Bei den uniVersa-Versicherungen ist es zu einem Datenschutzvorfall gekommen: Ein Web-Crawler von OpenAI konnte auf Kundendaten zugreifen. Ursache war ein infolge einer IT-Umstellung ungesichert erreichbarer Server. Da KI-Crawler das Internet permanent nach Daten scannen, ist bei stundenlang offenstehenden Servern ein Datenabfluss völlig unvermeidlich.

Offener Server nach IT-Umstellung

Wie heise.de berichtet, konnte ein Crawler des KI-Anbieters OpenAI im Zuge einer IT-Umstellung am 7. Juli 2026 auf einen Server der uniVersa zugreifen. Nach Unternehmensangaben war der Server für einige Stunden ungeschützt erreichbar. Betroffene Kunden wurden in den vergangenen Tagen schriftlich informiert.

Welche Daten betroffen sind

Auf dem betroffenen Server lagen nach Angaben einer Unternehmenssprecherin allgemeine personenbezogene Daten wie Namen und Anschriften sowie Vertragsdaten, darunter Versicherungsnummern und Tarifinformationen. Bei einem Teil der Kunden waren zudem Bankverbindungsdaten betroffen. Nicht betroffen waren nach Unternehmensdarstellung besonders sensible Informationen wie Gesundheits-, Login- oder Kreditkartendaten sowie die zentralen Verwaltungs- und Datensysteme und das Kundenportal. Zur Zahl der betroffenen Kunden macht das Unternehmen bislang keine Angaben.

Reaktion des Versicherers

Entdeckt wurden die Zugriffe im Rahmen interner Sicherheitskontrollen. Der Zugriff auf den betroffenen Server wurde nach Unternehmensangaben umgehend unterbunden. OpenAI wurde aufgefordert, die abgerufenen Daten nicht zu verwenden und vollständig zu löschen. Ob und wie der US-Anbieter dieser Aufforderung nachkommt, ist derzeit offen. Zur Aufklärung des Sachverhalts hat die uniVersa externe Forensik-Experten hinzugezogen und zusätzliche Schutzmaßnahmen eingeleitet. Für Rückfragen steht der Kundenservice bereit.

Datenschutzbehörde prüft den Fall

Der Vorfall wurde der zuständigen Aufsichtsbehörde gemeldet. Die Bayerische Datenschutzaufsicht  bestätigte gegenüber heise online eine Meldung, wegen der laufenden Untersuchung macht die Behörde derzeit keine weiteren Angaben. Aber die Behörde verweist auf die aktuellen Leitlinien des Europäischen Datenschutzausschusses zum Web-Scraping bei der Entwicklung generativer KI-Systeme. Danach müssen Verantwortliche vor einem Datenabruf mittels Web-Crawling technische und organisatorische Filtermechanismen implementieren, um nicht erforderliche Datenkategorien auszuschließen und sensible Quellen von vornherein aus der Sammlung herauszuhalten. 

Reaktionen im Netz

In den sozialen Netzwerken sorgt der Vorfall für deutliche Kritik von betroffenen Kunden. Die Formulierung, es habe sich lediglich um eine „temporär fehlende Sicherheitseinstellung” und einen „automatisierten Vorgang, wie er im Internet regelmäßig stattfindet” gehandelt, empfinden viele als Verharmlosung. Kritisiert wird zudem, dass die Verantwortung sprachlich beim Crawler verortet wird, während die eigentliche Ursache, ein ohne Authentifizierung ans Netz gegangener Server, in den Kundenschreiben kaum thematisiert wird.

Einzelne Stimmen kommentieren den Vorfall mit beißender Ironie und schlagen vor, künftig ChatGPT nach der eigenen Vertragsnummer oder einem Preis- und Bedingungsverglieich zu fragen. Andere Benutzer mahnen hingegen zu mehr Sachlichkeit und verweisen darauf, dass Cyberangriffe und automatisierte Datenabgriffe branchenweit zunehmen und kein Unternehmen vollständigen Schutz garantieren kann.

Empfehlungen für Betroffene

Potenziell betroffenen Kunden rät die Datenschutzaufsicht zu allgemeinen Vorsichtsmaßnahmen. Dazu zählen das Ändern von Passwörtern, die Kontrolle von Konto- und Kreditkartenbewegungen sowie erhöhte Wachsamkeit bei ungewöhnlichen E-Mails, Anrufen oder Briefen. Bei Verdacht auf Betrug empfiehlt die Behörde, Anzeige zu erstatten. Konsequente Sicherheitskontrollen bei IT-Systemen werden immer wichtiger. KI-Crawler durchsuchen das Netz permanent und automatisiert. Bereits kürzeste Zeitfenster können ausreichen, damit ungeschützte Daten abfließen.