Auf einen Blick
- Unternehmen
- NSW Reconstruction AuthorityLandesbehörde für den Wiederaufbau nach Katastrophen
- Wo und wann
- Australien (New South Wales). März 2025 – März 2026.
- Wer die Zahlen erhoben hat
- Amtliche UnterlagenAlles auf dieser Seite stammt aus der öffentlichen Mitteilung der Behörde zu dem Datenvorfall, zuletzt aktualisiert am 26. März 2026.
Was passiert ist
Die Behörde betreibt ein Programm, das Menschen hilft, deren Häuser von Hochwasser getroffen wurden. Zwischen dem 12. und 15. März 2025 lud eine befristet beschäftigte Person eine Tabelle mit Antragstellern in ChatGPT hoch. Die Behörde hatte das Werkzeug nicht freigegeben. Die Person arbeitet nicht mehr dort.
Die Behörde sagt, ihre eigenen Systeme seien nicht gehackt worden und sicher geblieben. Die Daten gelangten nach außen, weil ein Mensch sie in ein externes Werkzeug eingab.
Die Zahlen
- 2.031 Menschen waren betroffen: Ein Teil ihrer persönlichen Daten wurde hochgeladen.
- Eine Excel-Datei mit 10 Spalten und mehr als 12.000 Zeilen.
- Was sie enthielt: Namen und Kontaktdaten, Adressen, Geburtsdaten und sensible Gesundheitsdaten. Sie enthielt auch einige Bemerkungen zu Finanzen. Bankdaten oder Nummern von Ausweisdokumenten enthielt sie nicht.
- Kein Hinweis auf Veröffentlichung. Die Behörde sagt, es gebe keine Belege, dass die Daten öffentlich im Internet stehen. Der Cybersicherheitsdienst des Bundesstaats prüft das weiter.
Was die Behörde änderte
- Sie gab eine unabhängige Überprüfung in Auftrag. Diese fand Verbesserungsbedarf bei Regeln, Schulung und Datensicherheit.
- Sie schrieb eine Richtlinie für Datenpannen und ergänzte ihren Datenschutzplan um Regeln zu KI.
- Sie verstärkte die Pflichtschulung der Beschäftigten zum Umgang mit Daten.
- Sie schränkte manuelle Downloads von Daten aus ihren Kernsystemen ein.
- Sie führte Sperren ein, die das Hochladen persönlicher Daten in KI-Werkzeuge verhindern.
- Sie baut eine eigene Stelle für Datenschutz auf.
Was der Fall zeigt
- Ein Upload genügte. Eine einzige Datei, von einer einzigen Person verschoben, betraf die Daten von mehr als 2.000 Menschen.
- Auch befristet Beschäftigte brauchen die Regeln. Die Person, die die Datei hochlud, war eine Aushilfskraft.
- Die Lösung war eine Mischung. Die Behörde verließ sich nicht allein auf eine schriftliche Regel. Sie ergänzte Schulung, schränkte Downloads ein und sperrte Uploads.
Was das über die Praktiken sagt
Was das Unternehmen danach geändert hat
- Legen Sie fest, welche Daten in welche KI-Werkzeuge dürfen Nach dem Vorfall führte die Behörde Sperren ein, die das Hochladen persönlicher Daten in KI-Werkzeuge verhindern, und schränkte manuelle Downloads aus ihren Kernsystemen ein. Zuerst · Aufwand: gering (Tage, eine Person)
- Schreiben Sie eine einseitige KI-Richtlinie, die die Beschäftigten auch lesen Die Behörde ergänzte ihren Datenschutzplan um Regeln zu KI und führte eine eigene Richtlinie für Datenpannen ein. Zuerst · Aufwand: gering (Tage, eine Person)
- Schulen Sie die Beschäftigten an den Werkzeugen, die Sie tatsächlich gewählt haben Eine Überprüfung fand Lücken bei Regeln, Schulung und Datensicherheit. Danach verstärkte die Behörde die Pflichtschulung der Beschäftigten zum Umgang mit Daten. Zuerst · Aufwand: mittel (Wochen, einige Personen)
Quellen
- NSW Reconstruction Authority. Resilient Homes Program data breach. Public notice and questions and answers (updated 26 March 2026). nsw.gov.au