ferropas.eu
Anmelden Registrieren

wie stelle ich sicher, dass die Daten im Produktpass sicher sind

Zugang, Herkunft und Manipulationsschutz sind der Kern

Die Sicherheit des Produktpasses dreht sich um drei Dinge: Nur berechtigte Parteien können bestimmte Daten einsehen oder ändern, Daten sind auf den Urheber zurückzuführen, und niemand kann einen Pass nachträglich unbemerkt ändern. Die ESPR (Verordnung (EU) 2024/1781) legt dies als Anforderung an das System fest, in dem der Pass läuft, nicht als freie Wahl der Partei, die den Pass zusammenstellt. Das bedeutet, dass eine Plattform, die Pässe hostet, dies bereits technisch geregelt haben muss — der Stahlhändler oder Metallverarbeiter, der den Pass erstellen lässt, muss dies nicht selbst aufbauen, sollte aber wissen, was garantiert wird und was nicht.

Für wen dies gilt und was ausgeschlossen ist

Diese Sicherheitsanforderungen gelten für den digitalen Produktpass selbst: die Datei mit Informationen, die über den QR-Code erreichbar ist, und das System, das diese Datei speichert und anzeigt. Sie befassen sich mit der Frage, wer Daten einsehen darf, wer sie ändern darf, und ob die Herkunft einer Änderung festgehalten ist. Sie befassen sich nicht mit der Frage, ob der Inhalt des Passes korrekt ist — das ist eine Frage der Datengenauigkeit, keine Sicherheitsfrage. Sie befassen sich auch nicht mit dem physischen QR-Code auf dem Produkt: wie dieser angebracht wird und ob dieser lesbar bleibt, wird auf der Seite über wie der QR-Code auf Stahl angebracht wirdbeschrieben, und das ist eine andere Frage als die Datensicherheit hinter diesem Code. Und diese Anforderungen sagen nichts über ein spezifisches IT-System oder Herstellerprodukt aus: Die Verordnung schreibt Funktionalität vor, nicht Technik.

Ebenso wichtig ist die Unterscheidung, wer welche Daten einsehen darf. Nicht jede Information in einem Pass ist für alle bestimmt — manche Informationen sind für den Endnutzer, manche für einen Marktexperten, manche nur für einen Aufseher. Dieser gestaffelte Zugang ist Teil desselben Sicherheitsthemas, aber die genaue Verteilung wird pro Produktgruppe weiter ausgearbeitet und steht daher noch nicht in vollem Umfang fest.

Noch kein festes Stichtag, aber ein festgelegter Rahmen

Es gibt noch kein endgültiges Datum, an dem diese Sicherheitsanforderungen für Eisen und Stahl gelten. Der Arbeitsplan der Europäischen Kommission sieht einen ersten delegierten Rechtsakt 2026 vor, mit Verpflichtungen, die danach in Kraft treten; sobald dieser Rechtsakt veröffentlicht ist, wird das Datum hier angegeben. Was jetzt schon feststeht, ist der Rahmen der ESPR selbst: Artikel 10 und Artikel 11 beschreiben die Anforderungen an den Pass und an das technische Design, und dieser Text ändert sich nicht mehr — nur die produktspezifische Ausarbeitung und das Stichtag müssen noch folgen. Bis dahin gibt es keine gesetzliche Verpflichtung, einen Produktpass für Stahl zu führen, aber die Sicherheitsanforderungen, die künftig gelten, sind bereits in der Verordnung lesbar.

Was sich in der Praxis daraus ergibt

Bei der Einrichtung eines Passes kehrt die Sicherheitsfrage in fester Reihenfolge zurück. Erstens: Wer liefert die Daten an, und ist diese Herkunft dokumentiert? Ein Pass wird aus Daten des Herstellers oder Importeurs zusammengestellt, und es muss nachträglich nachzuvollziehen sein, wer welches Datum eingegeben hat. Zweitens: Wer darf den Pass nach der Veröffentlichung noch ändern? Die Verordnung verlangt, dass ein Pass nicht unbemerkt geändert werden kann — eine Änderung muss sichtbar oder überprüfbar sein, nicht stillschweigend überschrieben. Drittens: Wer sieht welche Daten? Ein Stahlhändler, der den Pass an einen Kunden weitergibt, muss sich selbst nicht um die Zugriffsrechte im System kümmern — das ist die Verantwortung der Partei, die den Pass hostet — aber es ist gut zu wissen, dass nicht jedes Datum öffentlich zugänglich sein muss.

Wer ein Produktpass an ein bestehendes ERP- oder Bestandsverwaltungssystem koppeln möchte, sollte diese Sicherheitsfrage frühzeitig stellen: Daten, die von einem internen System automatisch an einen öffentlichen Pass fließen, müssen unterwegs vor unbefugter Änderung geschützt bleiben. Mehr dazu finden Sie auf der Seite über die Kopplung des Passes an ein eigenes System. Auch die Frage, wie lange ein Pass nach der Veröffentlichung verfügbar und unverändert bleiben muss, hängt mit diesen Sicherheitsanforderungen zusammen; dieses Thema wird separat auf der Seite über wie lange ein Produktpass verfügbar bleibt.

behandelt. Für den Unternehmer ohne eigene IT-Abteilung läuft es in der Praxis auf eine Kontrollfrage hinaus, die an den Betreiber des Passes gestellt werden kann: Kann er nachweisen, wer welche Daten geliefert hat, gibt es einen Schutzmechanismus gegen unbemerkte Änderungen, und ist der Zugriff auf sensible Daten vom öffentlichen Teil des Passes abgeschirmt? Das sind keine rechtlichen Fragen, sondern praktische, und sie können gestellt werden, ohne dass Kenntnisse der Verordnung selbst erforderlich sind.

Wo das zu finden ist: Artikel 10 und Artikel 11 der ESPR

Artikel 10 der ESPR (Verordnung (EU) 2024/1781) beschreibt die Anforderungen, denen der digitale Produktpass erfüllen muss, einschließlich des Zugriffs auf Daten durch verschiedene Arten von Benutzern. Artikel 11 befasst sich speziell mit der technischen Gestaltung und dem Betrieb des Passes und legt darin die Anforderungen an Rückverfolgbarkeit, Schutz vor Manipulation und die Funktionsweise des zugrunde liegenden Systems fest. Beide Artikel bilden zusammen den Rahmen, aus dem sich die Sicherheitsanforderungen ergeben; die weitere technische Ausgestaltung folgt mit den delegierten Rechtsakten, die noch veröffentlicht werden müssen.

Wer jetzt schon mit einem Produktpass arbeiten möchte, sollte am besten damit beginnen, die eigenen Datenströme in Ordnung zu bringen — festhalten, wer welche Daten liefert und wie diese verwaltet werden — damit später wenig geändert werden muss, sobald die Verpflichtung und die technischen Details endgültig festgelegt sind.

Worauf dies basiert

Die Verordnung selbst befindet sich auf EUR-Lex. Wir verweisen je Aussage; Sie müssen uns nicht glauben.

Was Sie konkret tun müssen

Was von Ihnen erwartet wird

Die ESPR stellt Anforderungen an den Produktpass, die nicht nur davon handeln, welche Daten darin enthalten sind, sondern auch davon, wie diese Daten verwaltet und geschützt werden. Artikel 10 und Artikel 11 der ESPR (Verordnung (EU) 2024/1781) bilden zusammen die Grundlage dafür: Artikel 10 beschreibt die Anforderungen, denen der Pass erfüllen muss, Artikel 11 befasst sich speziell mit der technischen Gestaltung und dem Betrieb. Für einen Stahlhändler oder Metallverarbeiter, der dies zum ersten Mal organisiert, gliedert sich dies in mehrere praktische Aspekte auf.

Zugriff auf Daten nach Rolle regeln

Nicht jeder, der den Pass abfragt, muss die gleichen Daten sehen. Ein Einkäufer bei einem Konstruktionsbetrieb benötigt andere Informationen als eine Aufsichtsbehörde oder ein Recycler am Ende der Lebensdauer. Artikel 10 der ESPR geht von differenziertem Zugriff aus: Einige Daten sind öffentlich, andere sind nur für bestimmte Akteure wie Marktakteure oder Behörden sichtbar. Für ein Unternehmen mit 10 bis 100 Mitarbeitern bedeutet dies, dass vor der Inbetriebnahme des Passes eine Entscheidung getroffen werden muss, wer welche Datenschicht zu sehen bekommt — und dass diese Entscheidung technisch auch tatsächlich umgesetzt wurde, nicht nur auf dem Papier.

Herkunft und Richtigkeit der Daten sicherstellen

Ein Produktpass hat nur dann einen Wert, wenn die darin enthaltenen Daten korrekt und bis zur Quelle rückverfolgbar sind. Das betrifft die Zuverlässigkeit des gesamten Systems: Wenn ein Abnehmer nicht nachvollziehen kann, woher ein Datensatz stammt, verliert der Pass seine Funktion. Praktisch bedeutet dies, dass festgehalten werden muss, wer welchen Datensatz geliefert hat — der Hersteller, der Importeur oder ein Zwischenhändler — und wann das geschehen ist. Für Unternehmen, die selbst keine Daten eingeben, sondern diese weitergeben, ist es wichtig zu wissen, wie die Daten im richtigen Format bereitgestellt werden, da eine fehlerhafte Bereitstellung sich entlang der Lieferkette in einen unzuverlässigen Pass übersetzt.

Schutz vor Änderung nach Veröffentlichung

Artikel 11 der ESPR beschreibt, dass das digitale Produktpass technisch so funktionieren muss, dass Daten nach ihrer Erfassung nicht unbemerkt geändert werden können. Für einen Metallverarbeiter, der das Pass nicht selbst hostet, sondern hosten lässt — etwa über eine Plattform wie diese — bedeutet dies, dass die Wahl für einen Hosting-Partner auch eine Wahl darüber ist, wie dieser Partner Änderungen registriert, protokolliert und sichert. Dies ist kein theoretischer Punkt: Wenn ein Kunde oder eine Aufsichtsbehörde ein Datum aus dem Pass bestreitet, muss nachweisbar sein, wann dieses Datum erfasst wurde und von wem.

Kopplung mit bestehenden Unternehmenssystemen

Viele Unternehmen möchten das Produktpass nicht als isoliertes System verwalten, sondern mit der bereits vorhandenen Verwaltung verbinden. Dies ist möglich, aber die Sicherheit des Pass ist dann nicht unabhängig von der Sicherheit dieses zugrunde liegenden Systems. Wer erwägt das Pass mit dem eigenen ERP- oder Lagerverwaltungssystem zu koppeln, sollte sich überlegen, wer Zugriff auf diese Kopplung hat und ob ein Leck in dem einen System Auswirkungen auf das andere hat.

Wo es in der Praxis schiefgeht

Eine Reihe von Situationen tritt in der Praxis immer wieder auf.

Bei Unternehmen, die den QR-Code auf dem Produkt selbst anbringen lassen, wird manchmal übersehen, dass der Code an sich keine Sicherheit bietet — die Frage ist, was hinter diesem Code passiert. Wer sich fragt wie der QR-Code auf dem Stahl angebracht wird, sollte sich auch fragen, wer die zugrunde liegenden Daten verwaltet und ob die Trennung zwischen Träger und Inhalt klar festgehalten ist.

Eine andere Situation entsteht, wenn mehrere Parteien in der Kette Daten für dasselbe Pass liefern, ohne dass vorher vereinbart wurde, wer welchen Teil ändern darf. Dies führt zu Verwirrung darüber, welche Version die gültige ist, und manchmal dazu, dass korrekte Daten von einer anderen Partei versehentlich überschrieben werden.

Auch bei kleinen Komponenten geht es manchmal schief: wenn ein QR-Code auf einem kleinen Stahlstück technisch begrenzt ist, wird manchmal ein vereinfachter Link oder eine Zwischenseite gewählt — wobei nicht immer überlegt wurde, ob dieser Zwischenschritt die gleichen Sicherheitsabsprachen wie das Hauptpass befolgt.

Eine vierte Situation: Unternehmen, die selbst eine Offline-Kopie von Passdaten für die Nutzung an Orten ohne Verbindung halten, vergessen, diese Kopie auf die gleiche Weise zu synchronisieren oder zu sichern wie die Online-Version. Dies ist ein realer Punkt, denn nicht jeder Arbeitsplatz hat eine stabile Verbindung, und die Frage, ob das Pass auch offline funktionieren muss spielt gerade bei solch praktischer Einrichtung eine Rolle.

Abschließend: Unternehmen, die aufhören oder einen Geschäftsbereich abstoßen, vergessen manchmal, dass die Daten des Pass bestehen bleiben und dass Zugriff und Verwaltung davon übertragen werden müssen — etwas, das mit der Frage zu tun hat was mit dem Pass passiert, wenn das Unternehmen aufhört.

Was Sie festhalten können

Eine Reihe von Absprachen und Dokumenten hilft, die Sicherheit von Passdaten nachweisbar zu machen:

  • Eine Übersicht darüber, wer welche Rolle bei der Lieferung und Verwaltung von Daten hat, einschließlich Kontaktperson pro Partei in der Kette.
  • Eine Registrierung der Herkunft jedes Datums: von welchem Hersteller, Importeur oder Zwischenpartei es stammt und wann es geliefert wurde.
  • Absprachen mit dem Hosting-Partner über die Protokollierung von Änderungen, so dass nachweisbar ist, wann ein Datum erfasst wurde und ob es nachträglich geändert wurde.
  • Eine Beschreibung der eingerichteten Zugriffsstufen: welche Daten öffentlich sind und welche nur für bestimmte Parteien sichtbar sind.
  • Falls zutreffend, eine Übersicht der Kopplung mit dem eigenen ERP- oder Lagerverwaltungssystem, darin enthalten, wer Zugriff auf diese Kopplung hat.
  • Ein Plan für die Situation, in der das Unternehmen aufhört oder ein Bereich übertragen wird, damit Verwaltung und Zugriff auf bestehende Pässe nicht in der Luft hängen.

Diese Festlegung ist nicht nur in Bezug auf Aufsicht nützlich, sondern auch praktisch: Sie verhindert, dass interne Kenntnisse darüber, wer was verwaltet, bei Personalwechsel oder Unternehmensübernahmen verloren gehen.

Dies ist keine Rechtsberatung. Diese Seite bietet allgemeine Informationen zur Regelung, die diese Plattform betrifft. Wir kennen Ihre Situation nicht. Im Zweifelsfall hinsichtlich Ihres speziellen Falls konsultieren Sie bitte einen Juristen oder die zuständige Überwachungsbehörde.

Mit KI verfasst auf Basis der oben aufgeführten Quellen, von einem Menschen am 05.09.2026 überprüft. Stimmt etwas nicht? Teilen Sie es uns mit — Korrektionen werden bevorzugt behandelt.