Elektronische Signatur Version 1.0 Oktober 2007 - APV

APV-Empfehlung: Elektronische Signaturen, Version 1.0
wiedergabe der verschreibenden Person oder – bei Anforderungen in elektronischer Form – ein geeignetes elektronisches
Identifikationsverfahren.
Ein weiteres Beispiel ist die Verordnung über die Einreichung von Unterlagen in Verfahren für die Zulassung und Verlängerung
der Zulassung von Arzneimitteln (AMG-Einreichungsverordnung – AMG-EV). Wie im Kapitel 2.2.5 bereits erwähnt, ist die
elektronische Einreichung von Unterlagen vorgeschrieben, sobald sichergestellt ist, dass die Voraussetzungen für eine qualifizierte
elektronische Signatur nach dem Signaturgesetz bei der zuständigen Bundesoberbehörde gegeben sind.
In denjenigen Fällen, in denen der Gesetzgeber eine qualifizierte elektronische Signatur erwartet, ist dies in der Regel auch
kenntlich gemacht.
2.5 Risikobasierter Ansatz
Bei der Auswahl geeigneter Signaturverfahren und der Festlegung der begleitenden Maßnahmen ist es naheliegend, einen
risikobasierten Ansatz zu wählen.
Auch aus den Gesetzestexten ist oftmals abzulesen, wo der Gesetzgeber selbst ein höheres oder niedrigeres Risiko sieht. In der
neuen AMWHV z. B. werden bezogen auf Herstellvorschriften und Prüfvorgaben nur „schriftliche Vorgaben" verlangt, wohingegen
beim Herstellprotokoll und Prüfprotokoll explizit Datum und Unterschrift gefordert werden.
Liegt keine direkte gesetzliche Anforderung nach einem bestimmten Unterschriftentyp vor, so ist für die Entscheidung, welcher
Form der elektronischen Signatur der Vorzug zu geben ist, die Identifikation der mit dem Prozess der Unterzeichnung
verbundenen pharmazeutischen Risiken ausschlaggebend.
Bei der Risikobewertung und Auswahl der elektronischen Signatur kann mit einbezogen werden, dass es sich im pharmazeutischen
Umfeld in der Regel um Unterschriften im Innenverhältnis handelt. Es besteht daher eine klare Abgrenzung zu Unterschriften
im Geschäftsverhältnis, mit denen Verträge zwischen verschiedenen Parteien geschlossen werden.
Die FDA vollzieht im 21 CFR Part 11 mit der Unterscheidung in geschlossene und offene Systeme bereits einen risikobasierten
Ansatz: In offenen Systemen ist die Manipulationsgefahr deutlich erhöht; daher werden entsprechende erweiterte Maßnahmen
gefordert. Auch für Systeme, bei denen keine FDA-Anforderungen zu erfüllen sind, kann dies für die eigene Risikobetrachtung
mit berücksichtigt werden.
Bei der Auswahl der Signatur sollte auch die notwendige Aufbewahrungsdauer der signierten Dokumentation berücksichtigt
werden. Bei Signaturen mit Zertifikaten sind oftmals die Gültigkeitsdauern der Zertifikate kürzer als typische Aufbewahrungszeiten.
Im folgenden werden einige Risiken im Zusammenhang mit elektronischen Signaturen beschrieben und Möglichkeiten der
Risikominimierung aufgezeigt. Es ist jedoch nicht beabsichtigt, eine Skala zunehmender Risikoprioritäten zu entwickeln und
diese den wachsenden strengeren Unterschriftsformen zuzuordnen. Dies wäre eine zu starre Darstellung, die im jeweils konkreten
Fall ohne Berücksichtigung der gegebenen System- und Ablaufbesonderheiten zu allgemein wäre und lediglich zu
einem schematischen Missbrauch verleiten würde.
Bewusste Fälschung von Daten
Eine bewusste Fälschung von unterzeichneten Daten liegt vor, wenn eine Person absichtlich diese Daten oder die zugehörige
Unterschriftskennung manipuliert. Bei Manipulationen ist zu unterscheiden nach:
Unternehmensinterne Manipulationen – Manipulationen, die z. B. durch einen Mitarbeiter des Unternehmens, in dem die
Daten anfallen, versucht werden, und
Manipulationen von außen – Manipulationen durch Personen, die hiermit dem Unternehmen schaden wollen. Voraussetzung
dabei ist, dass die Daten das Unternehmen verlassen oder aber ein Zugriff von außen möglich ist.
Unternehmensinterne Manipulationen können und sollen durch ein angemessenes Rechtekonzept verhindert werden. Darüber
hinaus sollte ein Audit Trail des Systems Datenänderungen mitprotokollieren. Es ist empfehlenswert, die Zugriffsmöglichkeit
von Administratoren zu hinterfragen und ggf. einzuschränken. Manipulationen durch Administratoren können in
vielen Fällen technisch durch eine aussagefähige Auswertung der Log-Dateien erkannt werden.
Hier, wie auch in anderen Fällen gilt, dass nicht alleine die technische Natur der Signatur, wie etwa fortgeschrittene oder qualifizierte
Signatur, das Auswahlkriterium sein sollte, sondern die Kombination aus technischer Umsetzung, organisatorischem
Umfeld und Einsatzzweck. Der Fokus sollte auf der Auswahl geeigneter Mechanismen und einer professionellen Umsetzung
liegen, die durch Tests und Dokumentation nachgewiesen werden.
Manipulationen von Daten, die das Unternehmen verlassen, sind schwieriger zu verhindern. Einer Risikobetrachtung vorangestellt
werden sollte eine Analyse der Netze für den Datenaustausch. Ein erhöhtes Risiko ist dann gegeben, wenn die Daten
16 APVnews 04/07 copyright apv