IT-Systeme · Praxisleitfaden

SharePoint und Purview: GxP-Protokolle richtig bewerten

Eine SOP wurde geändert. SharePoint zeigt eine neue Version, Purview einen Dateizugriff. Trotzdem ist noch offen, welche fachliche Änderung vorgenommen und wer sie genehmigt hat. Für einen belastbaren Nachweis müssen die unterschiedlichen Protokolle zusammenpassen und ihre Grenzen bekannt sein.

Daniel Herrmann
Compliance-Experte für Life Sciences
Fachlicher Stand: 7 Minuten Lesezeit
Inhaltsverzeichnis

Das Wichtigste vorab

Ist Microsoft Purview Audit ein ausreichender GxP-Audit-Trail für SharePoint?

Purview Audit zeichnet dienstbezogene Aktivitäten auf; SharePoint-Versionen und Workflowaufzeichnungen liefern andere Informationen. Ob diese Kombination die Anforderungen erfüllt, hängt vom konkreten Prozess, der Ereignisabdeckung, Identitätszuordnung, Aufbewahrung und Recherche ab. Ein vorhandener Dateiereigniseintrag beweist nicht automatisch den vollständigen Inhalt einer Änderung oder eine fachliche Freigabe.

Die benötigte Aussage vor dem Protokoll auswählen

Beginnen Sie mit einer fachlichen Frage: Wer änderte den Inhalt einer SOP, wer setzte sie wirksam und welcher Stand galt am Tag der Herstellung? Diese Fragen verlangen unterschiedliche Informationen. Ein Öffnungsereignis kann den Zugriff belegen. Eine Dateiversion kann den Inhalt eines Stands zeigen. Ein Freigabenachweis beschreibt die verantwortete Entscheidung. Keines dieser Elemente sollte ohne Prüfung als Ersatz für die anderen behandelt werden.

Definieren Sie die kritischen Ereignisse Ihres Dokumentenprozesses. Dazu können Änderungen, Löschung, Freigabe, Rücknahme, Berechtigungswechsel und administrative Eingriffe gehören. Leiten Sie den benötigten Umfang aus der Nutzung ab. Ein allgemeines „alles protokollieren“ ist schwer zu prüfen und löst die Frage nach dem fachlichen Zusammenhang nicht. Annex 11 und PIC/S geben den Rahmen für Nachvollziehbarkeit und Review; die konkrete Abdeckungsmatrix ist eine eigene Umsetzungshilfe.

Quellen: [1] [2]

Vier Nachweise mit unterschiedlichen Aufgaben

Unterscheiden Sie Dateiinhalte und Versionen, Dokumentmetadaten, Workflowentscheidungen sowie servicebezogene Auditereignisse. SharePoint und Microsoft Purview sind dabei keine austauschbaren Bezeichnungen. Die Microsoft-Dokumentation beschreibt zahlreiche Datei-, Listen-, Berechtigungs- und Verwaltungsaktivitäten. Welche Ereignisse im tatsächlichen Setup verfügbar sind und welchen Kontext sie enthalten, muss am verwendeten Dienst und Lizenzumfang geprüft werden.

Ein Ereignis „Datei geändert“ liefert nicht automatisch die alte und neue Formulierung eines Absatzes. Eine Versionshistorie erklärt wiederum nicht zwingend den fachlichen Grund einer Änderung. Ein separat ausgeführter Freigabeflow braucht eine eindeutige Verbindung zur betroffenen Dokumentversion. Beschreiben Sie diese Verbindung ausdrücklich. Wenn nur Dateiname und aktueller Link gespeichert werden, kann eine spätere Umbenennung oder Änderung den Zusammenhang verschleiern, obwohl technisch alle Komponenten weiter erreichbar sind.

Quellen: [3] [1]

Abdeckungsmatrix für den gesamten Lebenszyklus

Ordnen Sie jedem Ereignis die verfügbare Nachweisquelle, erforderliche Information und bekannte Grenze zu. Berücksichtigen Sie alle tatsächlich verwendeten Wege: Browser, Office-Client, Synchronisationsclient, Automation und administrative Aktion. Ein erfolgreicher Test in der Browseroberfläche belegt nicht automatisch identische Nachweise bei einer Schnittstelle. Der technische Weg ist besonders relevant, wenn eine Anwendung im Namen eines Benutzers handelt.

Microsoft beschreibt für bestimmte SharePoint-Aktivitäten den Kontext app@sharepoint. Bewerten Sie deshalb, ob die auslösende Identität und der fachliche Auftrag nachvollziehbar bleiben. Ein technischer Akteur ist nicht zwingend ein Fehler, aber er darf nicht ohne Begründung als persönlich verantwortlicher Genehmiger erscheinen. Dokumentieren Sie auch zeitliche Verzögerungen bei der Verfügbarkeit von Auditereignissen. Das erwartete Recherchefenster wird aus der aktuellen Dokumentation und dem eigenen Test abgeleitet.

Eigene Arbeitshilfe: Abdeckungsmatrix für den gesamten Lebenszyklus
Fachliches EreignisBenötigte InformationMögliche Nachweisquelle
SOP-Inhalt ändernVorheriger und neuer StandKontrollierte Dateiversionen
Wirksam setzenEntscheider, Zeitpunkt, genaue VersionFreigabeprozess und Dokumentstatus
Datei löschenBetroffenes Objekt, Akteur, ZeitpunktPurview-Ereignis und Aufbewahrung
Berechtigung erweiternBetroffener Zugriff und AnlassVerwaltungsereignis und Antrag
Automation ändert StatusTechnischer Akteur und AuslöserFlow-Nachweis und Auditereignis
Historischen Stand suchenDamals gültiger Inhalt und FreigabeVerbundene historische Recherche

Quellen: [1] [3]

Konstruiertes Beispiel: Revision 4 wird wirksam

Eine SOP erhält im Beispiel eine neue Reinigungsanweisung. Autor A bearbeitet Revision 4. Prüfer B genehmigt sie, und die verantwortliche Stelle setzt sie zu einem festgelegten Termin wirksam. Ein Mitarbeiter muss drei Monate später nachweisen, welcher Stand bei einem konkreten Vorgang galt. Das Sollpaket enthält Inhalt, Version, Freigabe und Wirksamkeitsbezug. Ein bloßer Download der heutigen Datei beantwortet die historische Frage nicht.

Prüfen Sie zunächst den normalen Ablauf mit unabhängiger Referenz. Ändern Sie anschließend nach der Genehmigung einen kritischen Absatz und untersuchen Sie, ob der Prozess diese Änderung beherrscht. Ergänzen Sie eine Umbenennung, eine Verschiebung und einen abgewiesenen Zugriff. Erwartet wird jeweils ein nachvollziehbarer Zusammenhang; nicht zwingend derselbe technische Datensatz in jedem Protokoll. Unterscheiden Sie fehlende Daten von falsch gesetzten Filtern und noch nicht verfügbarer Protokollierung, bevor Sie einen Befund abschließen.

Quellen: [1] [2]

Aufbewahrung: Lizenz und Richtlinie konkret prüfen

Die Aufbewahrung von Auditereignissen hängt unter anderem von Lizenz, Dienst, Ereignis und aktiver Richtlinie ab. Microsoft unterscheidet Audit Standard und Premium sowie zusätzliche Möglichkeiten für längere Aufbewahrung. Übernehmen Sie deshalb keine pauschale Standardfrist aus einem Angebot oder alten Screenshot. Prüfen Sie, welche Benutzer die relevanten Aktionen ausführen und welche Richtlinie tatsächlich auf diese Ereignisse angewendet wird.

Leiten Sie den benötigten Zeitraum aus den betroffenen Aufzeichnungen und anwendbaren Anforderungen ab. Dokumentaufbewahrung und Auditlogaufbewahrung können getrennt konfiguriert sein. Dass eine SOP noch vorhanden ist, beweist nicht, dass ihre erforderliche Änderungshistorie ebenso lange verfügbar bleibt. Bewerten Sie einen erforderlichen Export oder eine andere Aufbewahrungslösung einschließlich Integrität, Vollständigkeit, Zugriff und Recherche. Eine regelmäßig abgelegte CSV-Datei ist ohne diese Kontrollen noch kein belastbares Archiv.

Quellen: [4] [1]

Review braucht eine konkrete fachliche Frage

Legen Sie fest, welche Ereignisse regelmäßig oder anlassbezogen geprüft werden. Der Umfang folgt Risiko und Prozess. Kritische Änderungen an wirksamen Dokumenten verlangen eine andere Betrachtung als ein gewöhnlicher Lesezugriff. Ein Review muss erkennen lassen, wer was geprüft, welchen Befund bewertet und welche Folgemaßnahme veranlasst hat. Ein exportierter Log ohne Bewertung zeigt nur eine Datensammlung.

Prüfen Sie die verwendeten Filter und Berichte selbst. Falsche Zeitzone, unvollständige Objektbezeichnung oder ein fehlender Aktivitätstyp können relevante Ereignisse ausblenden. Ein leerer Trefferbereich darf daher nicht automatisch als „keine Änderung“ gelten. Verwenden Sie bekannte positive Kontrollereignisse, um den Suchweg zu prüfen. Wenn die Auswertung automatisiert wird, bewerten Sie die dafür relevante Logik und Änderungen an Ereignisschemata. Die Verantwortung für die Bewertung bleibt im Betrieb eindeutig zugeordnet.

Quellen: [2] [1]

Administrative Eingriffe und Wiederherstellung berücksichtigen

Betrachten Sie, wer Versionierung, Berechtigungen, Aufbewahrung und Auditkonfiguration ändern darf. Weitreichende Administratorrechte können betrieblich notwendig sein; ihre Vergabe und Verwendung brauchen passende Kontrollen. Prüfen Sie, ob ein Reviewer notwendige Informationen unabhängig erreichen kann. Eine Arbeitsanweisung, die denselben Administrator zur alleinigen Kontrolle seiner eigenen Eingriffe macht, sollte kritisch bewertet werden.

Auch Wiederherstellung, Migration und Kontowechsel können historische Zusammenhänge beeinflussen. Testen Sie einen repräsentativen Wiederherstellungsfall mit Inhalt und Kontext. Bleibt die Genehmigung der richtigen Version zugeordnet? Sind ausgeschiedene Mitarbeiter noch eindeutig identifizierbar? Das Ziel ist kein künstlich unveränderliches System, sondern ein beherrschter Lebenszyklus. Änderungen dürfen den erforderlichen Nachweis nicht unbemerkt zerstören. Verbleibende Grenzen werden mit ihrer Prozesswirkung dokumentiert und vor der Freigabe bewertet.

Quellen: [1] [2]

Eignung ereignisbezogen entscheiden

Das Ergebnis kann eine ausreichende Abdeckung, gezielte Ergänzung oder die Wahl einer anderen Dokumentenarchitektur sein. Begründen Sie die Entscheidung je kritischem Ereignis. „Microsoft 365 ist compliant“ ist keine belastbare Schlussfolgerung für einen kundenspezifischen SOP-Prozess. Ebenso wenig folgt aus einer Protokollgrenze automatisch, dass SharePoint für jeden GxP-Zweck ungeeignet ist.

Übergeben Sie Abdeckungsmatrix, Konfiguration, Testereignisse, Aufbewahrungsentscheidung und Review-Regeln an den Betrieb. Benennen Sie Auslöser für eine Neubewertung: Lizenzwechsel, neuer Flow, weitere Bibliothek, geänderte Rollen, Migration oder relevante Produktänderung. Die eigentliche Qualität liegt darin, dass ein späterer Prüfer die benötigte Aussage zuverlässig rekonstruieren kann. Ein umfangreicher Auditexport ohne verständliche Verbindung zum Dokument erfüllt dieses Ziel nicht.

Quellen: [1]

Häufige Fragen zu SharePoint: Protokolle und GxP

Zeichnet Purview den alten und neuen Inhalt jeder Excel-Zelle auf?

Aus einem allgemeinen Dateiaktivitätsereignis lässt sich das nicht ableiten. Prüfen Sie die dokumentierte und tatsächlich verfügbare Detailtiefe für den verwendeten Dienst. Wenn der Prozess einen nachvollziehbaren Einzeländerungsnachweis benötigt, muss dessen Abdeckung gesondert bewertet und bei Bedarf ergänzt werden.

Quellen: [3]

Bleiben Auditlogs so lange erhalten wie die SOP?

Nicht automatisch. Dokument- und Auditlogaufbewahrung können unterschiedlichen Regeln folgen. Prüfen Sie aktive Richtlinien, Benutzerlizenzen und Ereignisarten. Der erforderliche historische Zusammenhang muss über den begründeten Aufbewahrungszeitraum verfügbar bleiben; eine lange Dokumentenfrist allein belegt das nicht.

Quellen: [4]

Ist ein technischer Benutzer im Auditlog unzulässig?

Nicht pauschal. Automationen können unter einer technischen Identität laufen. Entscheidend ist, ob Aktion, auslösender Auftrag und verantwortliche Entscheidung ausreichend nachvollziehbar sind. Eine technische Aktion darf nicht ohne passenden Nachweis als persönliche Genehmigung eines Mitarbeiters ausgegeben werden.

Muss jeder Dateizugriff im GxP-Review geprüft werden?

Der Reviewumfang wird nach Prozess und Risiko festgelegt. Relevante Änderungen, Löschungen oder administrative Eingriffe können eine andere Bedeutung haben als gewöhnliche Lesezugriffe. Beschreiben Sie die konkreten Prüffragen, Auswahlkriterien und Eskalationswege. Eine universelle Reviewfrequenz lässt sich daraus nicht ableiten.

Quellen: [2]

Reicht ein monatlicher CSV-Export aus Purview?

Ein Export kann Teil des Konzepts sein. Prüfen Sie jedoch Vollständigkeit, Integrität, Zuordnung, Aufbewahrung und spätere Recherche. Die Datei muss außerdem tatsächlich bewertet werden, wenn sie dem Review dient. Exportieren und fachlich prüfen sind zwei unterschiedliche Tätigkeiten.

Wann sollte SharePoint durch ein spezialisiertes QMS ergänzt werden?

Wenn notwendige Prozesssteuerung, historische Nachvollziehbarkeit oder Betriebsregeln mit der vorgesehenen Architektur nicht ausreichend beherrscht werden. Vergleichen Sie konkrete Anforderungen und Gesamtaufwand. Ein spezialisiertes Produkt ersetzt ebenfalls keine Konfigurationsprüfung und keinen Nachweis für den eigenen Verwendungszweck.

Quellen & fachlicher Stand

Stand: 14. Oktober 2026. Regulatorische Einordnung und Herstellerfunktionen sind getrennt belegt. Beispiele, Testmatrizen und Vorlagen sind eigene Arbeitshilfen; sie werden für den tatsächlichen Einsatzzweck angepasst.

  1. Europäische Kommission: EU-GMP Annex 11, Computerised Systems (2011)
  2. PIC/S: PI 041-1, Good Practices for Data Management and Integrity (2021)
  3. Microsoft: Audit log activities
  4. Microsoft: Manage audit log retention policies

Zuletzt fachlich geprüft am 14.10.2026.

Daniel Herrmann, Daniel Herrmann Consulting

Daniel Herrmann Consulting

Wie wir Sie dabei unterstützen

Daniel Herrmann Consulting verbindet die fachliche Bewertung mit der Arbeit am konkreten System. Im Erstgespräch klären wir Ihren Einsatzzweck, vorhandene Nachweise und den nächsten sinnvollen Schritt.

  • IT-GxP-Audit →

    Den tatsächlichen Handlungsbedarf bewerten und Maßnahmen begründet priorisieren.

Ihr Vorhaben besprechenEinblicke in unsere Projektarbeit →