40 Millionen Benutzerdaten von Chegg’s ed tech in the wild

Die Federal Trade Commission wurde wegen schwerwiegender Sicherheitsverstöße auf Chegg aufmerksam. Das Unternehmen würde nicht einmal das Nötigste tun, um seine Daten zu schützen.

Chegg ist ein amerikanisches Bildungstechnologieunternehmen mit einer starken US-Präsenz. Die Federal Trade Commission (FTC) reichte eine Klage gegen das Unternehmen ein und warf ihm vor, seine Sicherheit zu vernachlässigen, wodurch seit 2017 viele personenbezogene Daten gefährdet seien. Zu den Verstößen gehörte auch, dass das Unternehmen im Jahr 2018 angeblich die Daten von 40 Millionen Nutzern offengelegt hatte, nachdem ein ehemaliger Auftragnehmer seine Zugangsdaten genutzt hatte, um auf eine Datenbank eines Drittanbieters zuzugreifen. Auf dem Schwarzmarkt würden Namen, E-Mail-Adressen, Passwörter sowie Religion, sexuelle Orientierung oder das Einkommen der Eltern verkauft.

Die FTC wurde auf Chegg wegen schwerwiegender Sicherheitsverstöße aufmerksam

Die FTC wirft Chegg außerdem vor, es versäumt zu haben, „wirtschaftlich vernünftige“ Sicherheitsmaßnahmen umzusetzen. Dies würde es Mitarbeitern und Auftragnehmern ermöglichen, dasselbe Konto zu verwenden, ohne dass eine Zwei-Faktor-Authentifizierung oder Bedrohungsinformationen erforderlich wären. Das Unternehmen gab personenbezogene Daten unverschlüsselt weiter und nutzte eine „schwache und veraltete“ Verschlüsselung für Passwörter. Außerdem hätte Chegg bis Januar 2021 keine vernünftige Sicherheitsrichtlinie und erhält trotz dreier Phishing-Kampagnen nicht genügend Sicherheitsschulungen.

Nach Angaben der FTC versprach Chegg, die Situation zu beheben. Das Unternehmen muss die von ihm erfassten Informationen genau angeben und die Erfassung so weit wie möglich einschränken. Außerdem wird es eine Zwei-Faktor-Authentifizierung sowie ein „umfassendes“ Sicherheitsprogramm implementieren, das Verschlüsselung und Sicherheitsschulungen umfasst. Kunden haben Zugriff auf ihre Daten und können Chegg auffordern, diese Daten zu löschen.

Das Unternehmen würde nicht einmal das Nötigste tun, um seine Daten zu schützen.

Chegg ist nicht das einzige Unternehmen, auf dessen Seite sich die FTC aus Sicherheitsbedenken gestellt hat. Im vergangenen Juli einigte sich Uber mit dem Justizministerium darauf, Kunden nicht über eine schwerwiegende Sicherheitsverletzung im Jahr 2016 informiert zu haben. Zuletzt verhängte die Federal Trade Commission Sanktionen gegen Drizley und seinen CEO wegen Fehlern, die zu einem groß angelegten Vorfall im Jahr 2020 führten Die US-Regierung möchte solche Sicherheitsverletzungen verhindern oder zumindest das Risiko minimieren und beabsichtigt, Unternehmen zu bestrafen, die Sicherheit nicht ernst nehmen.

In der Pressemitteilung erklärt Chegg, dass Datenschutz „Priorität“ habe. Das Unternehmen habe mit der FTC kooperiert und werde den Forderungen der Kommission „vollständig nachkommen“. Sie fügt hinzu, dass sie nicht die geringste Geldstrafe erhalten hat, was ihrer Meinung nach ein Beweis dafür wäre, dass sie daran arbeitet, ihre Sicherheit zu verbessern.