GMP nach einem Cyberangriff: Ist die Datenintegrität wieder belastbar?

1. Den GMP-Prozess neben dem technischen Vorfall erfassen

Quellenstand: 7. Oktober 2026. Dieser Beitrag betrachtet Humanarzneimittel-GMP und die Bewertung betroffener computergestützter Aufzeichnungen. Er ist keine technische Anleitung zur Angriffsabwehr und behandelt nicht abschließend Datenschutz-, Sicherheits- oder behördliche Meldepflichten.

Annex 11 verlangt die Meldung und Bewertung relevanter Vorfälle. Bei kritischen Vorfällen sollen die Ursache ermittelt und Korrektur- sowie Vorbeugemaßnahmen zugrunde gelegt werden. Seine Anforderungen an Sicherung, Zugang und Kontinuität bleiben für die konkrete Wiederaufnahme des Betriebs relevant.

Die erste fachliche Frage lautet nicht nur, welcher Server betroffen ist. Ermitteln Sie, welche Herstellungs-, Labor-, Lager- oder Qualitätsentscheidungen von seinen Daten abhängen. Eine indirekte Abhängigkeit über einen Bericht oder eine Schnittstelle kann ebenfalls bedeutsam sein.

Quellen: [1] [2]

2. Eindämmen und vorhandene Belege schützen

Notwendige Sofortmaßnahmen müssen nicht warten, bis die vollständige Ursache feststeht. Stimmen Sie Eingriffe mit den zuständigen technischen Fachleuten ab und halten Sie fest, welche Auswirkungen diese auf verfügbare Belege haben. Beispielsweise kann eine Wiederherstellung spätere lokale Aufzeichnungen überschreiben.

Für die GMP-Bewertung sind Zeitpunkte, betroffene Komponenten, bekannte Datenstände und die Entscheidungen während der Störung wichtig. Kennzeichnen Sie gesicherte Beobachtungen, plausible Annahmen und offene Fragen getrennt. Ein technisches Sicherheitsprotokoll kann einen Teil belegen, ist aber nicht automatisch eine vollständige fachliche Änderungshistorie.

Sammeln Sie nicht wahllos jedes Protokoll in der Chargenakte. Sichern Sie die für Untersuchung und Rekonstruktion erforderlichen Informationen in geeigneter Form und verknüpfen Sie sie nachvollziehbar mit der fachlichen Bewertung.

Quellen: [1] [3]

3. Welche Frage welcher Nachweis beantwortet

Ein Wiederanlaufbericht wird leichter entscheidbar, wenn er die technischen Ergebnisse mit konkreten fachlichen Fragen verbindet. Die folgende Matrix trennt unterschiedliche Nachweisaufgaben. Sie ist keine feste Reihenfolge, in der jedes Unternehmen zwingend arbeiten muss.

Quellen: [1] [3]

4. Den Sicherungsstand von späteren Vorgängen trennen

Im folgenden illustrativen Fall umfasst die als Ausgangspunkt vorgesehene Sicherung die Vorgänge V01 bis V08. Vor der Unterbrechung entstanden zusätzlich V09 und V10. Eine unabhängige fachliche Übersicht nennt beide Nachläufer. Nach der Wiederherstellung sind zunächst nur V01 bis V08 vorhanden.

Es fehlen damit zwei erwartete Vorgänge. Daraus folgt noch nicht, dass ihre Werte beliebig nachgetragen werden dürfen. Ermitteln Sie verfügbare Originalbelege, den Bearbeitungs- und Entscheidungsstand sowie mögliche Folgeverarbeitung. Ein erneutes Anlegen muss kontrolliert erfolgen und darf nicht unbemerkt Doppelverarbeitung auslösen.

Wenn V10 nicht verlässlich rekonstruierbar ist, bleibt diese Grenze Bestandteil der Folgenbewertung. Sie lässt sich nicht durch Rückdatierung oder einen erfundenen Eintrag schließen. Prüfen Sie, welche Entscheidungen bis zur Klärung ausgeschlossen oder unter geeigneten Bedingungen möglich sind.

Quellen: [1] [3]

5. Folgen für frühere und offene Entscheidungen bewerten

Betrachten Sie nicht nur den Tag des Wiederanlaufs. Der relevante Zeitraum kann früher beginnen, etwa wenn Zugangsdaten bereits vor dem sichtbaren Ausfall missbraucht wurden. Seine Festlegung muss sich auf Befunde und begründete Unsicherheit stützen, nicht auf ein beliebiges Standardfenster.

Prüfen Sie, ob betroffene Daten bereits für Laborbewertungen, Herstellungsentscheidungen oder eine Chargenzertifizierung verwendet wurden. Daraus können weitere Untersuchungen und Maßnahmen folgen. Es gibt jedoch keine pauschale Gleichsetzung jedes Cybervorfalls mit einem falschen Produktbefund oder einem automatisch erforderlichen Rückruf.

Eine teilweise weitere Nutzung kann nur für einen klar beschriebenen, angemessen abgesicherten Umfang bewertet werden. Ein organisatorischer Kontrollschritt ist nicht allein deshalb wirksam, weil er dokumentiert ist. Entscheidend sind seine tatsächliche Abdeckung und praktische Durchführung.

Quellen: [1] [2] [4]

6. Wiederanlauf mit offenen Punkten transparent entscheiden

Führen Sie technische und fachliche Befunde zusammen. Beschreiben Sie, welche Daten als verlässlich bewertet wurden, welche Fragen offen sind und welche Nutzung die Entscheidung umfasst. Ein grüner technischer Test ist ein Beleg für diesen Prüfschritt, nicht für sämtliche Auswirkungen des Vorfalls.

Offene Punkte müssen nach ihrer Bedeutung behandelt werden. Ungeklärte wesentliche Datenintegritätsfragen können der vorgesehenen Nutzung entgegenstehen. Weniger weitreichende Restarbeiten dürfen nicht mit ihnen vermischt werden. Zuständigkeit, Frist und Kontrollmechanismus müssen zur tatsächlichen Entscheidung passen.

Dokumentieren Sie anschließend, ob Maßnahmen die angestrebte Wirkung erreichen. Die Ursachenuntersuchung kann weitere Erkenntnisse liefern, die eine frühere Bewertung ändern. Ein abgeschlossener Wiederanlauf beendet deshalb nicht automatisch die Bearbeitung des Vorfalls.

Quellen: [1] [2] [4]

7. Checkliste für die fachliche Wiederanlaufbewertung

Diese Checkliste ergänzt den technischen Störungs- und Sicherheitsprozess um GMP-Fragen. Sie sollte mit vorhandenen Incident-, Abweichungs- und Kontinuitätsverfahren verbunden werden, damit keine widersprüchlichen Entscheidungen entstehen.

• Betroffene Systeme, Schnittstellen, Zeiträume und GMP-Prozesse erfasst.
• Gesicherte Befunde und noch offene Annahmen getrennt dokumentiert.
• Erforderliche Belege vor verändernden Maßnahmen angemessen gesichert.
• Wiederherstellungsquelle und tatsächlicher Datenstand identifiziert.
• Fehlende oder zweifelhafte Vorgänge einschließlich Folgeverarbeitung bewertet.
• Betroffene Zugangsrechte und technische Kontrollen überprüft.
• Auswirkungen auf bereits getroffene fachliche Entscheidungen untersucht.
• Nutzungsumfang, Einschränkungen und Entscheidungsbefugnis festgelegt.
• Nachverfolgung offener Punkte und Wirksamkeit der Maßnahmen organisiert.

Quellen: [1] [3]

8. Was Sie vor dem nächsten Vorfall vorbereiten können

Ein KMU braucht im Ereignisfall keine neu erfundene Parallelorganisation. Hilfreich sind eine aktuelle Systembeschreibung, bekannte Datenverantwortliche, erreichbare Betreiberkontakte und eine verständliche Zuordnung kritischer Abläufe. So kann die IT gezielt erklären, was technisch wiederhergestellt wurde.

Üben Sie bei relevanten Systemen nicht nur den Start der Anwendung, sondern den Zugriff auf fachlich aussagekräftige Aufzeichnungen. Vereinbaren Sie, wie spätere Vorgänge erkannt und bewertet werden, falls eine Sicherung nicht den letzten Arbeitsstand enthält.

Die angemessene Vorsorge richtet sich nach dem Prozess und seiner Abhängigkeit vom System. Annex 11 gibt keine allgemeine Wiederanlaufdauer vor. Ein festgelegtes Ziel muss mit den technischen Möglichkeiten und den tatsächlich vorgesehenen Ersatzabläufen zusammenpassen.

Quellen: [1] [4]