer Datenbank lag, die einmal kopiert, analysiert, mit anderen Datensätzen verknüpft wurde, lässt sich nicht dadurch ungeschehen machen, dass man auf einen Button klickt. Man kann den Zugang zu einem Konto beenden. Man kann nicht beenden, dass die Information existiert — und dass sie an Orten existiert, die man nicht kontrolliert. Die einzige Form von Kontrolle, die wirklich zählt, ist die, die man behält, bevor man etwas aus der Hand gibt: zu entscheiden, dass es gar nicht erst in fremde Systeme gelangt.

Hier liegt der Kern der Sache. Es gibt zwei Arten von Sicherheit. Die eine verspricht: „Wir passen gut darauf auf." Die andere sagt: „Es ist gar nicht erst dort, wo es jemand sehen, kopieren oder verkaufen könnte." Die erste Art hängt vom guten Willen und vom Überleben eines Anbieters ab. Die zweite hängt von nichts ab außer von einer einfachen, physischen Tatsache: Etwas, das nicht in einem System liegt, kann aus keinem System entwendet werden. Etwas, das keinen Account hat, kann durch keinen Accountwechsel den Besitzer wechseln. Etwas, das offline liegt, kann nicht aus der Ferne gelesen werden.

Die deutsche Frage: Wem vertraut man, wenn man niemandem vertrauen will?

In Deutschland hat man ein feines Gespür für diese Frage. Man kennt die Debatten um staatliche Datensammlungen, um Meldeämter, um die Frage, wer was über wen wissen darf. Man weiß, dass Datenschutz nicht mit einem Häkchen bei den AGB beginnt, sondern mit der Frage: Muss diese Information überhaupt irgendwo liegen, wo andere darauf zugreifen können? Die Antwort, die sich aus der Geschichte von 23andMe ergibt, ist unbequem, aber klar: Wer etwas wirklich für sich behalten will, darf es nicht in ein System geben, dessen Zukunft er nicht kontrolliert.

Das bedeutet nicht, dass man auf alles verzichten muss, was digital ist. Es bedeutet, dass man unterscheiden muss zwischen dem, was man teilt, und dem, was man behält. Fotos vom Urlaub kann man in die Cloud legen — wenn sie abhandenkommen, ist das ärgerlich, aber nicht existenziell. Die Aufzeichnungen, die man niemandem zeigen will — die Briefe, die Tagebücher, die Dokumente, die nur für die eigenen Augen bestimmt sind — gehören nicht in ein Konto, das morgen einem anderen Unternehmen gehören kann.

Was Beständigkeit wirklich bedeutet

Beständigkeit ist kein Versprechen in einer Datenschutzerklärung. Beständigkeit ist eine Kette von konkreten, überprüfbaren Handlungen: Ein Datenträger wird entgegengenommen, nummeriert und versiegelt. Die Versiegelung wird fotografiert. Zwei Menschen prüfen gemeinsam, dass das Siegel unversehrt ist. Niemand öffnet, niemand liest, niemand kopiert. Halbjährlich wird nur von außen geprüft — Siegel, Zustand, Foto —, ohne dass der Träger berührt oder eingeschaltet wird. Eine tiefergehende Prüfung gibt es nur, wenn der Kunde sie ausdrücklich und schriftlich wünscht. Und wenn etwas geschehen soll — eine Rückgabe, eine Übergabe, eine Vernichtung —, dann geschieht es nach einem festgelegten Ablauf, der vorher schriftlich vereinbart wurde, nicht nach der Laune eines neuen Eigentümers.

Man merkt den Unterschied sofort: Hier hängt nichts an einer Bilanz, an einem Börsenkurs, an einer Übernahme. Hier hängt alles an Menschen, die man beim Namen kennt, und an einem Verfahren, das man nachvollziehen kann. Die Technik dahinter — dass der Datenträger vom Eigentümer selbst verschlüsselt wird, bevor er überhaupt das Haus verlässt — ist dabei nur eine Fußnote. Entscheidend ist nicht die Technik. Entscheidend ist, dass die Verantwortung bei Menschen liegt, die dafür geradestehen, und nicht bei einem Unternehmen, dessen Schicksal niemand vorhersagen kann.

23andMe hat die Karte von dir zweimal verkauft — einmal, weil sie gestohlen wurde, und einmal, weil die Firma selbst zum Handelsgut wurde. Die Lehre daraus ist nicht, dass man nie wieder etwas online stellen sollte. Die Lehre ist, dass man das, was man auf keinen Fall verlieren oder in fremden Händen sehen will, gar nicht erst in Hände gibt, die man nicht kontrolliert. Wer etwas wirklich für sich behalten will, behält es — physisch, versiegelt, außerhalb jeder Datenbank. Das ist keine Technik. Das ist eine Entscheidung.