Behörden-IT ist selten schön. Alter Code, schlecht dokumentiert, über Jahrzehnte gewachsen — und mittendrin die sensibelsten Daten, die ein Staat hat. Die kanadische Provinz Alberta hat jetzt gezeigt, wie man dieses Problem mit KI angeht. Und die Zahlen sind beeindruckend.
466 Millionen Zeilen in 20 Stunden
Das Ministerium für Technologie und Innovation in Alberta betreut die Systeme von 27 Ministerien — rund 1.280 Anwendungen und 3.400 Code-Repositories. Das meiste davon wurde nie systematisch auf Sicherheit geprüft. Die aufgelaufenen technischen Schulden gehen in die Milliarden.
Also hat ein internes Team Claude Code mit Opus- und Sonnet-Modellen darauf angesetzt. Rund 50 Agenten arbeiteten parallel und autonom, scannten den gesamten Code-Bestand nach Sicherheitslücken, Infrastruktur-Schwächen und Dokumentationslücken. Ergebnis: 466 Millionen Zeilen Code in etwa 20 Stunden geprüft. Das Team schätzt, dass ein klassischer Ansatz dafür rund 6,5 Jahre gebraucht hätte.
Der Trick: ein zweistufiges Verfahren. Zuerst flaggt eine Rules-Engine bekannte Muster. Dann prüft Claude jeden Treffer und nennt die exakte Datei plus Zeile — damit Entwickler das nachvollziehen können. Genau das ist der Punkt, an dem viele automatische Scanner scheitern: Sie produzieren Rauschen. Hier gab es nachvollziehbare Fundstellen.
Nicht nur finden — auch reparieren
Das Spannende ist der zweite Schritt. Wo der Scan eine Lücke fand, konnte Claude Code oft direkt einen Fix generieren, testen und bauen. Fehlten die nötigen Tests, hat Claude sie zuerst geschrieben. Und wo Code zu alt oder zu verworren zum Flicken war, wurde er gleich in einer moderneren Sprache neu gebaut.
Ein Beispiel, das hängen bleibt: ein Portal für ein Förderprogramm, ursprünglich vor rund 25 Jahren in Java handgeschrieben. Die erste Version brauchte fünf Monate. Der Neubau mit Claude: vier bis fünf Tage. Vor jedem Deploy hat ein menschliches Team geprüft und freigegeben — der Mensch bleibt in der Schleife.
Rote und blaue Agenten
Alberta hat außerdem spezialisierte Review-Agenten gebaut, die dauerhaft mitlaufen. Ein «Red Team»-Agent greift die Anwendung von außen an, so wie es ein Angreifer täte. Ein «Blue Team»-Agent bewertet die Verteidigung gegen einen internationalen Sicherheitsstandard und schreibt einen Remediation-Plan mit konkreten Datei-Hinweisen. Jede Anwendung wird pro Durchlauf gegen rund 95 Sicherheitskontrollen geprüft. Das Ganze läuft auf dem Claude Agent SDK.
Meine Einordnung
Was mich hier überzeugt, ist nicht die reine Geschwindigkeit — es ist die Kombination aus Tempo und Nachvollziehbarkeit. Datei, Zeile, Fix, Test, menschliche Freigabe. Das ist kein «KI macht jetzt alles allein», sondern ein Werkzeug, das eine Aufgabe erledigt, die vorher schlicht unbezahlbar war. 6,5 Jahre Arbeit sind für keine Behörde der Welt realistisch. 20 Stunden schon.
Alberta hat seine Erfahrungen als technische White Paper veröffentlicht, damit andere Regierungen davon lernen können. Genau so sollte das laufen.
Quellen: