Elektronische Signaturen im Labor: Genehmigungen und Verknüpfungen

Ein Name am Ende eines Berichts erklärt allein nicht, wer das Ergebnis mit welcher Befugnis und für welche Version genehmigt hat. Eine dem Prozess dienende elektronische Signatur muss Identität, Handlung und Inhalt überprüfbar verbinden, auch wenn die Aufzeichnung korrigiert oder das System geändert wird.

Ausgangspunkt ist nicht die Auswahl eines Signatursymbols, sondern die im Labor erforderliche Entscheidung und ihre Nachweise. Die folgenden Kontrollen betreffen GMP-Abläufe innerhalb ihres bewerteten regulatorischen Umfangs, keine universelle Zertifizierung von Signaturtechnologien.

1. Die Handlung vor dem Mechanismus bestimmen

Analysendurchführung, fachliche Prüfung, Ergebnisgenehmigung und weitere Entscheidungen des Qualitätssystems unterscheiden. Nicht jeder Speichervorgang verlangt eine Signatur, und nicht jede Signatur bedeutet Chargenfreigabe. Für jeden Schritt Anforderung, Verantwortlichen, betroffene Aufzeichnung und Voraussetzungen festlegen.

Die Authentifizierung bestätigt die zugreifende Identität. Eine elektronische Signatur dokumentiert eine Handlung des Unterzeichners mit der vorgesehenen Bedeutung. Ein eingegebener Name oder ein Unterschriftsbild können sichtbare Bestandteile sein, belegen allein aber weder kontrollierte Identität noch Absicht und Aufzeichnungsverknüpfung. Kryptografische Mechanismen können Authentizität und Integrität schützen; sie ersetzen weder die Befugnis des Unterzeichners noch die Vollständigkeit der bewerteten Daten.

Mit der Anwendbarkeitsbewertung von Annex 11 und Part 11 beginnen. In der EU regelt eIDAS auch Signaturkategorien und Rechtswirkungen; GMP-Ablaufkontrollen werden dadurch nicht automatisch ersetzt. Daraus folgt weder eine qualifizierte Signatur für jede interne Genehmigung noch ein GMP-Konformitätsnachweis allein durch ein kryptografisches Zertifikat.

2. Die Genehmigungskette gestalten

Die selbst entwickelte Matrix beschreibt einen möglichen Laborablauf. Die Schritte an tatsächliche Zuständigkeiten anpassen; „Prüfung“ und „Genehmigung“ sind keine austauschbaren Bezeichnungen. Die signierte Version muss auch Anhänge oder verknüpfte Objekte identifizieren, die zum Umfang der Entscheidung gehören.

3. Identität, Befugnis und Signaturdarstellung kontrollieren

Der Unterzeichner muss identifiziert, geschult und für die Handlung autorisiert sein. Rollen und Berechtigungen im digitalen Labor mit dem Ablauf abstimmen. Wer das System administrativ konfiguriert, erhält dadurch keine Befugnis zur Genehmigung analytischer Daten.

Bei Anwendbarkeit von Part 11 verlangt §11.50 Name des Unterzeichners, Signaturdatum und -uhrzeit sowie Bedeutung der Handlung in der signierten Aufzeichnung, auch in menschenlesbaren Darstellungen. §11.70 betrifft die Verknüpfung, die ein Entfernen oder Übertragen der Signatur zur Verfälschung durch gewöhnliche Mittel verhindert. Annex 11 §14 verlangt dauerhafte Verknüpfung, Datum/Uhrzeit und eine innerhalb des Unternehmens der handschriftlichen Unterschrift entsprechende Wirkung.

Für nicht biometrische Signaturen fordert §11.200 mindestens zwei unterschiedliche Identifikationskomponenten, beispielsweise Kennung und Passwort. Das bedeutet nicht automatisch Zwei-Faktor-Authentifizierung mit unterschiedlichen Faktorkategorien. Die Vorschrift unterscheidet die erste Signatur während eines durchgehenden kontrollierten Zugriffs von nachfolgenden Signaturen; außerhalb dieses Zeitraums werden bei jeder Signatur alle Komponenten verlangt. Die tatsächliche Sitzungsverwaltung bewerten und testen. §11.100 umfasst Einzigartigkeit, Identitätsprüfung und die vorgesehene Bestätigung gegenüber der FDA für elektronische Signaturen im betreffenden Geltungsbereich.

4. Den Ablauf mit positiven und negativen Tests prüfen

Vor dem Test festlegen, welchen Inhalt der Unterzeichner sieht, welche Bedeutungen auswählbar sind und unter welchen Voraussetzungen signiert werden darf. Ein unvollständiger Bericht oder fehlender Anhang wird durch akzeptierte Authentifizierung nicht vollständig.

In einer autorisierten Testumgebung erlaubtes Signieren, unberechtigte Rolle, noch nicht bereite Aufzeichnung, beendete Sitzung und Abbruch prüfen. Bestätigen, dass ein fehlgeschlagener Versuch keine scheinbare Genehmigung hinterlässt. Ändert sich der Inhalt während der Prüfung, muss die Kontrolle eine unbemerkte Genehmigung einer anderen Version verhindern: erwartete Reaktion festlegen und Wirksamkeit prüfen.

Auch Darstellung und Export kontrollieren: Name, Zeitpunkt, Bedeutung und signierte Objekte müssen interpretierbar bleiben. Der Audit Trail dokumentiert Ereignisse und Änderungen; er ersetzt nicht automatisch Signatur oder Prüfentscheidung. Beobachtete Ergebnisse und Abweichungen aufbewahren statt lediglich eines Screenshots mit einem Signatursymbol.

5. Simulierter Fall: Korrektur nach Genehmigung

Ergebnis R7, Version 1, wurde genehmigt. Danach wird eine falsche Einheit im Bericht entdeckt. Die Bewertung unterscheidet einen Darstellungsfehler von einem möglichen Berechnungsfehler und berücksichtigt die bereits erfolgte Ergebnisnutzung. Die Einheit einfach zu ändern und den Genehmigungseindruck unverändert zu lassen, reicht nicht.

Der Ablauf erlaubt die Wiedereröffnung, bewahrt Version 1, ursprüngliche Signatur und Korrekturgrund auf und erzeugt Version 2 mit den relevanten Verknüpfungen. Die neue Version durchläuft die entsprechend den Auswirkungen erforderliche Prüfung und Genehmigung. Die alte Signatur bleibt Nachweis der Entscheidung zum alten Inhalt; sie wird nicht auf den neuen übertragen. Nutzer können aktuellen Status, ersetzten Inhalt und Entscheidungshistorie unterscheiden.

6. Die Verknüpfung langfristig überprüfbar halten

Die Aufbewahrung muss Aufzeichnung, notwendige Bestandteile, Signaturen und Beziehungen umfassen. Bei Änderungen von Format, Anwendung oder Archiv prüfen, ob weiterhin rekonstruierbar ist, wer was wann mit welcher Bedeutung signiert hat. Bei kryptografischen Mechanismen die für spätere Prüfungen benötigten Abhängigkeiten berücksichtigen; ein Unterschriftsbild ersetzt diese nicht.

Verantwortlichkeiten und Kontrollen vor der Systemstilllegung festlegen. Der Zugangsentzug eines ehemaligen Mitarbeiters darf seine historischen Signaturen nicht anonymisieren. Eine Abrufprüfung mit repräsentativen Aufzeichnungen deckt Probleme auf, die eine bloße Liste archivierter Dokumente nicht nachweist.

Quellen und Status — geprüft: 2. Oktober 2026. EU GMP Annex 11, Revision Januar 2011, §§7, 12, 14, 17; 21 CFR Part 11, eCFR-Stand 30. September 2026, §§11.50, 11.70, 11.100, 11.200; FDA Data Integrity, finale unverbindliche Leitlinie, Dezember 2018, Q11; Verordnung (EU) 910/2014, eIDAS, konsolidierter Text vom 18. Oktober 2024, Definitionen und Artikel 25–26 zur Unterscheidung von Kategorien und Rechtswirkungen. Matrix und Fall sind an die anwendbaren Anforderungen anzupassende Beispiele.