Wenige Stunden offen, und der KI-Bot war schon drin
Liebe Leser,
für den Verlust deiner Daten braucht es längst keinen genialen Angreifer mehr. Manchmal reicht ein Umbau im Serverraum.
Am 7. Juli stellte der Versicherer uniVersa seine IT um. Dabei stand ein Server für wenige Stunden ungeschützt im Netz. Genau in diesem Fenster griff ein Crawler von OpenAI die dort liegenden Kundendaten ab: Namen, Anschriften, Versicherungsnummern und Tarifdaten, in einzelnen Fällen auch Bankverbindungen mit IBAN und BIC. Gesundheits-, Zugangs- und Kreditkartendaten waren nach Angaben des Unternehmens nicht dabei. Aufgefallen ist der Zugriff bei internen Sicherheitskontrollen. Der Versicherer hat IT-Forensiker eingeschaltet, den Vorfall bei der Aufsichtsbehörde gemeldet und OpenAI aufgefordert, die Daten nicht zu verwenden und vollständig zu löschen (t-online, heise online).
Fair ist: Die Firma hat den Fehler selbst bemerkt und gemeldet. Trotzdem steckt darin die eigentliche Nachricht. Eine Fehlkonfiguration hatte früher so etwas wie eine Schonfrist, bis jemand zufällig darüber stolperte. Diese Schonfrist gibt es nicht mehr. Das Netz wird rund um die Uhr industriell abgeklappert, weil Material für KI-Systeme gebraucht wird. Ein offenes Türchen wird heute in Stunden gefunden, nicht in Wochen. Und die Aufforderung, alles wieder zu löschen, ist am Ende genau das: eine Bitte an ein Unternehmen in Kalifornien, kein Schalter, den jemand umlegt.
Die zweite Hälfte der Geschichte läuft in die andere Richtung. KI-Systeme saugen nicht nur ein, sie behaupten auch etwas. Das Landgericht München I hat entschieden, dass Google für falsche Tatsachenbehauptungen in seinen KI-Übersichten haftet, weil die Zusammenfassung fremder Inhalte zu einer eigenen Aussage des Konzerns wird (Az. 26 O 869/26, Entscheidung vom 28. Mai 2026, in den vergangenen Wochen bekannt geworden, ComputerBase). Es handelt sich um eine einstweilige Verfügung, also um eine vorläufige Entscheidung, und andere Gerichte liegen bisher nicht auf einer Linie. Die Richtung ist trotzdem bemerkenswert: Wenn eine Maschine Unsinn über dich verbreitet, ist das kein Naturereignis, sondern die Aussage dessen, der die Maschine betreibt.
Was daraus für dich folgt, ganz praktisch:
1. Gib weniger her, als das Formular fragt. Pflichtfelder sind bei den meisten Online-Verträgen erstaunlich wenige. Geburtsdatum, Telefonnummer und Zweitadresse gehören oft nicht dazu, werden aber gern abgefragt. Was ein Unternehmen nie gespeichert hat, kann bei der nächsten Panne auch kein Bot mitnehmen.
2. Wirf Post zu Datenpannen nicht weg. Das Benachrichtigungsschreiben ist dein Beleg. Frag mit einem Auskunftsersuchen nach Art. 15 DSGVO nach, welche Datensätze genau betroffen waren. Ob dir daneben Ansprüche zustehen, kannst du kostenlos mit dem Werkzeug der Verbraucherzentrale prüfen. Nach deren Darstellung kann schon der bloße Kontrollverlust über die eigenen Daten ein ersatzfähiger Schaden sein.
3. Steht deine IBAN in einem Leck, schau auf die Kontobewegungen. Eine gewöhnliche SEPA-Lastschrift kannst du bei deiner Bank binnen acht Wochen zurückgeben, ohne einen Grund zu nennen. Bei einer Abbuchung, die du nie erlaubt hast, hast du sogar 13 Monate Zeit. Wer seine Auszüge nur einmal im Quartal überfliegt, verschenkt genau diese Fristen.
4. Räum bei den Adresshändlern auf. Wir setzen dort an, wo deine Daten kommerziell weitergereicht werden: gebündelte Löschanfragen nach Art. 17 DSGVO an über hundert Werbe-, Adress- und Adtech-Broker, von Acxiom über AZ Direct und Schober bis Criteo. Wie schnell und wie gründlich jede dieser Firmen antwortet, liegt nicht in unserer Hand. Dass die Anfrage bei allen auf dem Tisch landet, schon. Ob deine Adresse bereits in bekannten Lecks kursiert, zeigt dir übrigens der kostenlose Check auf unserer Startseite, und was ein Schutzpaket umfasst, steht in der Übersicht der Tarife.
Die Lehre aus dem Juli ist unbequem, aber kurz: Deine Daten sind nur so gut geschützt wie der schlechteste Arbeitstag der IT-Abteilung, der sie anvertraut wurden.
Bis in zwei Wochen, Max
|
Neu im Magazin
Werbe-ID löschen: das App-Tracking am Handy stoppen
Alle Apps auf deinem Gerät erkennen dich an derselben Kennung, der Werbe-ID. Zurücksetzen bringt wenig, weil sofort eine neue Nummer entsteht. Löschen wirkt: Unter Android bekommen Apps danach nur noch eine Reihe von Nullen. Die Anleitung führt dich durch beide Systeme und erklärt, warum Standortfreigaben davon völlig unberührt weiterlaufen.
Adobe-Erweiterung für Chrome: Webseiten konnten WhatsApp-Chats mitlesen
Adobes PDF-Erweiterung steckt laut Chrome Web Store auf rund 312 Millionen Installationen, bei vielen Nutzern ungefragt mitinstalliert. Über die Schwachstelle CVE-2026-48294 konnten fremde Webseiten angezeigte Chats, Kontaktnamen und Nachrichtenvorschauen aus WhatsApp Web auslesen. Behoben ist das in Version 26.5.2.3, und im Artikel prüfst du in einer Minute, was bei dir läuft.
Paidwork: 23,3 Millionen Konten offen, samt Bankverbindung
Seit dem 19. Juli führt Have I Been Pwned den Vorfall bei der Mikrojob-Plattform. Abgeflossen sind Name, Adresse, Geburtsdatum, Telefonnummer, Kontonummer und Transaktionsdaten, Passwörter immerhin nur als Hash. Paidwork bestätigt bis heute nichts und warnt seine Nutzer nicht, weshalb der Artikel dir zeigt, wie du deine Betroffenheit selbst feststellst.
Apple Hide My Email: der Alias gab die echte Adresse preis
Der Dienst soll die echte Mailadresse hinter einer Zufallsadresse verstecken. Über Rückläufer aus Spam-Kampagnen ließ sich die Zuordnung zwischen Alias und Original jedoch offenlegen. Betroffen sind Nutzer von iCloud+ und der Funktion „Mit Apple anmelden“, Aliase von vor dem 7. Juli 2026 gelten als möglicherweise enttarnt.
Suno-Datenleck: 55 Millionen Konten des KI-Musikdiensts
Seit dem 21. Juli stehen über 55,3 Millionen Konten bei Have I Been Pwned, mit Name, Anschrift, Telefonnummer und Kaufdaten aus der Zahlungsabwicklung. Der Angriff selbst liegt nach übereinstimmenden Recherchen bereits im November 2025. Informiert hat Suno die Betroffenen bis heute nicht, die Prüfung bleibt also an dir hängen.
Melderegister: so widersprichst du der Weitergabe deiner Adresse
Das Meldeamt führt die gepflegteste Adressdatenbank des Landes und darf Name und Anschrift an Parteien, Adressbuchverlage und Firmen weiterreichen, solange du schweigst. Der Widerspruch kostet nichts, braucht keine Begründung und deckt mit einem Schreiben mehrere Zwecke ab. Zwei Haken erklärt der Artikel im Detail: Nach jedem Umzug musst du ihn neu stellen, und er wirkt nur nach vorn.
Aus dem Tresor-Magazin: Wer hält eigentlich den Schlüssel?
Fast jeder Cloud-Anbieter wirbt mit Verschlüsselung, aber nur eine der drei gängigen Spielarten schützt dich auch vor dem Anbieter selbst. Der Beitrag sortiert die Unterschiede, spielt sie an Dropbox, Google Drive und Apple durch und zeigt in fünf Schritten, woran du echte Zero-Knowledge-Verschlüsselung erkennst.
|