EU Data Act für Connected Products: Access-by-Design-API-Checkliste
Connected Products und verbundene Dienste, die nach dem 12. September 2026 in der EU in Verkehr gebracht werden, müssen erzeugte Daten und notwendige Metadaten einfach, sicher, kostenlos, umfassend, strukturiert, gängig und maschinenlesbar zugänglich machen. Direkter Zugang gilt, wo er relevant und technisch machbar ist.
Dieser Leitfaden schließt die technische Lücke vom Gerät bis zur Cloud. Er ist keine Rechtsberatung.
Was muss das Produkt ermöglichen?
| Pflicht | Verhalten | Kontrolle |
|---|---|---|
| Access by Design | Direkt, wo relevant und machbar | Entscheidung je Datenklasse dokumentieren |
| Auf Anfrage | Ohne unangemessene Verzögerung, teils kontinuierlich | Authentifizierte API oder Export mit Monitoring |
| Vorvertraglich | Volumen, Format, Frequenz, Speicher und Zugang | Angaben aus demselben Datenkatalog erzeugen |
Welche Daten brauchen einen Zugangspfad?
Katalogisiert rohe und vorverarbeitete Nutzungsdaten sowie notwendige Metadaten. Erfasst Nutzer, Holder, Quelle, Takt, Volumen, Format, Retention, Personenbezug, Trade Secrets, Security und Zugang.
- Sensor- und Eventdaten von abgeleiteten Analysen trennen.
- Eigentum, Account-Rolle, Tenant und Delegation zur Gerätebeziehung abbilden.
- Einheiten, Zeit, Device-ID, Qualitätsflag und Schemaversion liefern.
- Produktangaben mit Firmware, App, API und Retention synchron halten.
Wie sieht eine Access-by-Design-API aus?
Nutzt klare Ressourcen, stabile IDs, dokumentierte Schemas, Pagination oder Streaming, enge Rechte, Exportjobs und auditierbaren Widerruf. Ein Dashboard zum Scrapen ist kein belastbarer Zugang.
- Nutzer und Gerätebeziehung vor Freigabe prüfen.
- Tenant- und Device-Grenzen in jeder Query durchsetzen und testen.
- Missbrauch limitieren, ohne normalen Echtzeitzugang zu verhindern.
- Löschung, Delegation und Drittfreigabe vorsehen.
Wie behandelt ihr Geheimnisse und Sicherheit?
Klassifiziert das Risiko pro Feld und Zugang, nicht pauschal pro Dataset. Nutzt verhältnismäßige Kontrollen, dokumentiert Einschränkungen und bietet Eskalation.
- Device Takeover, Token-Diebstahl, Enumeration, Replay und Bulk Extraction threat-modeln.
- Minimierung, Scopes, Verschlüsselung, Monitoring und kurze Credentials nutzen.
- Zurückgehaltenen oder verzögerten Zugang beweisbar begründen.
Acht Schritte zur Readiness
- Produkte und Dienste nach dem 12. September 2026 bestimmen.
- Daten und Metadaten mit Volumen, Frequenz und Retention katalogisieren.
- Direkt-, API-, Export- oder Assisted Access je Klasse entscheiden.
- Gerät-Nutzer-Identität, Delegation und Isolation umsetzen.
- Versionierte Schemas und maschinenlesbare Outputs liefern.
- Verträge und Vorabinformationen technisch abgleichen.
- Last, Security, Privacy, Geheimnisse und Widerruf testen.
- Erfolg, Zeit, Stale Data und Fehlzugriffe messen.
Produkt bauen, nicht nur Backlog
Wenn dieser Artikel auf eine echte Produktentscheidung einzahlt, hilft Wavect dir beim Scoping, Bauen, Härten oder Führen der Softwarearbeit mit Senior-Founder-Urteil.
Sinnvolle Service-Wege:
FAQ zum Data Act für Connected Products
Welche Produkte betrifft Access by Design ab September 2026?
Muss der Zugriff immer direkt vom Gerät erfolgen?
Dürfen Nutzer für ihre Produktdaten zahlen?
Reicht ein CSV-Export?
Fazit
Behandelt Datenzugang als Produktfähigkeit mit Owner, SLOs, Tests und Messwerten. Eine Policy kann eine ungeeignete Architektur nicht reparieren.
Primärquellen
- Verordnung (EU) 2023/2854. Verbindlicher Data Act
- EU-Kommission erklärt den Data Act. Offizieller Überblick
- Bundesnetzagentur zum Data Act. Offizielle Umsetzung und Datum