Zusammenfassung

  • In den zehn vertieft geprüften Behörden erfüllten 5.736 von 11.602 Hardwaregeräten die Kriterien für veraltete IKT. Die Zahl ist keine Vollerhebung des südaustralischen Staatssektors.
  • 14 der 18 befragten Behörden meldeten nur teilweise oder gar nicht gesicherte Ersatzmittel. Der Digital Investment Fund mit 326,5 Millionen australischen Dollar deckt auch Cybersecurity, KI und weitere Projekte ab; er lässt sich nicht einfach von den 435 Millionen abziehen, die zehn Behörden für Modernisierung und Ersatz schätzten.

Eine Stückzahl ist noch kein Beschluss

5.736 klingt nach einem landesweiten Beschaffungsauftrag. Der Bericht gibt das nicht her. Die Zahl beruht auf Angaben aus zehn Behörden, die für eine vertiefte Prüfung ausgewählt wurden; der Status von Herstellern und Anbietern half bei der Einordnung. Das Ergebnis zeigt einen erheblichen Bestand in der Stichprobe. Es zählt nicht die rund 170 öffentlichen Einheiten Südaustraliens.

Der Auditor-General befragte 2025 insgesamt 18 große Behörden und untersuchte danach zehn von ihnen genauer. Gegenstand waren Anwendungen, Betriebssysteme, Hardware, Datenbankmanagementsysteme und Virtualisierungsplattformen. Alle Befragten meldeten veraltete Systeme, die meisten davon für wichtige Geschäftsprozesse. Das ist kein Randthema. Es ist aber auch keine Erlaubnis, die Stichprobenquote auf jede nicht untersuchte Behörde hochzurechnen.

Auch „veraltet“ war kein Altersurteil. Ein System musste das Ende der Lebensdauer erreicht haben oder außerhalb des Anbieter-Supports liegen, selbst wenn es noch erweiterten Support gab. Dazu kam mindestens ein weiterer Befund: Wartung oder Aktualisierung war praktisch nicht mehr machbar, der Weiterbetrieb wirtschaftlich fragwürdig, das Risiko höher als akzeptiert, der geschäftliche Nutzen rückläufig oder die Technik ein Hindernis für die Strategie. Das Anschaffungsjahr allein sagt weder, warum ein System in die Risikoliste gehört, noch was mit ihm geschehen sollte.

Fünf Zähler, keine gemeinsame Rechnung

Unter den zehn geprüften Behörden galten 5.736 von 11.602 Hardwaregeräten oder Anlagen als veraltet (49%). Bei Betriebssystemen waren es 766 von 3.181 Instanzen (24%), bei Datenbankmanagementsystemen 168 von 1.026 (16%) und bei Virtualisierungsplattformen 121 von 392 (31%). Anwendungen wurden für neun Behörden gezählt: 195 von 812 (24%). Anwendungen des Department for Health and Wellbeing ließ die Prüfung wegen ihrer großen Zahl und der gemischten Zuständigkeiten aus.

Ein Gerät, eine Betriebssysteminstanz, eine Datenbank und eine Anwendung sind keine austauschbaren Einheiten. Ein öffentlicher Dienst kann von mehreren davon abhängen; eine gemeinsame Plattform kann viele Dienste tragen. Die Summierung aller fünf Kategorien würde Abhängigkeiten mehrfach zählen. Die 49 Prozent auf die gesamte staatliche Hardware zu übertragen, würde eine Stichprobe als Vollinventar verkaufen.

Die Verteilung über mehrere technische Ebenen ist trotzdem der entscheidende Hinweis. Ein neues Gerät ersetzt keine Datenbank. Ein modernes Betriebssystem räumt die manuellen Abläufe nicht automatisch ab, die eine alte Anwendung um sich herum erzeugt hat. Wenn jede technische Liste nur ihre eigene Migrationsquote kennt, kann ein Projekt Fortschritt melden, während der Dienst weiter an einer nicht unterstützten Komponente hängt. Das Register muss deshalb vom Asset zum Dienst und zu dessen Verantwortung führen.

435 Millionen minus 326,5 Millionen ergibt keinen Bedarf

Zehn Behörden schätzten ihre Modernisierungs- und Ersatzkosten auf insgesamt 435 Millionen australische Dollar. Vierzehn meldeten, die nötige Finanzierung sei nur teilweise oder überhaupt nicht gesichert. Der Auditor-General ließ die Antworten nicht durch Belege validieren; einige Behörden hätten für belastbare Kosten umfangreiche Vorarbeiten gebraucht. Das ist eine Momentaufnahme von Behördenangaben, keine geprüfte Staatsschuld.

Der Digital Investment Fund startete mit 200 Millionen über fünf Jahre und wuchs in den Haushalten 2024–25 und 2025–26 auf 326,5 Millionen. Bis Ende April 2026 lagen 55 Anträge vor; 22 waren bewilligt, mit 225 Millionen zugesagten und 113 Millionen ausgegebenen Mitteln. Der Fonds trägt digitale und Cybervorhaben in der gesamten Verwaltung. Mit seiner Erweiterung kam ein eigenes KI-Programm hinzu. Er ist kein Sondertopf für genau die Systeme aus der Legacy-Umfrage.

Die Differenz zwischen 435 und 326,5 Millionen wäre erfunden. Beim Fonds geht es um verschiedene Behörden und Zwecke, bei den 435 Millionen um Schätzungen von zehn Behörden; manche Kosten fehlten. Die öffentliche Dokumentation zeigt auch nicht, welche Projekte in beiden Zahlen enthalten sind. Ein Haushaltsausschuss braucht deshalb die Zuordnung auf Dienst- und Asset-Ebene, nicht eine Subtraktion über zwei ungleiche Nenner.

Ein laufendes System kann den Dienst trotzdem ausbremsen

Das Connected Client and Case Management System (C3MS) des Department for Child Protection wurde 2009 eingeführt, um Informationen zu schutzbedürftigen Kindern und Familien zu erfassen und weiterzugeben. Die Behörde teilte dem Audit Office mit, dass der Support ausgelaufen sei, Spezialwissen schwer zu halten sei und Mitarbeitende manuelle Umwege sowie doppelte Dateneingaben nutzen müssten. Der Bericht verbindet diese Einschränkungen mit der Aktualität und Vollständigkeit von Informationen für Entscheidungen in Hochrisikofällen.

Der Bericht beschreibt keinen Ausfall und keinen Datenschutzvorfall. Der Schaden liegt im täglichen Ablauf: Personal gleicht doppelte Daten ab, statt andere Aufgaben zu erledigen; Informationen sind schwerer zeitnah zusammenzustellen. Ein grüner Betriebsstatus beantwortet nicht, wie viel Arbeit eine Organisation in den Betrieb hineinsteckt.

Die aktuelle Seite des Finanzministeriums führt die Modernisierung von C3MS sowie den Ersatz von eCARL und eLOG als laufende Vorhaben in der Anforderungsanalyse und Markterkundung. Sie nennt weder einen Fertigstellungstermin noch einen Prozentstand. Der Jahresbericht des Audit Office vom Oktober 2026 führt Legacy-IKT weiterhin als betriebliches, sicherheitsbezogenes und Governance-Risiko. Ein Vorhaben ist sichtbar; ein abgeschlossenes Risiko ist es nicht.

Gemeinsame Fakten, lokale Wahl

Der Auditor-General empfiehlt, laufende Modernisierungen abzuschließen, Systeme ohne Plan formal zu bewerten, Risiken und Maßnahmen in Registern festzuhalten, den Bestand regelmäßig zu prüfen und den Governance-Gremien Fortschritt und Restrisiko zu melden. Für jeden veralteten Bestand sollte eine vergleichbare Zeile Asset, unterstützten Dienst, verantwortliche Person, Quelle und Datum des Supportstatus, Ausfallfolge, bestehende Kontrollen, gewählte Behandlung, Migrationsphase, Kostenspanne samt Verlässlichkeit, gesicherte Mittel und nächsten Beschlusstermin zusammenbringen.

Eine gemeinsame Datengrundlage schreibt keine gemeinsame Lösung vor. Eine Behörde kann ersetzen, eine andere isolieren, konsolidieren oder abschalten. Der zentrale Ausschuss vergleicht die verbleibende Exposition; die Behörde entscheidet anhand ihres Dienstes. „Kein Plan“ braucht einen Verantwortlichen und einen Termin für die nächste Entscheidung, statt aus dem Dashboard zu verschwinden, weil es noch kein genehmigtes Projekt ist.

Die nächste nützliche Zahl ist darum nicht ein noch größerer Fonds. Sie ist der Anteil der erkannten Abhängigkeiten, für die Dienst, Verantwortlicher, aktueller Supportnachweis, finanziertes Vorgehen und Ausstiegsdatum in derselben Akte stehen. Erst dann wird aus Geld ein überprüfbarer Übergang.

Quellen