Alle acht DPP-Normen sind veröffentlicht. Nur sechs sind im Amtsblatt gelistet.

Im Mai 2026 hat CEN/CENELEC JTC 24 sechs der acht harmonisierten Normen für digitale Produktpässe veröffentlicht. Wir haben damals darüber geschrieben und darauf hingewiesen, dass zwei noch fehlten.

Sie fehlen nicht mehr. EN 18239 und EN 18246 wurden am 17. August 2026 von CEN angenommen und am 16. September als SS-EN übernommen. Der Satz ist vollständig.

Das ist der Teil, über den alle berichten werden. Wichtiger ist, dass die Vollständigkeit des Satzes nicht alle acht gleichgestellt hat, und der Unterschied ist keine Formalie.

Sechs sind gelistet, zwei nicht

Der Durchführungsbeschluss (EU) 2026/1736 der Kommission listet sechs Normen im Amtsblatt der Europäischen Union:

EN 18239 (Zugriffsrechteverwaltung, Informationssystemsicherheit und Geschäftsgeheimnisse) und EN 18246 (Datenauthentizität, Zuverlässigkeit und Integrität) stehen nicht auf dieser Liste.

Erst die Veröffentlichung der Fundstelle im Amtsblatt verleiht einer harmonisierten Norm Rechtswirkung. Eine gelistete harmonisierte Norm begründet eine Konformitätsvermutung (ESPR Artikel 41): Wenden Sie sie an, wird vermutet, dass Sie die entsprechende rechtliche Anforderung erfüllen, solange niemand das Gegenteil beweist. Eine nicht gelistete Norm begründet keine solche Vermutung, wie neu sie auch sein mag und wie gut sie auch ist.

Die beiden neuesten Normen befinden sich also in einer eigentümlichen Lage. Sie sind real, sie sind käuflich, sie geben die abgewogene Sicht des Komitees wieder, das auch die anderen sechs geschrieben hat – und sie anzuwenden ist eine Entscheidung, keine Verteidigung. Sie können nicht auf EN 18246 zeigen und sagen, dass für Sie die Konformitätsvermutung gilt. Das kann auch sonst niemand, und das ist gut zu wissen, wenn ein Wettbewerber harmonisierte Konformität mit „allen acht“ beansprucht.

Beide werden höchstwahrscheinlich in einer späteren Änderung des Durchführungsbeschlusses gelistet. Bis dahin lautet die ehrliche Formulierung „wir wenden sie an“, nicht „wir sind konform“.

Wenn wir schon korrigieren: Es gibt keine EN 18217

Die Reihe wird fast überall als EN 18216–18223 geschrieben, auch von Leuten, die es besser wissen müssten. Sie ist kein lückenloser Bereich.

Es gibt weder EN 18217 noch EN 18218. Die acht sind 18216, 18219, 18220, 18221, 18222, 18223, 18239 und 18246. Wer den Bereich als 18216–18223 schreibt, erfindet zwei Normen, die es nicht gibt, und lässt die beiden weg, die zuletzt veröffentlicht wurden.

Wenn Sie diese Normen in einer Spezifikation, einem Angebot auf eine Ausschreibung oder einem Lieferantenfragebogen zitieren, zitieren Sie sie mit Nummer und Abschnitt. Ein Bereich ist in beide Richtungen falsch.

Was sich von außen tatsächlich prüfen lässt

Unser Validator folgt dem veröffentlichten Satz. Er führt zehn Prüfungen über sieben der acht Normen aus, gegen jede Pass-URL, ohne Mitwirkung des Herausgebers und ohne Konto.

Sieben, nicht acht. EN 18239 behandelt Zugriffskontrolle, Sicherheit und Vertraulichkeit, und fast nichts darin lässt sich von einem Fremden mit einer einzigen Anfrage beantworten. Wir setzen sie um – Zugriff auf Zeilenebene je Mandant, kurzlebige Tokens statt geteilter Schlüssel, eine Ratenbegrenzung im Resolver nach §5.2 Punkt 11 –, aber eine Norm umzusetzen und sie von außen zu prüfen sind zwei verschiedene Dinge, und eine Prüfung, die nicht fehlschlagen kann, ist keine Prüfung.

Dieselbe Zurückhaltung gilt innerhalb von EN 18246. Ihre gewichtigsten Anforderungen betreffen den Nachweis, dass ein Pass und sein Datenträger echt sind, und dafür braucht es kryptografische Signaturen. Noch signiert niemand irgendetwas – wir nicht, und auch sonst niemand –, und eine Prüfung, die kein Pass der Welt bestehen kann, lehrt den Leser nichts. Drei ihrer Abschnitte lassen sich von außen beantworten. Genau diese drei führen wir aus.

Die Prüfung, an der die meisten Pässe scheitern werden

Von diesen dreien wird eine viele überraschen.

EN 18246 §5.1.2 verbietet es, personenbezogene Informationen von natürlichen Personen zu erheben, die öffentliche Passdaten lesen. §5.1.5 verlangt, dass Profiling verhindert wird. Zusammen gelesen beschreiben sie genau das, was ein Analytics-Tag tut: einem Leser eine Kennung zuweisen, ihm über Seiten hinweg folgen, das an einen Dritten senden.

Ein digitaler Produktpass, der Google Analytics, Meta Pixel, Hotjar, Clarity oder Segment lädt, erhebt personenbezogene Informationen von jemandem, dessen einzige Handlung darin bestand, einen QR-Code auf einem Pullover zu scannen. Der Validator sucht nach dem Host des Trackers in der Seite, die ein Verbraucher tatsächlich erhält, nicht nach einem Skript-Dateinamen, denn jeder dieser Dienste wird unter einem halben Dutzend Namen ausgeliefert.

Diese Prüfung zu veröffentlichen ist unbequem, deshalb sollten wir unsere eigene Lage offen benennen: Unser Resolver fügt ein GA4-Tag ein, wenn ein Mandant eine Mess-ID hinterlegt. Die Funktion existiert, und jeder Mandant, der eine hinterlegt, fällt in unserem eigenen Validator auf unseren eigenen Seiten bei dieser Prüfung durch. Nur solche Prüfungen lohnt es sich zu schreiben. Eine, die den Autor ausnimmt, ist Marketing.

Wenn Sie auf Ihren Passseiten Analytics einsetzen, lautet die Frage an Ihre Rechtsabteilung nicht, ob für das Tracking eine Einwilligung vorliegt – sondern ob §5.1.2 es auf der öffentlichen Hälfte eines Passes überhaupt zulässt.

Die Vorgabe in EN 18239, die es schwierig macht

EN 18239 §5.2 Punkt 11 verlangt, dass der Zugang zu DPP-Diensten „so begrenzt werden muss, dass Angriffe oder unbefugtes massenhaftes Data Scraping verhindert werden“.

Die naheliegenden Umsetzungen sind alle durch andere Abschnitte desselben Normenpaars ausgeschlossen:

• Ein API-Schlüssel oder ein Login? EN 18246 §4.3 besagt, dass öffentliche Daten ohne Authentifizierung ausgeliefert werden müssen. EN 18239 §5.2(2) sagt dasselbe und nennt als Grund, eine Diskriminierung nach geografischem Standort zu vermeiden.
• Nach Land sperren? EN 18239 §5.2(3) besagt, dass der Zugang nicht allein aufgrund des Standorts oder der Rechtsordnung des Akteurs verweigert werden darf.
• Eine CAPTCHA-Sperre? Dasselbe Problem, und sie verstößt gegen §5.4.2 zur Lesbarkeit auf jedem Verbrauchergerät.
• IP-Adressen protokollieren, um Missbrauch zu erkennen? Eine IP-Adresse ist ein personenbezogenes Datum, und §5.1.2 verbietet es, personenbezogene Informationen von Lesern öffentlicher Daten zu erheben.
• Bots sperren? EN 18246 §5.1.8 besagt, dass robuste Mechanismen gegen Scraping umgesetzt werden sollten, und im selben Atemzug, dass das System nützlichen Suchmaschinen erlauben darf, DPP-Daten zu indexieren. Eine Begrenzung, die den Googlebot sperrt, ist nicht sicherer, sondern falsch.

Übrig bleibt wenig: drosseln anhand eines gesalzenen Hashes der Adresse, der für die Dauer eines Zeitfensters im Arbeitsspeicher gehalten und nirgends gespeichert wird. Was die Minute überdauert, ist eine Zahl, und eine Zahl bezieht sich auf keine Person.

Das ist eine echte technische Einschränkung, und sie gehört zu den Dingen, die erst sichtbar werden, wenn man die Normen zusammen liest statt einzeln.

Was Sie damit tun sollten

1. Schreiben Sie den Bereich nicht mehr. EN 18216–18223 erfindet zwei Normen und lässt zwei weg. Zitieren Sie mit Nummer und Abschnitt.
2. Trennen Sie in Ihren eigenen Aussagen „veröffentlicht“ von „im Amtsblatt gelistet“. Sechs begründen eine Konformitätsvermutung. Zwei noch nicht. Wer harmonisierte Konformität mit allen acht beansprucht, beansprucht etwas, das es derzeit nicht gibt.
3. Sehen Sie sich an, was Ihre Passseiten laden. Wenn auf der öffentlichen Hälfte ein Analytics-Tag sitzt, ist EN 18246 §5.1.2 ein Gespräch, das Sie führen sollten, bevor jemand anderes es anstößt.
4. Kaufen Sie die Normen. Sie sind bei SIS und en-standard.eu erhältlich. Sechs davon entscheiden, ob für Ihre Umsetzung die Konformitätsvermutung gilt, und keine der kursierenden Zusammenfassungen – diese eingeschlossen – ersetzt den Text.

Sie können die oben genannten Prüfungen unter dppagent.com/validate gegen jede Pass-URL ausführen, auch gegen Pässe, die nicht von uns stammen. Der Bericht ist nach Norm und Abschnitt gegliedert und sagt, welche Befunde nur teilweise gelten und warum.

Quellen

In diesem Artikel verwendete Primärquellen:

• Durchführungsbeschluss (EU) 2026/1736 der Kommission – Veröffentlichung der Fundstellen harmonisierter Normen für digitale Produktpässe im Amtsblatt
• EN 18216 (Datenaustauschprotokolle), EN 18219 (eindeutige Kennungen), EN 18220 (Datenträger), EN 18221 (Datenspeicherung, Archivierung und Datenpersistenz), EN 18222 (APIs für Lebenszyklusverwaltung und Durchsuchbarkeit von Pässen), EN 18223 (Systeminteroperabilität) – CEN/CENELEC JTC 24, veröffentlicht im Mai 2026
• EN 18239 (Zugriffsrechteverwaltung, Informationssystemsicherheit und Geschäftsgeheimnisse) und EN 18246 (Datenauthentizität, Zuverlässigkeit und Integrität) – von CEN am 17. August 2026 angenommen, am 16. September 2026 als SS-EN übernommen
• Verordnung (EU) 2024/1781 (ESPR), Artikel 4, 9 und 10 – EUR-Lex

Die Abschnittsverweise in diesem Artikel beziehen sich auf die lizenzierten Ausgaben SS-EN 2026. Normen sind urheberrechtlich geschützte Dokumente und können hier nicht wiedergegeben werden; die Abschnittsnummern werden angegeben, damit der Text mit den Originalen abgeglichen werden kann.