Datenschutzvorfall bei uniVersa: OpenAI-Crawler griff Kundendaten ab

Beim Versicherer uniVersa hat ein Crawler von OpenAI Kundendaten abgegriffen. Nach Angaben des Unternehmens lag während einer IT-Migration am 7. Juli 2026 ein Server offen; der Zugriff dauerte nach Darstellung von uniVersa nur wenige Stunden und fiel den internen Sicherheitskontrollen auf. Betroffen sind die uniVersa Lebensversicherung, die Krankenversicherung und die Allgemeine Versicherung.

Abgeflossen sind laut heise online Namen, Anschriften und Vertragsdaten wie Versicherungsnummern und Tarifangaben, bei einem Teil der Kunden zusätzlich IBAN und BIC. Gesundheitsdaten, Zugangsdaten und Kreditkartendaten seien ebenso wenig betroffen wie das zentrale Verwaltungssystem und das Kundenportal. uniVersa zog externe Forensiker hinzu und forderte OpenAI auf, sämtliche erfassten Daten zu löschen und nicht zu verwenden. Eine Meldung ging an das Bayerische Landesamt für Datenschutzaufsicht; dessen Präsident Michael Will verwies auf laufende Ermittlungen und nannte keine Einzelheiten.

Der Vorfall macht eine bislang abstrakte Debatte konkret: Ein Crawler, der Trainingsdaten sammelt, traf auf eine Fehlkonfiguration und wurde damit zum Vehikel eines Datenschutzvorfalls. Der Europäische Datenschutzausschuss hat dazu kürzlich Leitlinien zum Web Scraping für die KI-Entwicklung vorgelegt, die Filtermechanismen verlangen: Nicht benötigte Datenkategorien sollen ausgeschlossen werden, bevor gecrawlt wird. Für deutsche Unternehmen verschiebt das die Risikorechnung bei jeder Migration — ein offener Server bleibt selten unbemerkt, wenn Crawler das Netz dauerhaft absuchen.