21 CFR Part 11 Electronic Signatures: Compliance-Guide und Anbietervergleich 2026

21 CFR Part 11 verlangt für elektronische Signaturen im FDA-regulierten Umfeld vier Dinge: ein validiertes System, einen sicheren und lückenlosen Audit Trail, kontrollierten Zugriff mit eindeutiger Nutzerauthentifizierung sowie eine untrennbare Verknüpfung von Signatur und Datensatz. Jede Signatur muss den gedruckten Namen des Unterzeichners, Datum und Uhrzeit sowie die Bedeutung (Review, Freigabe, Autorschaft) enthalten. „Part 11 compliant“ ist dabei keine Eigenschaft, die eine Software allein besitzt: Kein Anbieter kann Compliance verkaufen. Der Anbieter liefert die technischen Kontrollen und Validierungsdokumentation, verantwortlich für den validierten Gesamtbetrieb bleibt der Sponsor. Dieser Guide erklärt die Anforderungen praxisnah für QA-Verantwortliche und vergleicht anschliessend, wie führende eQMS-Anbieter Part-11-Signaturen umsetzen.

Was ist 21 CFR Part 11?

21 CFR Part 11 ist die Vorschrift der US-Behörde FDA, die festlegt, unter welchen Bedingungen elektronische Records und elektronische Signaturen als vertrauenswürdig, zuverlässig und gleichwertig zu Papierdokumenten mit handschriftlicher Unterschrift gelten. Der vollständige Regeltext ist im eCFR einsehbar; die Regel wurde am 20. März 1997 veröffentlicht und trat am 20. August 1997 in Kraft.

Wichtig ist der Geltungsbereich: Part 11 greift nur für Records, die ohnehin durch eine sogenannte Predicate Rule (etwa GMP, GCP, GLP) gefordert sind und die ein Unternehmen freiwillig elektronisch statt auf Papier führt. In der FDA-Guidance „Scope and Application“ von 2003 kündigte die Behörde an, Part 11 eng auszulegen und bei Validierung, Audit Trails, Aufbewahrung und Kopieren von Records Enforcement Discretion zu üben. Die zugrundeliegenden Predicate Rules werden dagegen uneingeschränkt durchgesetzt.

In Europa erfüllt EU GMP Annex 11 eine vergleichbare Funktion. Annex 11 ist breiter angelegt und deckt den gesamten Lebenszyklus computergestützter Systeme ab. Am 7. Juli 2025 veröffentlichte die EU-Kommission gemeinsam mit PIC/S einen umfangreichen Entwurf zur Revision, der Annex 11 von fünf auf 19 Seiten erweitert (17 Kapitel plus Glossar) und unter anderem Multi-Faktor-Authentifizierung und eine eIDAS-Angleichung bei elektronischen Signaturen vorsieht; die Kommentierung endete am 7. Oktober 2025.

Welche Anforderungen stellt 21 CFR Part 11 an elektronische Signaturen?

Die Anforderungen verteilen sich auf Subpart B (Electronic Records) und Subpart C (Electronic Signatures). Für QA-Verantwortliche lassen sie sich in acht Bausteine übersetzen.

1. Systemvalidierung (11.10a). Das System muss validiert sein, um Genauigkeit, Zuverlässigkeit und die Fähigkeit nachzuweisen, ungültige oder veränderte Records zu erkennen. Ohne Validierung ist keine Signatur belastbar.

2. Audit Trail (11.10e). Sichere, computergenerierte, mit Zeitstempel versehene Audit Trails müssen unabhängig festhalten, wer wann welchen Record erstellt, geändert oder gelöscht hat. Frühere Einträge dürfen nicht überschrieben werden.

3. Zugriffskontrolle und Authentifizierung (11.10d, 11.10g, 11.300). Der Systemzugriff bleibt auf autorisierte Personen beschränkt. Nicht-biometrische Signaturen benötigen laut 11.200 mindestens zwei Komponenten, typischerweise User-ID plus Passwort. Passwörter unterliegen Kontrollen wie Eindeutigkeit und regelmässigem Wechsel.

4. Signature Manifestation (11.50). Jeder signierte Record muss sichtbar den gedruckten Namen des Unterzeichners, Datum und Uhrzeit sowie die Bedeutung der Signatur enthalten – und zwar auch in jeder menschenlesbaren Ausgabe wie Ausdruck oder Bildschirmanzeige.

5. Signature/Record Linking (11.70). Signaturen müssen so mit ihrem Record verbunden sein, dass sie nicht mit gewöhnlichen Mitteln herausgelöst, kopiert oder übertragen werden können.

6. Bedeutung der Signatur (Meaning). Part 11 verlangt, dass jede Signatur eine klare Bedeutung trägt: Autor, Prüfer (Review) oder Freigeber (Approval). Dieselbe Person kann in verschiedenen Rollen signieren; das System muss die Rolle festhalten.

7. Schulung und Verantwortlichkeit (11.10i, 11.10j). Wer die Systeme entwickelt, wartet oder nutzt, muss nachweislich geschult sein. Schriftliche Richtlinien müssen Einzelpersonen für Handlungen unter ihrer Signatur verantwortlich machen.

8. Zertifizierung an die FDA (11.100c). Vor der ersten Nutzung muss eine Organisation der FDA schriftlich zertifizieren, dass elektronische Signaturen als rechtsverbindliches Äquivalent handschriftlicher Unterschriften gelten. Dieses Schreiben (Letter of Non-Repudiation Agreement) wird mit einer traditionellen handschriftlichen Unterschrift eingereicht.

Zusätzlich unterscheidet Part 11 zwischen geschlossenen und offenen Systemen. In einem Closed System kontrollieren die für die Records Verantwortlichen den Zugriff; hier genügen die Kontrollen aus 11.10. In einem Open System (11.30) ist das nicht der Fall, weshalb zusätzliche Massnahmen wie Verschlüsselung und digitale Signaturstandards verlangt werden.

Was ist der Unterschied zwischen E-Signatur und digitaler Signatur?

Die Begriffe werden oft verwechselt, meinen aber Unterschiedliches. Eine elektronische Signatur ist ein rechtlicher Begriff: laut Part 11 (11.3) eine Zusammenstellung von Symbolen, die eine Person als rechtsverbindliches Äquivalent ihrer Unterschrift ausführt. Eine digitale Signatur ist dagegen ein kryptografisches Verfahren, das laut Part 11 auf kryptografischen Methoden der Urheberauthentifizierung beruht, sodass Identität des Unterzeichners und Integrität der Daten überprüfbar sind (Stichwort PKI).

Für geschlossene Systeme verlangt Part 11 keine digitale Signatur. Eine kombinierte ID-Code-plus-Passwort-Lösung genügt. Erst bei offenen Systemen, bei denen der Systemzugriff nicht von den für die Records Verantwortlichen kontrolliert wird, nennt die Vorschrift zusätzliche Massnahmen wie Verschlüsselung und geeignete digitale Signaturstandards.

In der EU regelt die eIDAS-Verordnung (EU) 910/2014 drei Stufen: einfache (SES), fortgeschrittene (AES) und qualifizierte elektronische Signatur (QES). Nur die QES ist einer handschriftlichen Unterschrift rechtlich gleichgestellt. Wichtig: eIDAS und Part 11 verfolgen unterschiedliche Zwecke. Eine QES ist für Part 11 weder gefordert noch automatisch ausreichend, weil Part 11 zusätzlich Systemvalidierung, Audit Trail und Signaturbedeutung verlangt.

Was bedeutet „Part 11 compliant“ bei einem gehosteten eQMS?

Der wichtigste Satz zuerst: Kein Anbieter kann Ihnen Part-11-Compliance verkaufen. Compliance ist keine Eigenschaft der Software, sondern des validierten Gesamtsystems aus Software, Verfahren und Menschen. Das ergibt sich aus dem Shared-Responsibility-Prinzip.

Der Anbieter liefert: technische Kontrollen (Audit Trail, Signaturkomponenten, Zugriffskontrolle, Zeitstempel), Vendor-Dokumentation zur Funktionsweise sowie – bei modernen Cloud-Anbietern – ein vorvalidiertes Paket mit vorab ausgeführten IQ/OQ-Dokumenten. Das reduziert den Aufwand erheblich.

Beim Kunden bleibt: die Bewertung des Intended Use (welche Records sind bei Ihnen Part-11-relevant?), eigene SOPs, die Schulung der Mitarbeitenden, die Zugriffsverwaltung im Betrieb, die Performance Qualification (PQ) im eigenen Prozess sowie das Change Control bei Updates. Ein Vendor kann Ihnen die Validierungsdokumente liefern, aber er kann nicht für Sie entscheiden, wofür Sie das System einsetzen.

Konkret zum Aufwand: Ein vollständiges CSV-Projekt im ersten Jahr kostet ein mittelgrosses Life-Science-Unternehmen typischerweise zwischen 50.000 und 150.000 US-Dollar, wenn alle Kostenbestandteile eingerechnet werden; allein die Installation Qualification kann bei externen Beratersätzen von 175 bis 250 US-Dollar pro Stunde 7.000 bis 20.000 US-Dollar kosten. Eine manuelle Validierung eines komplexen GAMP-Kategorie-4-Systems dauert oft acht bis 18 Wochen. Ein vorvalidiertes System verkürzt diese Phase deutlich, weil Protokollerstellung und ein Grossteil der Testausführung entfallen. Die FDA hat mit ihrer finalen Computer Software Assurance (CSA) Guidance (September 2025, aktualisiert Februar 2026) diesen risikobasierten Ansatz ausdrücklich gestärkt.

Bei der Hosting-Region gilt: Der Speicherort allein entscheidet nicht. Nach dem US CLOUD Act (2018) können US-Behörden Daten von US-Anbietern anfordern, selbst wenn sie in Frankfurt oder Dublin liegen – ein Spannungsverhältnis zu Artikel 48 DSGVO und der Schrems-II-Rechtsprechung (2020). Für sensible Daten ist ein Anbieter ohne US-Konzernbindung oder mit EU-verwalteter Verschlüsselung im Vorteil. Eine ausführliche Gegenüberstellung finden Sie in unserem eQMS Software Vergleich.

Anbietervergleich: Wie setzen eQMS-Anbieter Part-11-Signaturen um?

Alle unten genannten eQMS unterstützen laut Anbieter Part-11- und Annex-11-Signaturen mit Audit Trail und Zugriffskontrolle. Die Unterschiede liegen im Validierungsmodell, in der Hosting-Region und in der Zielunternehmensgrösse. Docuply, Herausgeber dieser Seite, wird an denselben Massstäben gemessen wie alle anderen.

Docuply. Junger deutscher Anbieter aus Mannheim, spezialisiert auf klinische Biotechs von Phase I bis zur Zulassung und Unternehmen bis rund 150 Mitarbeitende. Stärken: EU-Hosting in Deutschland, ISO 27001, IQ/OQ-Dokumentation ohne Aufpreis, Setup in Minuten, transparenter Listenpreis von 99 Euro pro Nutzer und Monat. Grenzen, ehrlich benannt: Fokus auf klinisch statt MedTech, bewusst schlanke und weniger konfigurierbare Oberfläche, kürzere Erfahrungshistorie als etablierte Anbieter, API-Integrationen noch auf der Roadmap.

MasterControl. Etablierter Anbieter für GMP/QSR-Hersteller. Stärken: robustes Dokumenten-, Trainings-, CAPA- und Audit-Management, Validierungs-Toolkit. Hosting auf AWS mit EU-Standort in Deutschland. Grenzen: Oberfläche und Reporting gelten als komplex, Preise hoch (laut Capterra ab 25.000 US-Dollar pro Jahr für den Basic-Plan).

Veeva Vault QMS. Marktführer für Life-Science-Content, tief mit eTMF, RIM und Safety integriert. Jeder Release wird laut Anbieter in einer validierten Umgebung mit IQ/OQ geliefert, EU-Rechenzentren in Deutschland, Grossbritannien und Irland verfügbar. Grenzen: hohe Kosten (keine Listenpreise) und lange Vollimplementierungen; für Kleine gibt es die Programme Veeva Basics und QuickVault.

Qualio. Cloud-natives eQMS für Startups und Scale-ups, sehr einfach zu bedienen, vorvalidiertes Paket, Go-live oft in 30 bis 60 Tagen. Grenzen: laut Nutzern teils geringe Modultiefe, Change Control dokumentweise.

SimplerQMS. Vorvalidiertes, Microsoft-365-integriertes eQMS auf AWS mit wählbarer EU-Region. All-inclusive-Preis (laut Anbieter ab 17.500 US-Dollar pro Jahr für bis zu 15 Nutzer). Grenzen: Oberfläche wird als Microsoft-Add-on wahrgenommen.

Dot Compliance. Salesforce-natives, vorkonfiguriertes eQMS mit vollem Validierungspaket. Eine EU-Datenresidenz ist über Salesforce Hyperforce technisch möglich, wird aber vom Anbieter nicht explizit bestätigt. Grenzen: Salesforce-Lernkurve, höhere Kosten durch die Salesforce-Basis.

Warum reichen DocuSign und Co. allein nicht?

Reine E-Signatur-Tools erfüllen einen Teilzweck sehr gut, ersetzen aber kein GxP-Qualitätssystem. DocuSign bietet dafür separat lizenzierte Life-Sciences-Module für Part 11 mit Authentifizierung, Signaturgrund und Signature Manifestation; das Standardmodul ist ausdrücklich nur für Nicht-GxP-Signaturen gedacht. Adobe Acrobat Sign stellt „Bio-Pharma“-Einstellungen und einen Part-11-/Annex-11-Leitfaden bereit, betont aber, dass die Validierungsverantwortung beim nutzenden Unternehmen liegt, nicht beim Anbieter. Skribble deckt mit SES, AES und QES nach eIDAS und Schweizer ZertES vor allem rechtsverbindliche Unterschriften ab, gehostet in der Schweiz.

Der Haken: Diese Tools liefern keine Versionskontrolle, kein CAPA, kein Trainings-, Deviation- oder Change-Control-Management. Wer Dokumente aus dem validierten eQMS herunterlädt, extern signieren lässt und wieder hochlädt, erzeugt Kopien ausserhalb des validierten Systems und durchbricht die digitale Chain of Custody. Für Verträge und externe Unterschriften sind sie sinnvoll; das Rückgrat eines GxP-Qualitätssystems bilden sie nicht.

FAQ

Ist eine PDF-Signatur Part 11 konform? Nicht automatisch. Eine PDF-Signatur kann Teil einer Part-11-konformen Lösung sein, wenn das erzeugende System validiert ist, einen Audit Trail führt, die Signatur untrennbar mit dem Record verknüpft und Name, Datum, Uhrzeit sowie Bedeutung ausweist. Eine isolierte PDF-Unterschrift ohne diese Kontrollen genügt nicht.

Muss ich mein eQMS selbst validieren? Die Verantwortung für den validierten Betrieb bleibt im Rahmen von klinischen Studien beim Sponsor. Ein vorvalidierter Anbieter liefert IQ/OQ-Dokumente und übernimmt Software-seitige Tests, die Bewertung des Intended Use und die Performance Qualification im eigenen Prozess bleiben aber bei Ihnen.

Gilt 21 CFR Part 11 auch für EU-Firmen? Ja, sobald ein EU-Unternehmen elektronische Records oder Signaturen für Aktivitäten führt, die unter FDA-Predicate-Rules fallen, etwa bei einer geplanten FDA-Einreichung. Für den EU-Markt gilt zusätzlich Annex 11.

Verlangt Part 11 eine digitale Signatur? Nein, nicht für geschlossene Systeme. Dort genügt eine Signatur aus zwei Komponenten wie ID-Code und Passwort. Digitale Signaturen und Verschlüsselung werden vor allem für offene Systeme genannt.

Ist eine qualifizierte elektronische Signatur (QES) nach eIDAS automatisch Part 11 konform? Nein. Eine QES adressiert die rechtliche Gleichstellung mit einer Unterschrift, deckt aber nicht Systemvalidierung, Audit Trail und Signaturbedeutung ab, die Part 11 zusätzlich fordert.

Muss ich die Nutzung elektronischer Signaturen der FDA melden? Ja. Nach 11.100(c) muss die Organisation der FDA vor der ersten Nutzung schriftlich zertifizieren, dass ihre elektronischen Signaturen das rechtsverbindliche Äquivalent handschriftlicher Unterschriften sind.

Was ändert die CSA-Guidance an Part 11? Die Computer Software Assurance Guidance (final September 2025, aktualisiert Februar 2026) ändert nicht die Regel selbst, sondern die Art, wie validiert wird: risikobasiert, mit weniger Dokumentation für risikoarme Funktionen und Anerkennung nativer digitaler Records als Nachweis.

Reicht EU-Hosting für DSGVO-Konformität? Nicht allein. Der Speicherort ist ein Baustein; entscheidend sind auch die Konzernbindung des Anbieters (CLOUD Act) und vertragliche Garantien. Ein rein EU-ansässiger Anbieter reduziert das Konfliktpotenzial.