Data-Audit durchführen: von Access-Logs bis zur Inspection Readiness

# Data-Audit durchführen: von Access-Logs bis zur Inspection Readiness

Eine Inspektorin der FDA (US Food and Drug Administration) setzt sich in das Büro eines Sponsors, öffnet eine klinische Datenbank und zeigt auf ein Feld: die Schweregrad-Bewertung eines unerwünschten Ereignisses bei einem Patienten, vier Tage vor dem Database Lock von „moderate" auf „mild" geändert. Ihre Frage ist einfach: „Wer hat diese Änderung vorgenommen, wann und warum?" Wenn Ihr System das nicht in unter fünf Minuten beantworten kann, haben Sie ein Finding. Wenn es das kann, mit Zeitstempel, dokumentiertem Grund und Namen eines Genehmigenden, geht die Inspektion weiter. Darum geht es bei Data-Audit-Readiness in der Pharmaindustrie: nicht darum, ob die Daten perfekt sind, sondern darum, ob jede Änderung daran nachvollziehbar, begründet und geprüft ist.

Warum diese Szene normal ist und nicht selten

Regulatorische Inspektionen finden branchenweit ständig statt. Die FDA führt Bioresearch-Monitoring-Inspektionen (BIMO) bei Studienzentren, Sponsoren und Labors durch. Die EMA (European Medicines Agency) und nationale Behörden wie die britische MHRA (Medicines and Healthcare products Regulatory Agency) führen GxP-Inspektionen durch (Good Clinical, Laboratory oder Manufacturing Practice). Alle laufen auf dieselbe Frage zu: KKThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen Sie die Historie Ihrer Daten rekonstruieren?

Das geht auf eine grundlegende Regel zurück: 21 CFR Part 11, die FDA-Vorschrift für elektronische Aufzeichnungen und elektronische Signaturen. Sie verlangt, dass Computersysteme in regulierter Arbeit sichere, mit Zeitstempel versehene Audit Trails führen, die erfassen, wer Daten erstellt, geändert oder gelöscht hat, und dass diese Trails nachträglich nicht verändert werden kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen. Die europäischen Pendants finden sich in EU GMP Annex 11 und den GCP-Leitlinien (Good Clinical Practice) der EMA.

Das Grundprinzip, das Behörden anwenden, ist ein Merkwort, das man sich einprägen sollte: ALCOA+. Daten müssen Attributable, Legible, Contemporaneous, Original, Accurate sein, dazu Complete, Consistent, Enduring und Available. Jede Audit-Prüfung in dieser Lektion lässt sich auf einen dieser Buchstaben zurückführen.

Die drei Säulen eines Data-Audits

1. Access-Logs: wer die Daten anfassen konnte

Ein Access-Log erfasst jeden Login, jede Abfrage und jeden Systemzugriff, verknüpft mit einer User-ID. In einer klinischen Studiendatenbank (häufig ein EDC, Electronic Data Capture System, etwa Medidata Rave oder Oracle Clinical One) sollte der Zugriff rollenbasiert sein: Ein Clinical Research Associate (CRA) kann bestimmte gesperrte Felder einsehen, aber nicht bearbeiten; ein Data Manager kann Queries stellen, aber keine Behandlungscodes entblinden.

Die konkrete Prüfung: Ziehen Sie einen Report über alle, die im letzten Quartal auf das Modul für unerwünschte Ereignisse zugegriffen haben, und vergleichen Sie ihn mit der aktuellen Personalliste und den zugewiesenen Rollen. Markieren Sie jede Person, die auf Daten außerhalb ihrer Studienzuordnung zugegriffen hat, und jedes Konto, das nach dem Ausscheiden eines Mitarbeiters noch aktiv ist. Letzteres ist ein Klassiker unter den Findings: verwaiste Credentials gehören zu den häufigsten zitierten Data-Integrity-Lücken im GxP-Umfeld.

2. Änderungshistorie: was tatsächlich passiert ist

Das ist der Audit Trail im engeren Sinn: ein systemgenerierter, unveränderlicher Log jeder Bearbeitung mit altem Wert, neuem Wert, Zeitstempel, User und (bei relevanten Änderungen) einem dokumentierten Grund. Gute Systeme machen das Grund-Feld verpflichtend, bevor eine Änderung gespeichert wird.

Durchgerechnetes Beispiel dessen, was ein Auditor für das genannte Feld zum unerwünschten Ereignis erwartet:

Field: AE_Severity
Record ID: SUBJ-0142-AE03
Old value: Moderate
New value: Mild
Changed by: jsmith (Data Manager, Site 04)
Timestamp: 2026-02-11 14:32:07 UTC
Reason: Correction per source document verification, see query Q-2291
Approved by: mrivera (Clinical Data Lead)

Wenn eines dieser Felder leer ist, kein Grund-Code vorliegt oder rückdatiert wurde, ist das ein Data-Integrity-Warnsignal. Auditoren suchen gezielt nach Mustern: Massenänderungen kurz vor dem Database Lock, Änderungen ohne zugehörigen Query-Trail oder Änderungen durch IDs ohne passenden Trainingsnachweis.

3. SOP-Einhaltung: wurde der richtige Prozess befolgt

Eine Standard Operating Procedure (SOP) ist der dokumentierte, freigegebene Prozess, zu dessen Einhaltung sich ein Unternehmen verpflichtet. Eine aktivierte Audit-Trail-Funktion bedeutet nichts, wenn die Mitarbeitenden nicht darin geschult wurden, wann sie zu nutzen ist, oder wenn die SOP für „Datenkorrektur nach Monitoring-Visite" ignoriert wurde.

Die konkrete Prüfung: Ziehen Sie eine Stichprobe von 10 bis 15 Änderungen aus dem Audit Trail und verfolgen Sie jede zurück zum zugehörigen SOP-Schritt. Wurde vor der Bearbeitung eine Query im System erhoben? Gab es ein Vier-Augen-Review, wie es die meisten SOPs für kritische Felder verlangen? Das nennt man eine „Trace-forward, Trace-back"-Übung, und genau das machen BIMO-Inspektoren.

Einen Self-Inspection-Kalender aufbauen

Unternehmen, die Inspektionen glatt bestehen, improvisieren selten. Sie führen interne „Mock Inspections" nach Plan durch, oft quartalsweise für laufende Studien und jährlich für abgeschlossene Studien, die noch in der Aufbewahrung sind.

Eine praktische Checkliste, in den Tools sektorunabhängig, in der Anwendung pharma-spezifisch:

• User-Access-Review: Systemzugriffe gegen HR-Daten und abgeschlossene Trainings abgleichen (monatlich bis quartalsweise)
• Audit-Trail-Spot-Check: Stichproben bei Hochrisiko-Feldern (Wirksamkeitsendpunkte, Sicherheitsdaten, Dosierung) auf vollständige Änderungshistorien prüfen (quartalsweise)
• SOP-Versionskontrolle: bestätigen, dass die in einem Change-Log referenzierte SOP die Version ist, die an diesem Datum tatsächlich in Kraft war, und nicht eine spätere Revision (quartalsweise)
• Aufbewahrungsprüfung: bestätigen, dass archivierte Studiendaten weiterhin abrufbar und lesbar sind; Vorschriften verlangen Aufbewahrung häufig für 15 bis 25 Jahre, je nach Jurisdiktion und Produkttyp, weshalb Formatobsoleszenz (ein altes Datenbankformat, das niemand öffnen kann) ein reales Risiko ist
• Vendor- und CRO-Oversight: Wenn eine Contract Research Organization Ihre Studiendatensysteme betreibt, stellen Sie sicher, dass Ihr Oversight-Log eine regelmäßige Prüfung deren eigener Audit-Praktiken belegt, denn der Sponsor bleibt unter GCP letztlich verantwortlich

Als strukturierte Referenz ist die FDA-Guidance Data Integrity and Compliance With Drug CGMP frei verfügbar und legt genau die Fragen dar, die Inspektoren zu stellen gelernt haben.

Wie guter Standard 2026 aussieht

Moderne klinische und Produktionssysteme bauen Audit Trails zunehmend als Default und nicht abwählbare Funktion ein, auch weil die Behörden den Enforcement-Druck erhöht haben. FDA-Warning-Letters, die Data-Integrity-Verstöße nennen (fehlende Audit Trails, gemeinsam genutzte Login-Credentials, gelöschte Datensätze), sind seit über einem Jahrzehnt eine wiederkehrende Kategorie in FDA-Inspection-Findings; Sponsoren sollten jede Praxis gemeinsam genutzter Passwörter als automatisches, nur noch nicht eingetretenes Audit-Versagen betrachten.

Die Entwicklung geht in Richtung kontinuierliches, automatisiertes Monitoring statt periodischer manueller Reviews. Manche Unternehmen lassen inzwischen automatisierte Skripte laufen, die Anomalien in Echtzeit markieren, etwa eine Bearbeitung außerhalb der Geschäftszeiten oder eine Häufung von Herabstufungen „moderate zu mild" kurz vor einer Einreichungsfrist, statt auf eine quartalsweise menschliche Stichprobe zu warten. Das ersetzt keine SOPs und kein menschliches Review, verkürzt aber die Zeit zwischen dem Auftreten eines Problems und seiner Entdeckung.

🎬 [VIDEO: "21 CFR Part 11 Explained: Electronic Records and Signatures" - youtube.com - ein Durchgang dazu, was die Vorschrift für Audit Trails, E-Signaturen und Systemvalidierung in Pharma und Biotech verlangt]

Ein schnelles Denkmodell

Stellen Sie sich ein inspektionsbereites Datensystem als etwas vor, das für jeden Datenpunkt jederzeit drei Fragen sofort beantwortet:

1. Wer hat das angefasst, und war diese Person dazu berechtigt?

2. Was hat sich geändert, wann, und gibt es einen dokumentierten Grund?

3. Entspricht der befolgte Prozess der SOP, die in diesem Moment in Kraft war?

Wenn eine Antwort mehr als wenige Minuten braucht oder erfordert, Spreadsheets und E-Mails manuell zusammenzusetzen, ist genau das das Finding, unabhängig davon, ob die zugrunde liegenden Daten überhaupt jemals falsch waren.

Key Takeaways

• Inspection Readiness dreht sich nicht um perfekte Daten, sondern um Nachvollziehbarkeit. Jede Änderung braucht ein Wer, Wann und Warum, dauerhaft geloggt und unveränderlich (die Kernanforderung von 21 CFR Part 11 und EU GMP Annex 11).
• Führen Sie die drei Kernprüfungen kontinuierlich durch, nicht erst vor einer angekündigten Inspektion: Access-Logs (wer konnte Daten anfassen), Änderungshistorie (was ist passiert) und SOP-Einhaltung (wurde der Prozess befolgt).
• ALCOA+ (Attributable, Legible, Contemporaneous, Original, Accurate, Complete, Consistent, Enduring, Available) ist die praktische Checkliste der Behörden, und sie sollte auch Ihre sein.
• Verwaiste User-Accounts, fehlende Grund-Felder bei Änderungen und Bearbeitungen, die sich kurz vor einem Database Lock oder einer Einreichungsfrist häufen, sind die klassischen Warnsignale, nach denen Auditoren zuerst suchen.
• Sponsoren bleiben für Data Integrity verantwortlich, auch wenn eine CROCROConversion Rate Optimization (CRO) is the systematic practice of increasing the percentage of users who complete a desired action, using data, testing, and user research.Vollständige Definition ansehen → oder ein Vendor das System betreibt; Vendor-Oversight-Logs sind daher Teil Ihres Audits und nicht das Problem eines anderen.