Inhaltsverzeichnis
Das Wichtigste vorab
Was ist nach Verlust oder Kompromittierung eines Part-11-Signaturzugangsmittels zu tun?
Für elektronische Signaturen auf Basis von Identifizierungscode und Passwort verlangt §11.300 unter anderem Verfahren zur elektronischen Deautorisierung verlorener oder möglicherweise kompromittierter Zugangsmittel sowie kontrollierten Ersatz. Unbefugte Nutzungsversuche sind gesondert zu behandeln. Die konkreten Maßnahmen richten sich nach der tatsächlich eingesetzten Signaturtechnik. Frühere Signaturen und betroffene Records benötigen eine begründete Bewertung; sie werden durch den Verlust nicht automatisch sämtlich ungültig.
- Verlustmeldung, Deautorisierung und kontrollierte Neuausgabe sind getrennte Schritte.
- Untersuchen Sie betroffene Vorgänge anhand des möglichen Missbrauchszeitraums.
- Ein Ersatzmedium darf die historische Zuordnung früherer Signaturen nicht verwischen.
Zuerst die betroffene Signaturfunktion bestimmen
§11.300 richtet sich an Personen, die elektronische Signaturen auf der Grundlage von Identifizierungscodes in Kombination mit Passwörtern einsetzen. Prüfen Sie deshalb zunächst, ob das verlorene Mittel zu einer solchen Signatur gehört und welche Funktion es erfüllt. Ein allgemeiner Gebäudeausweis, ein Anmeldekonto und ein Signaturzugang können miteinander verbunden sein, müssen aber nicht dieselbe Kontrollgrenze haben.
Die Anforderungen setzen den Anwendungsbereich von Part 11 voraus. Dazu gehören bestimmte erforderliche elektronische Aufzeichnungen und elektronische Einreichungen bei der FDA. Weder der Sitz eines Kunden noch die bloße Nutzung einer Cloud entscheidet diese Frage allein. Der hier beschriebene Ablauf ist eine eigene Arbeitshilfe für einen ausdrücklich angenommenen Part-11-Signaturprozess.
Quellen: [1]
Was Verlustkontrolle und Missbrauchserkennung leisten müssen
§11.300(c) nennt Verfahren zur elektronischen Deautorisierung verlorener, gestohlener, vermisster oder möglicherweise kompromittierter Token, Karten und anderer Geräte, die Identifizierungscodes oder Passwörter tragen oder erzeugen. Für vorübergehenden und dauerhaften Ersatz sind angemessene, strenge Kontrollen vorgesehen. Eine dokumentierte Verlustmeldung allein beweist daher noch keine wirksame Deautorisierung.
Absatz (d) behandelt Transaktionsschutzmaßnahmen gegen unbefugte Nutzung und die Erkennung sowie unmittelbare und dringliche Meldung unbefugter Nutzungsversuche an die Systemsicherheitsfunktion und gegebenenfalls das Management. Absatz (e) betrifft anfängliche und periodische Prüfungen der entsprechenden Geräte. Diese Kontrollen sind im konkreten technischen Aufbau zu verorten; der Text liefert keinen universellen Stundenwert für einen Helpdesk-Service.
Quellen: [1]
Den Verlustprozess vor dem Ernstfall ausfüllen
Legen Sie fest, wer eine Meldung annimmt, die technische Maßnahme veranlasst und ihre Wirksamkeit beurteilt. Der Meldende muss wissen, wie er die zuständige Stelle erreicht. Bei ausgelagerten Diensten benötigen Sie zusätzlich einen nachvollziehbaren Übergang zum Anbieter. Eine generische Lieferantenzusage ersetzt keinen Nachweis darüber, welches eigene Signaturmittel tatsächlich deaktiviert wurde.
Die folgende Matrix ist eine illustrative Arbeitshilfe. Rollenbezeichnungen und Nachweise sind vorgeschlagene Projektentscheidungen, keine gesetzlich festgelegte Organisationsstruktur.
| Schritt | Konkrete Aufgabe | Beispielhafte Zuständigkeit | Nachweis / offene Frage |
|---|---|---|---|
| Meldung | Verlorenes Medium M-17 und letzte sichere Nutzung erfassen | Anwender und Servicestelle | Zeitpunkte, Kontobezug und Unsicherheiten dokumentiert |
| Deautorisierung | Verwendung von M-17 elektronisch ausschließen | Befugter Systemadministrator | Welcher technische Schritt wirkt in welchen angebundenen Signaturdiensten? |
| Missbrauchsbewertung | Unbefugte Versuche und möglicherweise betroffene Signaturen prüfen | Systemsicherheit mit Prozessverantwortlichem | Befunde, Zeitraum und fachliche Auswirkungen getrennt bewertet |
| Ersatz | Identität prüfen; M-18 kontrolliert zuordnen | Befugte Ausgabestelle | Ausgabe dokumentiert, keine Übernahme fremder Identität |
| Wirksamkeit | Altes Mittel scheitert; neues Mittel funktioniert bestimmungsgemäß | Benannter Prüfer | Passende Tests und erhaltene historische Signaturzuordnung |
Quellen: [1]
Ein verlorenes Medium mit nachvollziehbarer Zeitgrenze
Illustratives Beispiel: Ein Mitarbeiter bestätigt die letzte sichere Verwendung um 09:10 Uhr. Der Verlust fällt um 09:40 Uhr auf; die elektronische Deautorisierung wird um 09:52 Uhr nachgewiesen. Zwischen letzter sicherer Verwendung und Deautorisierung liegen 42 Minuten. Das ist ein frei gewählter Untersuchungszeitraum, kein aus Part 11 abgeleiteter Grenzwert und kein Beweis eines Missbrauchs.
Im angenommenen System sind im Zeitraum drei Signaturereignisse vorhanden. Zwei kann der Mitarbeiter mit dem tatsächlichen Arbeitsablauf erklären; eines bleibt zunächst ungeklärt. Die Untersuchung darf daraus nicht automatisch eine Fälschung ableiten. Sie muss Herkunft, Bedeutung und Auswirkungen des Ereignisses klären. Für die weitere Verwendung des zugehörigen Records ist eine begründete Entscheidung erforderlich.
| Prüfpunkt | Ausgangslage | Erwartetes Verhalten / Ergebnis | Interpretation |
|---|---|---|---|
| Altes Mittel nach Deautorisierung | M-17 wird nach 09:52 Uhr verwendet | Keine erfolgreiche Signatur mit M-17; Versuch passend behandelt | Technische Wirksamkeit ist am tatsächlich angebundenen Dienst zu prüfen. |
| Neue Ausgabe | M-18 wird derselben geprüften Person zugeordnet | Kontrollierte bestimmungsgemäße Signatur möglich | Keine Wiederverwendung der Identität für eine andere Person |
| Historische Ansicht | Frühere Signatur mit M-17 wird aufgerufen | Unterzeichner, Zeitpunkt und Bedeutung bleiben nachvollziehbar | Ersatz verändert keine frühere Urheberschaft. |
| Ungeklärtes Ereignis | Eines von drei Ereignissen bleibt offen | Untersuchung und Entscheidung zum betroffenen Record | 3 − 2 = 1 ungeklärtes Ereignis; keine automatische Schuldzuweisung |
| Wiedergefundenes Medium | M-17 wird später aufgefunden | Keine ungeregelte Wiederaktivierung | Erneute Nutzung wäre eine kontrolliert zu entscheidende Maßnahme. |
Quellen: [1]
Identitätsprüfung und neue Zugangsmittel zusammenführen
§11.100 verlangt die eindeutige persönliche Zuordnung einer elektronischen Signatur und die Überprüfung der Identität vor Zuweisung oder Autorisierung. §11.300 ergänzt Anforderungen an Identifizierungscodes und Passwörter. Legen Sie beim Ersatz fest, welche Identität fortgeführt wird und welches kompromittierte Mittel seine Berechtigung verliert. Eine technische Kontoumbenennung darf keine andere Person als Urheber früherer Signaturen erscheinen lassen.
Ob zusätzlich laufende Sitzungen, weitere Signaturdienste oder abhängige Zugangsmittel betroffen sind, ergibt sich aus Ihrer Architektur. Testen Sie die tatsächliche Reichweite der Maßnahme. Ein deaktivierter Token kann unzureichend sein, wenn ein anderer, bereits kompromittierter Weg weiter Signaturen ermöglicht. Umgekehrt darf aus einem Verlust nicht ohne Prüfung jede angeschlossene Anwendung als kompromittiert gelten.
Quellen: [1]
Frühere Records gezielt bewerten
Trennen Sie den technischen Sicherheitsvorfall von der fachlichen Bewertung betroffener Aufzeichnungen. Prüfen Sie, welche Ereignisse zeitlich und technisch in Betracht kommen und welche Entscheidungen darauf beruhten. Unklare Zeitpunkte müssen als Unsicherheit sichtbar bleiben. Eine scheinbar exakte Liste ist ungeeignet, wenn die zugrunde liegenden Protokolle den Zeitraum nicht zuverlässig abdecken.
§11.50 und §11.70 betreffen Signaturangaben und die Verbindung mit dem jeweiligen Record. Erhalten Sie diese Zusammenhänge auch bei Kontosperrung oder Ersatz. Falls eine erneute fachliche Prüfung oder Signatur benötigt wird, muss sie als neuer Vorgang erkennbar sein. Ein rückwirkendes Umschreiben der ursprünglichen Urheberschaft wäre keine saubere Korrektur.
Quellen: [1]
Checkliste für QA, IT und Servicestelle
Diese eigene Checkliste verbindet organisatorische Bereitschaft mit technischer Wirksamkeit. Sie kann in vorhandene Sicherheits- und Abweichungsverfahren integriert werden; Part 11 verlangt keine eigene Akte mit einer bestimmten Überschrift.
- Betroffene Signaturart, Mittel und angebundene Dienste sind benannt.
- Meldeweg und befugte Stelle für die Deautorisierung sind erreichbar.
- Letzte sichere Verwendung, Feststellung und technische Maßnahme sind unterscheidbar.
- Unbefugte Versuche werden entsprechend §11.300(d) behandelt.
- Identitätsprüfung und kontrollierte Ersatzausgabe sind geregelt.
- Alte und neue Zugangsmittel wurden mit passenden Sollfällen berücksichtigt.
- Historische Signaturangaben und ihre Record-Verknüpfung bleiben erhalten.
- Ungeklärte Vorgänge besitzen eine fachlich begründete weitere Behandlung.
Quellen: [1]
Welche Vorbereitung den Aufwand bestimmt
Das größte Aufwandsrisiko ist oft eine unklare Zuständigkeit über mehrere Dienste hinweg. Halten Sie fest, welche Stellen nur ein Ticket schließen und welche tatsächlich eine Signaturmöglichkeit entziehen. Üben Sie einen ausgewählten Verlustfall mit geeigneten Testidentitäten und abgestimmten Sollkriterien, ohne produktive Signaturen zu gefährden.
Bei wenigen Anwendern kann eine kurze, präzise Verfahrensbeschreibung ausreichen, wenn sie die tatsächlichen Abläufe trägt. Mehrere Identitätsanbieter, externe Unterzeichner und verschiedene Ersatzwege erhöhen den Abstimmungsbedarf. Es gibt hierfür keinen belastbaren pauschalen Zeit- oder Preiswert aus der Vorschrift. Entscheidend sind dokumentierte Befugnisse und überprüfbare Wirkung.
Quellen: [1]
Häufige Fragen zu Verlorene Zugangsmittel
Gilt §11.300 für jedes verlorene Smartphone?
Nein. Klären Sie, ob und wie das Gerät Identifizierungscodes oder Passwörter für eine elektronische Signatur im Part-11-Scope trägt oder erzeugt. Weitere Sicherheitsanforderungen können unabhängig davon bestehen. Die hier behandelte Vorschrift macht nicht jedes Mobiltelefon automatisch zu einem regulierten Signaturmedium.
Quellen: [1]
Reicht es, das Passwort zu ändern?
Das hängt vom tatsächlichen Signaturaufbau ab. Die Maßnahme muss das betroffene verlorene oder kompromittierte Mittel wirksam deautorisieren. Prüfen Sie insbesondere verbleibende Zugangswege und angebundene Dienste. Ein dokumentierter Passwortwechsel ist kein ausreichender Wirkungsnachweis, wenn das alte Mittel danach weiterhin Signaturen ermöglichen kann.
Quellen: [1]
Welche feste Reaktionszeit schreibt Part 11 vor?
§11.300(c) nennt Verlustkontrollverfahren, aber keinen allgemeinen numerischen Helpdesk-Grenzwert. Absatz (d) fordert für unbefugte Nutzungsversuche unmittelbare und dringliche Meldung. Legen Sie angemessene Abläufe und Erreichbarkeit für Ihren Kontext fest, statt einen frei gewählten Stundenwert als Vorschrift auszugeben.
Quellen: [1]
Sind alle früheren Signaturen nach einem Verlust ungültig?
Nicht automatisch. Bestimmen Sie, welche Ereignisse technisch und zeitlich betroffen sein könnten und welche Hinweise zu ihrer tatsächlichen Herkunft vorliegen. Dokumentieren Sie die Untersuchung und die Entscheidung für relevante Records. Ein Verlust allein belegt weder eine Fälschung noch die Unzuverlässigkeit sämtlicher früherer Signaturen.
Quellen: [1]
Darf ein Ersatzkonto unter einem anderen Mitarbeiternamen laufen?
Die Signatur muss der richtigen Person eindeutig zugeordnet bleiben; sie darf nicht einer anderen Person wiederzugewiesen werden. Ein Ersatzverfahren darf diese Identität nicht verwischen. Ob technisch ein neues Konto oder lediglich ein neues Mittel erforderlich ist, hängt von der Architektur ab und muss die historische Zuordnung erhalten.
Quellen: [1]
Sind zwei Komponenten bei jedem einzelnen Signaturfeld erforderlich?
Für nicht biometrische Signaturen unterscheidet §11.200(a) zwischen zusammenhängenden Sitzungen unter ausschließlicher Kontrolle und getrennten Signaturvorgängen. Innerhalb der beschriebenen kontinuierlichen Sitzung gelten unterschiedliche Anforderungen für erste und nachfolgende Signaturen. Daraus folgt weder eine allgemeine Ein-Komponenten-Regel noch ein pauschaler Zwei-Komponenten-Zwang bei jedem Feld.
Quellen: [1]
Kann ein wiedergefundenes Medium sofort weiterverwendet werden?
Eine ungeregelte Wiederverwendung würde die kontrollierte Behandlung des Verlusts unterlaufen. Prüfen Sie seinen Zustand, mögliche Kompromittierung und die geltenden Ausgabe- und Prüfverfahren. Die konkrete Entscheidung muss nachvollziehbar sein; das bloße Wiederauffinden beweist nicht, dass das Medium während des Verlusts sicher war.
Quellen: [1]
Muss die QA jeden technischen Sperrvorgang unterschreiben?
Eine universelle QA-Unterschrift für jeden Sperrvorgang steht in §11.300 nicht. Legen Sie technische Befugnisse, Sicherheitseskalation und fachliche Entscheidungszuständigkeit passend fest. Die zuständige Qualitätseinheit kann bei Auswirkungen auf regulierte Records einzubeziehen sein, ohne deshalb jede technische Einzelhandlung selbst auszuführen.
Quellen: [1]
Welche Nachweise braucht eine ausgelagerte Signaturlösung?
Sie benötigen ausreichend konkrete Informationen über Deautorisierung, Ersatzausgabe und die Behandlung betroffener Vorgänge. Prüfen Sie, welche Funktionen und Nachweise der Anbieter tatsächlich bereitstellt und welche Schritte bei Ihnen bleiben. Eine allgemeine Konformitätsaussage beantwortet nicht, ob das konkrete verlorene Mittel wirksam deaktiviert wurde.
Quellen: [1]
Schreibt §11.300 einen Passwortwechsel alle 90 Tage vor?
Nein, der Vorschriftentext enthält diesen pauschalen Zahlenwert nicht. Absatz (b) verlangt periodische Prüfungen, Rückrufe oder Überarbeitungen der Ausgaben und nennt Passwortalterung als Beispiel. Die konkrete Ausgestaltung darf deshalb nicht mit einer erfundenen universellen 90-Tage-Regel begründet werden.
Quellen: [1]
Quellen & fachlicher Stand
Quellenstand 7. Oktober 2026. eCFR-Anzeige bis 5. Oktober 2026; verbindlichen Vorschriftentext und nicht bindende FDA-Guidance getrennt berücksichtigen. Beispiele und Tabellen sind eigene illustrative Arbeitshilfen, keine ausgeführten Kunden- oder Produkttests.
- 21 CFR Part 11 – Electronic Records; Electronic SignatureseCFR-Anzeige bis 05.10.2026; §§11.1–11.300.
Zuletzt fachlich geprüft am 07.10.2026.
Daniel Herrmann Consulting
Den konkreten Nachweisprozess gemeinsam bearbeiten
Wir helfen Ihnen, den Verlustprozess mit Ihrer tatsächlichen Signaturtechnik abzugleichen und Deautorisierung, Neuausgabe sowie die Bewertung betroffener Records nachvollziehbar zu gestalten.
- IT-GxP-Audit →
Anforderungen, vorhandene Nachweise und relevante Lücken beurteilen.
- IT-GxP-Consulting →
Vereinbarte Bewertungs-, Dokumentations- und Testarbeit im Projekt bearbeiten.
- IT-GxP-Coaching →
Ihr Team bei konkreten Entscheidungen und der Anwendung eigener Verfahren begleiten.
- IT-GxP-Compliance-Programm →
Passende interne Verfahren, Vorlagen und Schulung aufbauen.