Sophia Mittelbach, Florian Seida, Dominik Herrmann · Full Paper, ARES 2026, 24.–27. August 2026, Linköping (Schweden) · Preprint folgt

Entstanden im Bayerischen Forschungsverbund ForDaySec.

Kurzfassung

Die Privacy Range überträgt das Prinzip von Security-Trainingsumgebungen wie dem OWASP Juice Shop auf den Datenschutz: ein realistischer, fiktiver Online-Shop mit 13 absichtlich eingebauten DSGVO-Problemen – von vorab aktivierten Cookie-Schaltern bis zu Formularen, die Eingaben schon vor dem Absenden an Dritte weitergeben. In einer qualitativen Laborstudie (N = 10) suchten IT-Studierende, die zuvor einen intensiven DSGVO-Kurs bei einer Datenschutzjuristin abgeschlossen hatten, diese Probleme per Think-aloud. Der Befund: Nicht das Wissen fehlte, sondern die Übung, es anzuwenden – es fehlten eine eingespielte Prüfroutine, Sicherheit im Umgang mit den Analysewerkzeugen und der Impuls, die Angaben der Oberfläche mit dem tatsächlichen Verhalten des Systems abzugleichen.

Zentrale Befunde

Die Teilnehmenden schätzten die Umgebung weniger als Lernmittel denn als Diagnoseinstrument: „It really holds up a mirror to show you everything that’s still missing.“ Die Konsequenz für die Ausbildung: Eine rein juristische DSGVO-Schulung ist notwendig, reicht aber nicht aus – „mehr Schulung“ derselben Art ist die falsche Antwort. Geübt werden muss das Vorgehen: eine Prüfung strukturieren, das Verhalten des Systems nachmessen, Beobachtungen den rechtlichen Anforderungen zuordnen.

Zitieren

Camera-Ready-Version, DOI und Preprint folgen; vorläufig:

@misc{mittelbach2026privacyrange,
  title  = {Beyond Theory: Identifying Barriers to Applied GDPR Compliance
            in a Privacy Range},
  author = {Mittelbach, Sophia and Seida, Florian and Herrmann, Dominik},
  year   = {2026},
  note   = {Angenommen bei ARES 2026; Preprint folgt}
}

Quellcode der Privacy Range, Problembeschreibungen samt Begründung des Designs, Interviewleitfäden, Hinweise und das vollständige Bewertungsraster sind offen verfügbar: doi.org/10.5281/zenodo.20285016. Eine dauerhaft erreichbare Demo-Instanz der Umgebung ist in Vorbereitung.