Authentizität von QR-Codes für digitale Produktpässe im Jahr 2026

*** > TL;DR: > > - Ein QR-Code auf einem Produkt ist nur dann authentisch, wenn er auf einen vollständigen, digital signierten Digitalen Produktpass verweist, der im EU-Zentralregister registriert ist. > - Die Einhaltung von EU-Standards, kryptografische Signaturen und ein fortlaufendes Lifecycle-Management sind unerlässlich, um die Authentizität von QR-Codes über das bloße Scannen hinaus zu überprüfen. ***

Ein QR-Code auf einem Produktetikett ist authentisch, wenn er zuverlässig auf einen digitalen Produktpass verweist, der die rechtlichen und technischen Anforderungen der EU erfüllt, und nicht lediglich dann, wenn er sich scannen lässt. Diese Unterscheidung ist wichtiger, als die meisten Marken erkennen. Ein Code kann sich einwandfrei scannen lassen und dennoch Authentizitätsprüfungen nicht bestehen, wenn die dahinterliegenden Daten keine qualifizierte elektronische Signatur aufweisen, Pflichtfelder fehlen oder der Code nicht im EU-Zentralregister registriert wurde. Im Rahmen der EU-Regelungen umfasst die Authentizität zwei Ebenen: - Physische Konformität: Der QR-Code selbst muss die technischen Vorgaben für Größe, Fehlerkorrektur, Haltbarkeit und Symbologie gemäß EN 18220:2026 erfüllen, der harmonisierten Norm für Datenträger, die durch den [Durchführungsbeschluss (EU) 2026/1736 der Kommission] angenommen wurde. - Datenintegrität: Der Datensatz des Produktpasses, auf den der Code verweist, muss vollständig, kryptografisch signiert und entweder über das EU-Zentralregister oder mithilfe der Technologie für Verifiable Credentials überprüfbar sein. - Anerkennung im Register: Nur im EU-Zentralregister registrierte Produktpässe, die als vollständig bestätigt wurden und eine gültige qualifizierte elektronische Signatur tragen, erhalten eine eindeutige dauerhafte Kennung, die von Marktüberwachungssystemen geprüft werden kann. - Interoperabilität: Der QR-Code muss eine GS1-Digital-Link-URL codieren, damit die EU-Infrastruktur, Zollsysteme und Prüfwerkzeuge Dritter ihn einheitlich auflösen können. - Fortlaufende Gültigkeit: Authentizität ist kein einmaliger Status. Sie muss während des gesamten Lebenszyklus des Produkts bestehen, einschließlich Aktualisierungen, Eigentumsübertragungen und Wiederverkauf. Das Vorhandensein eines QR-Codes auf einem Produkt garantiert nicht automatisch die Einhaltung regulatorischer Vorgaben. Die Authentizität liegt in der Integrität der verknüpften Daten und der Verifizierung im Register, nicht allein im physischen Kennzeichen.

Der am 14. Juli 2026 veröffentlichte Durchführungsbeschluss (EU) 2026/1736 der Kommission hat sechs harmonisierte Normen für digitale Produktpässe gemäß der Verordnung (EU) 2024/1781 formell angenommen. EN 18220:2026 betrifft speziell Datenträger und legt die technische Grundlage für QR-Codes in digitalen Produktpässen fest. Marken, deren Codes diesen Normen entsprechen, erhalten eine rechtliche Konformitätsvermutung gemäß den Artikeln 10 und 11 der ESPR. Dies ist der unmittelbarste Weg, die Konformität ohne zusätzliche Prüfungen nachzuweisen. Das vollständige Paket der angenommenen Normen umfasst: - EN 18216:2026 — Datenaustauschprotokolle - EN 18219:2026 — Eindeutige Kennungen - EN 18220:2026 — Datenträger (QR-Codes und gleichwertige Lösungen) - EN 18221:2026 — Datenspeicherung, Archivierung und dauerhafte Verfügbarkeit - EN 18222:2026 — APIs für das Lifecycle-Management von Produktpässen - EN 18223:2026 — Systeminteroperabilität Artikel 11 der ESPR schreibt außerdem vor, dass Datenträger während der erwarteten Lebensdauer des Produkts scanbar bleiben. Dies wirkt sich unmittelbar auf Druckqualität, Materialauswahl und den Grad der Fehlerkorrektur aus. > Regulatorischer Prüfpunkt: Das EU-Zentralregister führt für jeden eingereichten Produktpass eine automatische Überprüfung durch und bestätigt die semantische Vollständigkeit, die korrekte Granularitätsebene (Modell, Charge oder serialisiertes Einzelstück) sowie das Vorhandensein einer gültigen qualifizierten elektronischen Signatur gemäß der Verordnung (EU) Nr. 910/2014. Eine erfolgreiche Prüfung löst die Erzeugung einer eindeutigen dauerhaften Registrierungskennung aus. Ohne diese Kennung hat ein Produktpass im Rahmen der EU-Marktüberwachungsregeln keine rechtliche Geltung. Marken aus den Bereichen Mode und Konsumgüter müssen diesen Prüfschritt als strenge Zugangsvoraussetzung und nicht als Formalität behandeln. Wirtschaftsakteure sind rechtlich für die Richtigkeit der von ihnen registrierten Daten verantwortlich, und der Zeitstempel des Registers wird Bestandteil des Registrierungsnachweises.

Die technische Seite der QR-Code-Authentifizierung geht weit über die Frage hinaus, ob sich ein Code scannen lässt. Mehrere ineinandergreifende Spezifikationen bestimmen, ob den verknüpften Daten vertraut werden kann. Anforderungen an den physischen QR-Code gemäß Artikel 11 der ESPR und bewährter GS1-Praxis umfassen: - Symbologie: QR Code (ISO/IEC 18004) oder Data Matrix (ISO/IEC 16022) - Für zuverlässiges Scannen auf Produktoberflächen empfohlene Mindestgröße - Fehlerkorrektur auf einem ausreichenden Niveau, damit die Lesbarkeit während des gesamten Lebenszyklus des Produkts erhalten bleibt - Inhalt: Eine GS1-Digital-Link-URL, die die GTIN des Produkts und, sofern erforderlich, die Seriennummer codiert - Haltbarkeit: Der Code muss unter den erwarteten Umgebungsbedingungen während der gesamten Lebensdauer des Produkts scanbar bleiben Die kryptografische Verifizierung erfolgt auf der Datenebene. Die [Technologie für Verifiable Credentials] ermöglicht dezentralisierte, kryptografisch gesicherte Nachweise der Produktauthentizität, die grenzübergreifend und entlang von Lieferketten unabhängig überprüft werden können, ohne auf eine einzelne zentrale Datenbank angewiesen zu sein. 2025 veröffentlichte das W3C Verifiable Credentials 2.0 als vollständigen Webstandard und schuf damit das Nachweisformat für manipulationssichere, maschinenprüfbare Aussagen über Produkte, die eine Lieferkette durchlaufen. Mithilfe von JSON-LD- und W3C-Standards können Produktpassdaten so strukturiert werden, dass ein Zollinspektor in Rotterdam einen von einem Hersteller in Vietnam ausgestellten Nachweis überprüfen kann, ohne dass eine der beiden Parteien eine Plattform teilen muss. Die Verifizierung ist mathematisch und nicht vertrauensbasiert. Häufige Schwachstellen und Gegenmaßnahmen: - Klonen: Ein gefälschter QR-Code kann die URL kopieren, aber die kryptografische Signatur des zugrunde liegenden Produktpass-Datensatzes nicht nachbilden. Qualifizierte elektronische Signaturen machen geklonte Codes erkennbar. - Manipulation: Jede Änderung an den Produktpassdaten macht die Signatur ungültig und kennzeichnet den Datensatz als verändert. - Veraltete Daten: Marken müssen den aktiven DPP aktuell halten. Eine zwischengespeicherte oder veraltete Version kann zu Verifizierungsfehlern führen, selbst wenn der Code selbst gültig ist. Profi-Tipp: Testen Sie jeden QR-Code vor dem Druck mit mindestens drei verschiedenen Smartphone-Modellen und führen Sie einen GS1-Resolver-Test durch, um zu bestätigen, dass die Digital-Link-URL sowohl für Browseranfragen als auch für maschinenlesbare Anfragen korrekt weiterleitet. Die Überprüfung auf Nutzerseite ist unkompliziert: Die Kamera jedes handelsüblichen Smartphones löst die GS1-Digital-Link-URL auf eine für Menschen lesbare Produktpassseite auf. Marktüberwachungsbehörden senden maschinenlesbare HTTP-Anfragen an dieselbe URL und erhalten strukturierte JSON-LD-Daten. Mithilfe der HTTP-Inhaltsaushandlung werden beide Zielgruppen über einen einzigen Endpunkt bedient.

Authentizität wird nicht nur einmal bei der Markteinführung eingerichtet. Für Marken aus den Bereichen Mode und Konsumgüter erfordert sie eine Governance, die in jede Phase des Produktlebenszyklus integriert ist. Operative Prioritäten: - Integrieren Sie Abläufe für qualifizierte elektronische Signaturen in die Erstellung des Produktpasses und in jede nachfolgende Aktualisierung, damit jede Version einen überprüfbaren Zeitstempel trägt. - Führen Sie einen vollständigen Prüfpfad der Produktpassversionen, einschließlich der Angaben dazu, wer Änderungen wann genehmigt hat, um Anfragen der Marktüberwachung zu erfüllen. - Registrieren Sie jeden Produktpass im EU-Zentralregister, bevor das Produkt auf den EU-Markt gelangt, und bewahren Sie den Registrierungsnachweis als rechtlichen Beleg auf. - Wählen Sie Technologiepartner, deren Plattformen GS1-Digital-Link-konforme URLs erzeugen und die Bereitstellung von JSON-LD-Daten unterstützen, da nicht konforme Codes von der EU-Marktüberwachungsinfrastruktur nicht erkannt werden können. - Entwickeln Sie Protokolle für die Neuausstellung von QR-Codes auf Produkten, die Hitze, Feuchtigkeit, Abrieb oder UV-Strahlung ausgesetzt sind. Dies gilt insbesondere für Textilien, bei denen gewebte Etiketten oder ein besonders haltbarer Druck erforderlich sein können. Profi-Tipp: Planen Sie regelmäßige Prüfungen der Scanbarkeit bereits auf dem Markt befindlicher Produkte ein, insbesondere bei saisonalen Modelinien, die in Lagern aufbewahrt werden. Ein Code, der bei der Produktion einwandfrei gescannt werden konnte, kann sich abnutzen, bevor das Produkt den Verbraucher erreicht. Plattformen wie DPP Grid kombinieren KI-gestützte Datenextraktion, manuelle Validierungsabläufe und eine veröffentlichungsfähige Infrastruktur, um Marken dabei zu unterstützen, Infrastrukturen für Produktauthentizität und Wiederverkauf über den gesamten Produktlebenszyklus hinweg zu verwalten. Die Plattform unterstützt Produktpassaktualisierungen, Nachweisverwaltung und verbraucherorientierte Funktionen wie Eigentumsübertragung und Wiederverkauf, die alle mit demselben authentifizierten QR-Code verknüpft sind. Marken können verifizierte Produktpassdaten auch zur Unterstützung von Rücknahmeprogrammen und Pflichten der Kreislaufwirtschaft im Rahmen von ESPR und GPSR nutzen. Die automatisierte Überprüfung im Register verringert das Markenrisiko, indem sie Datenlücken erkennt, bevor ein Produktpass veröffentlicht wird. Das ist ein wesentlicher operativer Vorteil: Eine Zurückweisung im Register ist deutlich kostengünstiger als eine Beanstandung durch die Marktüberwachung, nachdem das Produkt bereits in den Vertrieb gelangt ist.

Die Authentizität von QR-Codes gemäß den EU-Verordnungen von 2026 wird durch das Zusammenspiel rechtlicher, technischer und kryptografischer Kriterien definiert. Ein scanbarer Code ist der Ausgangspunkt, nicht das Ziel. - Die Authentizität wird durch die Konformität mit EN 18220:2026, qualifizierte elektronische Signaturen und die Registrierung im EU-Zentralregister bestimmt, nicht durch die visuelle Gestaltung des QR-Codes. - Verifiable Credentials und JSON-LD-Standards ermöglichen eine dezentralisierte Verifizierung, die Zollbehörden, Verbraucher und Marktüberwachungsbehörden unabhängig voneinander nutzen können. - Marken tragen die rechtliche Verantwortung für die Richtigkeit der Daten und müssen die Authentizität bei jeder Aktualisierung des Produktpasses und in jeder Phase des Produktlebenszyklus aufrechterhalten. - Nicht konforme oder geklonte QR-Codes setzen Marken dem Risiko eines Scheiterns der Marktüberwachung, eines Produktrückrufs und eines Vertrauensverlusts der Verbraucher in Wiederverkaufsmärkten aus. - DPP Grid unterstützt Marken beim Aufbau nachweisgestützter digitaler Produktpässe mit sicheren QR-Codes und bei der Vorbereitung auf die Registrierung sowie beim fortlaufenden Lifecycle-Management, ohne eine automatische Konformität zu behaupten.

Modemarken und Marken für Konsumgüter, die sich auf die Anforderungen der digitalen Produktpässe der EU vorbereiten, stehen vor einer echten operativen Herausforderung: Die technischen Anforderungen an authentische, für die Registrierung vorbereitete Produktpässe sind hoch, und die betreffenden Daten sind auf Lieferanten, Fabriken und interne Teams verteilt. DDP Grid wurde genau für diese Situation entwickelt. Die Plattform ermöglicht es Marken, Produkte aus Shopify, CSV oder über eine API zu importieren, Lieferantendaten zu erfassen, ergänzende Nachweise hochzuladen und dauerhafte Produktpassseiten mit QR-Codes zu veröffentlichen, die die technischen Anforderungen der EU erfüllen. Die KI-gestützte Extraktion beschleunigt die Datenerfassung; die menschliche Prüfung hält den Datensatz korrekt. Marken erhalten einen vollständigen Prüfpfad, eine Versionshistorie und die Infrastruktur, um über Wiederverkauf, Rücknahme und Eigentumsübertragung mit den Produkten verbunden zu bleiben. Beginnen Sie noch heute mit dem Aufbau Ihrer für die EU vorbereiteten Produktpässe und sehen Sie, wie DDP Grid die Nachweise organisiert, die Ihr Compliance-Team benötigt.

Ein DPP-QR-Code ist authentisch, wenn er eine GS1-Digital-Link-URL codiert, die technischen Vorgaben von EN 18220:2026 erfüllt und auf einen Produktpass-Datensatz verweist, der eine gültige qualifizierte elektronische Signatur trägt und im EU-Zentralregister registriert ist.

Nein. Ein Code kann sich scannen lassen und dennoch die Authentizitätsanforderungen nicht erfüllen, wenn dem verknüpften Produktpass Pflichtdatenfelder, eine qualifizierte elektronische Signatur oder die Registrierung im EU-Zentralregister fehlen.

EN 18220:2026 ist die harmonisierte Norm für DPP-Datenträger, die im Rahmen des Durchführungsbeschlusses (EU) 2026/1736 der Kommission angenommen wurde. Ihre Konformität bietet eine rechtliche Konformitätsvermutung mit den Artikeln 10 und 11 der ESPR.

Verifiable Credentials integrieren kryptografische Signaturen direkt in den Produktpass-Datensatz. Dadurch wird jede Manipulation erkennbar und Zollbehörden oder Verbraucher können die Authentizität überprüfen, ohne auf die eigene Datenbank einer Marke zugreifen zu müssen.

Testen Sie die Codes mit mehreren Smartphone-Modellen, führen Sie einen GS1-Resolver-Test durch, um das korrekte Verhalten der Digital-Link-URL zu bestätigen, validieren Sie die JSON-LD-Ausgabe mit einem Schema-Validator und bestätigen Sie vor der Markteinführung, dass der Produktpass im EU-Zentralregister registriert ist.

Die Authentizität von QR-Codes gemäß den EU-Verordnungen von 2026 erfordert die physische Konformität mit EN 18220:2026, die kryptografische Datenintegrität durch qualifizierte elektronische Signaturen und die bestätigte Registrierung im EU-Zentralregister. | Punkt | Details | | --- | --- | | Authentizität geht in die Tiefe der Daten | Ein scanbarer QR-Code reicht nicht aus; der verknüpfte Produktpass muss eine qualifizierte elektronische Signatur tragen und die Prüfung durch das EU-Zentralregister bestehen. | | EN 18220:2026 setzt den Maßstab | Diese am 14. Juli 2026 angenommene harmonisierte Norm legt die technischen Anforderungen an DPP-Datenträger fest und gewährt eine Konformitätsvermutung gemäß der ESPR. | | Verifiable Credentials ermöglichen grenzüberschreitendes Vertrauen | Kryptografische Nachweise ermöglichen es Zollbehörden, Verbrauchern und Behörden, Produktpassdaten unabhängig zu prüfen, ohne auf Markensysteme zuzugreifen. | | Lifecycle-Management ist verpflichtend | Marken müssen die Scanbarkeit aufrechterhalten, Produktpassdatensätze mit gültigen Signaturen aktualisieren und Codes, deren Qualität während der Lebensdauer des Produkts nachlässt, neu ausstellen. | | DDP Grid unterstützt für die Registrierung vorbereitete Produktpässe | DDP Grid unterstützt Marken dabei, Nachweise zu organisieren, Lieferantendaten zu verwalten und mit QR-Codes versehene Produktpässe für die Einreichung im EU-Zentralregister zu veröffentlichen. |

• QR-Codes für Produktpässe - DPP Grid – Jedes Produkt. Ein vertrauenswürdiger Pass. - DPP Grid – Jedes Produkt. Ein vertrauenswürdiger Pass. - Infrastruktur für Produktauthentizität und Wiederverkauf