KI-Crawler Datenleck: Was KMU jetzt prüfen sollten

Ein falsch konfigurierter Server, ein Zeitfenster von wenigen Stunden – und ein KI-Crawler hatte Zugriff auf Kundendaten. Der Vorfall beim Versicherer uniVersa zeigt, wie schnell ein KI-Crawler zum Datenleck wird. Für kleine und mittlere Unternehmen ist das kein exotischer Sonderfall, sondern ein sehr realistisches Szenario.

Was bei uniVersa passiert ist

Im Juli 2026 wurde ein Datenschutzvorfall bei den uniVersa Versicherungen bekannt. Im Rahmen einer IT-Umstellung war ein Server für kurze Zeit offen erreichbar. Genau in diesem Zeitfenster griff ein KI-Crawler von OpenAI auf die dort gespeicherten Kundendaten zu.

Betroffen waren nach Unternehmensangaben Namen, Anschriften, Kontakt- und Vertragsdaten wie Versicherungsnummern und Tarifinformationen, in einzelnen Fällen auch Bankverbindungen. Gesundheits-, Login- und Kreditkartendaten sollen nicht betroffen gewesen sein. Der Versicherer meldete den Vorfall der Bayerischen Datenschutzaufsicht, zog externe Forensiker hinzu und forderte OpenAI auf, die abgerufenen Daten zu löschen.

Warum das für KMU relevant ist

Der Auslöser war kein ausgeklügelter Hackerangriff, sondern eine Fehlkonfiguration während einer IT-Umstellung. Genau solche Situationen – Serverumzug, Wechsel des Hosters, Website-Relaunch, Migration in die Cloud – gehören auch im Mittelstand zum Alltag.

Neu ist vor allem die Geschwindigkeit. Früher blieb eine versehentlich offene Freigabe oft wochenlang unbemerkt. Heute sind KI-Crawler innerhalb von Stunden da. Und einmal abgeflossene Daten lassen sich praktisch nicht mehr zurückholen – die Löschzusage eines Anbieters ist eine Zusage, keine Garantie.

Ein wichtiger Punkt für die Praxis: Ein Eintrag in der robots.txt ist keine Schutzmaßnahme im Sinne der DSGVO. Die Datei ist eine höfliche Bitte an Crawler, keine Zugriffskontrolle. Wer sich nicht daran hält, wird davon nicht aufgehalten. Personenbezogene Daten gehören hinter eine Authentifizierung – nicht hinter eine Textdatei.

Fünf Prüfschritte für Ihr Unternehmen

1. Änderungen dokumentiert freigeben. Kein Server, kein Verzeichnis und kein Speicher-Bucket geht ohne dokumentierte Freigabe live. Ein einfaches Änderungsprotokoll reicht dafür völlig aus.
2. Test und Produktion sauber trennen. Testsysteme enthalten erfahrungsgemäß echte Daten. Sie brauchen denselben Schutz wie die Produktivumgebung – oder anonymisierte Datensätze.
3. Zugriffe protokollieren und auch ansehen. Logdateien nützen nur, wenn jemand hineinschaut. Auffällig hohe Zugriffszahlen durch unbekannte User-Agents sind ein Warnsignal.
4. Nach jedem Go-live gegenprüfen. Ein externer Blick auf die eigene Infrastruktur zeigt offene Verzeichnisse und Fehlkonfigurationen, die intern niemand mehr sieht. Ein Schwachstellenscan mit DSGVO-Analyse deckt genau solche Lücken auf.
5. Verarbeitungsverzeichnis aktuell halten. Nur wer weiß, welche Daten wo liegen, kann im Ernstfall überhaupt beurteilen, was abgeflossen ist. Das Verarbeitungsverzeichnis ist dafür die Grundlage.

Die 72-Stunden-Frist läuft ab Kenntnis

Nach Art. 33 DSGVO müssen meldepflichtige Datenpannen binnen 72 Stunden an die Aufsichtsbehörde gemeldet werden. Die Uhr startet, sobald das Unternehmen von dem Vorfall Kenntnis erlangt – nicht erst, wenn alle Details geklärt sind.

Hier rächt sich fehlende Protokollierung besonders: Wer nicht nachvollziehen kann, welche Daten in welchem Zeitraum erreichbar waren, muss im Zweifel vom ungünstigsten Fall ausgehen und entsprechend breit melden und informieren. Wie schnell KI-Werkzeuge zum unkontrollierten Datenabfluss führen, zeigt sich auch beim Thema Schatten-KI im Unternehmen.

Fazit

Der Fall uniVersa ist keine Geschichte über Künstliche Intelligenz, sondern über IT-Hygiene. Die Technik hat sich geändert, die Pflichten sind dieselben geblieben: geregelte Abläufe, saubere Konfiguration, nachvollziehbare Protokolle. Wer diese Grundlagen sauber dokumentiert, ist auch gegenüber der Aufsichtsbehörde auskunftsfähig – zum Beispiel mit einer strukturierten Datenschutz-Management-Software.

Sie benötigen Unterstützung beim Datenschutz? Die Experten von Datenschutz Einfach helfen Ihnen gerne weiter. Kontaktieren Sie uns für eine unverbindliche Erstberatung.