Datenschutzvorfall bei uniVersa: Crawler von OpenAI griff Daten ab

Sicherheitslücke bei uniVersa: KI-Crawler greift Kundendaten ab

Bei der uniVersa-Versicherungsgruppe ist es zu einem Datenschutzvorfall gekommen, bei dem personenbezogene Daten durch einen automatisierten Web-Crawler von OpenAI abgegriffen wurden. Ursache für den Vorfall war ein temporär offener Server, der im Zuge einer IT-Umstellung am 7. Juli 2026 für einen begrenzten Zeitraum ungeschützt zugänglich war.

Umfang des Datenabflusses

Nach Angaben des Unternehmens waren von dem Zugriff allgemeine personenbezogene Daten betroffen. Dazu zählen neben Namen und Anschriften auch spezifische Vertragsinformationen, wie etwa Versicherungsnummern und Tarifdetails. In einigen Fällen gelangten zudem Bankverbindungsdaten, konkret IBAN und BIC, in den Zugriffsbereich des Crawlers.

Das Unternehmen betonte jedoch, dass keine hochsensiblen Informationen wie Gesundheitsdaten, Zugangsdaten für Kundenportale oder Kreditkarteninformationen abgeflossen sind. Auch die zentralen Verwaltungs- und Datensysteme der Versicherung blieben nach Unternehmensangaben von dem Vorfall unberührt.

Reaktion von uniVersa und OpenAI

Die Sicherheitslücke wurde laut uniVersa durch interne Sicherheitskontrollen identifiziert. Nach der Entdeckung wurde der Zugriff auf den betroffenen Server umgehend unterbunden. Das Unternehmen hat externe Forensik-Experten beauftragt, um den Vorfall umfassend aufzuarbeiten, und die zuständige Aufsichtsbehörde, die Bayerische Datenschutzaufsicht (BayLDA), informiert.

In Bezug auf die abgerufenen Daten hat uniVersa den KI-Anbieter OpenAI aufgefordert, die Informationen nicht zu verwenden und eine vollständige Löschung der Datenbestände vorzunehmen. Ein Sprecher von OpenAI erklärte, dass die Daten nicht genutzt wurden und wies darauf hin, dass das Unternehmen selbst nicht für die Sicherheitslücke bei der Versicherung verantwortlich sei.

Behördliche Einordnung und Prävention

Michael Will, Präsident der Bayerischen Datenschutzaufsicht, bestätigte den Eingang der Meldung. Da die Untersuchungen noch andauern, konnten von behördlicher Seite noch keine abschließenden Details zur genauen Anzahl der betroffenen Personen oder den betroffenen Datenkategorien genannt werden.

Die Aufsichtsbehörde verweist in diesem Zusammenhang auf die aktuellen Leitlinien des Europäischen Datenschutzausschusses (EDPB) zum Thema Web-Scraping. Diese fordern von Unternehmen, die Daten für KI-Systeme verarbeiten, strikte technische und organisatorische Filtermechanismen. Ziel ist es, nicht erforderliche Datenkategorien von vornherein auszuschließen und den Zugriff auf sensible Quellen strukturell zu unterbinden.

Empfehlungen für betroffene Kunden

Kunden, die von der Versicherung über den Vorfall informiert wurden, sollten erhöhte Vorsicht walten lassen. Die Datenschutzbehörde empfiehlt folgende Maßnahmen:

* **Passwort-Sicherheit:** Überprüfung und gegebenenfalls Änderung von Passwörtern.

* **Monitoring:** Regelmäßige Kontrolle von Kontoauszügen und Kreditkartenabrechnungen auf ungewöhnliche Aktivitäten.

* **Skepsis bei Kommunikation:** Besondere Aufmerksamkeit bei unerwarteten E-Mails, Anrufen oder postalischen Schreiben, die auf den Datenabfluss Bezug nehmen könnten.

Bei einem konkreten Verdacht auf betrügerische Aktivitäten raten die Behörden dazu, Anzeige bei der Polizei zu erstatten. Für weiterführende Fragen und Unterstützung steht der Kundenservice der uniVersa zur Verfügung.