Inhaltsverzeichnis
Das Wichtigste vorab
Was gehört in einen GxP-Exit-Plan für Cloud-Systeme?
Ein GxP-Exit-Plan beschreibt, wie Prozesse und benötigte Aufzeichnungen einen Anbieterwechsel oder das Vertragsende überstehen. Dazu gehören Exportumfang, Formate, Kontext, Zeitfenster, Unterstützung und künftiger Zugriff. Prüfen Sie die Nutzbarkeit der Daten vor dem endgültigen Zugangsentzug. Eine vertragliche Exportzusage allein belegt noch keine geeignete Übernahme.
Einordnung und Geltungsbereich
Der Beitrag betrifft die betriebliche und qualitätsbezogene Übergabe. Vertrags-, Datenschutz- und Aufbewahrungsanforderungen müssen passend ergänzt werden. Er ersetzt keine individuelle rechtliche Vertragsprüfung.
Der Ausstieg muss technisch möglich und organisatorisch ausführbar sein
Planen Sie das Zeitfenster zwischen letztem produktiven Vorgang und Ende des Zugangs. In dieser Phase können zusätzliche Records entstehen oder Fehler im Export auffallen. Der Plan benötigt deshalb Zuständigkeiten für Nachlieferung, Abgleich und gegebenenfalls einen zeitlich begrenzten Restzugriff.
Beziehen Sie Kosten und Abhängigkeiten in die Entscheidung ein. Ein günstiger laufender Dienst kann bei der Ausleitung hohe Aufwände verursachen, wenn Daten nur in proprietären Formaten verfügbar sind. Das ist keine pauschale Kritik an Cloud-Diensten, sondern eine Frage der vorbereiteten Übergabe.
Cloud-Exit vor Vertragsende als Daten- und Betriebsaufgabe planen
Ein Cloud-Exit betrifft Datenzugang, Prozesse, technische Identitäten und verbleibende Verpflichtungen. Ein Exportbutton allein ist kein vollständiger Ausstiegsplan. Klären Sie frühzeitig, welche Informationen verfügbar werden, in welchem Format und bis zu welchem Zeitpunkt. Vertragsende und fachlich geeigneter Zielzustand müssen in der Reihenfolge zusammenpassen.
Erfassen Sie Anbieterleistungen und eigene Aufgaben. Wer stellt Exporte bereit, wer prüft sie und wer übernimmt das Ziel? Welche Zugänge bleiben während der Untersuchung von Differenzen verfügbar? Benennen Sie mögliche Zusatzkosten und Zeitfenster im konkreten Vertrag. Dieser Leitfaden gibt keine pauschalen vertraglichen Ansprüche vor, sondern Prüffragen für Ihre Vereinbarungen.
Unterscheiden Sie aktive Migration, historische Archivierung und technische Kündigung. Ein Nachfolgesystem kann den neuen Prozess unterstützen, während alte Auditinformationen über einen anderen geeigneten Weg verfügbar bleiben müssen. Die endgültige Lösch- oder Zugangsentscheidung folgt erst nach Bewertung der tatsächlich benötigten Aufzeichnungen.
Einen Exitumfang mit Formaten und Kontext festlegen
Listen Sie Geschäftsobjekte, Anhänge, Metadaten, Beziehungen und erforderliche Änderungsinformationen auf. Prüfen Sie auch Konfiguration, Methoden und Auswahllogik, soweit sie historische Aussagen erklären. Ein Export nur der aktuellen sichtbaren Datensätze kann den benötigten Lebenszyklus verkürzen.
Fordern Sie eine konkret bezeichnete Formatbeschreibung und einen Probelauf an. Dateien müssen technisch verarbeitet und fachlich interpretiert werden können. Ein proprietäres Format kann geeignet sein, wenn ein beherrschbarer Zugriff besteht; ein offenes Format ist nicht automatisch vollständig. Bewerten Sie tatsächlichen Inhalt und notwendige Werkzeuge.
| Exitfrage | Zu klärender Inhalt | Eigener Nachweis |
|---|---|---|
| Umfang | Welche Objekte und Versionen werden geliefert? | Inventar gegen Export vergleichen |
| Kontext | Wie bleiben Beziehungen und Historie erhalten? | Vollständige Vorgänge rekonstruieren |
| Format | Welche Software oder Schlüssel werden benötigt? | Lesen im vorgesehenen Zielweg |
| Zeitpunkt | Welcher Datenstand ist enthalten? | Extraktions- und Deltabezug |
| Nachlieferung | Wie werden Differenzen vor Vertragsende geklärt? | Vereinbarter Fehler- und Korrekturweg |
| Restzugriff | Welche Informationen bleiben beim Anbieter? | Fachlich und vertraglich bewerteter Zustand |
Beispiel: vollständiger Hauptdatenexport ohne Anhänge
Das Szenario ist konstruiert. Ein SaaS-QMS liefert eine CSV-Datei mit allen Ereignissen. Anhänge sind nur über zeitlich begrenzte Downloadlinks erreichbar. Das Nachfolgeteam importiert die Hauptdaten erfolgreich. Nach Vertragsende laufen die Links ab. Historische Untersuchungen verlieren dadurch benötigte Dokumente.
Der Probelauf sollte diesen Fall vor Vertragsende erkennen. Wählen Sie Ereignisse mit mehreren Anhängen, Versionen und Beziehungen. Prüfen Sie den tatsächlichen Dateiinhaltszugriff im Ziel, nicht nur die Existenz eines Links. Dokumentieren Sie, welche Informationen extern verbleiben und weshalb dieser Weg ausreichend lange geeignet ist.
Nach Ergänzung des Exports wird der Abgleich wiederholt. Erhalten Sie Kennungen und Beziehungen, damit Anhänge dem richtigen Vorgang zugeordnet bleiben. Eine Sammlung gleichnamiger Dateien ohne Kontext kann ebenso ungeeignet sein. Der Exitabschluss bestätigt den geprüften Gesamtumfang, nicht lediglich den erfolgreichen Import der Haupttabelle.
| Testfall | Aktion | Erwartete Aussage |
|---|---|---|
| Hauptobjekt | Bekannten Vorgang übernehmen | Eindeutige Quell-Ziel-Zuordnung |
| Mehrere Anhänge | Dateien im Ziel öffnen | Richtiger Inhalt und Bezug |
| Frühere Version | Historischen Stand recherchieren | Benötigter damaliger Kontext vorhanden |
| Abgelaufener Link | Anbieterzugriff kontrolliert ausschließen | Zielweg funktioniert wie vorgesehen |
| Differenz | Fehlende Datei gezielt einbringen | Abgleich erkennt und verfolgt die Lücke |
Delta, Betriebswechsel und Rückfall verbinden
Zwischen Testexport und finalem Exit entstehen neue oder geänderte Vorgänge. Legen Sie fest, wann die Quelle führend bleibt und wie spätere Änderungen übernommen werden. Ein früher erfolgreicher Probelauf bestätigt den finalen Datenstand nicht. Besonders Status, offene Aufgaben und Anhänge benötigen einen nachvollziehbaren Schnitt.
Planen Sie den Umgang mit einem gescheiterten finalen Export. Kann der Anbieterzugriff verlängert werden? Welche Kosten und Entscheidungen wären dafür erforderlich? Ein Rückfall darf nicht erst diskutiert werden, wenn der Vertrag bereits beendet ist. Die konkrete Option wird vertraglich und fachlich bewertet.
Nach Start des Zielsystems entstehen neue Aufzeichnungen. Ein Rückwechsel betrifft deshalb mehr als die Wiederaktivierung eines Kontos. Beschreiben Sie, wie inzwischen bearbeitete Vorgänge abgeglichen werden. Eine parallele unkontrollierte Nutzung beider Systeme kann widersprüchliche führende Stände erzeugen.
Zugänge und Löschung kontrolliert abschließen
Beenden Sie technische Identitäten, Schnittstellen und Berechtigungen in der richtigen Reihenfolge. Ein zu früh entzogenes Servicekonto kann einen letzten Export verhindern. Ein unnötig weiter aktives Konto kann dagegen ungewollten Zugriff ermöglichen. Die Checkliste sollte Zweck, Gegenstelle und zuständige Person je Zugang benennen.
Bewerten Sie die Anbieterbestätigung zur Löschung oder verbleibenden Speicherung im konkreten Vertrags- und Aufbewahrungskontext. Eine Löschbestätigung beweist nicht die Eignung Ihres Zielarchivs. Umgekehrt beantwortet ein gutes Archiv nicht jede Frage zu verbleibenden Kopien beim Anbieter. Diese Entscheidungen sind miteinander verbunden, aber getrennt nachzuweisen.
Erhalten Sie erforderliche Unterlagen zum Exportverfahren und zu bekannten Grenzen. Ein späterer Befund kann nur untersucht werden, wenn Quelle, Lauf und Mapping nachvollziehbar bleiben. Die Ausstiegsakte sollte deshalb mehr als Kündigungsschreiben und Dateiliste enthalten.
Zielbetrieb und historische Recherche übergeben
Benennen Sie Verantwortliche für aktive Daten und historische Zugriffe. Ein Mitarbeiter sollte erklären können, wo ein alter Vorgang nach dem Exit gefunden wird und welche Grenzen gelten. Prüfen Sie dies mit einer Person, die den Export nicht selbst durchgeführt hat. Das zeigt praktische Nutzbarkeit statt bloßer Dateiübergabe.
Integrieren Sie laufende Archivaufgaben in den Betrieb. Viewer, Schlüssel und Speicher können später verändert werden. Die benötigte Aussage muss dabei erhalten bleiben. Welche Prüfungen angemessen sind, folgt aus den tatsächlichen technischen Abhängigkeiten und der geplanten Aufbewahrung.
Für künftige SaaS-Auswahl kann der durchgeführte Exit wertvolle Kriterien liefern. Fragen Sie neue Anbieter bereits vor Beauftragung nach Exportumfang, Probelauf und historischen Nachweisen. Ein geordneter Ausstieg ist ein Teil der langfristigen Betreibbarkeit und sollte nicht erst am Vertragsende sichtbar werden.
Arbeitsvorlage: Exitbereitschaft vor Entzug des Anbieterzugangs prüfen
Führen Sie einen Probelauf durch, während Rückfragen und Nachlieferungen noch möglich sind. Verwenden Sie einen komplexen Vorgang mit Anhängen, Beziehungen und historischem Stand. Der Test sollte ohne unbewertete Anbieterlinks funktionieren, wenn der künftige Zielweg unabhängig sein soll. Ein Dateiverzeichnis allein bestätigt dies nicht.
Klären Sie anschließend die finale zeitliche Grenze. Zwischen Probelauf und Vertragsende können neue Vorgänge oder Dokumentversionen entstehen. Benennen Sie die führende Quelle und Deltaübernahme. Die Exitentscheidung muss den tatsächlichen finalen Bestand bestätigen und bekannte Restdaten beim Anbieter bewusst behandeln.
Nutzen Sie den Probelauf zur Klärung realer Grenzen. Eine fehlende Datei kann nachlieferbar sein; eine nicht exportierbare Historie kann eine andere Zielarchitektur benötigen. Die Lösung wird vor Entzug des notwendigen Zugangs nachgewiesen. Eine bloße Erwartung späterer Kulanz ist keine geeignete Abschlussgrundlage.
| Exitfeld | Konstruierter Eintrag | Akzeptanzfrage |
|---|---|---|
| Umfang | QMS-Ereignis mit mehreren Anhängen. | Alle benötigten Komponenten enthalten? |
| Format | Dokumentierte Exportstruktur. | Im vorgesehenen Ziel lesbar? |
| Beziehung | Quellkennung verbindet Hauptobjekt und Dateien. | Keine verlorene fachliche Zuordnung? |
| Restzugriff | Anbieterlink wird kontrolliert nicht verwendet. | Zielweg tatsächlich unabhängig? |
| Delta | Änderungen nach Probelauf sind erfasst. | Finaler Stand vollständig bezeichnet? |
| Entzug | Konten, Schnittstellen und Vertrag werden passend beendet. | Keine zu frühe kritische Abschaltung? |
Angekündigter Exit und plötzlicher Anbieterausfall unterscheiden
Bei einem geplanten Wechsel können Export, Deltaübernahme und Abschaltfreigabe vorbereitet werden. Bei einem plötzlichen Ausfall fehlt möglicherweise der normale Anbieterzugang. Unterscheiden Sie zunächst, welche Funktionen tatsächlich betroffen sind und ob Daten noch unabhängig verfügbar sind. Eine technische Störung, eine Vertragsbeendigung und ein dauerhaft nicht erreichbarer Anbieter verlangen unterschiedliche Maßnahmen. Konkrete vertragliche oder behördliche Fristen werden fallbezogen geprüft.
Die erste Entscheidung betrifft den Prozess: Welche Tätigkeit muss unterbrochen werden, welche kann mit einem bereits geeigneten Ersatzverfahren fortgesetzt werden? Bewahren Sie verfügbare Aufzeichnungen und klären Sie den letzten belastbaren Datenstand. Ein früher exportiertes Paket kann veraltet sein. Vermeiden Sie eine improvisierte Übernahme, die unvollständige Informationen als aktuell ausgibt. Die folgende Matrix ist eine eigene Triagehilfe, kein universeller Notfallzeitplan.
| Situation | Erste Prüffrage | Nächste kontrollierte Maßnahme |
|---|---|---|
| Dienst vorübergehend aus | Welche Prozesse und Daten fehlen? | Notfallkonzept und Status klären |
| Kündigung angekündigt | Bis wann besteht gesicherter Zugriff? | Export- und Abnahmeplan festlegen |
| Anbieter dauerhaft unzugänglich | Welche unabhängigen Daten liegen vor? | Vollständigkeit und Grenzen bewerten |
| Nur alter Export vorhanden | Welche Änderungen fehlen seitdem? | Delta und Prozesswirkung untersuchen |
| Ersatzsystem verfügbar | Trägt es die benötigte Aussage? | Geeignete Übernahme und Nutzung prüfen |
Quellen: [1]
Unabhängigkeit praktisch testen, bevor sie gebraucht wird
Lassen Sie einen berechtigten Reviewer eine wichtige historische Frage ohne laufenden Anbieterzugang beantworten. Er benötigt ein bekanntes Referenzpaket und das vorgesehene Ersatzverfahren. Prüfen Sie Inhalte, Beziehungen, Anhänge und erforderliche Historie. Ein erfolgreicher Test des Dateidownloads ist dafür zu wenig. Wenn Login, Viewer oder Schlüssel weiterhin allein vom Anbieter abhängen, ist die behauptete Unabhängigkeit eingeschränkt.
Leiten Sie daraus gezielte Verbesserungen ab: geeignete Exporte, überprüfte Wiederherstellung, klare Verantwortlichkeit und regelmäßige Bewertung relevanter Änderungen. Der Aufwand richtet sich nach Kritikalität und vorhandenen Möglichkeiten. Eine zweite Kopie ohne notwendige Kontextinformationen kann denselben Mangel nur verdoppeln. Die Exitstrategie sollte deshalb nachweisen, welche fachliche Nutzung unabhängig möglich ist und welche Restabhängigkeiten bewusst bestehen bleiben.
Die nächsten Schritte
- Benötigten Datenumfang und späteren Nutzungszweck definieren.
- Export- und Unterstützungsleistungen konkret vereinbaren.
- Repräsentativen Testexport mit fachlichem Abruf durchführen.
- Finale Übergabe, Restzugriff und Abschlussentscheidung dokumentieren.
Häufige Fragen zu Cloud: Exit-Plan
Ist ein Exit-Plan nur bei Kündigung nötig?
Genügt eine ZIP-Datei vom Anbieter?
Muss nach dem Export sofort gelöscht werden?
Ist ein offenes Exportformat automatisch ausreichend?
Nein. Ein Format kann gut verarbeitbar und dennoch unvollständig sein. Prüfen Sie Inhalt, Beziehungen, Metadaten und erforderliche Historie. Ein proprietäres Format kann umgekehrt geeignet sein, wenn der notwendige Zugriff langfristig beherrscht wird. Die fachliche Eignung ergibt sich aus konkreten Recherche- und Abgleichstests.
Können wir zuerst kündigen und anschließend den Datenexport klären?
Das schafft vermeidbare Abhängigkeit von verbleibenden Zeitfenstern und Zugängen. Klären und erproben Sie den benötigten Umfang vor dem endgültigen Entzug. Vertragsregelungen, Nachlieferung und geeigneter Zielzustand sollten zusammenpassen. Ein technisch gestartetes Nachfolgesystem bestätigt nicht automatisch den Erhalt historischer Aufzeichnungen.
Warum sollte ein Cloud-Exit einen Test ohne Anbieterzugriff enthalten?
Wenn der künftige Zugriff unabhängig sein soll, zeigt diese Prüfung, ob Dateien und Beziehungen tatsächlich übernommen wurden oder nur auf externe Links verweisen. Wählen Sie geeignete komplexe Vorgänge. Ein erfolgreicher Zugriff während aktiver Anmeldung kann eine spätere Abhängigkeit verdecken.
Was gehört in die Übergabe nach einem Cloud-Exit?
Benennen Sie aktive Zielnutzung, historische Zugriffspfade, bekannte Grenzen, Schlüssel und Verantwortliche. Ergänzen Sie Quell-Ziel-Referenzen und Abgleichsnachweise. Das Team sollte einen alten Vorgang ohne das ursprüngliche Exportteam finden und erklären können. Technische Kündigung allein schließt diese Aufgabe nicht ab.
Was ist zuerst zu tun, wenn ein Cloudanbieter plötzlich nicht erreichbar ist?
Bestimmen Sie betroffene Prozesse, verfügbare Daten und deren letzten belastbaren Stand. Verwenden Sie das vorgesehene Notfallverfahren und verhindern Sie unkontrollierte Entscheidungen aus veralteten Informationen. Klären Sie Anbieterstatus und erforderliche Eskalationen. Ein improvisierter Export oder Systemwechsel ersetzt keine Bewertung der fachlichen Nutzung.
Ist ein externer Viewer bereits unabhängiger Archivzugriff?
Nur wenn er unter den geplanten Bedingungen tatsächlich nutzbar bleibt und die benötigten Informationen darstellt. Prüfen Sie Login, Lizenz, Schlüssel, Format und Kontext. Ein Viewer, der weiterhin einen nicht erreichbaren Anbieterdienst benötigt, kann die gewünschte Unabhängigkeit nicht vollständig belegen.
Quellen & fachlicher Stand
Die Quellen bilden den fachlichen Rahmen. Tabellen, Checklisten und ausdrücklich illustrative Beispiele sind eigene methodische Ableitungen, keine wörtlichen Normvorgaben. Herstellerinformationen sind auf die eingesetzte Version und Konfiguration zu beziehen.
- Europäische Kommission: EU-GMP Annex 11, Computerised Systems (2011)Geltende Fassung laut EudraLex-Verzeichnis am 14.10.2026. Anwendung, Risiken, Betrieb und Datenlebenszyklus; konkrete Prüfvorschläge sind eigene Ableitungen.
- PIC/S: PI 041-1, Good Practices for Data Management and Integrity (2021)Inspektionsleitlinie zur Datenintegrität; insbesondere elektronische Daten, Übertragung, Zugriff und Review.
Zuletzt fachlich geprüft am 14.10.2026.
Daniel Herrmann Consulting
Vom offenen Punkt zu einem nachvollziehbaren Vorgehen.
Wir unterstützen Sie dabei, die Ausgangslage einzuordnen, Verantwortlichkeiten zu klären und passende Nachweise im Betrieb umzusetzen. Welche Unterstützung sinnvoll ist, hängt von Ihrem System, Ihrem Team und dem konkreten Ziel ab.
- IT-GxP-Audit →
Offene Punkte und Prioritäten für Ihren Betrieb einordnen.
- IT-GxP-Consulting →
Vereinbarte Systemprojekte strukturiert umsetzen und übergeben.