Audit Trail (GxP) – Wer, Was, Wann und Warum für elektronische Aufzeichnungen

Dieses Thema ist Teil des SG Systems Global Reihe regulatorischer Glossare.

Aktualisiert Oktober 2025 • Datenintegrität • 21 CFR Part 11 / EU Annex 11 / ALCOA+

Ein Audit-Trail ist ein sicheres, computergeneriertes Protokoll mit Zeitstempel, das Aktionen im Zusammenhang mit GxP-Daten und -Konfigurationen aufzeichnet – und erfasst, wer was wann und gegebenenfalls warum getan hat . Er bildet das Rückgrat der elektronischen Datenintegrität und ist die praktische Umsetzung von 21 CFR Part 11 , EU Annex 11 und ALCOA+ . In regulierten Bereichen wie Pharmazeutika, Biologika, Medizinprodukten, Nahrungsergänzungsmitteln und Lebensmitteln hängen Freigabe- und Sicherheitsentscheidungen von vollständigen, nachvollziehbaren und dauerhaften Aufzeichnungen ab. Kann eine Aufzeichnung spurlos verändert werden, ist sie nicht vertrauenswürdig; lässt sie sich nicht mit ihrer Historie wiederherstellen, kann sie nicht zur Produktverteidigung herangezogen werden.

„Wenn sich ein Datensatz ohne Spuren ändern kann, ist er kein Beweis, sondern Fiktion. Der Prüfpfad macht Daten zu vertretbaren Beweisen.“

1) Was es ist

Im Kern ist ein Prüfprotokoll ein Kontrollinstrument , keine bloße Komfortfunktion. Es wird automatisch vom computergestützten Datenerfassungssystem generiert und für die vorgeschriebene Aufbewahrungsfrist an diesen Datensatz gebunden. Es muss Folgendes enthalten: (1) die Identität des Benutzers oder Geräts; (2) den durchgeführten Vorgang (Erstellen, Bearbeiten, Genehmigen, Disposition, Importieren, Drucken, Ungültigmachen, Konfigurieren, Berechnen); (3) den Zeitstempel/die Zeitzone und die Reihenfolge; (4) die Objektkennung (Charge, Los, Test, Spezifikation, Etikett, Rezept, Gerät, Dokument); (5) die vorherigen und neuen Werte bei wesentlichen Änderungen; und (6) den Grund/Kommentar, wenn die Änderung wesentlich ist oder der Workflow eine Begründung erfordert (z. B. Überschreibung, Disposition außerhalb der Spezifikation, Änderung der Risikobewertung). Das Protokoll muss computergeneriert , manipulationssicher , vollständig und auf Anfrage lesbar sein.

Arten von Prüfpfaden, die Sie erwarten sollten:

• Daten-Audit-Trails – Änderungen auf Datensatzebene (Testergebnisse, Wiegungen, Berechnungen, Etiketten, CoA-Inhalt, Chargenanweisungen).
• Konfigurationsprüfprotokolle – kontrollierte Stammdaten und Systemeinstellungen (Rezepte/Spezifikationen, Grenzwerte, Etikettenvorlagen, Rollen/Berechtigungen, Gerätefaktoren).
• Workflow-/Signaturpfade – Genehmigungen, Ablehnungen, Umleitungen und Bedeutung der Unterschrift für Genehmigungs-Workflows.
• Sicherheits-/Admin-Trails – Kontoerstellung/-deaktivierung, Änderungen der Kennwortrichtlinie, Erhöhung von Berechtigungen, API-Schlüssel, Integrationszuordnungen.
• Geräte-/Instrumentenspuren – Erfassungsparameter, Methodenversion, Speicherort der Rohdaten, Integrationsstatus.
• Systemereignisse – Importe/Exporte, Druckereignisse, Backups/Wiederherstellungen, Zeitsynchronisierung, Patch-/Anwendungsänderungen.

Geltungsbereich. Jedes System, das GxP-relevante Datensätze erstellt, verarbeitet, speichert oder übermittelt, muss Prüfprotokolle führen: MES/eBR–eBMR , LIMS , QMS (Abweichungen/CAPA/Änderungen), WMS/Etikettenkontrolle, Schulungs- und Gerätesysteme sowie ERP-Schnittstellen, sofern diese als maßgebliches System für Freigabe-/Rückverfolgbarkeitsentscheidungen dienen. Instrumente und Tabellenkalkulationen sind nicht ausgenommen; sie müssen entweder Prüfprotokolle bereitstellen oder durch unabhängige, dem Risiko angemessene Verifizierungs- und Kontrollmechanismen geschützt sein.

Regulatorische Konformität. Vorgeschriebene Vorschriften (z. B. 21 CFR 210/211 , 111 , Geräte 820 und Lebensmittel 117 ) definieren, welche Aufzeichnungen vorhanden sein müssen; Teil 11 und Anhang 11 legen fest, wie elektronische Aufzeichnungen zu kontrollieren sind. Prüfprotokolle bilden das Bindeglied, das elektronische Beweismittel vertrauenswürdig macht.

2) Praktische Umsetzung (Was Inspektoren erwarten)

Lebenszyklus & Validierung. Behandeln Sie Audit-Trails als validierte Funktion, nicht als Checkbox. Definieren Sie Anforderungen in URS/FDS, bewerten Sie Risiken, formulieren Sie testbare Akzeptanzkriterien und prüfen Sie das Verhalten in IQ/OQ/PQ: Können Einträge deaktiviert werden? Sind Änderungen möglich? Sind die Uhren synchronisiert (NTP)? Werden Zeitzonen gespeichert? Bleibt der Kontext beim Export erhalten? Stellen Ausdrucke den Inhalt und die Reihenfolge korrekt dar? Werden fehlgeschlagene Anmeldeversuche und Rechteausweitungen protokolliert? Werden bei wesentlichen Änderungen Gründe für die Änderung abgefragt? Die Nachweise werden mit Rückverfolgbarkeit zu den Tests in das Validierungspaket aufgenommen.

Identität und Zugriff. Eindeutige Benutzerkennungen; rollenbasierte Berechtigungen; Prinzip der minimalen Rechtevergabe; Funktionstrennung (Ausführender vs. Prüfer, Ersteller vs. Genehmiger, Administrator vs. Qualitätssicherung). Erweiterte Berechtigungen müssen streng kontrolliert und protokolliert werden . Gemeinsam genutzte Konten und generische „Laborbenutzer“ haben in GxP-Systemen keinen Platz. Multifaktor-Authentifizierung für Fernzugriff und administrative Rollen wird zunehmend zum Standard.

Erfasste Inhalte. Bei wichtigen Ereignissen muss der Protokolleintrag Datensatz-ID, Ereignistyp, Zeitstempel, Benutzer/Gerät, vorherige und neue Werte sowie gegebenenfalls einen Grund/Kommentar enthalten. Verwenden Sie keine allgemeinen Aktualisierungsmeldungen ohne Kontextinformationen auf Feldebene. Erfassen Sie bei elektronischen Signaturen die Identität des Unterzeichners, die Bedeutung der Signatur (z. B. Durchgeführt, Geprüft, Genehmigt, Erledigt) und die Verknüpfung zur Datensatzversion. Erfassen Sie beim Etikettendruck die Vorlagenversion, die Datenquelle und die Anzahl.

Sicherheit und Integrität. Audit-Trails sollten von vornherein nicht editierbar sein. Schützen Sie Protokolle durch kryptografische Integritätsprüfungen oder durch Speicherung mit ausschließlich anhängbaren Daten, untermauert durch strenge Backup-/Wiederherstellungstests. Wenn die Plattform eine formale Schwärzung aus Datenschutzgründen oder zum Schutz von Geschäftsgeheimnissen ermöglicht, muss diese Schwärzung vom operativen Protokoll getrennt, begründet und selbst vollständig auditierbar sein.

Aufbewahrung und Lesbarkeit. Rohdaten, Metadaten und Prüfprotokolle für den relevanten Zeitraum aufbewahren. Formatveralterung einplanen : Die Darstellung muss auch nach Aktualisierungen, Anbieterwechseln oder Archivierung möglich bleiben. Migrationsaktivitäten werden selbst änderungskontrolliert und verifiziert: Stichproben, Prüfsummenvergleiche, paralleler Zugriff und dokumentierte Freigabe.

Überprüfen Sie die Vorgehensweise. Audit-Trails werden nicht nur nach einem Vorfall geprüft, sondern regelmäßig. Integrieren Sie die Ausnahmeprüfung in die Stapelverarbeitung und den QMS-Abschluss: Filtern Sie nach Überschreibungen, verspäteten Unterschriften, wiederholten Bearbeitungen, Änderungen außerhalb des üblichen Zeitraums und fehlgeschlagenen Anmeldeversuchen. Die regelmäßige Managementprüfung sollte die Ausnahmen im Audit-Trail nach Bereich und Benutzer analysieren und so Korrektur- und Vorbeugemaßnahmen (CAPA) und Schulungen unterstützen.

Tabellenkalkulationen und Tools. Falls keine Prüfprotokolle vorhanden sind, sollten kompensierende Kontrollmechanismen eingeführt werden: versionierte Vorlagen, geschützte Formeln/Zellen, eingeschränkter Zugriff, dokumentierte Überprüfung, unabhängige Zweitprüfungen und kontrollierter PDF-Druck mit Hash oder Wasserzeichen. Noch besser: Tools und Tabellenkalkulationen in validierte Plattformen integrieren, die native Prüfprotokolle bereitstellen.

3) Designmuster, die funktionieren

• Durchsetzung des Änderungsgrunds. Fordern Sie strukturierte Gründe für Änderungen an wichtigen Daten/Konfigurationen an; blockieren Sie das Speichern ohne Begründung.
• Zeitdisziplin. Synchronisieren Sie Server und Clients; speichern Sie Zeitstempel mit Zeitzone; kennzeichnen Sie eine Abweichung der Uhr über den Schwellenwert hinaus.
• Unveränderliche Exporte. Stellen Sie signierte PDFs/CSVs mit eingebetteten Hashes und kontextbezogenen Headern (Datensatz-ID, Version, Filter, Zeitzone) bereit, damit gedruckte Kopien nachverfolgbar bleiben.
• Überwachung des privilegierten Zugriffs. Leiten Sie Administratoraktionen zur regelmäßigen Überprüfung an die Qualitätssicherung weiter; benachrichtigen Sie über Rollenänderungen und Notfallzugriff („Break Glass“).
• Ereigniskorrelation. Verknüpfen Sie Pfade über Systeme hinweg (MES↔LIMS↔QMS↔WMS) über globale Datensatzkennungen und ermöglichen Sie die Genealogie.
• Beweistore. Genehmigungen an das Vorhandensein von Beweismitteln (Anhänge, Berechnungen) knüpfen; Signaturschaltflächen sind deaktiviert, bis die Voraussetzungen erfüllt sind.
• Dashboarding. Melden Sie Ausnahmen (Überschreibungen, verspätete Unterschriften, wiederholte Bearbeitungen) in Echtzeit den Schichtleitern und der Qualitätssicherung.

4) Wichtige Kennzahlen

• Ausnahmedichte pro Stapel/Dokument (Anzahl der markierten Trail-Ereignisse im Vergleich zu den Schritten) – wichtiges Signal für die Prozessintegrität.
• Rate verspäteter Unterschriften und mittlere Signaturverzögerung von Ausführen→Überprüfen→Genehmigen.
• Anzahl privilegierter Aktionen und Anteil mit QA-Überprüfung innerhalb des SLA.
• Uhrdrift-Vorfälle erkannt und Zeit bis zur Korrektur.
• Abschluss der Audit-Trail-Überprüfung Rate für Chargen, Abweichungen, CAPA und Änderungen.
• CAPA-Wirksamkeit (Wiederholung ähnlicher Ausnahmen innerhalb von 6–12 Monaten).

5) Häufige Fehlerarten und wie man sie vermeidet

• Bearbeitbare Pfade. Jede Möglichkeit, Trail-Einträge zu löschen oder zu bearbeiten, untergräbt die Integrität. Lösung: Unveränderlichkeit auf Plattformebene und Aufgabentrennung; Lieferantenbestätigung.
• Teilerfassung. Trails-Protokoll „aktualisiert“ ohne Felddeltas oder Benutzeridentität. Fix: Protokollierung auf Feldebene konfigurieren; Gründe für signifikante Änderungen anfordern.
• Gemeinsam genutzte Konten. „LabUser“ signiert alles. Fix: eindeutige Benutzer, keine generischen Konten; Deaktivierung nach Inaktivität; MFA für Administratoren.
• Verwaiste Exporte. PDF/CSV ohne Kontext oder Hashes. Fix: Kontextbezogene Header, digitale Signaturen/Hashes, zusammen mit der Quelle gespeichert.
• Uhrenchaos. Nicht synchronisierte Zeiten unterbrechen die Rekonstruktion. Fix: NTP, Überwachung, Driftalarme, Zeitzonenerfassung.
• Theater rezensieren. Es gibt zwar Trails, aber niemand liest sie. Lösung: Überprüfung nach Ausnahmen in der Disposition; regelmäßige Qualitätssicherungsstichproben; KPIs für den Abschluss der Überprüfung.
• Migrationsamnesie. Spuren gehen bei Systemwechsel verloren. Fix: Migrationsprotokoll, Prüfsummen, paralleler Zugriff, Abmeldung; alte Systemabbilder bei Bedarf beibehalten.

6) Wie es sich auf V5 bezieht

V5 von SG Systems Global bettet Prüfpfade in Stammdaten und Ausführung ein, sodass jede kritische Berechnung, Bewegung und Genehmigung zuordenbar, gesichert und überprüfbar ist. In V5 MES, eBMR-Schritte, Wiegungen, Rezeptbearbeitungen und -speicherungen generieren zeitgestempelte Einträge mit Benutzeridentität und Begründungscodes. V5 WMS Protokolle erfassen Wareneingänge, Behälterbewegungen, Statusänderungen, Etikettendrucke und Abstimmungen. V5 QMS erfasst Abweichungen →CAPA, Änderungskontrolle, Reklamationsbearbeitung und Schulungsnachweise mit verknüpften Signaturen und Wirksamkeitsprüfungen. Integration in LIMS über die V5 Connect-API bindet Instrumentenmetadaten und Ergebnisfreigaben an die gleiche Genealogie, die auch von der CoA.

Überprüfung nach Ausnahmen. V5 bietet konfigurierbare Filter: Anzeige aller Überschreibungen, verspäteter Signaturen (> X Stunden), Bearbeitungsversuche desselben Benutzers (blockiert), Versionskonflikte und wiederholter Änderungen an Grenzwerten. QA-Prüfer erhalten so einen schnellen Überblick über einen Batch oder eine Änderung, anstatt Rohprotokolle durchsuchen zu müssen. Für Audits generiert V5 prüfbereite Berichte mit dem Kontext des Audit-Trails (Zeitzone, angewendete Filter, Versionskennungen), sodass die exportierten Nachweise selbsterklärend sind.

Sicherheit und Aufbewahrung. Protokolle sind nicht editierbar und durch Backup-/Wiederherstellungsvalidierung geschützt. Der Zugriff auf Protokollanzeigeprogramme ist rollenbasiert; privilegierte Aktionen werden an QA-Dashboards gemeldet. Die langfristige Lesbarkeit wird durch Exportprofile (signierte PDF/CSV/XML mit Hash) und kontrollierte Migrationsprozesse unter Änderungskontrolle gewährleistet.

Etikettierungs- und Druckkontrolle. Vorlagenversionen und Druckvorgänge werden protokolliert und mit Artikelnummer/Charge verknüpft; das System erfasst, wer welche Vorlage/Version gedruckt hat und wie viele – und schließt so eine häufige Lücke, die Rückrufe auslöst.

7) Implementierungs-Playbook (Team-Ready)

• Definieren Sie den Umfang. Listen Sie alle Systeme auf, die GxP-Datensätze generieren (MES, LIMS, QMS, WMS, ERP-Schnittstellen, Etikettensysteme, Instrumente, Tabellenkalkulationen). Entscheiden Sie, welches System für die einzelnen Datentypen verwendet wird, und fordern Sie Prüfpfade oder kompensierende Kontrollen an.
• Anforderungen schreiben. Geben Sie zu erfassende Ereignisse, Felder mit Änderungsgründen, Zeitzonenerfassung, Identität und Exportformate an. Geben Sie Berichtsanforderungen für die Überprüfung nach Ausnahmen an.
• Bestätigen. Stellen Sie Unveränderlichkeit, Identitätserfassung, Zeitsynchronisierung, Administratorprotokollierung, Exportintegrität und Leistung beim Laden (lange Stapel) in Frage. Dokumentieren Sie Abweichungen und CAPA.
• Zug. Vermitteln Sie die Bedeutung einer Signatur, wann eine Begründung erforderlich ist, wie man Spuren liest und wie man Anomalien erkennt. Schulen Sie Administratoren in der Hygiene privilegierter Zugriffe.
• Arbeiten. Integrieren Sie Trail-Checks in die Chargendisposition, den Abweichungsabschluss und die Änderungsgenehmigung. Erkennen Sie Ausnahmetrends und speisen Sie diese in APR/PQR ein.
• Pflegen. Testen Sie regelmäßig die Integrität von Backup/Wiederherstellung, NTP und Trail-Berichten. Führen Sie bei Upgrades, Patches oder Migrationen eine erneute Validierung durch.

Weiterführende Literatur

• 21 CFR Part 11 – Elektronische Aufzeichnungen und Unterschriften
• EU GMP Annex 11 – Computergestützte Systeme
• ALCOA+ Datenintegrität | GAMP® 5 Softwarevalidierung
• Elektronisches Chargenprotokoll (eBR/eBMR) | Analysezertifikat (CoA)
• V5 MES | V5 QMS | V5 WMS

8) Häufig gestellte Fragen

F1: Was muss ein Prüfpfad erfassen?
Identität, Ereignistyp, Zeitstempel/Zeitzone, Objekt-/Datensatz-ID, vorherige/neue Werte für wesentliche Änderungen und gegebenenfalls Grund/Kommentar – plus Signaturbedeutung bei Genehmigungen.

F2: Können Prüfpfade bearbeitet werden?
Nein. Sie müssen nur anfügbar und manipulationssicher sein. Wenn eine Schwärzung des Datenschutzes zulässig ist, muss diese getrennt, begründet und selbst prüffähig sein, ohne das Original zu verändern.

F3. Wie oft sollten Prüfpfade überprüft werden?
Bei der Stapel-/Datensatzdisposition (Überprüfung nach Ausnahme) und regelmäßig (z. B. monatlich/vierteljährlich) auf Trends, mit Qualitätssicherungsaufsicht und KPIs für die Fertigstellung.

F4: Benötigen Tabellenkalkulationen und Instrumente Prüfpfade?
Wenn sie GxP-Daten erstellen oder transformieren, die für Entscheidungen verwendet werden, ja – entweder native Trails oder kompensierende Kontrollen (Versionierung, Schutz, unabhängige Überprüfung). Die beste Vorgehensweise besteht darin, Systeme mit nativen Trails zu integrieren.

F5: Wie werden Zeitzonen gehandhabt?
Speichern Sie Zeitstempel mit Zeitzonen- oder UTC-Offsets und synchronisieren Sie die Uhren. Die Erkennung und Korrektur von Zeitabweichungen sollte protokolliert werden.

F6: Wie lange müssen Prüfprotokolle aufbewahrt werden?
So lange, wie der zugrunde liegende Datensatz gemäß der Prädikatregel aufbewahrt werden muss, mit garantierter Lesbarkeit nach Upgrades und Migrationen.

F7. Sind ausgedruckte PDFs ausreichend?
PDFs verbessern die Lesbarkeit, Prüfer können jedoch Rohdaten, Metadaten und den Live-Trail aus dem Aufzeichnungssystem anfordern. Stellen Sie sicher, dass die Exporte selbstbeschreibend und integritätsgeschützt sind.

F8. Wie hilft V5 bei Audits?
V5 erstellt prüfungsbereite Ansichten, die Prüfpfade mit dem Datensatzkontext (wer/was/wann/warum) verknüpfen, Signaturbedeutungen einschließen und Ausnahmefilter anzeigen – wodurch der Zeitaufwand für den Kontrollnachweis reduziert wird.

Verwandte Glossar-Links:
• Elektronische Aufzeichnungen: 21 CFR Teil 11 | EU: Anhang 11 | Grundsätze: ALCOA +
• Pharma/Geräte/Lebensmittel: 210/211 | 820 | 117
• Systeme: V5 MES | V5 QMS | V5 WMS