Versicherer uniVersa bestätigt: OpenAI-Crawler schnappte sich Kundendaten
KI-generiert mit ChatGPT
Der Nürnberger Versicherer uniVersa bestätigt einen Datenschutzvorfall, bei dem ein Web-Crawler von OpenAI über einen offenen Server Kundendaten abgegriffen hat. Betroffen sind Namen, Anschriften, Vertragsdaten und teilweise Bankverbindungen. Auslöser war kein Angriff, sondern eine Fehlkonfiguration bei einer IT-Umstellung.
Was genau passiert ist
Die IT-Umstellung fand am 7. Juli 2026 statt. Dabei fehlte laut uniVersa für wenige Stunden eine Sicherheitseinstellung auf einem einzelnen Server. Der Server war zum automatisierten Datenaustausch mit Vertriebspartnern vorgesehen. In diesem Zeitfenster bestand technisch die Möglichkeit, auf die dort gespeicherten Daten zuzugreifen.
Erfasst wurden sie dann durch einen automatisierten Web-Crawler von OpenAI. Ein Crawler durchsucht Webinhalte systematisch und automatisiert. Wie unterschiedlich die großen Anbieter dabei vorgehen, zeigt unser Artikel der KI-Crawler von ChatGPT, Claude, Perplexity und Gemini.
Betroffen sind die uniVersa Lebensversicherung, die Krankenversicherung und die Allgemeine Versicherung. Auf dem Server befanden sich Namen, Anschriften und Vertragsdaten. Bei einem Teil der Betroffenen war auch die Bankverbindung mit IBAN sowie BIC einsehbar.
Der Ablauf ist bekannt, auch wenn in diesem Fall kein Agent, sondern ein Crawler die Daten abrief. Bei Meta lagen sensible Daten fast zwei Stunden offen. Sobald eine Lücke entsteht, bleiben zum Reagieren keine Tage mehr, sondern nur noch Stunden.
AnzeigeWie uniVersa reagiert hat und was offen bleibt
uniVersa entdeckte die Zugriffe nach eigenen Angaben im Rahmen interner Sicherheitskontrollen. Der Server wurde daraufhin umgehend abgeschaltet. Gesundheits-, Login- und Kreditkartendaten sind laut uniVersa nicht betroffen. Das gilt auch für die zentralen Verwaltungs- und Datensysteme sowie das Kundenportal.
Der Versicherer hat OpenAI aufgefordert, die abgerufenen Daten nicht zu verwenden und vollständig zu löschen. Zusätzlich zog uniVersa externe Forensik-Experten hinzu und meldete den Vorfall dem Bayerischen Landesamt für Datenschutzaufsicht. Dessen Präsident Michael Will bestätigte gegenüber heise online den Eingang der Meldung. Betroffene Kunden werden seit dem 20. Juli 2026 schriftlich informiert.
OpenAI erklärte gegenüber heise online, keine Daten verwendet zu haben. Das Unternehmen weist zudem eine Verantwortung für die Lücke bei uniVersa zurück. Eine Bestätigung der vollständigen Löschung liegt damit aber nicht vor. Die Löschung bleibt eine Aufforderung, deren Umsetzung uniVersa nicht erzwingen kann. Offen ist auch die Zahl der Betroffenen.
Der Fall zeigt, wie schnell eine kurze Fehlkonfiguration reale Folgen hat. Vergleichbare Risiken birgt der quelloffene KI-Agent OpenClaw. Dort legte ein Agent mit weitem Datenzugriff vertrauliche Daten offen.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
