Digitaler Produktpass: Neue Normen stärken Datensicherheit und Vertrauen
Zwei neue europäische Normen ergänzen den Digitalen Produktpass. Sie schaffen wichtige Grundlagen für sichere Zugriffsrechte, den Schutz von Geschäftsgeheimnissen und vertrauenswürdige Produktdaten.
Der Digitale Produktpass (DPP) soll Informationen über Produkte, Materialien und deren Lebenszyklus künftig über Unternehmens- und Systemgrenzen hinweg verfügbar machen. Doch mit der zunehmenden Vernetzung von Produktdaten wächst auch eine entscheidende Herausforderung: Wie lässt sich sicherstellen, dass Informationen zwar den richtigen Personen zugänglich sind, gleichzeitig aber vor unberechtigtem Zugriff, Manipulation und Missbrauch geschützt bleiben?
Mit den beiden europäischen Normen DIN EN 18239 und DIN EN 18246 erhält der Digitale Produktpass nun zwei weitere wichtige technische Grundlagen. Sie ergänzen die bereits veröffentlichten Standards um Anforderungen an das Zugriffsmanagement, die IT-Sicherheit, den Schutz vertraulicher Geschäftsinformationen sowie die Authentizität und Integrität von Produktdaten.
Damit rückt ein Aspekt stärker in den Mittelpunkt, der für die praktische Umsetzung des DPP entscheidend ist: Es genügt nicht, Produktinformationen digital bereitzustellen. Sie müssen auch sicher, nachvollziehbar und vertrauenswürdig zwischen unterschiedlichen Akteuren ausgetauscht werden können.
Acht europäische Normen bilden das technische Fundament
Bereits im Sommer 2026 wurden sechs europäische Normen veröffentlicht, die grundlegende technische Funktionen des Digitalen Produktpasses beschreiben. Dazu zählen eindeutige Produktkennungen, Datenträger, Datenaustauschprotokolle, Schnittstellen, Datenspeicherung und die Interoperabilität unterschiedlicher Systeme.
Diese Standards schaffen die Voraussetzungen dafür, dass ein Produktpass unabhängig von einzelnen Softwareanbietern, Branchen oder nationalen Systemen funktionieren kann. Mit den beiden neuen Normen EN 18239 und EN 18246 wird dieser Rahmen nun um wesentliche Sicherheitsaspekte vervollständigt.
Wie das Fachportal Think WIoT berichtet, hat das Deutsche Institut für Normung (DIN) im Oktober 2026 auf die beiden zusätzlichen Standards aufmerksam gemacht. Die europäischen Fassungen wurden bereits im September veröffentlicht, während die deutschen Ausgaben mit November 2026 datiert sind.
Die acht Normen wurden im gemeinsamen europäischen Normungsgremium CEN-CENELEC JTC 24 erarbeitet. Sie bilden einen produktgruppenübergreifenden technischen Rahmen für den DPP und unterstützen die Umsetzung der europäischen Ökodesign-Verordnung für nachhaltige Produkte (ESPR).
Für Unternehmen entsteht damit zunehmend eine verlässliche Grundlage, um bestehende Datenlandschaften und neue DPP-Lösungen aufeinander abzustimmen. Während die ersten sechs Normen vor allem die technische Funktionsfähigkeit und Interoperabilität sicherstellen, behandeln die beiden neuen Standards insbesondere die Frage, wie Produktdaten geschützt und ihre Vertrauenswürdigkeit überprüft werden können.
DIN EN 18239: Wer darf welche Produktinformationen sehen?
Eine der zentralen Herausforderungen beim Digitalen Produktpass besteht darin, unterschiedliche Informationsbedürfnisse miteinander zu vereinbaren. Nicht alle Daten, die während der Herstellung und Nutzung eines Produkts entstehen, sind automatisch für die Öffentlichkeit bestimmt.
Verbraucher benötigen beispielsweise Informationen zur Materialzusammensetzung, Reparierbarkeit oder umweltgerechten Entsorgung, sofern diese für die jeweilige Produktgruppe vorgeschrieben sind. Reparaturbetriebe könnten wiederum detaillierte technische Anleitungen benötigen, während Recyclingunternehmen auf Informationen über enthaltene Materialien und kritische Stoffe angewiesen sind.
Gleichzeitig verfügen Unternehmen über sensible Informationen, die nicht ohne Weiteres offengelegt werden können. Dazu gehören beispielsweise bestimmte Fertigungsverfahren, Rezepturen, Lieferantenbeziehungen oder technische Konstruktionsdetails.
Genau an diesem Punkt setzt die DIN EN 18239:2026-11 „Digitaler Produktpass – Management der Benutzerrechte, IT-Sicherheit und Geschäftsgeheimnisse“ an.
Die Norm behandelt die Verwaltung von Zugriffsrechten sowie den Schutz vertraulicher Informationen innerhalb der DPP-Infrastruktur. Ein wichtiger Bestandteil ist dabei die Identifizierung und Authentifizierung der beteiligten Akteure. Nur wenn klar ist, wer Informationen abruft oder verarbeitet, lassen sich entsprechende Berechtigungen zuverlässig durchsetzen.
Die grundsätzliche Unterscheidung erfolgt zwischen öffentlich zugänglichen und zugriffsbeschränkten Produktinformationen. Für öffentliche Informationen soll der Zugang möglichst unkompliziert bleiben. Sensible Daten hingegen müssen gezielt denjenigen Akteuren zur Verfügung gestellt werden können, die über eine entsprechende Berechtigung verfügen.
Dabei geht es nicht allein um die technische Absicherung einzelner Datenbanken. Entscheidend ist vielmehr, dass Zugriffsrechte auch dann nachvollziehbar funktionieren, wenn Informationen zwischen unterschiedlichen Organisationen und IT-Systemen ausgetauscht werden.
Transparenz und Geschäftsgeheimnisse müssen kein Widerspruch sein
Ein Beispiel verdeutlicht die Bedeutung dieses Ansatzes: Ein Unternehmen stellt ein technisches Bauteil her, dessen Digitaler Produktpass Informationen über verwendete Materialien und relevante Umweltmerkmale enthält.
Für Kunden und Recyclingbetriebe sind bestimmte Materialinformationen hilfreich oder rechtlich erforderlich. Die genaue Zusammensetzung einer proprietären Legierung oder Details eines Fertigungsverfahrens können hingegen wirtschaftlich sensible Informationen darstellen.
Ein geeignetes Berechtigungsmodell ermöglicht es, notwendige Angaben bereitzustellen, ohne gleichzeitig sämtliche internen Produktionsinformationen offenzulegen. Welche Daten tatsächlich öffentlich oder nur eingeschränkt zugänglich sein müssen, richtet sich allerdings nach den jeweils geltenden rechtlichen Anforderungen.
Die DIN EN 18239 liefert hierfür einen technischen Rahmen. Sie entscheidet nicht eigenständig darüber, welche konkreten Produktdaten offenzulegen sind.
Für Unternehmen ergibt sich daraus eine wichtige Aufgabe: Produktinformationen müssen künftig nicht nur strukturiert und vollständig vorliegen, sondern gegebenenfalls auch nach Vertraulichkeit, Verwendungszweck und Zugriffsberechtigung unterschieden werden können.
DIN EN 18246: Wie vertrauenswürdig sind digitale Produktdaten?
Während DIN EN 18239 den Zugriff auf Produktinformationen behandelt, beschäftigt sich die zweite Norm mit deren Vertrauenswürdigkeit.
Die DIN EN 18246:2026-11 „Digitaler Produktpass – Datenauthentifizierung, Zuverlässigkeit und Integrität“ legt einen technischen Rahmen fest, mit dem sich die Authentizität und Integrität ausgetauschter DPP-Informationen absichern lassen.
Der Hintergrund: Produktdaten werden künftig häufig nicht nur aus einem einzigen System stammen. Sie entstehen an unterschiedlichen Stellen der Wertschöpfungskette, werden durch Zulieferer bereitgestellt, durch Hersteller verarbeitet und möglicherweise während des gesamten Produktlebenszyklus ergänzt.
Je mehr Beteiligte Informationen erzeugen und weitergeben, desto wichtiger wird die Frage, ob diese Daten tatsächlich aus einer vertrauenswürdigen Quelle stammen und unverändert beim jeweiligen Empfänger ankommen.
Die Norm behandelt deshalb Mechanismen zur Verifizierung und sicheren Verarbeitung digitaler Informationen. Nach der veröffentlichten Normzusammenfassung gehört dazu unter anderem ein Konzept für elektronisch signierte Datenstrukturen, sogenannte Electronically Signed Data Constructs (ESDC).
Solche Verfahren können dazu beitragen, den Ursprung einer Information nachzuweisen und nachträgliche, unbemerkte Veränderungen zu erkennen. Damit entstehen wichtige Voraussetzungen für den vertrauenswürdigen Austausch von Produktdaten zwischen unterschiedlichen Systemen.
Warum Datenintegrität für den DPP unverzichtbar ist
Angenommen, ein Zulieferer übermittelt Angaben zum Recyclinganteil eines Materials. Diese Informationen werden anschließend in einem Produktdatenmanagementsystem verarbeitet, an einen DPP-Dienstleister übertragen und dort für berechtigte Nutzer zugänglich gemacht.
Wenn sich Daten während dieses Prozesses unbemerkt verändern, kann dies erhebliche Folgen haben. Falsche Angaben könnten beispielsweise in Nachhaltigkeitsinformationen, Compliance-Nachweise oder nachgelagerte Produktionsentscheidungen einfließen.
Technische Verfahren zur Sicherstellung der Datenintegrität helfen dabei, solche Veränderungen erkennbar zu machen. Ergänzend lassen sich Herkunft, Bearbeitungsschritte und Verantwortlichkeiten dokumentieren.
Allerdings ist eine wichtige Unterscheidung notwendig: Technisch authentifizierte Daten sind nicht automatisch inhaltlich korrekt. Eine digitale Signatur kann bestätigen, von welcher Quelle eine Information stammt und ob sie nachträglich verändert wurde. Sie garantiert jedoch nicht, dass beispielsweise ein ursprünglich angegebener Recyclinganteil tatsächlich richtig ermittelt wurde.
Deshalb bleiben Datenqualität, nachvollziehbare Erhebungsmethoden und klare Verantwortlichkeiten unverzichtbar. Die neue Norm schafft technische Vertrauensmechanismen, ersetzt aber keine fachliche Prüfung der zugrunde liegenden Produktinformationen.
Der Digitale Produktpass wird zur Vertrauensinfrastruktur
Mit den beiden neuen Normen verändert sich auch der Blick auf die technische Architektur des Digitalen Produktpasses.
Häufig wird der DPP vor allem mit einem QR-Code auf dem Produkt verbunden. Tatsächlich dient ein solcher Datenträger zunächst dazu, ein physisches Produkt eindeutig mit seinen digitalen Informationen zu verknüpfen. Die eigentlichen Daten werden in einer dahinterliegenden Infrastruktur verwaltet.
Diese Infrastruktur muss mehrere Aufgaben gleichzeitig erfüllen: Sie soll Produktinformationen auffindbar und zugänglich machen, unterschiedliche IT-Systeme miteinander verbinden, den Schutz vertraulicher Daten ermöglichen und die Vertrauenswürdigkeit der Informationen unterstützen.
Ein QR-Code allein kann diese Anforderungen nicht erfüllen. Er ermöglicht den Zugang zu einem digitalen Datensatz, sagt aber noch nichts über dessen Qualität, Aktualität oder Vertrauenswürdigkeit aus.
Die Bedeutung der neuen Standards liegt deshalb vor allem in der Absicherung der Prozesse hinter dem sichtbaren Produktpass. Ein DPP-System muss beispielsweise erkennen können, welche Informationen öffentlich zugänglich sind, welche Daten nur berechtigte Akteure abrufen dürfen und wie die Echtheit übermittelter Datensätze überprüft werden kann.
Dass diese Anforderungen produktgruppenübergreifend standardisiert werden, ist ein wichtiger Schritt. Denn langfristig soll der Digitale Produktpass nicht nur für einzelne Branchen funktionieren, sondern eine europäische Infrastruktur für den interoperablen Austausch von Produktinformationen unterstützen.
Welche Rolle spielen PIM-Systeme und bestehende Datenlandschaften?
Für die praktische Umsetzung des Digitalen Produktpasses ist besonders relevant, wo die benötigten Informationen entstehen, wie sie gepflegt werden und welche Systeme für ihre Bereitstellung verantwortlich sind.
In vielen Unternehmen verteilen sich Produktdaten auf unterschiedliche Anwendungen. Technische Informationen liegen beispielsweise in ERP- oder PLM-Systemen, marketingbezogene Inhalte im Product Information Management (PIM), während Material- und Nachhaltigkeitsdaten aus spezialisierten Anwendungen oder direkt von Zulieferern stammen.
Der DPP führt diese Informationen nicht zwangsläufig in einer einzigen Datenbank zusammen. Vielmehr benötigt er eine zuverlässige Verbindung zwischen den relevanten Datenquellen und den Systemen, über die Informationen bereitgestellt werden.
Hier gewinnen strukturierte Datenmodelle und klar definierte Verantwortlichkeiten an Bedeutung.
Ein PIM-System kann beispielsweise dabei unterstützen, Produktinformationen zentral zu organisieren, zu vereinheitlichen, zu validieren und für unterschiedliche Ausgabekanäle bereitzustellen. Ob es auch als führendes System für bestimmte DPP-Daten dient, hängt von der jeweiligen IT-Architektur und den fachlichen Anforderungen ab.
Die neuen Sicherheitsnormen erweitern die Perspektive auf diese Datenprozesse. Neben Vollständigkeit, Aktualität und Konsistenz müssen Unternehmen künftig auch berücksichtigen, wie vertrauliche Informationen gekennzeichnet, Zugriffe kontrolliert und die Herkunft einzelner Daten nachvollziehbar gemacht werden können.
Datenqualität und Datensicherheit gehören zusammen
Ein technisch abgesichertes DPP-System bietet nur begrenzten Nutzen, wenn die darin verwendeten Informationen widersprüchlich oder veraltet sind.
Umgekehrt reicht eine hohe Datenqualität allein nicht aus, wenn Informationen unkontrolliert weitergegeben oder während des Datenaustauschs verändert werden können.
Datensicherheit und Datenqualität sind deshalb keine voneinander unabhängigen Aufgaben, sondern ergänzen sich.
Ein zukunftsfähiges Produktdatenmanagement sollte nicht nur klären, welche Daten zu einem Produkt gehören, sondern auch, aus welcher Quelle sie stammen, wer sie bearbeiten darf und wann sie zuletzt überprüft wurden. Ebenso relevant ist, wie Änderungen dokumentiert und an verbundene Systeme weitergegeben werden.
Gerade im Zusammenspiel mit Zulieferern kann dies anspruchsvoll werden. Häufig liegen benötigte Daten außerhalb des eigenen Unternehmens, während die Verantwortung für die korrekte Bereitstellung eines Produktpasses bei einem bestimmten Wirtschaftsakteur verbleibt.
Die Normen können hier zur technischen Standardisierung beitragen. Die organisatorischen Voraussetzungen müssen jedoch innerhalb der Unternehmen und ihrer Lieferketten geschaffen werden.
Welche rechtliche Bedeutung haben die neuen Normen?
Die Veröffentlichung der beiden Normen bedeutet nicht, dass mit ihnen automatisch neue Produktgruppen zur Einführung eines Digitalen Produktpasses verpflichtet werden.
Die rechtliche Grundlage bildet insbesondere die europäische Ökodesign-Verordnung (EU) 2024/1781, auch Ecodesign for Sustainable Products Regulation (ESPR) genannt. Sie schafft den regulatorischen Rahmen, innerhalb dessen konkrete DPP-Anforderungen für einzelne Produktgruppen festgelegt werden können.
Welche Informationen ein Produktpass enthalten muss, welche Akteure Zugriff erhalten und ab wann entsprechende Pflichten gelten, wird über produktspezifische Rechtsakte konkretisiert. Für bestimmte Produkte, etwa Batterien, bestehen zudem eigene europäische Rechtsgrundlagen.
Wichtig ist außerdem die Unterscheidung zwischen der Veröffentlichung einer europäischen Norm und ihrer formalen Referenzierung als harmonisierte Norm im Amtsblatt der Europäischen Union.
Für die ersten sechs DPP-Standards erfolgte diese Referenzierung bereits mit dem Durchführungsbeschluss (EU) 2026/1736 vom 14. Juli 2026.
Die Fundstellen der beiden neuen Normen EN 18239 und EN 18246 sind darin noch nicht enthalten. Nach dem im November 2026 veröffentlichten Planungsstand der Europäischen Kommission zum Digitalen Produktpass ist ihre ergänzende Referenzierung für November 2026 vorgesehen.
Diese Unterscheidung ist rechtlich relevant: Erst die Veröffentlichung der Fundstelle einer harmonisierten Norm im EU-Amtsblatt kann im jeweiligen Anwendungsbereich die sogenannte Konformitätsvermutung begründen.
Die Normen sollten deshalb nicht mit einer eigenständigen, unmittelbar für sämtliche Produkte geltenden DPP-Pflicht gleichgesetzt werden. Sie konkretisieren vielmehr die technischen Anforderungen, auf deren Grundlage entsprechende Lösungen umgesetzt werden können.
Was Unternehmen jetzt vorbereiten sollten
Auch wenn nicht für jede Produktgruppe bereits verbindliche DPP-Anforderungen vorliegen, lassen sich aus den neuen Standards schon heute sinnvolle Maßnahmen ableiten.
1. Produktdaten nach Vertraulichkeit klassifizieren
Zunächst sollte geklärt werden, welche Informationen öffentlich zugänglich sein können und welche Daten einen besonderen Schutz benötigen. Dabei ist zwischen regulatorisch vorgeschriebenen Informationen, freiwillig bereitgestellten Angaben und vertraulichen Geschäftsdaten zu unterscheiden.
2. Zugriffsrechte und Verantwortlichkeiten definieren
Unternehmen sollten nachvollziehen können, wer Produktinformationen erstellt, bearbeitet, freigibt und weitergibt. Ein rollenbasiertes Berechtigungskonzept kann dabei unterstützen, interne und externe Datenzugriffe gezielt zu steuern. Für unternehmensübergreifende Prozesse muss zusätzlich geklärt werden, wie Berechtigungen überprüft und gegebenenfalls wieder entzogen werden.
3. Herkunft und Änderungen von Daten dokumentieren
Für wichtige Produktinformationen empfiehlt es sich, Datenquellen, Aktualisierungen und Freigaben systematisch zu dokumentieren. Das erleichtert die Nachvollziehbarkeit und kann die spätere technische Absicherung von Herkunft und Integrität unterstützen. Besonders bei Zulieferdaten sollten klare Verfahren für die Prüfung und Aktualisierung vereinbart werden.
4. Bestehende IT-Systeme auf Anschlussfähigkeit prüfen
ERP-, PIM-, PLM- und weitere Datenmanagementsysteme sollten hinsichtlich ihrer Schnittstellen, Datenstrukturen und Berechtigungskonzepte betrachtet werden. Dabei geht es nicht zwingend um die Einführung neuer Software, sondern zunächst um die Frage, welche vorhandenen Komponenten für die Bereitstellung sicherer und interoperabler DPP-Daten genutzt werden können.
5. Sicherheitsanforderungen frühzeitig berücksichtigen
Wer DPP-Lösungen entwickelt oder externe Dienstleister einbindet, sollte Informationssicherheit von Beginn an berücksichtigen. Dazu gehören beispielsweise sichere Schnittstellen, geeignete Authentifizierungsverfahren, die Protokollierung relevanter Änderungen und belastbare Prozesse für den Umgang mit Sicherheitsvorfällen. Die konkreten Anforderungen sollten anhand der geltenden Normen und produktspezifischen Vorschriften geprüft werden.
Diese Schritte sind nicht nur im Hinblick auf den Digitalen Produktpass sinnvoll. Sie können auch bestehende Produktdatenprozesse verbessern und dazu beitragen, Informationen unternehmensweit zuverlässiger zu nutzen.
Fazit: Sichere Produktdaten werden zur Grundlage digitaler Transparenz
Mit DIN EN 18239 und DIN EN 18246 erreicht die europäische Normung des Digitalen Produktpasses einen weiteren wichtigen Meilenstein. Die beiden Standards ergänzen den technischen Rahmen um Anforderungen, die für einen vertrauenswürdigen Austausch von Produktinformationen unverzichtbar sind.
Dabei wird deutlich, dass Transparenz und Datensicherheit keine Gegensätze darstellen müssen. Ein gut konzipierter Digitaler Produktpass kann relevante Informationen zugänglich machen und zugleich vertrauliche Geschäftsdaten schützen. Voraussetzung sind klare Berechtigungen, sichere Informationssysteme und nachvollziehbare Verfahren zur Absicherung der Datenintegrität.
Für die betriebliche Praxis bedeutet dies, dass die Vorbereitung auf den DPP weit über die Auswahl eines Datenträgers oder einer Softwarelösung hinausgeht. Entscheidend ist eine Dateninfrastruktur, die Produktinformationen strukturiert verwaltet, ihre Herkunft nachvollziehbar macht und einen sicheren Austausch zwischen unterschiedlichen Akteuren ermöglicht.
Der Digitale Produktpass ist damit nicht nur ein Instrument für mehr Produkttransparenz, sondern auch ein Treiber für professionelles, sicheres und interoperables Produktdatenmanagement. Unternehmen, die diese Grundlagen frühzeitig schaffen, verbessern nicht nur ihre Ausgangsposition für kommende regulatorische Anforderungen, sondern stärken zugleich die Qualität und Verlässlichkeit ihrer bestehenden Datenprozesse.