texpas.eu
Anmelden Registrieren

wie wird verhindert, dass jemand meine Produktpass-Daten hackt oder fälscht

Sicherheit liegt im Design, nicht als nachträgliche Ergänzung

Das Produktpass wird so aufgebaut, dass Daten nicht unbemerkt geändert werden können und dass klar ist, wer welche Informationen geliefert hat. Die ESPR schreibt vor, dass der digitale Produktpass technisch so eingerichtet wird, dass die Herkunft der Daten feststeht, dass Änderungen auf die Partei zurückzuführen sind, die sie vorgenommen hat, und dass der Zugriff zum Ändern von Daten auf diejenigen beschränkt ist, die dazu berechtigt sind. Das ist kein separates Sicherheitssystem, das eine Plattform darüber legt, sondern eine Anforderung, die in den Kern des Passes selbst verankert ist: jeder Pass hat eine feste, eindeutige Verknüpfung mit dem Produkt, und diese Verknüpfung — einschließlich der Geschichte dessen, was darin eingegeben wurde — muss überprüfbar sein.

Für wen dies gilt und was nicht darunter fällt

Diese Anforderung gilt für den Pass als Ganzes: die Art und Weise, wie Daten gespeichert werden, wer sie ändern darf, und wie nachvollziehbar ist, was wann eingegeben wurde. Es geht also nicht um die Frage, ob ein Pass "manipulationssicher" ist in dem Sinne, dass jede Form von Missbrauch technisch unmöglich gemacht wurde — diese Garantie gibt kein System, und die ESPR verspricht das auch nicht. Es geht um Schutzmaßnahmen gegen unbefugten Zugriff und gegen Manipulation, ohne dass diese nachverfolgbar ist. Auch wichtig zu unterscheiden: die Sicherung der Daten im Pass ist etwas anderes als die Frage, wie jemand zum Pass gelangt. Letzteres läuft über den QR-Code auf dem Produkt und, sofern zutreffend, über GS1 Digital Link als technischer Standard für diese Verknüpfung. Die Sicherheit, über die dieser Artikel spricht, liegt also nicht im QR-Code selbst, sondern im System dahinter, in dem die Daten stehen.

Dies gilt nicht für die Frage, wer inhaltlich für die Richtigkeit der Daten verantwortlich ist. Ein gesichertes System verhindert, dass ein Unbefugter etwas ändert; es verhindert nicht, dass die Partei, die die Daten liefert, einen Fehler macht. Für dieses Thema — einen Fehler, der bereits eingetragen ist — gibt es eine separate Antwort einen Fehler in einem veröffentlichten Produktpass korrigieren.

Noch kein festes Datum, aber eine feste Richtung

Der Zeitpunkt, zu dem diese Anforderungen konkret für Kleidung und Textilien ausgefüllt werden, hängt von der delegierten Handlung ab, die die Europäische Kommission für diese Produktgruppe erarbeitet. Diese wird nach dem aktuellen Arbeitsplan 2027 erwartet, wobei Kleidung mit einem Anteil von achtzig Prozent oder mehr Textilfasern die erste Kategorie darstellt. Ein genaues Datum, ab dem der Produktpass — und damit auch die Sicherheitsanforderungen in der Praxis — für Kleidung verpflichtend wird, steht noch nicht fest. Was jedoch bereits feststeht, ist der Rahmen der ESPR selbst: die Artikel über die Anforderungen und das technische Design des Passes gelten als Grundlage, und die delegierte Handlung vervollständigt diese für jede Produktgruppe. Sobald diese Handlung veröffentlicht ist, wird diese Seite mit dem dann geltenden Datum aktualisiert.

Was dies praktisch für die Gestaltung eines Produktpasses bedeutet

Der erste Schritt besteht darin zu wissen, dass die Herkunft der Daten einen festen Platz im System hat: Für jede Information im Produktpass ist dokumentiert, wer sie geliefert hat und wann. Dies bedeutet, dass eine Kleidungsmarke oder ein Importeur, die Daten an die Partei weitergeben, die den Produktpass zusammenstellt, sich nicht separat um den technischen Schutz vor Manipulation kümmern muss — dieser ist in der Gestaltung des Produktpasses selbst eingebaut, nicht in dem, was die liefernde Partei hinzufügt. Worauf Aufmerksamkeit gelegt wird, ist die eigene Seite des Prozesses: wie Daten geliefert werden und ob dieser Prozess selbst nachvollziehbar ist. Wer erwägt, Daten direkt aus einem eigenen Betriebssystem durchlaufen zu lassen, beispielsweise durch den Produktpass mit einem ERP- oder Lagerverwaltungssystem zu verbinden, tut gut daran zu prüfen, wie diese Verbindung selbst gesichert ist — denn ein Leck auf dieser Seite der Leitung untergräbt die Zuverlässigkeit des Produktpasses genauso wie eine Schwachstelle im Produktpass selbst.

Ein zweiter Punkt zum Merken: Die Frage nach dem Schutz vor Fälschungen hängt eng zusammen mit der Frage, wie lange Daten verfügbar und zuverlässig bleiben müssen. Zu diesem Thema gibt es eine separate Antwort über wie lange ein Passierschein verfügbar bleiben muss — Sicherheit ist nämlich nicht etwas, das bei der Veröffentlichung einmalig in Ordnung ist, sondern etwas, das über die gesamte Laufzeit des Passierscheins aufrechterhalten bleiben muss.

Die gesetzliche Grundlage: Artikel 10 und 11 der ESPR

Diese Anforderungen folgen aus Artikel 10 der ESPR (Verordnung (EU) 2024/1781), der die allgemeinen Anforderungen für das digitale Produktpassierschein festlegt, und aus Artikel 11 derselben Verordnung, der sich speziell mit der technischen Gestaltung und dem Betrieb des Passierscheins befasst. Zusammen bilden diese Artikel den Rahmen, in dem die Herkunft von Daten, die Zugriffskontrolle und die Nachverfolgung von Änderungen geregelt werden. Die genaue technische Ausgestaltung — welche Standards, welche Protokolle — wird in den delegierten und Durchführungshandlungen weiter ausgearbeitet, die die Kommission pro Produktgruppe erlässt.

Wer jetzt schon ein Produktpassierschein vorbereitet, sollte am besten bei den Grundlagen beginnen: sicherstellen, dass jedes Produkt ein eindeutigen Identifikationscode erhält, und überprüfen, welche Daten später in das Europäische Register für Produktpassierscheine gelangen — die Sicherheit des Passierscheins baut nämlich auf dieser zugrunde liegenden Struktur auf.

Worauf dies basiert

Die Verordnung selbst steht auf EUR-Lex. Wir verweisen pro Aussage; Sie müssen uns nicht glauben.

Was Sie konkret tun müssen

Was von Ihnen erwartet wird

Zugriff auf Daten richtig einstellen

Artikel 10 der ESPR (Verordnung (EU) 2024/1781) unterscheidet zwischen Daten, die für jeden zugänglich sind, und Daten, die nur für bestimmte Parteien bestimmt sind, wie Aufsichtsbehörden oder Marktteilnehmer weiter in der Kette. Für ein Unternehmen mit 10 bis 100 Mitarbeitern bedeutet dies in der Praxis, dass nicht alle Informationen, die über ein Produkt vorhanden sind, auch für den Verbraucher sichtbar sein sollten, der den QR-Code scannt. Wer das Passierschein zusammenstellen lässt, gibt dabei an, welche Daten öffentlich sind und welche beschränkt zugänglich bleiben — diese Einteilung ist nicht in einem technischen System festgelegt, sondern folgt aus den gelieferten Daten.

Sicherstellen, dass Daten nicht unbemerkt geändert werden können

Artikel 11 der ESPR beschreibt Anforderungen an die technische Gestaltung und den Betrieb des digitalen Produktpassierscheins, einschließlich der Zuverlässigkeit der darin enthaltenen Daten. Dies berührt unmittelbar die Frage, ob jemand später ein Passierschein manipulieren kann. Für eine Marke oder einen Importeur bedeutet dies, dass die Daten, die einmal geliefert und veröffentlicht wurden, zur Quelle und zum Zeitpunkt der Lieferung rückverfolgbar bleiben müssen. Eine spätere Änderung ist also keine Frage von "die Datei anpassen", sondern von einer neuen, rückverfolgbaren Version.

Dokumentieren, wer welche Daten geliefert hat

Eine dritte praktische Erwartung, die sich aus denselben Artikeln ergibt, ist, dass nachweisbar sein muss, wer welche Daten geliefert hat und wann. Für Unternehmen mit mehreren Marken, private Labels oder mehreren Herstellern, die unter einer BV liefern, bedeutet dies, dass die Verwaltung rund um die Lieferung — wer schickte welches Zertifikat, welche Zusammensetzung, welche Waschanleitung — in Ordnung sein muss. Das ist nicht nur eine Frage der Sicherheit vor Hackern, sondern auch der Nachweisbarkeit: Wenn sich ein Passierschein als falsch erweist, muss nachverfolgbar sein, woher diese Information kam.

Verhindern, dass das Passierschein ein kopierbares Ziel wird

Die Frage "kann jemand mein Passierschein fälschen" geht oft nicht um das Passierschein selbst, sondern um den Datenträger: den QR-Code auf dem Kleidungsstück. Ein QR-Code, der einfach auf einen Link verweist, kann auf ein gefälschtes Produkt kopiert werden. Wie dieser Datenträger angebracht wird und welche Verbindung er mit der eindeutigen Identität des Produkts herstellt, bestimmt mit, wie schwierig das ist. Mehr über die Art und Weise, wie dieser Code auf das Kleidungsstück gelangt, wird auf der Seite über beschrieben wie der QR-Code für das Produktpaspoort auf Kleidung und Textilien kommt.

Wo es in der Praxis schiefgehen kann

Eine erste Situation, die häufig vorkommt: Ein Unternehmen lässt einen Lieferanten oder ein externes Büro den Produktpass ausfüllen, hat aber selbst keine Kopie dessen, was genau eingereicht wurde. Wenn später eine Frage zur Richtigkeit einer Angabe auftaucht, lässt sich nicht mehr nachvollziehen, wer diese Angabe eingegeben hat und auf welcher Grundlage welchen Dokuments.

Eine zweite Situation entsteht, wenn eine Produktionslinie angepasst wird — eine andere Faserkomposition, eine andere Waschanleitung — aber der bestehende Produktpass nicht aktualisiert wird. Der Produktpass bleibt dann online mit veralteten Informationen stehen, was wie eine Fälschung aussehen kann, während es tatsächlich ein Verwaltungsfehler ist. Dies berührt die Frage, wie ein Fehler in einem bereits veröffentlichten Produktpass zu beheben ist, was ausführlicher auf der Seite über beschrieben ist. einen Fehler in einem veröffentlichten Produktpasswort entdecken.

Eine dritte Situation: Ein QR-Code wird unabhängig vom Produkt auf ein leicht zu entfernendes und auf ein anderes Kleidungsstück zu verlegendes Etikett gedruckt. Ohne eine stabile Verknüpfung zwischen dem Code und einer eindeutigen Kennzeichnung des spezifischen Produkts liegt eine Fälschung durch einfaches Überkleben eines Etiketts nahe. Wie ein Produkt eine eindeutige, nicht übertragbare Kennzeichnung erhält, wird auf der Seite über beschrieben. jedem Produkt eine eindeutige Kennzeichnung zu erteilen.

Eine vierte Situation tritt bei Unternehmen auf, die selbst eine Verknüpfung zwischen ihrem ERP-System und dem Produktpass aufbauen, ohne klar zu machen, wer innerhalb der Organisation berechtigt ist, Daten zu ändern. Wenn mehrere Mitarbeiter unkontrolliert in das zugrunde liegende System schreiben können, entsteht ein Risiko, das nicht von außen kommt, sondern von innen. Wer erwägt, ein eigenes System anzukoppeln, findet weitere Informationen zu den Aufmerksamkeitspunkten hierzu auf der Seite über. den Produktpass an ein eigenes ERP- oder Lagerverwaltungssystem anzukoppeln.

Eine fünfte Situation: Ein Unternehmen stellt eine Kollektion ein oder wechselt zu einem anderen Partner, und niemand denkt daran zu fragen, was mit den bereits veröffentlichten Produktpässen geschieht. Ein Produktpass, der nicht mehr gepflegt wird, aber online bleiben, ist ein attraktiveres Ziel für Missbrauch als ein Produktpass, der aktiv verwaltet wird.

Was Sie dokumentieren können

  • Eine Übersicht, wer innerhalb der Organisation (oder bei einer externen Stelle) berechtigt ist, Daten einzureichen oder zu ändern, einschließlich eines Datums, an dem diese Berechtigung erteilt wurde.
  • Eine Kopie aller Dokumente, die zur Erstellung des Produktpasses eingereicht wurden — Zertifikate, Zusammensetzungserklärungen, Waschanleitung — verknüpft mit dem Einreichungsdatum und dem Namen der einreichenden Stelle.
  • Ein festgelegtes Verfahren für den Fall, dass ein Fehler in einem veröffentlichten Produktpass festgestellt wird: wer die Änderung anfordern darf und wie diese Änderung dokumentiert wird.
  • Vereinbarungen mit Lieferanten oder Herstellern darüber, wer für die Richtigkeit welcher Datensätze verantwortlich ist, besonders relevant, wenn ein Produkt unter mehreren Produktpässen gleichzeitig fällt.
  • Eine Übersicht pro Produktvariante — Größe, Farbe, Zusammensetzung — welche eindeutige Kennzeichnung dieser zugewiesen wurde, damit später überprüft werden kann, ob ein Code zum richtigen Produkt gehört; siehe auch die Seite über. ob jede Größe und Farbe einen eigenen Produktpass erhält.
  • Eine schriftlich festgehaltene Entscheidung darüber, was mit den Produktpässen bei Einstellung einer Geschäftstätigkeit oder Marke geschieht, damit dies nicht spontan in dem Moment entschieden wird, in dem es eintritt.

Dies ist keine Rechtsberatung. Diese Seite bietet allgemeine Informationen über die Regelung, auf die sich diese Plattform bezieht. Wir kennen Ihre Situation nicht. Im Zweifelsfall über Ihren eigenen Fall wenden Sie sich an einen Rechtsanwalt oder die zuständige Aufsichtsbehörde.

Mit KI verfasst auf der Grundlage der oben genannten Quellen, überprüft durch einen Menschen am 05.09.2026. Stimmt etwas nicht? Lassen Sie es uns wissen — Korrektionen haben Vorrang.