OpenAI Crawler klaut sensible Daten bei Universa

Ein ungeschützter Server der Universa-Versicherungen stand für wenige Stunden offen im Netz. Ein automatisierter Crawler von OpenAI hat diese Fehlkonfiguration genutzt und Vertragsdaten sowie Bankverbindungen von Kunden abgegriffen. Das Unternehmen fordert nun die Löschung.

Fehler bei IT-Umstellung

Wegen eines Fehlers bei einer Systemumstellung am 7. Juli 2026 war ein einzelner Server der Universa kurzzeitig ungeschützt erreichbar. Ein Web-Crawler von OpenAI scannte in diesem Zeitfenster die offenen Daten. Interne Sicherheitskontrollen deckten den unerwünschten Zugriff wenig später auf. Universa schaltete das System daraufhin umgehend ab.

Universa informiert betroffene Kunden derzeit schriftlich. Auf dem Server lagen demnach klassische personenbezogene Daten wie Namen und Anschriften. Zusätzlich waren Vertragsnummern, Tarifdetails und bei einigen Kunden auch Bankverbindungen mit IBAN und BIC einsehbar.

Gesundheitsakten, Passwörter oder Kreditkartennummern sind laut Universa »explizit nicht betroffen«. Die zentralen Verwaltungssysteme und das Kundenportal waren von der fehlerhaften Konfiguration strikt getrennt.

Forderung an OpenAI

Der Versicherer hat externe Forensiker eingeschaltet, um den Vorfall exakt zu rekonstruieren. Zudem hat Universa den Entwickler OpenAI offiziell aufgefordert, den Datensatz vollständig zu löschen und nicht für das Training von KI-Modellen zu nutzen. Wie das US-Unternehmen mit den Daten umgeht, ist bisher nicht bekannt.

Auch das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) ist in den Fall involviert. Dessen Präsident Michael Will bestätigte den Eingang der Pflichtmeldung, nannte jedoch aufgrund der laufenden Untersuchung keine konkreten Zahlen zu den betroffenen Kunden.

Will rät potenziell Betroffenen stattdessen, ihre Kontoauszüge zu prüfen, Passwörter zu ändern und bei unerwarteten E-Mails oder Anrufen vorerst misstrauisch zu bleiben.