Praxiswissen · Praxisleitfaden

SSO, MFA und elektronische Signatur im GxP-System

Ein Mitarbeiter meldet sich mit MFA an und klickt später auf „Genehmigen“. Damit ist noch nicht beantwortet, ob die konkrete Entscheidung eine geeignete elektronische Signatur erhält. Anmeldung, Sitzungssteuerung und Signaturfunktion müssen gemeinsam betrachtet werden, erfüllen aber unterschiedliche Aufgaben.

Daniel Herrmann
Compliance-Experte für Life Sciences
Fachlicher Stand: 7 Minuten Lesezeit
Inhaltsverzeichnis

Das Wichtigste vorab

Ersetzt eine MFA-Anmeldung die elektronische Signatur nach Part 11?

Nicht automatisch. SSO organisiert den Zugriff über eine gemeinsame Identität, MFA stärkt die Authentifizierung. Eine elektronische Signatur muss zusätzlich den vorgesehenen Unterzeichner, die Bedeutung der Bestätigung, den Zeitpunkt und die zugehörige Aufzeichnung zuverlässig verbinden. Für anwendbare Part-11-Signaturen sind insbesondere die Anforderungen an Signaturkomponenten und Sitzungskontext zu prüfen. Eine erneute Passworteingabe ist für sich allein ebenfalls kein vollständiger Nachweis.

Drei Funktionen mit unterschiedlichen Zielen

Single Sign-on ermöglicht den Zugriff auf mehrere Anwendungen über eine gemeinsame Anmeldeinfrastruktur. Multi-Faktor-Authentifizierung verwendet mehrere geeignete Authentifizierungsfaktoren, um eine Identität zu bestätigen. Eine elektronische Signatur dokumentiert dagegen eine verantwortete Bestätigung zu einer bestimmten Aufzeichnung. Die Funktionen können technisch zusammenspielen, beantworten aber unterschiedliche Fragen. Eine sichere Anmeldung sagt noch nicht, was der Benutzer später verbindlich erklärt hat.

Legen Sie zuerst fest, ob eine Aktion als elektronische Signatur dienen soll und welche Anforderungen dafür anwendbar sind. Nicht jeder Statusklick ist automatisch eine Part-11-Signatur. Der Anwendungsbereich von Part 11 hängt unter anderem von den betreffenden elektronischen Aufzeichnungen und zugrunde liegenden FDA-Anforderungen ab. Annex 11 beschreibt für elektronische Signaturen eigene Erwartungen. Vermeiden Sie eine pauschale Gleichsetzung von EU-GMP und US-Regelung, auch wenn viele praktische Kontrollen zusammenpassen.

Quellen: [1] [2]

Identität vom Konto bis zur Entscheidung verfolgen

Eine eindeutige Identität beginnt vor der ersten Anmeldung. Prüfen Sie Anlage, Zuordnung, Rollenvergabe, Änderung und Entzug von Konten. Ein persönlicher Signaturbenutzer darf nicht ohne geeignete Kontrolle von mehreren Personen verwendet werden. Bei ausgeschiedenen Mitarbeitern muss der Zugriff beendet werden, während erforderliche historische Zuordnungen verständlich bleiben. Ein gelöschter Anzeigename kann die spätere Recherche erschweren.

Verfolgen Sie die Identität durch den gesamten technischen Weg. Der Identity Provider, die Fachanwendung und ein nachgelagerter Signaturdienst können unterschiedliche Kennungen verwenden. Bestimmen Sie, welche Kennung dauerhaft maßgeblich ist und wie Namensänderungen behandelt werden. Ein Token mit einer E-Mail-Adresse ist nicht automatisch ein dauerhaft eindeutiger Personenbezug. Prüfen Sie auch technische Konten: Eine Hintergrundverarbeitung darf nicht ohne passenden Nachweis als persönliche Genehmigung eines Mitarbeiters erscheinen.

Quellen: [2] [1]

Sitzung und Signaturkomponenten richtig bewerten

Für nicht biometrische elektronische Signaturen enthält 21 CFR § 11.200 Anforderungen an unterschiedliche Identifikationskomponenten und ihre Verwendung innerhalb beziehungsweise außerhalb einer zusammenhängenden kontrollierten Zugriffssitzung. Daraus folgt keine einfache Regel „MFA beim Tagesstart reicht für alle späteren Unterschriften“. Ebenso wenig ist jede technisch mögliche Wiederverwendung einer Anmeldung automatisch ungeeignet. Entscheidend sind die konkrete Architektur und die anwendbaren Anforderungen.

Beschreiben Sie, wann eine Sitzung beginnt, endet oder als nicht mehr kontrolliert gilt. Betrachten Sie Sperren des Arbeitsplatzes, Inaktivität, Browserwechsel, geteilte Geräte und erneute Anmeldung. Prüfen Sie, ob ein anderer Mitarbeiter eine offene Sitzung nutzen könnte. Die Signaturhandlung muss bewusst ausgeführt und dem richtigen Unterzeichner zugeordnet werden. Lassen Sie komponenten- und sitzungsbezogene Anforderungen am tatsächlichen Konzept fachlich prüfen, statt allein aus einem Authentifizierungslogo auf Konformität zu schließen.

Quellen: [2]

Was die signierte Aufzeichnung erkennen lassen muss

Bestimmen Sie die Bedeutung der Bestätigung: erstellt, geprüft, genehmigt oder eine andere definierte Erklärung. Der Anwender muss verstehen, welchen Stand er bestätigt. Für anwendbare Part-11-Aufzeichnungen sind unter anderem Name des Unterzeichners, Datum und Zeit sowie Bedeutung der Signatur zu betrachten. Die Signatur muss zuverlässig mit der zugehörigen Aufzeichnung verbunden bleiben. Ein isolierter Eintrag „User X approved“ ohne eindeutigen Versionsbezug kann dafür zu wenig sein.

Prüfen Sie Anzeige und Ausgabe. Bleibt die Signaturinformation im benötigten elektronischen Zugriff und gegebenenfalls Ausdruck verständlich? Was geschieht, wenn die Aufzeichnung nach der Unterzeichnung geändert wird? Der frühere Signaturbezug darf nicht unbemerkt auf einen neuen Inhalt übergehen. Definieren Sie den Prozess für Korrektur, erneute Prüfung und historische Recherche. Der Nachweis umfasst damit mehr als die erfolgreiche Annahme eines Kennworts.

Quellen: [2] [1]

Konstruiertes Beispiel: SOP-Revision genehmigen

Im Beispiel genehmigt Prüfer P die Revision 7 einer SOP. Er meldet sich über den Unternehmens-Identity-Provider an und führt anschließend die definierte Signaturhandlung aus. Das Sollpaket umfasst P, den genauen Dokumentstand, den Signaturzeitpunkt und die Erklärung „geprüft und genehmigt“. Nach einer späteren Änderung entsteht Revision 8, die nicht als von der alten Signatur abgedeckt erscheinen darf.

Ergänzen Sie einen Sitzungswechsel, eine abgelaufene Anmeldung und den Zugriff eines nicht berechtigten Benutzers. Prüfen Sie nicht nur positive Bedienung. Ein zentral entzogenes Konto kann je nach Architektur noch eine bestehende Anwendungssitzung besitzen; dieser Zustand muss bewertet werden. Die folgende Matrix ist eine eigene Arbeitshilfe. Sie legt keine universelle Tokenlaufzeit und keine identische Implementierung für alle Signaturprodukte fest.

Eigene Arbeitshilfe: Konstruiertes Beispiel: SOP-Revision genehmigen
FallPrüfschrittErwarteter Zusammenhang
Richtiger StandRevision 7 unterzeichnenSignatur exakt dieser Revision zugeordnet
BedeutungGenehmigung bewusst bestätigenErklärung eindeutig erkennbar
SitzungsendeNach Ende erneut unterzeichnenAnforderungsgerechte Authentifizierung
Arbeitsplatz offenFremdnutzung versuchenUnbefugte Signatur verhindert
Rolle entzogenFrühere Berechtigung erneut nutzenEntzug entsprechend Konzept wirksam
Inhalt geändertRevision 8 erzeugenAlte Signatur bestätigt nicht neuen Inhalt

Quellen: [2] [1]

Rollen und Funktionstrennung passend gestalten

Prüfen Sie, wer eine Aufzeichnung erstellen, ändern, prüfen und unterzeichnen darf. Funktionstrennung wird aus dem Prozess und seinen Risiken abgeleitet. Nicht jede Anwendung benötigt identische Rollenmuster, aber unerlaubte Kombinationen müssen beherrscht sein. Testen Sie mit realistischen Benutzerkonten. Ein Administrator kann Rechte besitzen, die im Routineprozess gerade ausgeschlossen sein sollen.

Berücksichtigen Sie Stellvertretung und Abwesenheit. Eine zulässige Vertretung bedeutet nicht, dass jemand die Identität des ursprünglichen Genehmigers verwendet. Der tatsächliche Unterzeichner und seine Befugnis müssen nachvollziehbar bleiben. Prüfen Sie außerdem delegierte Aktionen und Automationen. Wenn ein System nach einem Statuswechsel automatisch weitere Datensätze bearbeitet, muss erkennbar sein, welche persönliche Erklärung vorlag und welche Folgehandlung technisch ausgeführt wurde.

Quellen: [1] [2]

Ausfall, Wiederanlauf und historische Recherche prüfen

Ein Identity-Provider-Ausfall kann die Anmeldung oder Signatur verhindern. Definieren Sie, welche Prozesse dann fortgesetzt werden dürfen und welche warten müssen. Notzugänge benötigen ein bewusst bewertetes Verfahren; sie dürfen keine unkontrollierte Umgehung der Signaturanforderungen darstellen. Prüfen Sie den späteren Abgleich und die Behandlung bereits begonnenen, aber nicht abgeschlossenen Signaturhandlungen.

Testen Sie auch einen technisch abgebrochenen Vorgang: Wurde die Signatur gespeichert, die Oberfläche aber nicht aktualisiert? Kann Wiederholen eine doppelte oder widersprüchliche Bestätigung erzeugen? Der Anwender braucht einen verlässlichen Weg zur Klärung des Zustands. Für historische Recherche werden Aufzeichnung, Identität und Signaturkontext gemeinsam aufgerufen. Anbieterwechsel, Kontoumbenennung oder Archivierung dürfen diesen Zusammenhang nicht unbemerkt auflösen.

Quellen: [1] [3]

Eine nachvollziehbare Eignungsentscheidung treffen

Dokumentieren Sie Geltungsbereich, Architektur, Identitäts- und Sitzungskonzept, Signaturbedeutung und Prüfnachweise. Benennen Sie ausdrücklich, was SSO und MFA abdecken und welche Funktionen die Fachanwendung zusätzlich bereitstellt. Eine Bescheinigung zum Identity Provider belegt nicht automatisch die vollständige Signaturkette. Umgekehrt muss nicht jede organisatorische Kontrolle technisch in derselben Komponente liegen, sofern das Gesamtkonzept geeignet ist.

Legen Sie relevante Änderungen fest: neue Anmeldemethode, andere Sitzungslaufzeit, Wechsel des Identity Providers, neue Signaturrolle oder veränderte Aufzeichnung. Bewerten Sie deren Auswirkungen vor der Verwendung. Die Qualität liegt in einer verständlichen, geprüften Verbindung von Person, Erklärung und Inhalt. Ein optisch überzeugendes Signaturfenster ohne diese Verbindung ist ebenso wenig ausreichend wie eine sichere Anmeldung ohne kontrollierte Entscheidung.

Quellen: [1] [2]

Häufige Fragen zu SSO, MFA und Signatur

Ist SSO dasselbe wie MFA?

Nein. SSO beschreibt die gemeinsame Anmeldung über mehrere Anwendungen. MFA beschreibt die Bestätigung einer Identität mit mehreren geeigneten Faktoren. Beide können kombiniert werden. Ob die anschließende Signaturhandlung geeignet ist, muss zusätzlich anhand des Aufzeichnungsbezugs, der Erklärung und des anwendbaren Regelwerks bewertet werden.

Muss vor jeder elektronischen Signatur ein Passwort eingegeben werden?

Eine pauschale Antwort ist nicht sachgerecht. Part 11 unterscheidet unter anderem Signaturkomponenten und den Kontext einer zusammenhängenden kontrollierten Sitzung. Prüfen Sie die konkrete Implementierung gegen die anwendbaren Anforderungen. Ein Passwortdialog allein belegt weder ausreichende Identität noch richtigen Aufzeichnungsbezug.

Quellen: [2]

Kann ein Klick auf Genehmigen eine elektronische Signatur sein?

Er kann Bestandteil einer geeigneten Signaturfunktion sein. Entscheidend sind bewusste Handlung, berechtigter Unterzeichner, Bedeutung, Zeitpunkt und zuverlässige Verbindung zur richtigen Aufzeichnung. Prüfen Sie auch Authentifizierung und Sitzungssteuerung. Der Buttontext allein entscheidet nicht über Eignung oder regulatorische Wirkung.

Was passiert bei einer Namensänderung des Unterzeichners?

Die historische Zuordnung muss verständlich bleiben. Prüfen Sie dauerhafte Kennung, damalige Namensdarstellung und aktuelle Identitätsverwaltung. Eine reine E-Mail-Adresse kann sich ändern oder erneut vergeben werden. Der Prozess muss verhindern, dass historische Signaturen dadurch einer falschen Person zugeordnet erscheinen.

Darf ein Administrator im Namen eines Genehmigers unterschreiben?

Eine technische Administrationsbefugnis ist keine persönliche Genehmigungsbefugnis unter fremder Identität. Der tatsächliche Unterzeichner und seine Berechtigung müssen nachvollziehbar sein. Zulässige Stellvertretung wird im Prozess definiert und mit eigener Identität ausgeführt. Prüfen Sie administrative Möglichkeiten zur Änderung von Signaturdaten gesondert.

Gilt Part 11 für jedes System mit SSO?

Nein. Die Nutzung von SSO begründet für sich allein nicht den Part-11-Anwendungsbereich. Dieser hängt von den betreffenden elektronischen Aufzeichnungen, Signaturen und zugrunde liegenden FDA-Anforderungen ab. Die konkrete Geltungsbewertung erfolgt vor der Auswahl und Prüfung der notwendigen Kontrollen.

Quellen: [2]

Quellen & fachlicher Stand

Stand: 14. Oktober 2026. Regulatorische Einordnung und Herstellerfunktionen sind getrennt belegt. Beispiele, Testmatrizen und Vorlagen sind eigene Arbeitshilfen; sie werden für den tatsächlichen Einsatzzweck angepasst.

  1. Europäische Kommission: EU-GMP Annex 11, Computerised Systems (2011)
  2. eCFR: 21 CFR Part 11, Electronic Records; Electronic Signatures
  3. PIC/S: PI 041-1, Good Practices for Data Management and Integrity (2021)

Zuletzt fachlich geprüft am 14.10.2026.

Daniel Herrmann, Daniel Herrmann Consulting

Daniel Herrmann Consulting

Wie wir Sie dabei unterstützen

Daniel Herrmann Consulting verbindet die fachliche Bewertung mit der Arbeit am konkreten System. Im Erstgespräch klären wir Ihren Einsatzzweck, vorhandene Nachweise und den nächsten sinnvollen Schritt.

  • IT-GxP-Consulting →

    Anforderungen, Tests und Umsetzung für Ihren konkreten Systemprozess zusammenführen.

Ihr Vorhaben besprechenEinblicke in unsere Projektarbeit →