Kurzfassung: Bei der uniVersa war am 7. Juli 2026 während einer IT-Umstellung ein Server für wenige Stunden offen erreichbar. In diesem Fenster hat ein Crawler von OpenAI Kundendaten abgegriffen, Namen, Anschriften, Versicherungsnummern und bei einigen sogar Bankdaten mit IBAN. Kein Hackerangriff, ein regulär arbeitender Crawler. Und während über die offene Tür geredet wird, redet niemand darüber, dass der Konzern die Daten schlicht behalten hat.
Dein Versicherer schützt deine Daten? Ein KI-Crawler hat sie in wenigen Stunden mitgenommen.
Das ist überspitzt, aber im Kern genau richtig. Und der Teil, der mich wütend macht, kommt erst nach der offenen Tür.
Was passiert ist
Nach Angaben der uniVersa gegenüber heise war am 7. Juli 2026 im Zuge einer IT-Migration ein Server für wenige Stunden ungesichert erreichbar. Auf ihm lagen personenbezogene Kundendaten. In diesem Zeitfenster hat ein Crawler von OpenAI zugegriffen.
Betroffen waren Namen und Anschriften, Versicherungsnummern, Tarifinformationen und bei einem Teil der Kundschaft Bankverbindungen mit IBAN und BIC. Nicht betroffen waren nach Unternehmensangaben Gesundheits-, Login- oder Kreditkartendaten. Eine Zahl der Betroffenen hat uniVersa nicht genannt. Das Unternehmen entdeckte die Zugriffe über eine interne Kontrolle, schaltete den Zugang ab, forderte OpenAI zur Löschung auf und zog Forensik hinzu. Die bayerische Datenschutzaufsicht bestätigt die Meldung, äußert sich wegen der laufenden Prüfung aber nicht.
Die offene Tür ist die halbe Geschichte
Man kann sich jetzt auf uniVersa stürzen, und ja, ein für Stunden offener Server mit Kundendaten ist ein Versäumnis, das die Datenschutz-Grundverordnung dem Unternehmen zurechnet. So weit die bequeme Hälfte.
Die unbequeme Hälfte ist der zweite Akteur, und über den redet kaum jemand. Früher war ein kurz offener Server ein Risiko, weil ihn ein Mensch erst hätte finden müssen. Heute rasen die Crawler der KI-Konzerne rund um die Uhr durch das Netz, schneller als jeder menschliche Angreifer, und saugen ein, was sie finden. Die Zeit zwischen offener Tür und Daten weg ist auf Stunden geschrumpft. Diese Crawler sind keine passiven Suchmaschinen-Helfer mehr, sie sind der Umweltfaktor, der aus jedem kurzen Fehler einen Datenabfluss macht.
Wer schützt die Menschen vor der Datenkralle
Und hier ist der Satz, der mir wirklich fehlt in der Berichterstattung: Der Crawler hat die Daten mitgenommen, und passiert ist ihm nichts. OpenAI ist eine Datenkralle, und eine Datenkralle greift, was erreichbar ist, weil ihr ganzes Geschäftsmodell auf dem Einsammeln fremder Daten beruht. Ob und wie der Konzern die Bankverbindungen deutscher Versicherter wieder löscht, war zum Zeitpunkt der Berichterstattung schlicht offen. Man muss ihm glauben. Mehr bleibt einem nicht.
Ein Crawler, der personenbezogene Daten einsammelt, unterliegt selbst dem Datenschutzrecht. Der Europäische Datenschutzausschuss hat für Web-Scraping klare Anforderungen formuliert. Dass etwas technisch erreichbar ist, macht das Abgreifen nicht rechtmäßig. Nur ist die uniVersa ein deutscher Versicherer mit Adresse und Aufsicht, und OpenAI ist ein US-Konzern, der weltweit sammelt und im Zweifel behält. Die Frage, wer die Menschen schützt, wenn diese Anbieter ihre Daten benutzen, hat bisher keine belastbare Antwort. Genau das ist das Problem.
Der Irrtum mit der robots.txt
Viele Organisationen glauben, mit einem Eintrag in der robots.txt oder einer Sperrliste für KI-Crawler das Nötige getan zu haben. Das ist ein gefährliches Missverständnis. Eine robots.txt ist eine höfliche Bitte, kein Schutz. Sie hält niemanden ab, der sich nicht daran halten will, und die Konzerne entscheiden selbst, ob sie sich daran halten.
Schutz entsteht durch Technik, nicht durch das Wohlverhalten Dritter. Zugriffskontrolle, Netzsegmentierung, Wartungsfenster mit aktiver Absicherung, Monitoring. Der uniVersa-Fall zeigt, was passiert, wenn diese Schicht für Stunden fehlt und sich draußen eine Datenkralle bedient.
Was daraus folgt
Behandle jede Migration als Hochrisikofenster. Gerade beim Umzug von Systemen entstehen die offenen Türen, und die Annahme, in diesem Fenster komme schon niemand vorbei, ist tot.
Verlass dich nicht auf robots.txt gegen KI-Crawler. Schutz entsteht durch Zugriffskontrolle, nicht durch eine Bitte, die man ignorieren kann.
Und politisch: Solange ein KI-Konzern Bankdaten abgreifen kann und die einzige Konsequenz die Bitte um Löschung ist, stimmt das Kräfteverhältnis nicht. Wer Datenschutz ernst meint, muss die Anbieter belangen können, nicht nur die Unternehmen, die kurz die Tür offen ließen. Der Fall uniVersa ist kein Ausreißer, er ist ein Vorbote. Die Kombination aus knappen Wartungsfenstern und rund um die Uhr sammelnden Crawlern wird sich wiederholen, und beim nächsten Mal geht es vielleicht um deine Daten.