Kreditrating: Equifax' Krisenreaktion ist ein Desaster
Der US-Finanzdienstleister Equifax hat nach Bekanntgabe eines umfangreichen Hacks in der vergangenen Woche mit weiteren Probleme zu kämpfen. Die Krisenreaktion des Unternehmens wird von zahlreichen Experten kritisiert. Der US-Journalist Brian Krebs sprach(öffnet im neuen Fenster) in einem Blogbeitrag von einem Dumpster Fire. Wörtlich mit brennender Müllcontainer übersetzt, wird Dumpster Fire meist als Synonym(öffnet im neuen Fenster) für "komplettes Desaster" genutzt.
Von dem Hack bei Equifax sind bis zu 143 Millionen Kunden betroffen, es sollen Sozialversicherungsnummern, Führerscheinnummern und andere persönliche Daten kopiert worden sein. Bei rund 200.000 Kunden sind nach Auskunft des Unternehmens zudem Kreditkartendaten betroffen. Equifax sammelt Kundeninformationen zur Kreditwürdigkeit, ähnlich wie in Deutschland die Schufa oder Arvato Infoscore.
Equifax hat eine eigene Webseite eingerichtet(öffnet im neuen Fenster) , auf der Kunden prüfen können, ob sie betroffen sind oder nicht. Das Problem: Die Ergebnisse der Prüfung gleichen offenbar eher einem Zufallsgenerator als einer ernsthaften Datenbankabfrage. So demonstrierten mehrere Sicherheitsforscher(öffnet im neuen Fenster) , dass die Eingabe von "Test" als Name und "123456" als Sozialversicherungsnummer zu dem Ergebnis führt, dass dieser offensichtlich ausgedachte Eintrag "möglicherweise betroffen" sei. Andere Kunden berichten nach Angaben von Brian Krebs, dass Anfragen auf der mobilen und der Desktop-Seite des Unternehmens zu unterschiedlichen Ergebnissen führten. Auch andere Zufallskombinationen führten zu wechselnden Ergebnissen.
Equifax bestätigt Probleme
Ein Sprecher von Equifax bestätigte die Probleme und sagte: "Einige Konsumenten, die die Webseite kurz nach dem Launch aufgerufen haben, haben keine klare Antwort bekommen, ob sie betroffen waren oder nicht." Das Problem soll mit einem Update behoben worden sein.
Für Aufregung sorgten außerdem die Allgemeinen Geschäftsbedingungen (AGB) von Equifax' Tochterunternehmen TrustID Premier. Dieses überwacht auf Wunsch gegen Gebühr den Kreditstatus. Im Zuge des Hacks bot Equifax allen US-Bürgern für ein Jahr die kostenfreie Nutzung des Dienstes an. In den AGB ist jedoch ein Passus enthalten, der die Teilnahme an Sammelklagen, "Class-Action-Lawsuit" , nach US-Recht ausschließt. Nach den eklatanten Sicherheitsproblemen ist eine solche Klage gegen Equifax allerdings sehr wahrscheinlich.
Das Unternehmen selbst teilte Brian Krebs mit, dass die entsprechenden Klauseln auf "diesen Cybersecurity-Vorfall keine Anwendung finden." Diese Einschätzung wurde noch nicht unabhängig bestätigt.