Bei der uniVersa Lebensversicherung, der uniVersa Krankenversicherung und der uniVersa Allgemeine Versicherung hat es einen Datenschutzvorfall gegeben, bei dem ein Crawler aufgrund eines offenen Servers auf Daten zugreifen konnte. Nach Angaben von uniVersa war das nur für wenige Stunden möglich. Grund dafür soll eine IT-Umstellung am 7. Juli 2026 gewesen sein. Mehrere Leser, die in den vergangenen Tagen vom Unternehmen informiert wurden, hatten sich bezüglich des Vorfalls bei heise online gemeldet.

Auf dem betroffenen Server „lagen allgemeine personenbezogene Daten etwa Namen und Anschriften sowie Vertragsdaten wie Versicherungsnummern und Tarifinformationen“, heißt es von einer Sprecherin des Unternehmens auf Anfrage. Wie viele Kunden betroffen sind, verrät das Unternehmen nicht. Bei einigen Kunden seien „auch Bankverbindungsdaten (IBAN und BIC)“ betroffen. Nicht betroffen waren hingegen „besonders sensible Informationen wie Gesundheits-, Login- oder Kreditkartendaten und die zentralen Verwaltungs- und Datensysteme sowie das Kundenportal“. IT-Forensiker von uniVersa untersuchen derzeit den Vorfall.

Entdeckt wurden die Zugriffe auf den Server laut Universa „im Rahmen interner Sicherheitskontrollen“. Daraufhin sei der unerwünschte Zugriff auf den „einzelnen Server [...] umgehend abgeschaltet“ worden. In dem Schreiben der uniVersa war von OpenAI die Rede. Der KI-Anbieter sei aufgefordert worden, die abgerufenen Daten nicht zu verwenden und sie vollständig zu löschen. Außerdem habe das Unternehmen „externe Forensik-Experten hinzugezogen, um den Sachverhalt schnellstmöglich aufzuklären“. Zudem seien zusätzliche Schutzmaßnahmen eingeleitet worden, für Betroffene steht der Kundenservice bereit. Wie OpenAI mit den Daten umgeht, ist noch unklar.

Der Vorfall wurde der zuständigen Datenschutzbehörde gemeldet. Der Präsident der Bayerischen Datenschutzaufsicht (BayLDA), Michael Will, bestätigte auf Anfrage von heise online, dass der Behörde eine Meldung zu den uniVersa Lebensversicherungen vorliegt. Zu Umfang und Details kann Will wegen laufender Untersuchungen derzeit keine Angaben machen. Das betreffe insbesondere die Zahl der Betroffenen und die tatsächlich betroffenen Datenkategorien.

Will rät potenziell Betroffenen zu allgemeinen Vorsichtsmaßnahmen. Sie sollten unter anderem Passwörter ändern, Konto- und Kreditkartenbewegungen kontrollieren sowie bei ungewöhnlichen E-Mails, Anrufen oder Briefen besonders vorsichtig sein. Bei Verdacht auf Betrug empfiehlt die Behörde, Anzeige zu erstatten. Zur möglichen Verwendung abgerufener Daten für KI-Entwicklung oder -Training machte das Amt keine konkrete Aussage.

Verantwortliche müssen besondere Vorkehrungen treffen

Des Weiteren verweist Will auf die jüngst veröffentlichten Leitlinien des Europäischen Datenschutzausschusses (EDPB) zum Web‑Scraping im Kontext der Entwicklung generativer KI‑Systeme (PDF) und betont, dass bereits der datenschutzrechtliche Erforderlichkeitsgrundsatz strenge Anforderungen an Umfang und Art der erhobenen Daten stellt. Vor einem Datenabruf mittels Web‑Crawling müssen Verantwortliche unter anderem technische und organisatorische Filtermechanismen implementieren, um nicht erforderliche Datenkategorien von vornherein auszuscheiden und strukturell sensible Quellen gar nicht erst in die Sammlung einzubeziehen.

Darüber hinaus sollten stets personenbeziehbare Daten, die sich anhand ihres Formats eindeutig identifizieren lassen, etwa Sozialversicherungs‑ oder Telefonnummern, vor einer Weiterverwendung systematisch herausgefiltert werden, sodass auch im Kontext eines Sicherheitsvorfalls nur ein auf das notwendige Maß reduzierter Datenbestand betroffen ist und zusätzliche Schutzmaßnahmen für betroffene Personen greifen können.

(mack)