Sophia Mittelbach, Florian Seida, Dominik Herrmann · Full Paper, ARES 2026, 24.–27. August 2026, Linköping (Schweden) · Preprint folgt

Entstanden im Bayerischen Forschungsverbund ForDaySec.

Kurzfassung

Die Privacy Range überträgt das Prinzip von Security-Trainingsumgebungen wie dem OWASP Juice Shop auf den Datenschutz: ein realistischer, fiktiver Online-Shop mit 13 absichtlich eingebauten DSGVO-Problemen – von vorab aktivierten Cookie-Toggles bis zu Formularen, die Eingaben schon vor dem Absenden an Dritte senden. In einer qualitativen Laborstudie (N = 10) suchten IT-Studierende, die kurz zuvor einen intensiven DSGVO-Kurs bei einer Datenschutzjuristin abgeschlossen hatten, diese Probleme per Think-aloud. Der Befund: Die Hürde war nicht fehlendes konzeptuelles Wissen, sondern dessen prozedurale Anwendung – es fehlten Untersuchungsroutinen, Werkzeug-Kompetenz und der Impuls, Interface-Aussagen gegen das tatsächliche Systemverhalten zu prüfen.

Zentrale Befunde

Die Teilnehmenden schätzten die Umgebung weniger als Wissensvermittlung, sondern als Diagnose-Instrument: „It really holds up a mirror to show you everything that’s still missing.“ Die Konsequenz für die Ausbildung: Juristisch fokussierte DSGVO-Schulung ist notwendig, aber allein unzureichend – „mehr Schulung“ derselben Art ist die falsche Antwort. Es braucht Training der prozeduralen Kompetenz: Audits strukturieren, Systemverhalten verifizieren, Beobachtungen auf rechtliche Anforderungen abbilden.

Zitieren

Camera-Ready-Version, DOI und Preprint folgen; vorläufig:

@misc{mittelbach2026privacyrange,
  title  = {Beyond Theory: Identifying Barriers to Applied GDPR Compliance
            in a Privacy Range},
  author = {Mittelbach, Sophia and Seida, Florian and Herrmann, Dominik},
  year   = {2026},
  note   = {Angenommen bei ARES 2026; Preprint folgt}
}

Quellcode der Privacy Range, Problembeschreibungen mit Design-Begründungen, Interviewleitfäden, Hinweise und die vollständige Erkennungs-Rubrik sind offen verfügbar: doi.org/10.5281/zenodo.20285016. Die Umgebung selbst läuft unter private-piranha.pics.