Bei drei Gesellschaften des Nürnberger Versicherers uniVersa stand während einer IT-Migration ein Server ungeschützt offen im Netz, nach eigenen Angaben nur für wenige Stunden. In dieser Zeit griff ein Web-Crawler von OpenAI auf Namen, Adressen, Vertragsdaten und bei einem Teil der Kunden auch auf Bankverbindungen mit IBAN und BIC zu. Der Fall zeigt, wie wenig Zeit es braucht, bis KI-Crawler eine Schwachstelle finden, und wie wenig Kontrolle Unternehmen anschließend über bereits abgegriffene Daten haben.
Das Wichtigste in Kürze
- Bei uniVersa Lebensversicherung, uniVersa Krankenversicherung und uniVersa Allgemeine Versicherung war während einer IT-Migration am 7. Juli 2026 ein Server ohne Absicherung aus dem Netz erreichbar.
- Ein Crawler von OpenAI griff in diesem Zeitfenster auf Namen, Adressen, Versicherungsnummern, Tarifdaten und teilweise IBAN/BIC zu.
- Gesundheitsdaten, Zugangsdaten und Kreditkarteninformationen waren nicht betroffen.
- uniVersa sperrte den Server nach interner Entdeckung sofort, beauftragte externe Forensiker und forderte OpenAI zur Löschung der Daten auf.
- Die Bayerische Datenschutzaufsicht (BayLDA) bestätigte den Eingang einer Meldung, äußert sich aber wegen des laufenden Verfahrens nicht im Detail.
Wie es zu dem Zugriff kam
Auslöser war eine IT-Migration am 7. Juli 2026. Dabei blieb ein Server durch einen Konfigurationsfehler ungeschützt und war frei aus dem Internet erreichbar. Nach Darstellung von uniVersa dauerte dieser Zustand nur wenige Stunden, bis interne Sicherheitskontrollen den unautorisierten Zugriff bemerkten und das System vom Netz nahmen. In diesem kurzen Fenster reichte es jedoch aus, dass ein Crawler von OpenAI die offene Lücke fand und Daten abgriff, bevor der Fehler behoben war. Wie viele Kunden konkret betroffen sind, teilte uniVersa nicht mit. Das Unternehmen begründet dies unter anderem mit dem laufenden Verfahren bei der Aufsichtsbehörde, was für Betroffene die Einschätzung des eigenen Risikos zusätzlich erschwert, solange keine individuelle Benachrichtigung vorliegt.
Warum ausgerechnet die Bankdaten heikel sind
Anders als bei vielen früheren Datenpannen, bei denen vor allem Kontaktdaten oder Login-Informationen betroffen waren, umfasste der Zugriff bei einem Teil der uniVersa-Kunden auch IBAN und BIC. Namen, Adressen und Bankverbindung zusammen sind ein klassisches Werkzeug für Phishing- und Betrugsversuche, etwa gefälschte Rechnungen oder vorgetäuschte Rückerstattungen, die auf echten Kontodaten aufbauen. uniVersa selbst betonte, dass Gesundheitsdaten, Zugangsdaten zu Online-Portalen und Kreditkarteninformationen nicht betroffen waren, was das Schadensausmaß begrenzt, ohne es zu neutralisieren. Ähnlich wie beim Microsoft-Copilot-Bug, der vertrauliche E-Mails offenlegte, zeigt sich ein wiederkehrendes Muster: KI-Systeme mit Zugriff auf oder Abgleich mit Unternehmensdaten vergrößern die Angriffsfläche zusätzlich zu klassischen Konfigurationsfehlern.
Löschbitte ohne Garantie
uniVersa forderte OpenAI umgehend auf, sämtliche abgegriffenen Daten zu löschen und nicht weiterzuverwenden. Eine solche Aufforderung ist rechtlich üblich und im Rahmen der Datenschutz-Grundverordnung geboten, verschafft dem betroffenen Unternehmen aber keine technische Kontrolle darüber, ob und wie vollständig die Löschung tatsächlich erfolgt. Genau dieses Kontrolldefizit ist einer der Kernkritikpunkte am Zusammenspiel von großflächigem KI-Crawling und sensiblen Unternehmensdaten: Sobald Daten einmal abgeflossen sind, verlässt sich die betroffene Organisation auf die Zusage des Datenempfängers.
Regulatorische Reaktion und Einordnung
Der Vorfall wurde der zuständigen Aufsichtsbehörde gemeldet. Michael Will, Präsident des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA), bestätigte gegenüber heise online den Eingang einer Meldung zu uniVersa Lebensversicherung, wollte sich wegen des laufenden Verfahrens aber nicht zu Details äußern. Er empfahl Betroffenen, ihre Konten zu beobachten, vorsichtshalber Zugangsdaten zu ändern und verdächtige Aktivitäten zu melden. Der Zeitpunkt passt zu einer aktuellen Entwicklung auf EU-Ebene: Der Europäische Datenschutzausschuss (EDPB) hat kürzlich Leitlinien veröffentlicht, die Organisationen verpflichten sollen, Filtermechanismen einzusetzen, damit sensible Daten gar nicht erst in automatisiertes Web-Scraping geraten. Der Fall uniVersa liefert damit ein sehr konkretes Beispiel dafür, warum solche Vorgaben diskutiert werden: Nicht das Training von KI-Modellen selbst war hier das Problem, sondern ein gewöhnlicher IT-Fehler, den ein KI-Crawler binnen Stunden fand und ausnutzte, bevor Menschen es bemerkten.
Für Unternehmen mit sensiblen Kundendaten bedeutet das: Migrationen und Serverumstellungen brauchen dieselbe Sorgfalt bei Zugriffsschutz wie der reguläre Betrieb, weil die Zeitspanne bis zur Entdeckung einer offenen Lücke heute nicht mehr durch menschliche Angreifer, sondern durch permanent laufende KI-Crawler bestimmt wird. Wer bei IT-Übergängen Firewall-Regeln und Zugriffskontrollen nicht lückenlos migriert, riskiert, dass automatisierte Systeme schneller reagieren als die eigene Überwachung. Für Kundinnen und Kunden von uniVersa bleibt vorerst nur der von der Aufsichtsbehörde empfohlene Weg: Kontobewegungen im Blick behalten, Zugangsdaten vorsorglich ändern und ungewöhnliche Kontaktversuche, etwa vermeintliche Rückerstattungs- oder Rechnungs-E-Mails mit korrekten persönlichen Daten, mit besonderer Vorsicht behandeln. Wie viele weitere Fälle dieser Art bislang unentdeckt blieben, weil kein interner Alarm ausgelöst wurde, lässt sich naturgemäß nicht beziffern, was die Dunkelziffer bei ähnlichen Konfigurationsfehlern vermutlich deutlich über die bekannt gewordenen Einzelfälle hinaus verschiebt.