Blog on Datargo

APIs als Teil der Lieferkette: warum Schnittstellensicherheit zur Nachweispflicht wird

Tue, 23 Jun 2026 00:00:00 +0000

Software ist heute selten ein Monolith. Module, Partnerdienste und Mandanten reden über Schnittstellen miteinander, und genau diese APIs sind die stillen Verbindungsstücke der Lieferkette. NIS2 verlangt in der Risikobetrachtung ausdrücklich die Sicherheit der Lieferkette. Damit rückt eine Frage in den Vordergrund, die lange als rein technisch galt: Wie sicher und wie prüfbar sind die eigenen Schnittstellen?

Die Schnittstelle ist die Angriffsfläche

Die häufigsten API-Schwachstellen sind keine exotischen Exploits, sondern Berechtigungsfehler. In der OWASP API Security Top 10 steht Broken Object Level Authorization an erster Stelle: Eine API liefert Daten aus, ohne sauber zu prüfen, ob der anfragende Account sie überhaupt sehen darf. Eine veränderte Objekt-ID im Request genügt dann, um fremde Datensätze abzurufen. Drei Kontrollpunkte entscheiden in der Praxis über die Robustheit:

Der EU Data Act und das Ende der Wechselgebühren: Cloud-Switching wird zur Pflicht

Tue, 23 Jun 2026 00:00:00 +0000

Anbieterbindung war lange ein kommerzielles Druckmittel: Wer wechseln wollte, zahlte für den Ausgang, kämpfte mit proprietären Formaten und verlor Wochen an Migrationsarbeit. Der EU Data Act (Verordnung (EU) 2023/2854) dreht diese Logik um. Seit dem 12. September 2025 ist die Verordnung anwendbar, und ihr Kapitel VI macht den Wechsel des Cloud-Anbieters zu einem durchsetzbaren Recht der Kundinnen und Kunden.

Was seit September 2025 gilt

Anbieter von Datenverarbeitungsdiensten (IaaS, PaaS, SaaS) müssen alle Hindernisse abbauen, die einen Wechsel erschweren, also vorkommerzielle, kommerzielle, technische, vertragliche und organisatorische Hürden. Konkret heißt das: eine maximale Kündigungsfrist von zwei Monaten, eine Übergangsphase von 30 Tagen für den eigentlichen Umzug (bei technischer Unmöglichkeit auf bis zu sieben Monate verlängerbar) und das Recht, Daten und digitale Vermögenswerte mitzunehmen. Für Neuverträge gelten diese Pflichten bereits.

Passkeys im Unternehmen: phishing-resistente Anmeldung jenseits von Passwort und OTP

Tue, 23 Jun 2026 00:00:00 +0000

Phishing bleibt das verlässlichste Einfallstor in Unternehmensnetze, und die meisten Zweitfaktoren ändern daran wenig. Passwort plus SMS-Code, TOTP-App oder Push-Bestätigung gilt als Mehrfaktor-Authentifizierung, ist aber im Kern angreifbar: Wer die Nutzerin auf eine gefälschte Seite lockt, kann auch den Zweitfaktor in Echtzeit abgreifen. FIDO2-Passkeys setzen an genau dieser Stelle an.

Warum klassische MFA phishbar bleibt

Das Problem ist nicht die Anzahl der Faktoren, sondern ihre Übertragbarkeit. Ein Einmalcode ist ein geteiltes Geheimnis: Er funktioniert überall dort, wo er eingegeben wird, auch auf der Phishing-Seite. Es fehlt die Bindung an die echte Gegenstelle. Genau diese Bindung leistet WebAuthn, der Standard hinter Passkeys.

Wenn der Chatbot sich zu erkennen geben muss: KI-Transparenz im Kundenservice ab August 2026

Tue, 23 Jun 2026 00:00:00 +0000

Automatisierte Erstantworten, KI-gestützte Ticket-Vorklassifikation, generierte Antwortvorschläge: Im Kundenservice ist KI längst Alltag. Ab dem 2. August 2026 wird Artikel 50 des EU AI Act durchsetzbar, und damit gelten verbindliche Transparenzpflichten für genau diese Systeme. Diese Pflichten sind von den Vorgaben für Anbieter universeller KI-Modelle (GPAI) zu trennen: Hier geht es nicht um das Modell, sondern um die Interaktion mit Menschen.

Was Artikel 50 verlangt

Der Kern ist eine Hinweispflicht. Anbieter von KI-Systemen, die zur direkten Interaktion mit Menschen bestimmt sind (etwa Chatbots), müssen sicherstellen, dass die betroffene Person erkennt, dass sie mit einem KI-System kommuniziert. Der Hinweis muss spätestens zum Zeitpunkt der ersten Interaktion erfolgen, es sei denn, der KI-Einsatz ist aus den Umständen offensichtlich. Hinzu kommt: KI-erzeugte oder bearbeitete Inhalte müssen maschinenlesbar als solche markiert werden, und Inhalte von öffentlichem Interesse, die als echt erscheinen könnten, sind gesondert zu kennzeichnen.

47-Tage-Zertifikate: Der CA/Browser-Fahrplan bis 2029

Tue, 09 Jun 2026 00:00:00 +0000

Die Diskussion ist entschieden, und ein Teil davon ist bereits Betriebsrealität: Seit dem 15. März 2026 dürfen öffentlich vertrauenswürdige TLS-Zertifikate höchstens 200 Tage gültig sein, nicht mehr 398. Das ist die erste Stufe eines Fahrplans, den das CA/Browser-Forum im April 2025 mit Ballot SC-081v3 beschlossen hat: einstimmig, mit 29 Ja-Stimmen und keiner Gegenstimme. Am Ende dieses Fahrplans steht eine maximale Laufzeit von 47 Tagen.

Wer Zertifikate noch von Hand bestellt und im Kalender notiert, sollte die nächsten drei Jahre als Umbauprojekt einplanen, nicht als Reihe von Einzelterminen.

Cyber Resilience Act: Was der 11. September 2026 für Hersteller digitaler Produkte bedeutet

Tue, 09 Jun 2026 00:00:00 +0000

In knapp drei Monaten wird aus einer Verordnung Betriebsrealität. Ab dem 11. September 2026 greifen die ersten verbindlichen Pflichten des Cyber Resilience Act (Verordnung (EU) 2024/2847), und zwar genau die, die am meisten Prozess voraussetzen: die Meldung aktiv ausgenutzter Schwachstellen und schwerer Sicherheitsvorfälle. Die übrigen Produkt- und Konformitätspflichten folgen mit der vollständigen Anwendung am 11. Dezember 2027.

Wer Produkte mit digitalen Elementen in der EU herstellt, importiert oder vertreibt, sollte den September daher nicht als fernes Datum behandeln, sondern als den Tag, an dem ein funktionierender Meldeweg vorhanden sein muss.

eIDAS 2.0 und das EUDI-Wallet: Was akzeptierende Stellen bis Ende 2026 vorbereiten müssen

Tue, 09 Jun 2026 00:00:00 +0000

In rund einem halben Jahr läuft eine Frist ab, die viele Unternehmen noch als ferne Regulierung behandeln: Bis zum 24. Dezember 2026 müssen alle 27 EU-Mitgliedstaaten ihren Bürgerinnen und Bürgern mindestens ein European Digital Identity Wallet (EUDI-Wallet) bereitstellen. Grundlage ist die Verordnung (EU) 2024/1183 („eIDAS 2.0"), die seit dem 20. Mai 2024 in Kraft ist.

Für die Mehrzahl der Unternehmen ist die spannendere Frage nicht, wann das Wallet kommt, sondern wann sie es akzeptieren müssen. Und diese Frist folgt unmittelbar.

Datensouveränität nach dem Data Privacy Framework: warum EU-Hosting zur Architekturfrage wird

Tue, 02 Jun 2026 00:00:00 +0000

Wer personenbezogene Daten in die USA übermittelt, stützt sich seit 2023 auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (DPF). Im September 2025 hat das Gericht der Europäischen Union (EuG) eine Klage dagegen abgewiesen, das Framework bleibt damit gültige Rechtsgrundlage. Doch der Fall ist nicht abgeschlossen: Ende Oktober 2025 wurde Rechtsmittel zum Europäischen Gerichtshof eingelegt (Rechtssache C-703/25 P). Ein erneutes Kippen, ein „Schrems III", ist nicht ausgeschlossen.

Diese Unsicherheit ist kein Grund zur Panik, aber ein guter Anlass, eine Frage von der Compliance-Ebene auf die Architekturebene zu heben.

EU AI Act: GPAI-Durchsetzung ab 2. August 2026 und was der Digital Omnibus verschoben hat

Tue, 26 May 2026 00:00:00 +0000

Der EU AI Act gilt seit August 2024, doch viele seiner Pflichten greifen gestaffelt. Ein Datum sticht heraus: Am 2. August 2026 beginnt die aktive Durchsetzung gegenüber Anbietern von General-Purpose-AI-Modellen (GPAI) durch das EU AI Office, und parallel werden die nationalen Sanktionsregime wirksam. In Deutschland greift dazu das KI-Maßnahmen- und Innovationsgesetz (KI-MIG). Wer KI einsetzt oder bereitstellt, sollte den Stichtag kennen, aber auch die jüngsten Verschiebungen.

Was am 2. August 2026 beginnt

Die Pflichten für GPAI-Modelle sind seit August 2025 anwendbar. Was im August 2026 dazukommt, ist die Durchsetzung: Ein Jahr nach Anwendbarkeit erhält das AI Office die Befugnisse, sie auch tatsächlich zu vollziehen. Dazu gehören Informationsanforderungen, der Zugang zu Modellen und, als äußerstes Mittel, der Rückruf eines Modells. Aus einer Pflicht auf dem Papier wird damit eine durchsetzbare Pflicht.

SD-JWT VC und OpenID4VP: die Protokolle hinter dem EUDI-Wallet

Tue, 12 May 2026 00:00:00 +0000

Über das EUDI-Wallet wird viel auf der politischen und organisatorischen Ebene gesprochen: Bereitstellung durch die Mitgliedstaaten bis Ende 2026, Registrierungspflichten, Akzeptanzfristen. Wer das Wallet aber tatsächlich akzeptieren will, steht irgendwann vor einer technischen Frage: Wie prüfe ich konkret, dass ein vorgelegtes Attribut echt, gültig und für meinen Zweck ausreichend ist? Dieser Beitrag schaut auf die Verifikationsseite und die Bausteine, die dort zusammenkommen.

Drei Formate, ein Zusammenspiel

Die Architecture and Reference Framework (ARF), inzwischen in Version 2.x, legt die technischen Standards fest. Für akzeptierende Stellen sind drei davon zentral.

Strukturierte E-Rechnungen GoBD-konform aufbewahren: die 8-Jahres-Frage

Tue, 21 Apr 2026 00:00:00 +0000

Die Diskussion um die E-Rechnung dreht sich meist um das Ausstellen und Empfangen. Die unauffälligere, aber langlebigere Pflicht beginnt erst danach: die Aufbewahrung. Eine strukturierte Rechnung ist kein Dokument im klassischen Sinn, sondern ein Datensatz, und der muss über Jahre unveränderbar und maschinell auswertbar erhalten bleiben. Wer das beim Aufbau seiner Prozesse mitdenkt, vermeidet später teure Nacharbeit.

Was sich an der Frist geändert hat

Lange galt für Buchungsbelege eine zehnjährige Aufbewahrungsfrist. Das vierte Bürokratieentlastungsgesetz (BEG IV) hat sie zum 1. Januar 2025 auf acht Jahre verkürzt. Die neue Frist gilt für alle Belege, deren bisherige Zehnjahresfrist zu diesem Zeitpunkt noch nicht abgelaufen war.

NIS2 in der Praxis: Von der Meldepflicht zum belastbaren Nachweis

Tue, 14 Apr 2026 00:00:00 +0000

Seit dem 6. Dezember 2025 ist NIS2 in Deutschland geltendes Recht. Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) wurde am 13. November 2025 vom Bundestag beschlossen, am 20. November vom Bundesrat bestätigt und ist ohne Übergangsfrist in Kraft getreten. Betroffen sind rund 29.500 Unternehmen in 18 Sektoren. Die BSI-Registrierungsfrist am 6. März 2026 ist verstrichen, eine verspätete Registrierung bleibt möglich und ist ratsam.

Viele Häuser haben die Umsetzung als Registrierungs- und Dokumentationsaufgabe behandelt. Der schwierigere Teil beginnt danach: im Ernstfall belegen zu können, was passiert ist.

ACME jenseits des Webservers: Zertifikatsautomatisierung für interne Dienste und mTLS

Tue, 17 Mar 2026 00:00:00 +0000

Die Verkürzung öffentlicher TLS-Laufzeiten auf perspektivisch 47 Tage hat ein Bewusstsein dafür geschaffen, dass manuelle Erneuerung nicht mehr skaliert. Was dabei oft übersehen wird: Im Inneren eines Unternehmens stecken meist deutlich mehr Zertifikate als an der nach außen sichtbaren Kante. Service-zu-Service-Kommunikation, mTLS in einem Service-Mesh, interne APIs und Datenbankverbindungen leben alle von Zertifikaten, und diese folgen anderen Mustern als das öffentliche Web.

Warum „intern" nicht „einfacher" heißt

Am öffentlichen Webserver ist die Lage übersichtlich: eine Handvoll Domains, eine öffentliche CA, ein klar definierter Validierungsweg. Im Inneren kehrt sich das Verhältnis um. Hier gibt es oft hunderte oder tausende kurzlebiger Endpunkte, die dynamisch entstehen und vergehen, etwa wenn ein Orchestrator neue Container startet. Eine interne CA stellt für sie Zertifikate aus, die niemand öffentlich sieht, die aber genauso ablaufen, sich genauso erneuern müssen und im Fehlerfall genauso einen Dienst lahmlegen.

DORA für IKT-Dienstleister: Drittparteienrisiko und Incident-Reporting

Tue, 09 Dec 2025 00:00:00 +0000

DORA, der Digital Operational Resilience Act (Verordnung (EU) 2022/2554), gilt seit dem 17. Januar 2025 für den europäischen Finanzsektor. Seit dem 19. November 2025 ist die Aufsicht konkret geworden: Die europäischen Aufsichtsbehörden EBA, EIOPA und ESMA haben die erste offizielle Liste von 19 als kritisch eingestuften IKT-Drittdienstleistern veröffentlicht, darunter AWS, Google Cloud, Microsoft, Oracle, SAP, IBM und die Deutsche Telekom. Die Liste wird jährlich fortgeschrieben.

Die naheliegende Reaktion vieler IT-Dienstleister lautet: betrifft mich nicht, ich bin keine Bank. Das ist ein Trugschluss. DORA wandert über die Lieferkette.

Post-Quantum-Kryptografie: Warum die Migration 2026 beginnt, nicht 2030

Tue, 16 Sep 2025 00:00:00 +0000

Seit August 2024 sind die ersten drei Post-Quantum-Standards final. NIST hat FIPS 203 (ML-KEM, abgeleitet von Kyber), FIPS 204 (ML-DSA, aus Dilithium) und FIPS 205 (SLH-DSA, aus SPHINCS+) veröffentlicht und damit einen achtjährigen Auswahlprozess abgeschlossen. Viele lesen die Schlagzeile, sehen die oft genannte Jahreszahl 2030 und legen das Thema wieder weg. Das ist ein Missverständnis: 2030 ist eine Frist, kein Startschuss.

“Harvest now, decrypt later” macht die Sache dringend

Die Bedrohung wartet nicht auf den ersten leistungsfähigen Quantenrechner. Angreifer fangen heute verschlüsselten Verkehr ab und speichern ihn, um ihn später zu entschlüsseln. Alles, was lange schützenswert bleibt, ist damit schon jetzt exponiert: Verträge, Gesundheits- und Personaldaten, langlebige Schlüssel, geistiges Eigentum, Staats- und Geschäftsgeheimnisse. Für diese Daten zählt nicht, wann ein Quantenrechner praktisch wird, sondern wie lange sie geheim bleiben müssen.

E-Rechnungspflicht in Deutschland: Der Stufenplan 2025 bis 2028 ohne Mythen

Tue, 11 Feb 2025 00:00:00 +0000

Seit dem 1. Januar 2025 ist die E-Rechnung im deutschen B2B-Geschäft keine Kür mehr. Die erste Stufe der neuen Pflicht gilt: Jedes inländische Unternehmen muss strukturierte elektronische Rechnungen empfangen können. Versenden muss man noch nicht zwingend elektronisch, empfangen aber schon. Rechtsgrundlage ist das Wachstumschancengesetz, das der Bundesrat am 22. März 2024 verabschiedet hat; die Details regelt das BMF-Schreiben vom 15. Oktober 2024.

Rund um diese Pflicht kursieren mehr Halbwahrheiten als bei den meisten Steuerthemen. Drei davon lohnt es sich auszuräumen.