Kurz offener Server: Ein KI‑Crawler konnte stundenlang Kundendaten bei uniVersa abrufen.
In Kürze
- Namen, Adressen, Vertragsdaten; teils IBAN/BIC betroffen
- Zugriff nur wenige Stunden, intern entdeckt und gestoppt
- uniVersa forderte OpenAI zur Löschung; BayLDA informiert
Ein kurz offener Server bei der uniVersa hat am 7. Juli 2026 dazu geführt, dass ein sogenannter KI‑Crawler für wenige Stunden Kundendaten abrufen konnte. Ursache laut Unternehmen: eine IT‑Umstellung. Die Zugriffe wurden im Rahmen interner Sicherheitskontrollen entdeckt und der Zugriff sofort unterbunden.
Wer ist betroffen
Betroffen sind Kundinnen und Kunden der folgenden Bereiche:
- uniVersa Lebensversicherung
- uniVersa Krankenversicherung
- uniVersa Allgemeine Versicherung
Das Unternehmen nennt keine genaue Zahl der betroffenen Personen.
Was ein KI‑Crawler ist
Ein KI‑Crawler ist ein automatisches Programm, das Daten im Netz aufspürt und sammelt — vergleichbar mit Web‑Scraping. Kein Science‑Fiction‑Roboter, sondern Software, die Informationen aus öffentlich zugänglichen Quellen zieht.
Welche Daten abgegriffen wurden
Abgerufen wurden unter anderem folgende Daten:
- allgemeine personenbezogene Angaben wie Namen und Anschriften
- Vertragsdaten (zum Beispiel Versicherungsnummern und Tarifinformationen)
- bei einigen Kund:innen auch Bankverbindungsdaten (IBAN, BIC)
Besonders sensible Daten blieben nach Angaben der uniVersa unberührt:
- Gesundheitsdaten
- Login‑Daten
- Kreditkartendaten
- die zentralen Verwaltungs‑ und Kundensysteme und das Kundenportal
Entdeckung, Dauer und erste Maßnahmen
Die Zugriffe waren nur wenige Stunden möglich. Interne Sicherheitskontrollen entdeckten die Aktivitäten, der betroffene Server wurde sofort abgeschaltet.
- uniVersa zog externe Forensik‑Experten hinzu
- IT‑Forensiker untersuchen den Vorfall weiter
Reaktion gegenüber OpenAI
uniVersa hat OpenAI namentlich genannt, das Unternehmen aufgefordert, die abgerufenen Daten nicht zu verwenden und vollständig zu löschen. Bisher ist unklar, wie OpenAI mit den Daten umgeht.
Behördliche Meldung und Empfehlungen
Der Vorfall wurde der zuständigen Datenschutzbehörde gemeldet. Die bayerische Datenschutzaufsicht (BayLDA) bestätigt den Eingang der Meldung, nennt aber aus laufenden Prüfungen heraus keine Details.
Der Präsident der BayLDA empfiehlt Betroffenen:
- Passwörter zu ändern
- Kontobewegungen zu beobachten
- bei ungewöhnlichen Nachrichten vorsichtig zu sein
- im Verdachtsfall Anzeige zu erstatten
Rechtlicher Kontext
Der Europäische Datenschutzausschuss (EDPB) hat Leitlinien zum Web‑Scraping im Zusammenhang mit generativer KI veröffentlicht. Demnach müssen Verantwortliche unter anderem folgende Maßnahmen treffen:
- technische und organisatorische Schutzmaßnahmen implementieren
- unnötige Daten aussortieren
- besonders identifizierende Angaben (zum Beispiel Sozialversicherungsnummern oder Telefonnummern) vor einer Weiterverwendung herausfiltern
Was du jetzt tun kannst
Wenn du Kund:in bei uniVersa bist oder glaubst betroffen zu sein:
- prüfe Kontoauszüge auf ungewöhnliche Buchungen
- ändere relevante Passwörter
- sei skeptisch bei unerwarteten E‑Mails, Anrufen oder Briefen
- bei Verdacht auf Missbrauch: nimm Kontakt mit deiner Bank und der Datenschutzbehörde auf und erstatte gegebenenfalls Anzeige
Quellen
- Quelle: uniVersa / OpenAI
- Der ursprüngliche Artikel wurde hier veröffentlicht
- Dieser Artikel wurde im Podcast KI-Briefing-Daily behandelt. Die Folge kannst du hier anhören.
