Publikationen
Whitepapers, Fachbeiträge und weiterführende Lektüre zu den Themen, die hier behandelt werden: Datenschutz, Informationssicherheit, regulatorische Governance und KI.
ISO 27701:2025 als eigenständige Norm
Ein praxisnaher Rahmen für Datenschutz-Managementsysteme in KMU
(Datenschutz Konkret (Dako) 1/2026, Manz Verlag)
Seit Oktober 2025 kann ISO/IEC 27701 erstmals ohne verpflichtende ISO/IEC-27001-Zertifizierung eingesetzt werden. Der Beitrag erläutert, was diese Änderung für die Praxis bedeutet: wie KMU ein risikobasiertes Datenschutz-Managementsystem aufbauen, bestehende DSGVO-Strukturen einbinden und Entscheidungen nachvollziehbar dokumentieren können — ohne alles auf einmal umzusetzen.
Blinde Passagiere
ESTA, CBP und die Daten derer, die nie gebucht haben.
Whitepaper, kaffeekipferl.at, Mai 2026
Seit Dezember 2025 plant die US-Behörde CBP eine tiefgreifende Erweiterung des ESTA-Verfahrens: Biometrie, fünf Jahre Social-Media-Verlauf, vollständige biographische Profile von Familienangehörigen. Das Whitepaper analysiert, welche datenschutzrechtlichen Pflichten daraus für europäische Arbeitgeber entstehen — nicht als Verantwortliche für die CBP-Verarbeitung, wohl aber für die Entscheidung, die diese Verarbeitung unausweichlich macht.
The Incomplete Ledger
Security sieht die Schuld. Privacy und AI zahlen sie.
Whitepaper, kaffeekipferl.at, April 2026
Organisationen akkumulieren Governance-Schulden in drei Domänen gleichzeitig — Security, Privacy und AI — und behandeln sie als drei separate Probleme mit drei separaten Zuständigkeiten. Das Whitepaper nimmt den Security Debt Index von ISACA als Ausgangspunkt, benennt seine methodischen Schwächen und entwickelt daraus ein erweitertes Konzept: den Blind Spot Debt Index (BSDI) — ein operationalisierbares Messinstrument mit definierten Indikatoren, konkreten Messmethoden und einer Eskalationsskala, die dort beginnt, wo Handeln noch möglich ist.
Der 7-Tage-Vorsprung
Assume Breach. Nicht irgendwann. Jetzt.
Whitepaper, kaffeekipferl.at, Juli 2026
KI-gestützte Angriffswerkzeuge haben die Zeit zwischen Bekanntwerden einer Schwachstelle und ihrer aktiven Ausnutzung auf durchschnittlich sieben Tage verkürzt. Patchen kommt damit strukturell zu spät. Das Whitepaper analysiert, was DORA und NIS2 in dieser Realität leisten — und wo sie aufhören: Beide Regelwerke verlangen, dass Prozesse existieren, nicht dass sie schnell genug funktionieren. Die Lücke zwischen regulatorischer Erwartung und operativer Wirksamkeit müssen Unternehmen selbst schließen — mit den richtigen Fragen an Dienstleister, messbaren KPIs in Verträgen und einem Kontrollregime, das operative Wirksamkeit prüft statt Prozessexistenz zu dokumentieren.
The Oversight Illusion
Wie Art 14 KI-VO eine Sicherheitslücke vorschreibt, die OWASP längst als Angriffsvektor kennt
Whitepaper, kaffeekipferl.at, Juli 2026
Ein systematisches Review von 35 Studien mit knapp 20.000 Teilnehmenden bestätigt: Menschen vertrauen automatisierten Systemen strukturell zu stark — unabhängig von Sorgfalt, Erfahrung oder gutem Willen. Genau auf diese Fähigkeit setzen DSGVO, KI-VO und CRA, wenn sie menschliche Aufsicht als Schutzmaßnahme vorschreiben.
Das Whitepaper analysiert, was die drei Regelwerke in dieser Realität leisten — und wo sie aufhören: Sie verlangen, dass eine Aufsichtsperson eingesetzt wird, nicht dass sie abweichendes Systemverhalten überhaupt erkennen kann. Weder eine Baseline zum Abgleich noch eine verständliche Betriebsanleitung noch ein Nachweis, dass die Kompetenz tatsächlich vorhanden ist — die KI-VO liefert keines davon. Für Finanzinstitute im DORA-Anwendungsbereich kommt eine zweite Lücke hinzu: Ihr bestehendes ICT-Risikomanagement deckt die Beobachtung von KI-Modellverhalten nicht ab, und für NIS2- wie DORA-Verantwortliche fehlt selbst der Maßstab, an dem sich Cybersicherheit für ein KI-System überhaupt messen ließe — der naheliegende Rückgriff auf den CRA trägt nur dort, wo er überhaupt greift.
Die Lücke zwischen regulatorischer Erwartung und wirksamer Kontrolle müssen Anbieter und Betreiber selbst schließen — mit red-teamten Kontrollpunkten, dokumentierten Kompetenznachweisen statt Vermutungen und einer Aufsicht, die im Ernstfall tatsächlich widersprechen kann.