Der Versicherer Universa gab es einen Datenschutzvorfall. Ein KI-Crawler konnte zeitweise auf Kunden- und Vertragsdaten zugreifen. Ursache war offenbar ein im Zuge einer IT-Umstellung vorübergehend offener Server.
Bei den Universa Versicherungen ist es zu einem Datenschutzvorfall gekommen. Aufgrund eines zeitweise offenen Servers konnte ein KI-Crawler auf personenbezogene Daten und Vertragsinformationen zugreifen. Betroffen sind nach Angaben des Versicherers die Universa Lebensversicherung, die Universa Krankenversicherung und die Universa Allgemeine Versicherung. In einzelnen Fällen waren auch Bankverbindungsdaten zugänglich. Das berichtet das Online-Portal "heise.de"
Auslöser war dem Bericht zufolge eine IT-Umstellung am 7. Juli 2026. Dadurch war ein Server für wenige Stunden offen zugänglich. In diesem Zeitraum konnte ein Crawler Daten abrufen. In einem Informationsschreiben des Versicherers an Betroffene wird dabei OpenAI genannt. Auf dem betroffenen Server befanden sich allgemeine personenbezogene Daten wie Namen und Anschriften sowie Vertragsinformationen, darunter Versicherungsnummern und Tarifinformationen. Bei einigen Kunden seien zudem Bankverbindungsdaten wie IBAN und BIC betroffen. Wie viele Versicherte insgesamt von dem Vorfall betroffen sind, ist bislang nicht bekannt.
Gerade für einen Versicherer ist entscheidend, welche Daten durch einen solchen Vorfall offengelegt werden. Nach Angaben des Nürnberger Unternehmens waren besonders sensible Informationen wie Gesundheitsdaten nicht betroffen. Auch Login- und Kreditkartendaten sollen nicht zugänglich gewesen sein. Ebenso seien die zentralen Verwaltungs- und Datensysteme sowie das Kundenportal nicht betroffen gewesen. Damit beschränkte sich der Vorfall nach bisherigem Kenntnisstand auf einen einzelnen Server.
Entdeckt wurden die Zugriffe laut Universa im Rahmen interner Sicherheitskontrollen. Anschließend sei der unerwünschte Zugriff auf den Server umgehend unterbunden worden. Der Versicherer hat zudem externe IT-Forensiker eingeschaltet, um den Vorfall aufzuklären. Zusätzliche Schutzmaßnahmen seien bereits eingeleitet und der Vorfall der zuständigen Datenschutzbehörde gemeldet worden.
Besondere Brisanz erhält der Vorfall dadurch, dass offenbar kein klassischer Cyberangriff hinter dem Datenabfluss stand. Vielmehr soll ein KI-Crawler auf die zeitweise öffentlich erreichbaren Informationen zugegriffen haben. Der Versicherer habe deshalb OpenAI aufgefordert, die abgerufenen Daten nicht zu verwenden und vollständig zu löschen. Unklar ist bislang, was nach dem Abruf mit den Daten geschehen ist und ob beziehungsweise in welcher Form sie weiterverarbeitet wurden.