Cloud- & SaaS-Validierung · Pharma · Biotech · MedTech

Cloud- und SaaS-Validierung — die Grenze richtig ziehen, die Release-Velocity erhalten.

Eine Grenze. Zwei Verantwortungen. Null Findings.

GxP-konforme Cloud-Validierung mit klarer Vendor-Audit-Grenze, einem Release-Regressions-Framework, das hält, und Cross-Stream-Projektleitung wenn IT, Qualität und Business gleichzeitig liefern müssen.

Cloud-Stack besprechen Vendor-Grenze ansehen

100 % Audit-Bestehensquote 0 kritische Findings 60+ validierte Systeme 15+ Jahre Cloud / SaaS-Praxis

03

Sie (Kunde) Konfiguration · Daten · Prozesse · GxP

02

PaaS / SaaS-Plattform Veeva · MasterControl · Box

01

IaaS AWS · Azure · Google Cloud

Validiert auf

AWS
Azure
Google Cloud
Veeva Vault
MasterControl
Box

01 Kontext

Was Cloud-Validierung anders macht.

Cloud-Validierung GxP-konform aufzustellen ist mehr als ein technisches Update bestehender CSV-Prozesse. In Pharma, Biotech und MedTech verschiebt der Cloud-Betrieb die Verantwortungs-Grenzen — und damit auch den Validierungs-Scope. Das Shared-Responsibility-Modell trennt drei klar definierte Ebenen:

IaaS (AWS, Azure, Google Cloud) — verantwortet Hardware, Hypervisor und Netzwerk.
PaaS / SaaS-Plattform (Veeva Vault, MasterControl, Box) — verantwortet Anwendungslogik, Plattform-Releases und Standard-Konfiguration.
Kunde (Sie) — verantwortet Konfiguration, Daten, Prozesse und die GxP-Compliance Ihres Anwendungsfalls.

Klassische On-Prem-Validierung lässt sich nicht 1:1 auf SaaS übertragen. Vier Punkte machen den Unterschied:

01

Audit-Trail beim Vendor

Liegt teilweise beim Vendor — Zugriff und Export müssen vertraglich gesichert sein.

02

Backup-Verantwortung wandert

Was passiert bei Vendor-Ausfall? Recovery, Retention und Replay sind nicht trivial.

03

Forensic-Daten auf Abruf

Für Findings-Aufklärung nicht selbstverständlich verfügbar — Klauseln nötig.

04

Datenstandort

Entscheidet über EMA- und DSGVO-Konformität. EU-Region und Transfer-Folgenabschätzung sind Pflicht.

Wer diese Verschiebungen nicht systematisch adressiert, validiert formal — aber nicht audit-sicher.

02 Vendor-Audit-Grenze

Vendor-Audit-Grenze richtig setzen.

Die wichtigste Frage in jeder Cloud-Validierung ist nicht „Wie validieren wir?" — sondern „Was müssen wir selbst validieren, was darf der Vendor abdecken?" Genau hier scheitern viele Projekte: Sie überprüfen den Vendor zu wenig oder duplizieren dessen Nachweise unnötig.

A

SOC 2 II ISO 27001 ISO 27018 SOC 1

Vendor-Zertifikate richtig einordnen

SOC 2 Type II belegt operative Kontrollen über einen Zeitraum. ISO 27001 die Informationssicherheits-Managementsystematik. ISO 27018 ergänzt den Datenschutz für personenbezogene Daten in der Cloud. SOC 1 deckt finanzrelevante Kontrollen ab. Wichtige Bausteine — aber kein Ersatz für ein GxP-spezifisches Lieferanten-Audit nach Annex 11.3. Sie belegen Sicherheits-Reife, nicht die Eignung für validierungspflichtige Prozesse.

B Annex 11.3 Pflicht

Lieferanten-Audit-Pflicht nach Annex 11.3

Der regulierte Betreiber bleibt verantwortlich. Sie müssen Ihren Cloud-Vendor formal auditieren — entweder im Custom-Audit (eigenes Team vor Ort) oder über ein Pool-Audit wie den Pharmaceutical Cloud Auditing Pool. Pool-Audits reduzieren den Aufwand erheblich, decken aber nicht jedes kundenspezifische Risiko ab.

C

Configuration Customizing

Configuration vs. Customizing — die teuerste Linie

Konfiguration (Workflow-Schritte, Felder, Rollen) ist im Standard validierungs-fähig. Customizing (eigener Code, Custom-Objects, API-Erweiterungen) verlässt den validierten Standard-Pfad des Vendors und erfordert eigene OQ/IQ/PQ-Nachweise. Genau hier explodieren Kosten und Risiken.

D

Veeva MasterControl AWS/Azure

Wo die Grenze verläuft — Praxis

Bei Veeva Vault zieht die Grenze entlang der Vault-Configuration-API. MasterControl trennt Standard-Workflows von kundenspezifischen Erweiterungen. AWS- oder Azure-Custom-Lösungen auf IaaS-Basis sind in der Regel komplett im Kundenscope.

Vertiefung · GAMP 5

Wie GAMP 5 die Vendor-Bewertung strukturiert

Risikobasierte Lieferanten-Klassifizierung, Qualifizierungs-Tiefe je Kategorie und wie die Audit-Pflicht in den GAMP-5-Lifecycle einpasst.

GAMP-5-Compliance ansehen

03 Release-Regression

Bleiben Sie validiert — im Tempo des Vendors.

Cloud-Validierung trifft auf ein Paradox: Validierung verlangt Stabilität und dokumentierte Reproduzierbarkeit — der Cloud-Vendor liefert in immer kürzeren Zyklen aus. Ohne Framework wird jeder Release zur Neueinführung — der validierte Zustand geht zwischen zwei Audits verloren.

Ohne Framework

Tage

Jeder Release von Grund auf: Workshops, Impact-Analyse, neue Testfälle, Doku-Updates. Blockiert Kapazität, die im eigentlichen Projekt fehlt.

Mit dhc-Framework

4–8 h

Vordefinierte Risiko-Cluster, gepflegte Regressions-Suite, klare Pfade für Re-Validierungs-Tiefe. Gleiche regulatorische Tiefe, Bruchteil des Aufwands.

Plattform-Release-Rhythmus Q1Q2Q3Q4

Veeva Vault 3 Major-Releases / Jahr

4–8 h / Release

MasterControl Continuous Hotfix-Releases

2–4 h / Change

Custom-SaaS · AWS / Azure Vendor-spezifische Sprints

Je Sprint-Frequenz

Das Framework ist kein Tool, sondern ein dokumentierter Prozess. Sie übernehmen ihn nach Projekt-Abschluss in den Eigenbetrieb — und bleiben unabhängig von externer Unterstützung.

04 Hybrid-Stack

On-Prem + Cloud — zusammen validieren.

In Pharma 2026 ist kein Unternehmen „pure Cloud". Selbst Hersteller mit aggressiver Cloud-Strategie betreiben weiter On-Prem-Systeme — produktionsnahe MES-Installationen, etablierte LIMS-Plattformen, ältere ERP-Umgebungen. Validierung muss diese Realität abbilden, nicht ignorieren.

On-Prem

MES LIMS ERP

Cloud

Cloud-QMS eDMS RIM

Validierung folgt den Daten, nicht dem Deployment-Modell

Ob ein Batch-Record im On-Prem-MES entsteht und ins Cloud-QMS überführt wird oder umgekehrt — regulatorisch zweitrangig. Entscheidend: Bleibt die Daten-Integrität nach ALCOA+ über alle Systemgrenzen erhalten und ist der Audit-Trail durchgängig nachvollziehbar?

Übergabe-Punkte sind das stille Risiko

Jeder Hybrid-Stack hat Übergabe-Punkte, an denen Daten den validierten Pfad verlassen können. Typisch: Batch-Record passiert MES → Middleware → Cloud-QMS und verliert dabei den Audit-Trail-Bezug. Im Tagesbetrieb unsichtbar — im FDA-Audit nicht.

Cross-System-Integrations-Tests

Die kritischen Schnittstellen: MES ↔ Cloud-QMS, LIMS ↔ Cloud-eDMS, ERP ↔ Cloud-Plattform. Jeder erfordert dokumentierte Integrations-Tests mit End-to-End-Daten-Durchgängigkeit, nicht nur isolierte Modul-Tests.

Vorbereitung auf die nächste Inspektion: Audit-Vorbereitung

05 Cross-Stream-Projektleitung

Drei Streams parallel — eine Verantwortung für die Schnittstelle.

Cloud- und SaaS-Projekte scheitern selten an der Technik. Sie scheitern daran, dass Application, Compliance und Business Stream parallel liefern — und niemand die Schnittstelle dazwischen verantwortet. Genau diese Brücke übernehmen wir.

Application Stream

Konfiguration · Vendor-Releases · Schnittstellen

Sandbox- und Produktiv-Setup, technische Schnittstellen, Vendor-Release-Cadence.

Compliance Stream

Validierungs-Artefakte · Risiko · Audit-Trail

Risikobewertung, Audit-Trail-Konzept, Lieferanten-Audit-Nachweise.

Business Stream

Prozess · Schulung · Adoption

Prozess-Design, Anwenderschulung, Adoption, Change-Management im Fachbereich.

Jeder Stream hat eigene Tempi, Verantwortliche und Erfolgskriterien. Ohne übergeordnete Steuerung laufen sie nebeneinander — bis kurz vor Go-Live die Lücken sichtbar werden.

Was dhc im Programm-Management übernimmt

Programm-Master-Plan mit klaren Phase-Gates
Stream-übergreifendes Risiko-Register
Synchrone Steuerungs-Cadence
Saubere Eskalations-Pfade

Validation Management und Projektleitung greifen zu einer Verantwortung — die E-Säule unserer IVE-Methodik.

60+Systeme validiert

15+Jahre Praxis

100 %Audit-Pass

0Findings

Programm braucht Sortierung? 30-Min-Erstgespräch

06 Bonus-Material

Cross-Stream-Synergie-Strategie — der Strategie-Guide.

Auf gut 20 Seiten zeigen wir, wie wir Application, Compliance und Business Stream in einem Programm synchronisieren — mit konkreten Beispielen aus Cloud-Validierungsprojekten in Pharma. Der Guide ergänzt diese Service-Seite und enthält Schablonen, die Sie sofort in Ihrem eigenen Programm anwenden können — unabhängig vom Beratungs-Engagement.

~20 Seiten PDF · DE Kostenlos · E-Mail-Gate

07 FAQ

Häufige Fragen zur Cloud- und SaaS-Validierung.

Vendor Reicht das SOC-2-Audit unseres Cloud-Vendors als Lieferanten-Audit aus?

Nein. SOC 2 Type II belegt operative Sicherheits-Kontrollen, ersetzt aber kein GxP-spezifisches Lieferanten-Audit nach Annex 11.3. Sie können ein SOC-2-Audit als Baustein einbringen — die regulatorische Pflicht zur eigenen Lieferanten-Bewertung bleibt beim regulierten Betreiber.

Release Müssen wir bei jedem Cloud-Vendor-Release komplett re-validieren?

Nein. Mit einem etablierten Release-Regression-Framework reduziert sich der Aufwand auf 4–8 Stunden pro Veeva-Release oder 2–4 Stunden pro MasterControl-Change. Voraussetzung: vordefinierte Risiko-Cluster und gepflegte Regressions-Testsuite.

Pricing Was kostet eine Cloud-/SaaS-Erstvalidierung typischerweise?

Der Aufwand richtet sich nach Plattform, Konfigurations-Tiefe und Anzahl der Schnittstellen. Eine isolierte SaaS-Erstvalidierung (Standard-Konfiguration, keine Custom-Erweiterungen) liegt in der Regel zwischen sechs und zwölf Wochen. Festpreise sind möglich, sobald der Scope definiert ist.

Souveränität Wie behandeln Sie Daten-Souveränität bei US-gehosteter Cloud-Plattform unter EMA-Audit?

Über drei Hebel: vertraglich abgesicherten Datenstandort in EU-Regionen, dokumentierte Transfer-Folgenabschätzung nach DSGVO und Audit-Trail-Zugriff aus EU-Jurisdiktion. Bei US-only-Hosting prüfen wir, ob Standardvertragsklauseln und ergänzende Maßnahmen für Ihren GxP-Anwendungsfall ausreichen.

Engagement Können wir Projektleitung an dhc outsourcen oder beraten Sie nur?

Beides. Wir übernehmen Programm-Verantwortung als Interim-Lead — oder unterstützen Ihre interne Projektleitung beratend. Die Aufteilung definieren wir in der Erstanalyse.