Datenintegrität: Wann Daten vollständig, konsistent und nachvollziehbar sind

Was bedeutet Datenintegrität?

Die MHRA definiert Datenintegrität als den Grad, zu dem Daten vollständig, konsistent, genau, vertrauenswürdig und verlässlich sind und diese Eigenschaften über den Datenlebenszyklus bewahren.^[1] PIC/S verwendet eine nahezu gleichlautende Definition.^[2] Die FDA fasst den Kern für CGMP-Daten mit Vollständigkeit, Konsistenz und Genauigkeit zusammen.^[3]

Damit wird Datenintegrität zu einer Eigenschaft des gesamten Umgangs mit Daten. Sie entsteht nicht erst bei einer späteren Prüfung. Bereits die Gestaltung einer Aufgabe, die Erfassung einer Beobachtung, die Zuordnung zu einer Person und die Verbindung mit dem betroffenen Material bestimmen, wie belastbar die spätere Aufzeichnung sein kann.

Eine vollständige Messung verliert beim Export ihren Zusammenhang

In einem fiktiven Fall enthält Messaufzeichnung M-23 einen Wert mit Einheit, Messobjekt, Gerätekennung, Zeitpunkt und erforderlicher Änderungshistorie. Die Erfassung ist nachvollziehbar. Beim späteren Export wird jedoch nur der Zahlenwert mit einer verkürzten Objektbezeichnung übernommen.

Die Datei lässt sich öffnen, und die Anzahl ihrer Zeilen stimmt. Trotzdem fehlt dem Empfänger die Grundlage, um den Wert richtig zu interpretieren. Ist die Einheit nicht erhalten, kann er nicht sicher rechnen. Fehlt die Änderungshistorie, erkennt er möglicherweise nicht, ob er einen ursprünglichen oder korrigierten Stand vor sich hat.

Eine Integritätsprüfung verfolgt deshalb die Aufzeichnung über den Übergang: Welche Information war vorher vorhanden, welche wurde übertragen und welche Funktion muss am Ziel erhalten bleiben? Ein erfolgreicher Transport beantwortet diese Fragen nicht. Die Exportregel und ihr Ergebnis müssen korrigiert werden, bevor die verkürzte Darstellung als vollständiger Nachweis verwendet wird.

Daten müssen über ihren Lebenszyklus verlässlich bleiben

Der Datenlebenszyklus beginnt mit der Erzeugung oder erstmaligen Erfassung. Darauf können Verarbeitung, Prüfung, Nutzung für Entscheidungen, Übertragung, Aufbewahrung, Archivierung und schließlich die geregelte Löschung folgen.^[1][2][3]

Eine Aufzeichnung kann deshalb zum Zeitpunkt ihrer Entstehung korrekt und später dennoch unbrauchbar werden. Das ist beispielsweise möglich, wenn:

• erforderliche Metadaten von den eigentlichen Werten getrennt werden,
• eine Migration Bedeutung oder Beziehungen verändert,
• Dateiformate später nicht mehr lesbar sind,
• Änderungen die ursprüngliche Eingabe verdecken,
• Berechtigungen keine eindeutige Zuordnung von Handlungen erlauben,
• Teile des Datensatzes bei Export oder Archivierung verloren gehen oder
• ein vorhandenes Backup nicht zuverlässig wiederhergestellt werden kann.

Datenintegrität verlangt daher eine durchgängige Betrachtung. Nicht allein der Endzustand zählt, sondern auch die Bedingungen, unter denen Daten erzeugt, verändert, geprüft, verwendet und erhalten wurden.

Weshalb Kontext und Metadaten dazugehören

Der Zahlenwert 23 ist ohne Kontext kaum verwertbar. Erst zusätzliche Angaben machen verständlich, ob damit 23 Milligramm, 23 Kilowattstunden, ein Zeitpunkt oder eine interne Kennung gemeint ist.

Die FDA beschreibt Metadaten als Kontextinformationen, die benötigt werden, um Daten zu verstehen. Als Beispiele nennt sie Zeitstempel, Benutzerkennung, Gerätekennung, Materialstatus, Materialidentifikationsnummer und Audit Trails.^[3] Auch die MHRA ordnet Metadaten als integralen Bestandteil einer Originalaufzeichnung ein.^[1]

In einem betrieblichen Prozess können Metadaten unter anderem beantworten:

• Wer hat einen Wert erfasst oder automatisch erzeugen lassen?
• Wann und innerhalb welcher Aufgabe entstand er?
• Auf welche Charge, welches Material oder welches Gerät bezieht er sich?
• Welche Einheit, Methode und SOP-Version galten?
• Welcher frühere Zustand wurde verändert?
• Welche Prüfung, Korrektur oder Freigabe folgte?

Metadaten sind nicht mit Data Provenance gleichzusetzen. Sie liefern jedoch einen wesentlichen Teil des Kontexts, aus dem sich Herkunfts- und Entstehungsbeziehungen modellieren lassen. Data Provenance beschreibt, wie Daten mit Vorgängen, Ausgangsdaten und Akteuren verbunden werden.

Cannabis-Laborwerte zeigen, warum eine Ergebniszahl ihren analytischen Kontext benötigt.

Beim Datentransfer sind Methode, Einheit, Bestimmungsgrenze (LOQ) und Ergebnisqualifikator zu erhalten. Die Grafik belegt keine Datenmanipulation.

Datenintegrität bei Migration und Schnittstellen

Daten wechseln während ihres Lebenszyklus häufig das System, das Format oder den organisatorischen Verantwortungsbereich. Jeder Übergang kann Beziehungen, Einheiten, Zeitangaben, Statusinformationen oder Metadaten verändern.

Annex 11 fordert bei der Übertragung in ein anderes Format oder System Kontrollen, dass Wert und Bedeutung der Daten nicht verändert werden.^[4] Daraus folgt für die Praxis: Eine Migration ist nicht allein erfolgreich, weil dieselbe Anzahl von Dateien am Ziel angekommen ist.

Zu prüfen sind beispielsweise:

• Vollständigkeit der übertragenen Datensätze,
• Erhalt von Identifikatoren und Beziehungen,
• richtige Zuordnung von Einheiten und Zeitangaben,
• Übernahme erforderlicher Metadaten und Historien,
• Lesbarkeit und Auswertbarkeit im Zielsystem,
• Behandlung von Fehlern, Dubletten und nicht übertragbaren Funktionen sowie
• nachvollziehbare Freigabe des Migrationsergebnisses.

Bei Schnittstellen gelten ähnliche Grundsätze. Eingebaute Prüfungen können verhindern, dass unvollständige oder formal fehlerhafte Daten unbemerkt weiterverarbeitet werden. Welche Kontrollen erforderlich sind, richtet sich nach Bedeutung und Risiko der übertragenen Informationen. Für die Beschaffung von Compliance-Software werden daraus konkrete Vorführfälle: Ein Export muss den benötigten Kontext erhalten, und ein gestörter Übergang muss als Fehler erkennbar sein.

Original, echte Kopie, Aufbewahrung und Backup

Eine Aufzeichnung besteht nicht immer nur aus dem sichtbaren Inhalt eines Dokuments. Bei dynamischen elektronischen Daten können auch Metadaten, Beziehungen, Verarbeitungsschritte und Interaktionsmöglichkeiten erforderlich sein, um Inhalt und Bedeutung zu erhalten.

Ein Ausdruck oder ein PDF ist deshalb nicht automatisch eine vollständige Ersatzaufzeichnung. Ob eine Kopie als echte Kopie geeignet ist, hängt davon ab, ob sie den erforderlichen Inhalt, die Bedeutung und die zugehörigen Metadaten bewahrt.^[1][3]

Auch Backup und Archiv erfüllen unterschiedliche Aufgaben:

Die MHRA stellt klar, dass Wiederherstellungs-Backups die langfristige Aufbewahrung von Daten und Metadaten nicht ersetzen.^[1] Annex 11 verlangt regelmäßige Backups sowie Prüfungen ihrer Integrität, Genauigkeit und Wiederherstellbarkeit.^[4]

Ein erfolgreich erzeugtes Backup ist also nur der erste Schritt. Ohne geprüfte Wiederherstellung ist nicht belegt, dass die Daten im Bedarfsfall tatsächlich nutzbar sind.

Änderungen, Korrekturen und Audit Trails

Ein Audit Trail hält relevante Änderungen nachvollziehbar. Eine Korrektur ist nicht automatisch ein Integritätsproblem. Fehler können auftreten und müssen berichtigt werden können. Entscheidend ist, dass die Änderung den ursprünglichen Zusammenhang nicht unbemerkt ersetzt.

Die MHRA beschreibt einen Audit Trail als Metadaten zu Handlungen, die mit der Erzeugung, Änderung oder Löschung von Aufzeichnungen zusammenhängen. Er soll die Geschichte solcher Ereignisse einschließlich „wer, was, wann und warum“ rekonstruierbar machen, ohne die ursprüngliche Aufzeichnung zu verdecken oder zu überschreiben.^[1]

Ein Audit Trail allein stellt jedoch noch keine Datenintegrität her. Seine Aussagekraft hängt davon ab, ob:

• relevante Vorgänge tatsächlich erfasst werden,
• Zeit und Identität verlässlich zugeordnet sind,
• die Funktion nicht von normalen Benutzern abgeschaltet oder verändert werden kann,
• Gründe für relevante Änderungen dokumentiert werden,
• Einträge verständlich verfügbar bleiben und
• die relevanten Ereignisse risikobasiert geprüft werden.

PIC/S weist ausdrücklich darauf hin, dass Audit-Trail-Funktionalität passend konfiguriert und überprüft werden muss und dass relevante Audit Trails regelmäßig nach Risikogesichtspunkten zu prüfen sind.^[2]

Rollen, Berechtigungen und Funktionstrennung

Nicht jede Person benötigt dieselben Rechte. Wer einen Arbeitsschritt ausführt, hat eine andere Aufgabe als jemand, der das Ergebnis prüft, freigibt oder die technische Konfiguration verwaltet.

PIC/S beschreibt für computerisierte Systeme individuelle Benutzerkennungen, unterschiedliche Rollen und das Prinzip der geringsten erforderlichen Berechtigung. Administratorrechte sollen streng kontrolliert und von normalen Tätigkeiten getrennt werden.^[2] Annex 11 verlangt angemessene Zugriffsebenen, definierte Verantwortlichkeiten und die Dokumentation von Anlage, Änderung und Aufhebung von Berechtigungen.^[4]

Für die Datenintegrität sind dabei zwei Wirkungen wichtig:

• Handlungen können einer konkreten Identität und Rolle zugeordnet werden.
• Unbefugte Eingaben, Änderungen, Löschungen oder Freigaben werden technisch begrenzt.

Geteilte Konten schwächen die Zuordenbarkeit. Umgekehrt beweist ein individuelles Konto noch nicht, dass eine Handlung fachlich korrekt war. Rollen, Berechtigungen, Prozessvorgaben und spätere Prüfung müssen zusammenwirken.

Kontrollen an den Übergängen ansetzen

Der Exportfall verlangt andere Kontrollen als die ursprüngliche Messung. Bei der Erfassung stehen etwa Zuordnung, Einheit und Messverfahren im Vordergrund. Beim Übergang ins Zielsystem sind zusätzlich Auswahl, Umrechnung, Metadaten und Fehlerbehandlung zu prüfen.

Für jeden Übergang sollte feststehen, wer den erforderlichen Umfang bestimmt und wer die Übernahme beurteilt. Ein technisch verantwortliches Team kann die korrekte Feldübertragung prüfen; die fachliche Bedeutung einer ausgelassenen Angabe braucht ebenfalls eine Bewertung.

Spätere Kontrollen können Mängel erkennen und gezielte Berichtigungen ermöglichen. Fehlende ursprüngliche Beobachtungen lassen sich dadurch jedoch nicht beliebig rekonstruieren. Die FDA betont Systemgestaltung und Kontrollen zur Erkennung von Fehlern und Auslassungen über den Datenlebenszyklus.[3]

Vollständig, konsistent und genau

Die drei Begriffe bilden den Kern vieler regulatorischer Definitionen, beantworten aber unterschiedliche Fragen.

ALCOA+ konkretisiert die Eigenschaften einer Aufzeichnung

ALCOA+ bündelt neun Eigenschaften von Aufzeichnungen, darunter Zurechenbarkeit, Erfassung während der Tätigkeit, Vollständigkeit und Verfügbarkeit.[1] Die Merkhilfe unterstützt die Prüfung einer konkreten Aufzeichnung.

Im Exportfall verschiebt sich der Blick auf den Lebenszyklus: Eigenschaften, die M-23 bei der Erfassung besaß, müssen auch bei Übertragung und Aufbewahrung angemessen erhalten bleiben. Eine einmalige Prüfung am Beginn reicht dazu nicht aus.

Aufsichtsbefund

Befund: Die FDA beanstandete bei einem Arzneimittelhersteller, dass im Laborinformationssystem ein erforderlicher Verdünnungsfaktor für mikrobiologische Ergebnisse fehlte. Laut dem Schreiben wurden Produkte allein auf Grundlage der eingegebenen Rohzählwerte freigegeben.^[5]

Einordnung: Datenintegrität betrifft auch den Zusammenhang zwischen Messwert und abgeleitetem Ergebnis. Ein korrekt gespeicherter Rohwert genügt nicht, wenn ein erforderlicher Berechnungsschritt fehlt.

Prüffrage: Prüft das System die Berechnungsgrundlage, bevor ein Ergebnis freigabefähig wird?

Schreiben vom 18.08.2026 · Quelle geprüft am 18.09.2026.

Dargestellt ist der ausgewählte Behördenbefund zum Zeitpunkt des Schreibens. Unternehmensantworten und spätere Entwicklungen werden hier nicht bewertet; die Darstellung beschreibt keinen aktuellen Compliance-Status.

Verlässlichkeit muss den Systemwechsel überstehen

Ein belastbarer Umgang verfolgt deshalb die Aufzeichnung samt erforderlichem Kontext durch Änderung, Übertragung und Aufbewahrung. Die entscheidende Probe ist, ob sie am jeweiligen Ziel noch für ihren vorgesehenen Zweck verstanden und geprüft werden kann.

Wie weit die Prüfung eines Datenübergangs reicht, ergibt sich aus dem Verwendungszweck und den anwendbaren Anforderungen. Sie kann nicht durch die pauschale Bezeichnung eines Systems als sicher, unveränderbar oder compliant ersetzt werden.