Geschäftsgeheimnis oder Transparenz: Wie schützen Sie sensible Daten im Zeitalter des DPP?

Sagen Sie dem CEO eines erfolgreichen Industrieunternehmens: „Ab nächstem Jahr müssen Sie Ihr genaues Produktsortiment und Ihre Lieferantenliste veröffentlichen, sodass jeder sie mit dem Smartphone scannen kann“, dann ist Panik die wahrscheinlichste Reaktion. Und das ist völlig verständlich.

Seit Jahrhunderten beruht geschäftlicher Erfolg auf Geheimnissen. Das Rezept von Coca-Cola, die besondere Legierung einer Schweizer Uhr, der einzige Lieferant ultraleichter Stoffe für Sportausrüstung: Das sind Werte in Milliardenhöhe.

Heute setzt die Europäische Union jedoch ein neues Prinzip durch: den DPP. Sein Hauptziel ist radikale Transparenz. Damit ist der Konflikt programmiert. Wie können wir gegenüber Verbrauchern und Behörden transparent sein, ohne geistiges Eigentum und Geschäftsgeheimnisse an die Konkurrenz zu verraten?

In diesem Beitrag zeigen wir, wie Unternehmen sich auf diesem schwierigen Terrain bewegen und den DPP von einer Bedrohung in ein sicheres, beherrschbares Werkzeug verwandeln können.

Das Transparenz-Paradox: Wovor haben Unternehmen wirklich Angst?

Um eine Lösung zu finden, müssen wir zuerst das Problem benennen. Die Sorgen von Unternehmen bei der Einführung des DPP betreffen vor allem drei Bereiche:

• Diebstahl geistigen Eigentums: Die Angst, dass detaillierte Materialdaten die „Geheimzutat“ eines Produkts verraten. Kann ein Wettbewerber am anderen Ende der Welt im digitalen Pass die genauen chemischen Anteile Ihrer innovativen Farbe ablesen, kann er sie leicht kopieren.
• Abwerben von Lieferanten: Zuverlässige, gute und günstige Lieferanten zu finden, dauert Jahre. Verlangt der DPP vollständige Rückverfolgbarkeit, können Ihre Wettbewerber einfach nachsehen, in welcher Fabrik in Vietnam Sie Ihre Komponenten kaufen, und sich direkt an sie wenden.
• Verlust der Verhandlungsmacht: Haben Ihre Lieferanten oder Kunden vollen Zugriff auf Ihre Produktionskosten und Margen (die sich aus detaillierten Lieferkettendaten ableiten lassen), verlieren Sie Ihren Verhandlungsspielraum.

Was verlangt das Gesetz tatsächlich und was NICHT?

Der erste Schritt, um diese Sorgen auszuräumen, ist zu verstehen, was die Ökodesign-Verordnung (ESPR), die den DPP in Europa einführt, genau sagt. Die gute Nachricht: Die Europäische Kommission will die Wettbewerbsfähigkeit der Unternehmen nicht zerstören. Die Verordnung sieht ausdrücklich den Schutz geistigen Eigentums und von Geschäftsgeheimnissen vor.

Der DPP verlangt nicht, dass Sie Folgendes veröffentlichen:

• genaue Rezepturen oder geschützte Formeln
• Handelsverträge und Rohstoffpreise
• Einzelheiten Ihres Fertigungs-Know-hows

Der DPP verlangt, dass Sie Folgendes veröffentlichen:

• Nachhaltigkeitsdaten (CO₂-Fußabdruck, Wasserverbrauch)
• Angaben zum Vorhandensein gefährlicher Chemikalien (besorgniserregende Stoffe)
• Anleitungen für korrektes Recycling, Reparatur und Wartung
• Herkunft kritischer Rohstoffe (damit sichergestellt ist, dass sie nicht durch illegale Arbeit gewonnen wurden)

Die Unterscheidung zwischen diesen beiden Kategorien ist das Fundament, auf dem Sie Ihre Strategie zum Schutz Ihrer Daten aufbauen.

Schutzstrategien: Wie bleibt man transparent und trotzdem sicher?

Die Technologien, die den DPP möglich machen, können auch Ihre Daten schützen. Vier grundlegende Mechanismen sollte jedes Unternehmen einsetzen.

Rollenbasierter Datenzugriff

Das ist das wichtigste Konzept der DPP-Architektur. Ein digitaler Pass ist keine einzelne PDF-Datei, die jeder von vorn bis hinten lesen kann. Er ist eine dynamische Datenbank, die je nachdem, wer den Code scannt, unterschiedliche Informationen anzeigt.

• Der Endnutzer: Er scannt das Produkt im Geschäft und sieht Marketinginformationen: CO₂-Fußabdruck, Anteil recycelter Materialien, Wasch- oder Pflegehinweise und Zertifikate zur ethischen Herkunft.
• Autorisierter Service- oder Reparaturbetrieb: Er scannt denselben Code, erhält aber mit einem speziellen Softwareschlüssel Zugriff auf technische Demontagepläne, die Ersatzteilliste und die Servicehistorie.
• Recyclingbetrieb: Er sieht nur die genaue chemische Zusammensetzung der Materialien (zum Beispiel welcher Kunststoff verwendet wurde), damit er weiß, in welchen Behälter sie gehören, aber nicht, wer den Kunststoff hergestellt hat.
• Behörden und Zoll: Sie haben die höchste Zugriffsstufe, um die Einhaltung der Gesetze zu prüfen, sind aber gesetzlich verpflichtet, Geschäftsgeheimnisse zu wahren.

Wenn Sie die Daten nach Rollen trennen, bekommt jeder genau das, was er braucht, und kein bisschen mehr.

Zero-Knowledge-Beweise

Dieses kryptografische Konzept klingt nach Science-Fiction, wird in der Blockchain-Technologie aber bereits aktiv genutzt. Worum geht es? Um ein Verfahren, mit dem eine Partei einer anderen beweisen kann, dass eine Aussage wahr ist, ohne irgendeine Information preiszugeben außer der Tatsache, dass sie wahr ist.

Ein Beispiel aus dem Alltag: Sie wollen in einen Club. Der Türsteher muss wissen, dass Sie über 18 sind. Statt ihm Ihren Ausweis zu geben, zeigen Sie ihm auf dem Smartphone ein kryptografisches Token, das grün aufleuchtet. Das Token sagt nur: „Diese Person ist über 18.“

Ein Beispiel im DPP: Sie müssen nachweisen, dass die Baumwolle in Ihrem T-Shirt nicht durch Kinderarbeit geerntet wurde. Statt im Pass Namen und Standort Ihrer Farm in Indien offenzulegen (ein Geschäftsgeheimnis), nutzen Sie einen „Zero-Knowledge-Beweis“ einer Zertifizierungsstelle. Der Verbraucher sieht ein grünes Siegel „Ethische Herkunft – nachgewiesen“, Ihr Wettbewerber aber erfährt nicht, um welche Farm es sich handelt.

Daten zusammenfassen und Spannen angeben

Wenn das Gesetz Transparenz über die Zusammensetzung verlangt, müssen Sie oft keine Werte bis zur zweiten Nachkommastelle angeben. Statt Ihre genaue Rezeptur offenzulegen, arbeiten Sie mit Spannen.

Statt in den Pass zu schreiben: „Das Produkt enthält 62,5 % recyceltes Polyester, 30 % Bio-Baumwolle und 7,5 % Elasthan der Marke X“, können Sie zusammengefasste Daten angeben, die der Verordnung entsprechen und Ihr Geheimnis wahren: „Enthält 60–70 % recycelte Polymer- und Biofasern“. (Das hängt natürlich von den konkreten Anforderungen für die jeweilige Produktklasse ab, die die EU noch festlegt.)

Dezentrale Speicherung

Unternehmen müssen nicht alle sensiblen Daten in eine zentrale europäische Datenbank hochladen, in die Hacker eindringen könnten. Das europäische DPP-Modell ist dezentral. Ihre sensiblen Daten bleiben also auf Ihren eigenen, gesicherten Servern.

Im öffentlichen EU-Register werden nur ein „Hash“ (digitaler Fingerabdruck) des Passes und ein Link zu Ihrem Server veröffentlicht. Fordert jemand die Daten an, prüft das System, ob er die nötigen Rechte hat, bevor Ihr Server ihm die Informationen schickt. Werden die Daten je verändert, passt der Hash nicht mehr. So ist sichergestellt, dass niemand den Pass gefälscht hat.

Geschäftsgeheimnisse im 21. Jahrhundert neu denken

Technische Lösungen sind entscheidend wichtig, doch der eigentliche Wandel muss in den Köpfen der Unternehmensleitung stattfinden.

Jahrzehntelang lautete der unternehmerische Reflex: „Möglichst alles verbergen.“ Heute leben wir aber in einer Zeit der Informationsflut. Tatsache ist: Ein ausreichend motivierter Wettbewerber mit einem guten Labor für Reverse Engineering weiß höchstwahrscheinlich schon, woraus Ihr Produkt besteht. Auch Lieferketten bleiben in einer globalisierten Welt selten ganz geheim.

Der neue Wettbewerbsvorteil liegt nicht darin, Lieferanten zu verstecken, sondern darin, die nachhaltigste, ethischste und effizienteste Kette aufzubauen. Im Zeitalter des DPP werden die Unternehmen vorn liegen, die Transparenz gezielt als Stärke einsetzen. Wenn Sie einem Kunden kryptografisch belegen können, dass Ihr Produkt besser für den Planeten ist als das eines Wettbewerbers, gewinnen Sie ein Vertrauen, das kein Geschäftsgeheimnis kaufen kann.

Konkrete Schritte: Was sollten Unternehmen heute tun?

Wenn Sie ein Unternehmen führen, das kurz vor der Einführung des DPP steht, warten Sie nicht darauf, dass die IT-Abteilung das Sicherheitsproblem allein löst. Das ist eine strategische Geschäftsfrage.

Daten prüfen und einstufen

Stellen Sie ein Team aus Fachleuten für F&E, Fertigung, Marketing und Recht zusammen. Teilen Sie alle Produktdaten in drei Spalten ein:

• Öffentlich: für alle sichtbar
• Eingeschränkt: für Recycling- und Reparaturbetriebe
• Streng vertraulich: nur für Behörden und den internen Gebrauch

Den richtigen Technologiepartner wählen

Bei der Wahl einer Softwareplattform für Ihre digitalen Pässe sollte die erste Frage nicht lauten „Was kostet das?“, sondern „Wie verwalten Sie Zugangsrechte, und unterstützen Sie Zero-Knowledge-Beweise?“

Lieferantenverträge überprüfen

Ihre Lieferanten müssen Ihnen Angaben liefern, die Sie in Ihren DPP aufnehmen. Auch sie fürchten um ihre Geheimnisse. Gestalten Sie neue Verträge, die sicherstellen, dass ihre sensiblen Daten zusammengefasst oder verschlüsselt werden, bevor sie in den fertigen Pass gelangen.

Fazit

Der digitale Produktpass stellt eines der ältesten Dogmen der Wirtschaft infrage: dass Geheimhaltung Gewinn bedeutet. Der Schutz geistigen Eigentums bleibt grundlegend, aber die Methoden, ihn zu schützen, entwickeln sich weiter.

Mit der richtigen Datenarchitektur aus rollenbasiertem Zugriff, Dezentralisierung und modernen kryptografischen Verfahren erreichen Unternehmen, was bisher unmöglich schien: Sie öffnen ihre Türen für das Vertrauen der Verbraucher und halten die Konkurrenz trotzdem draußen. Transparenz und Sicherheit sind keine Gegner mehr, sondern zwei Seiten derselben digitalen Medaille.