31. März 2025
Einführung
Ein digitaler Produktpass (DPP) ist nur dann belastbar, wenn sich Produktdaten, Datenherkunft und freigegebener Stand eindeutig voneinander unterscheiden lassen. Wird zusätzlich eine elektronische Signatur eingesetzt, sollte sie nicht als Ersatz für Datenqualität oder Herkunftsnachweise behandelt werden, sondern den konkret geprüften Stand bestätigen.
Für Produktteams bedeutet das: Zuerst muss feststehen, welches Produkt und welche Datenversion der Pass beschreibt. Danach wird dokumentiert, aus welchen Quellen die einzelnen Angaben stammen und wer sie verantwortet. Erst auf dieser Grundlage kann ein definierter Passstand freigegeben und – sofern der Prozess dies vorsieht – elektronisch signiert werden.
Nota Sign unterstützt entsprechende Signaturabläufe mit fortgeschrittenen und qualifizierten elektronischen Signaturen (AES/QES). Ob und welche Signatur für einen digitalen Produktpass eingesetzt werden soll, hängt jedoch vom konkreten Anwendungsfall und den dafür geltenden Anforderungen ab. Eine elektronische Signatur macht unvollständige oder falsch zugeordnete Produktdaten nicht automatisch verlässlich.
Produkt, Pass und Verantwortlichkeit eindeutig zuordnen
Am Anfang steht die eindeutige Verbindung zwischen Produkt und Produktpass. Produktkennung, Passkennung, Geltungsbereich und verantwortliche Stelle sollten so erfasst werden, dass der Pass später nicht mit einer anderen Produktvariante oder Datenfassung verwechselt werden kann.
Ebenso sollte feststehen, welche Organisation oder Funktion den Pass freigibt. Diese Verantwortlichkeit ist von der Herkunft einzelner Datenwerte zu unterscheiden: Der Aussteller kann den Gesamtstand freigeben, während einzelne Angaben beispielsweise aus unterschiedlichen internen oder externen Quellen stammen.
Vor der weiteren Verarbeitung sollte außerdem geprüft werden, ob der Pass die für den vorgesehenen Anwendungsfall benötigten Felder enthält und ob die referenzierten Produktdaten tatsächlich zum benannten Produkt gehören.
Einen freigegebenen Datenstand statt einer laufenden Arbeitsfassung verwenden
Ein digitaler Produktpass sollte nicht auf einer fortlaufend veränderbaren Arbeitsfassung signiert oder freigegeben werden. Für den Abschluss braucht es einen eindeutig identifizierbaren Datenstand, auf den sich spätere Prüfungen beziehen können.
Dazu kann der Prozess eine Versionskennung, einen Zeitstempel oder einen technischen Prüfwert verwenden. Ein Hash kann beispielsweise helfen, einen konkreten Datenstand technisch zu referenzieren. Entscheidend ist jedoch das Zusammenspiel: Produktkennung, Datenversion und Nachweis müssen gemeinsam erkennen lassen, welcher Stand tatsächlich freigegeben wurde.
Ändern sich Produktdaten nach der Freigabe, sollte daraus eine neue Version entstehen. Die frühere Fassung bleibt als historischer Stand erhalten, statt stillschweigend überschrieben zu werden. So lässt sich später unterscheiden, welche Daten zu welchem Zeitpunkt Bestandteil des Passes waren.
Datenherkunft je Information nachvollziehbar dokumentieren
Die Qualität eines Produktpasses hängt nicht nur von den enthaltenen Werten ab, sondern auch davon, ob ihre Herkunft nachvollziehbar ist. Für relevante Angaben sollte deshalb erkennbar bleiben, aus welcher Quelle sie stammen, wann sie erhoben oder übernommen wurden und welche Stelle dafür verantwortlich war.
Dabei sollten Datenwert und Herkunftsinformation getrennt geführt werden. Der Wert beschreibt beispielsweise eine Produkteigenschaft; die Herkunft dokumentiert, woher diese Angabe stammt und wie sie in den Pass gelangt ist.
Wenn Daten aus mehreren Systemen oder Organisationen zusammengeführt werden, wird diese Trennung besonders wichtig. Sie hilft Produktteams, spätere Korrekturen gezielt vorzunehmen und nachvollziehen zu können, ob eine Änderung auf einer neuen Quelle, einer Korrektur oder einer aktualisierten Produktfassung beruht.
Signatur auf den geprüften Passstand beziehen
Wenn der DPP-Prozess eine elektronische Signatur vorsieht, sollte sie sich auf genau den zuvor freigegebenen Datenstand beziehen. Die Signatur bestätigt dann nicht abstrakt „das Produkt“, sondern einen konkreten, versionierten Passstand.
Zum Signaturnachweis können – abhängig vom eingesetzten Verfahren – Signaturzeitpunkt, Signaturdaten und die Zuordnung zur freigegebenen Fassung gehören. Diese Informationen sollten gemeinsam mit der Passkennung und der betreffenden Datenversion auffindbar bleiben.
Nota Sign kann für solche Abläufe AES oder QES unterstützen. Die Entscheidung über die geeignete Signaturstufe sollte jedoch getrennt von der Datenprüfung getroffen werden. Datenherkunft, Versionskontrolle und Signatur erfüllen unterschiedliche Funktionen und sollten deshalb auch im Nachweis getrennt erkennbar bleiben.
Änderungen nach der Signatur als neue Version behandeln
Ein häufiges Risiko entsteht, wenn Produktdaten nach einer Freigabe geändert werden, ohne dass der Status der früheren Signatur klar bleibt. Deshalb sollte jede relevante Änderung einen neuen Passstand erzeugen, statt den bereits bestätigten Datensatz zu überschreiben.
Der neue Stand durchläuft erneut die erforderlichen Prüfungen zur Datenherkunft und Freigabe. Wenn der Prozess eine Signatur verlangt, wird anschließend auch diese auf die neue Version bezogen. Die frühere Fassung bleibt mit ihrem ursprünglichen Nachweis erhalten.
So entsteht eine nachvollziehbare Historie: Welche Daten waren enthalten, woher stammten sie, wer gab den Stand frei und welche Signatur gehörte zu welcher Version?
Passablauf vor der Veröffentlichung freigeben
Vor der Veröffentlichung oder Bereitstellung des digitalen Produktpasses sollte das Team den Ablauf Ende zu Ende prüfen. Vier Punkte müssen zusammenpassen: das richtige Produkt, der freigegebene Datensatz, die dokumentierte Herkunft der relevanten Angaben und – sofern vorgesehen – die Signatur auf genau diesem Stand.
Erst wenn diese Zuordnung eindeutig ist, sollte der Pass veröffentlicht oder an nachgelagerte Systeme übergeben werden. Für wiederkehrende Produktpassprozesse empfiehlt sich ein standardisierter Freigabeablauf, damit neue Versionen nach denselben Kontrollen erstellt werden.
Für elektronische Signaturprozesse zeigt die Produktseite Elektronische Signatur die entsprechenden Möglichkeiten. Wiederverwendbare Dokumenten- und Freigabeprozesse lassen sich über die Vorlagenübersicht strukturieren.
