GxP-Mandantentrennung: Bleiben Daten und Rechte wirklich im richtigen Bereich?

1. Was in Ihrem System als Mandant gilt

Quellenstand ist der 7. Oktober 2026. Betrachtet werden Anwendungen im Humanarzneimittel-GMP-Bereich. Annex 11 verlangt geeignete physische oder logische Kontrollen gegen unbefugten Zugang. Er schreibt dafür kein einheitliches Mandantenmodell und keine allgemeine Pflicht zu einer eigenen Datenbank je Unternehmen vor.

Ein Mandant kann eine rechtliche Einheit, ein Werk, ein Auftraggeberbereich oder eine organisatorische Gruppe sein. Solche Grenzen sind nicht austauschbar. Zwei Werke derselben Firma können Daten bewusst teilen; zwei getrennte Kundenbereiche dürfen dies möglicherweise gerade nicht.

Dokumentieren Sie daher nicht nur die Namen der Bereiche, sondern die beabsichtigten Regeln: Wer darf welche Daten lesen, anlegen, ändern, freigeben oder exportieren? Welche Aufgaben sind ausdrücklich übergreifend vorgesehen? Erst damit erhält ein Trennungstest ein eindeutiges Soll.

Quellen: [1]

2. Rollen mit Datenwegen verbinden

Eine Berechtigungsmatrix wird aussagekräftiger, wenn sie die genutzten Datenwege einschließt. Ein rollenabhängiger Bildschirmfilter sagt noch nichts über einen Hintergrundbericht oder einen technischen Integrationszugang aus. Bewerten Sie deren tatsächlichen Einfluss auf GMP-Daten.

Die folgende Matrix dient als Arbeitshilfe. Sie erhebt nicht den Anspruch, sämtliche technischen Angriffswege abzudecken. Der Validierungsnachweis des vorgesehenen Einsatzes und eine gesonderte Sicherheitsprüfung verfolgen verwandte, aber unterschiedliche Aufgaben.

Quellen: [1] [2]

3. Architekturbelege passend bewerten

Fordern Sie eine verständliche Beschreibung der relevanten Trennungsmechanismen und ihrer Grenzen an. Benötigt werden keine ungefilterten Interna des Anbieters, sondern ausreichende Informationen, um Ihren Einsatz und die erforderlichen Nachweise zu beurteilen.

Ein Anbieter kann gemeinsame Infrastruktur und getrennte logische Bereiche betreiben. Umgekehrt verhindert eine physisch getrennte Datenbank nicht automatisch falsche Berechtigungen oder einen falsch adressierten Export. Die Architektur ist Teil der Bewertung; entscheidend bleibt die Funktion der Kontrollen im vorgesehenen Ablauf.

Lieferantentests können bestimmte Mechanismen belegen. Prüfen Sie die verwendete Version, Konfiguration und den abgedeckten Datenweg. Eigene Rollen, übergreifende Auswertungen und kundenspezifische Integrationen bleiben gesondert zu betrachten, soweit die vorhandenen Belege sie nicht abdecken.

Quellen: [1]

4. Ein erlaubter Zugriff und ein unzulässiger Zugriff gehören zusammen

Das folgende illustrative Prüfbeispiel nutzt ausschließlich genehmigte Testbereiche A und B mit fiktiven Aufträgen A-01 und B-01. Die Laborrolle LA darf in A lesen und bearbeiten. Eine zentrale Rolle Z darf beide Bereiche lesen, aber in B keine Ergebnisse ändern. Diese Regeln sind die konstruierten fachlichen Vorgaben.

Prüfen Sie sowohl erlaubte als auch ausdrücklich unzulässige Aktionen. Eine pauschale Verweigerung aller Zugriffe wäre keine erfolgreiche Umsetzung der Anforderungen, weil berechtigte Arbeit ebenfalls möglich bleiben muss. Halten Sie den verwendeten Benutzer, die Rolle, den Zugangsweg und die konkrete Aktion fest.

Testen Sie nur in dafür freigegebenen Umgebungen und mit vereinbarten Daten. Der fachliche Nachweis erfordert keinen Zugriff auf fremde Kundenbereiche. Wenn ein Anbieter den Test bestimmter Plattformgrenzen selbst durchführt, bewerten Sie die dazu passenden Belege und verbleibenden anwendungsspezifischen Fragen.

Quellen: [1]

5. Die Mandantenkennung durch den Prozess erhalten

Ein Datensatz kann im richtigen Bereich entstehen und später falsch zugeordnet werden. Prüfen Sie deshalb, ob Schnittstellen, Berichte und nachgelagerte Verarbeitung die notwendige Identität erhalten. Eine nur beim Export hinzugefügte Spalte beweist nicht, dass die vorgelagerte Auswahl richtig war.

Besonders relevant sind gleichlautende lokale Kennungen. Wenn beide Bereiche beispielsweise einen Auftrag 001 führen dürfen, muss die Verknüpfung den jeweils erforderlichen Bereich berücksichtigen. Sonst kann ein technisch erfolgreicher Import den falschen fachlichen Datensatz aktualisieren.

Auch manuelle Korrekturen oder administrative Zuordnungen können die Grenze beeinflussen. Definieren Sie dafür Befugnisse, nachvollziehbare Entscheidungen und geeignete Aufzeichnungen. Nicht jedes technische Ereignis ist pauschal GMP-relevant; relevante Änderungen müssen jedoch entsprechend ihrer Bedeutung beurteilt werden.

Quellen: [1] [3]

6. Übergreifende Aufgaben kontrolliert betreiben

Support und Administration benötigen möglicherweise weitergehende Rechte als Laborbenutzer. Beschreiben Sie deren Zweck, Vergabe und Begrenzung. Ein übergreifendes Recht ist nicht automatisch falsch, darf aber nicht unbemerkt zum gewöhnlichen Arbeitsweg werden.

Bewerten Sie Änderungen an Rollen, Mandantenzuordnung, Integrationen und Berichtsvorlagen. Ein Plattformupdate kann unveränderte kundenspezifische Funktionen beeinflussen. Welche Prüfungen erforderlich sind, ergibt sich aus der Auswirkung und den vorhandenen Belegen, nicht allein daraus, welche Programmdatei geändert wurde.

Für Sicherung und Wiederherstellung muss klar sein, welche Einheit wiederhergestellt werden kann und welche Folgen das für andere Bereiche hat. Verwechseln Sie die technische Wiederherstellungseinheit nicht mit der fachlichen Mandantengrenze.

Quellen: [1] [2]

7. Checkliste für den Trennungsnachweis

Mit dieser Checkliste können Sie die fachlichen Anforderungen und den vorhandenen Nachweisumfang gemeinsam durchgehen. Sie ist besonders hilfreich, bevor zusätzliche Werke, Kundenbereiche oder zentrale Rollen eingerichtet werden.

• Mandantenbegriff und erlaubte Datenbeziehungen eindeutig beschrieben.
• Lesen, Ändern, Freigeben und Exportieren getrennt bewertet.
• Erlaubte übergreifende Aufgaben mit Zuständigkeit festgelegt.
• Alle tatsächlich genutzten Oberflächen, Berichte und Schnittstellen erfasst.
• Positive und negative Prüffälle aus konkreten Rollenregeln abgeleitet.
• Testbereiche und Daten zur Prüfung ausdrücklich freigegeben.
• Lieferantennachweise auf Version, Konfiguration und Reichweite geprüft.
• Mandantenkennung und fachliche Identität entlang relevanter Datenwege erhalten.
• Betriebseingriffe und Änderungen in die Auswirkungsbewertung einbezogen.

Quellen: [1]

8. Welche Fragen das Unternehmen selbst beantworten muss

Der Anbieter kann die technischen Möglichkeiten erklären. Welche Einheiten sich Daten teilen dürfen und wer übergreifend entscheiden soll, muss jedoch aus Ihrem Prozess hervorgehen. Diese fachliche Entscheidung sollte nicht zufällig aus einem voreingestellten Administratorprofil entstehen.

Für ein KMU sind eine überschaubare Rollenliste und wenige aussagekräftige Grenzfälle oft hilfreicher als eine lange Liste unverständlicher Rechtebezeichnungen. Die Auswahl muss dennoch die relevanten Wege abdecken. Ein einziger Oberflächentest reicht nicht, wenn im Alltag Sammelberichte und Integrationen maßgeblich sind.

Dokumentieren Sie offene Grenzen verständlich. Wenn ein Export nur über eine zentrale Rolle möglich ist, beschreiben Sie den tatsächlichen kontrollierten Ablauf. Behaupten Sie nicht dieselbe automatische Trennung wie bei Einzelbenutzern, wenn sie auf diesem Weg nicht besteht.

Quellen: [1] [2]