Summary

  • Das GAO untersuchte 18 große IT-Geschäftsprogramme des DOD mit geplanten Ausgaben von 10,3 Milliarden Dollar in den Haushaltsjahren 2024 bis 2026. Sieben berichteten, Mitarbeitende hätten in den vorangegangenen zwei Jahren keine Schulung zur Erkennung und Meldung von Betrug oder Manipulation in IT-Systemen erhalten oder wüssten nichts von einer solchen Schulung.
  • Elf Programme meldeten eine erhaltene oder bekannte Schulung. Zehn erklärten, ihre eigenen Betrugsrisiken zu bewerten; fünf taten das nach eigener Auskunft nicht, drei wussten es nicht. Das DOD verlangt allgemeine Betrugssensibilisierung, aber nach Aussage seiner Verantwortlichen derzeit keine spezifische Schulung zur Erkennung von IT-Systembetrug.
  • Das GAO empfiehlt neu, dass der CIO mit dem Comptroller zusammenarbeitet, den das DOD seit Juli 2020 für die ministeriumsweite Betrugsrisikosteuerung benannt hat. Sichtbar würde der Erfolg in den Programmen selbst: konkrete Risiken, passende Unterweisung, erreichte Rollen und ein benannter Weg für Hinweise.

Der Kurs ist abgeschlossen, die Frage bleibt offen

Allgemeine Pflichtschulungen eignen sich hervorragend für eine zentrale Statistik. Ein Kurs wird verteilt, die Teilnahme erfasst, die Quote an die Führung gemeldet. Der Betrieb eines Beschaffungs- oder Abrechnungssystems verlangt eine feinere Kenntnis. Ein geändertes Freigaberecht, eine ungewöhnliche Buchung oder ein verschobener Datenpfad muss von einem Menschen eingeordnet und an die richtige Stelle weitergegeben werden. Die Unterweisung muss deshalb mit dem jeweiligen Arbeitsablauf verbunden sein.

Im Bericht vom 28. September 2026 prüfte das GAO genau diese Verbindung. Es wählte 18 Programme aus der vom DOD als groß ausgewiesenen IT-Geschäftssystemlandschaft und befragte deren Büros. Bei sieben antworteten die Verantwortlichen, ihr Personal habe in den vorangegangenen zwei Jahren keine Schulung zur Erkennung und Meldung von Anzeichen für Betrug oder Manipulation in IT-Systemen erhalten oder kenne keine solche Möglichkeit. Elf meldeten Schulung oder Kenntnis eines Angebots. Die Angaben wurden für den Stand April 2026 ausgewertet.

Es geht um Systeme für Gesundheitsversorgung, Personal, Finanzen, Logistik und Verträge. Das CIO-Büro bezifferte die für diese 18 Programme geplanten Ausgaben in den Haushaltsjahren 2024 bis 2026 auf 10,3 Milliarden Dollar. Vier Programme vereinen die Hälfte der Planung auf sich. In diesem großen, konzentrierten Investitionsportfolio ist der Nachweis für allgemeine Schulung zentral leicht zu führen, während das Wissen über die Risiken eines einzelnen Systems am Rand des Organigramms entsteht.

Zwischen Fachaufsicht und Systembetrieb liegt eine Tür

Das DOD erklärte gegenüber dem GAO, seit Juli 2020 sei das Office of the Under Secretary of Defense (Comptroller) die zuständige Stelle für Betrugsrisikomanagement im gesamten Ministerium. Es verwies außerdem auf verpflichtende allgemeine Schulung und finanzielle Anforderungen in seiner jährlichen Anleitung zur Zertifizierung von Geschäftssystemen. Die Rollen sind damit verteilt. Der Comptroller verantwortet den Betrugsrahmen; das CIO-Büro überblickt die großen IT-Investitionen; die Programmteams kennen ihre Daten, Nutzer und Genehmigungen.

Was zwischen diesen Ebenen ankommt, bleibt die entscheidende Frage. DOD-Verantwortliche sagten dem GAO, eine besondere Schulung zur Erkennung und Meldung von Betrug in IT-Systemen sei derzeit keine Pflicht. Ein allgemeiner Kurs liefert Vokabular. Für den täglichen Systembetrieb muss jemand das Vokabular in Szenarien aus dem Programm übersetzen, neue Mitarbeitende erreichen und festlegen, wer einen Hinweis annimmt. Die organisatorische Trennung lässt genau diese Übersetzung leicht liegen.

Die zweite Zahlenreihe des Berichts betrifft die Risikobewertung. Zehn Programme erklärten, ihre Betrugsrisiken zu prüfen. Fünf verneinten das. Drei wussten nicht, ob eine Prüfung stattfindet. Gerade die dritte Antwort ist für die Steuerung unbequem: Ein möglicherweise vorhandenes Dokument hilft dem Programm wenig, wenn seine Verantwortlichen es bei einer Befragung nicht finden und für die Schulung ihrer Teams nutzen können. Der GAO-Rahmen verlangt Kenntnis des funktionalen Risikos, die Unterscheidung von Betrugs- und gewöhnlichen Finanzkontrollen sowie wiederkehrende Unterweisung.

Eine neue Empfehlung verlangt eine gemeinsame Unterschrift

Das GAO formulierte in dieser Jahresprüfung eine neue Empfehlung. Der Verteidigungsminister soll den CIO anweisen, gemeinsam mit dem Comptroller eine dauerhafte Antibetrugspraxis in den großen IT-Geschäftsprogrammen zu sichern: Schulung zu Betrugsrisiken, deren Erkennung im jeweiligen Arbeitsgebiet und Kenntnis der Risikobewertung. Sechs ältere Empfehlungen aus vorherigen Jahresberichten bleiben ebenfalls offen. Die neue Aufgabe hat einen eigenen Adressaten und ein eigenes Ergebnis.

Das DOD stimmte teilweise zu. Es verwies erneut auf den Comptroller und auf finanzielle Anforderungen in seiner Zertifizierungsanleitung. Das GAO bestand auf Koordination, damit Mitarbeitende in den Programmen relevante Schulungen erhalten und von ihnen wissen. Der Austausch trennt zwei Arten von Belegen. Eine amtliche Zuständigkeitsbeschreibung zeigt, wer die Regel verantwortet. Ein Programmbeleg zeigt, ob die Regel beim Personal angekommen ist.

Der Bericht benennt weitere Lücken: Acht der zehn Programme mit aktiver Softwareentwicklung konnten den Einsatz verlangter Agile-Kennzahlen und Werkzeuge nicht nachweisen. Sechs der 18 hatten keinen Plan für die Umsetzung von Zero Trust, drei keine genehmigte Cybersicherheitsstrategie. Diese Befunde folgen anderen Anforderungen. Sie verstärken aber die praktische Lehre der Betrugsschulung: Eine zentrale Vorgabe kann erst anhand ihrer Umsetzung im Programm beurteilt werden.

Der fehlende öffentliche Nachweis wäre eine knappe Programmkette: bewertetes Betrugsrisiko, darauf zugeschnittene Schulung, erreichte Beschäftigtengruppen, Datum und verantwortliche Stelle für eingehende Hinweise. Eine spätere DOD- oder GAO-Prüfung, die diese Kette für alle 18 Programme zeigt, würde das Urteil verändern. Der heutige Bericht hält sieben Antworten fest, bei denen allgemeine Sensibilisierung die konkrete Arbeit am System nicht erreicht hat.

Quellen