securPharm: Was das individuelle Erkennungsmerkmal beweist und was nicht

Veröffentlicht am 29. August 2026

Seit Februar 2019 trägt jede verschreibungspflichtige Packung in deutschen Apotheken, Krankenhäusern und Großhandelslagern ein individuelles Erkennungsmerkmal, das beim Abgabevorgang gegen den nationalen Datenspeicher von securPharm geprüft und ausgebucht wird. Der Scan dauert Sekundenbruchteile, und das Ergebnis ist binär: Entweder ist die Packung im System bekannt und noch nicht abgegeben, oder sie ist es nicht.

Wer in der pharmazeutischen Lieferkette arbeitet, merkt allerdings schnell, dass die schwierigen Fälle genau dort anfangen, wo die grüne Rückmeldung aufhört. Eine Palette kommt mit eingedrückten Umkartons im Wareneingang an, der Temperaturschreiber im Transportbehälter zeigt eine Lücke von vier Stunden, an einer Sekundärverpackung wirkt der Erstöffnungsschutz gelöst. Die Codes sind sauber, die Ware ist es womöglich nicht. Was dann folgt, ist Beweisarbeit, für die kein Datenspeicher zuständig ist: ein paar Fotos mit dem Diensthandy, ein Vermerk im Wareneingangsprotokoll, eine Mail an den Lieferanten. Monate später, in einer Inspektion oder in einem Streit über die Haftung, entscheidet die Qualität genau dieser Nachweise darüber, wer recht behält.

Genau hier liegt die Lücke, über die in der Diskussion über Pharma-Serialisierung selten gesprochen wird. Die Systemebene ist geregelt, die operative Ebene darunter nicht.

Der über securPharm verifizierte Code belegt, dass eine Packung als echt registriert und noch nicht abgegeben ist. Er belegt weder den Zustand der Ware beim Wareneingang noch die eingehaltenen Lagerbedingungen noch den Transportverlauf. Die Nachweise rund um den Code halten nur stand, wenn sie im Moment ihrer Entstehung zertifiziert werden.

Was das individuelle Erkennungsmerkmal auf der Packung belegt

Das Erkennungsmerkmal beantwortet eine einzige, eng gefasste Frage: Ist diese konkrete Packung als legitim in Verkehr gebracht worden, und wurde sie noch nicht ausgebucht? Alles, was das System darüber hinaus zu wissen scheint, stammt aus anderen Quellen und ist im Code selbst nicht enthalten.

Was im Data Matrix Code eines Arzneimittels steht

Das individuelle Erkennungsmerkmal besteht aus vier Datenelementen, die in einem zweidimensionalen Data Matrix Code auf der Faltschachtel aufgebracht sind: Produktcode, randomisierte Seriennummer, Chargenbezeichnung und Verfallsdatum. Vorgeschrieben werden diese Angaben durch die Delegierte Verordnung (EU) 2016/161, die die Richtlinie 2011/62/EU über gefälschte Arzneimittel ausführt. Hinzu kommt ein Erstöffnungsschutz, das Anti-Tampering Device, an dem sich eine bereits geöffnete Packung erkennen lässt. Wer den Aufbau des securPharm Codes einmal nachvollzogen hat, sieht die Grenze sofort: Der Code enthält keine Angabe dazu, wo die Packung gelagert wurde, bei welcher Temperatur sie unterwegs war oder in welchem Zustand sie beim Empfänger ankam. Er ist eine Kennung, kein Logbuch. Die Seriennummer vergibt der Zulassungsinhaber, spielt sie in den EU Hub ein, und von dort verteilt das europäische System sie an den zuständigen nationalen Datenspeicher, in Deutschland an securPharm.

Wie die Verifikation zwischen Hersteller, Großhandel und Apotheke funktioniert

Das deutsche Modell arbeitet mit zwei getrennten Datenbanken, einer für die pharmazeutische Industrie und einer für Apotheken und Großhandel, die über eine gemeinsame Schnittstelle kommunizieren. Der Hersteller lädt die Seriennummern hoch, der Großhandel verifiziert risikobasiert, und die Apotheke bucht die Packung im Moment der Abgabe endgültig aus. Wer wissen möchte, wie er einen securPharm Code prüfen kann, ohne abzugeben, nutzt die reine Verifikationsabfrage seiner Warenwirtschaft, die den Status meldet, ohne die Packung zu deaktivieren.

Diese Architektur ist bewusst schlank gehalten. Sie soll Fälschungen am Übergang in die legale Lieferkette abfangen, und das tut sie zuverlässig. Track and Trace im engeren Sinn, also die lückenlose Aufzeichnung jedes Ortswechsels einer Packung, leistet das europäische Modell dagegen nicht: Es ist ein Verifikationssystem an den Endpunkten, kein Wegprotokoll.

Die Grenze des Datenspeichers: Identität der Packung, nicht Geschichte der Charge

Der Datenspeicher kennt Zustände, keine Ereignisse. Er weiß, ob eine Seriennummer aktiv, ausgebucht, exportiert oder gesperrt ist. Er weiß nicht, dass der Fahrer den Kühlcontainer zwanzig Minuten offen stehen ließ, dass die Charge im Zwischenlager umgepackt wurde oder dass der Wareneingang bei der Annahme drei beschädigte Umkartons zurückwies. Diese Ereignisse existieren nur in den Aufzeichnungen der beteiligten Menschen, und deren Belastbarkeit ist nirgends normiert.

Systemische Rückverfolgbarkeit und Herkunft des Datums sind nicht dasselbe

Rückverfolgbarkeit beantwortet die Frage, welche Packung wo im System registriert ist. Die Herkunft des Datums beantwortet eine andere Frage: Wer hat diese Aufzeichnung wann und unter welchen Umständen erstellt, und lässt sich das im Nachhinein überprüfen? Die erste Frage ist in Europa geregelt, die zweite nicht.

Ein erfasster Sachverhalt ist noch kein belegbarer Sachverhalt

Die Zahlen des europäischen Verifikationssystems zeigen, wie oft die operative Ebene nachgefragt wird. Die EMVO hat als Zielwert für die Alert-Rate weniger als 0,05 Prozent gesetzt. Tatsächlich lag das europäische System in der Woche 13 des Jahres 2024 bei 0,26 Prozent, und sieben Länder bewegten sich zwischen 0,16 und 1,17 Prozent. Hinter diesen Meldungen steckt fast nie eine Fälschung. Die drei häufigsten Ursachen sind fehlerhafte Stammdaten, die der Zulassungsinhaber auf die europäische Plattform lädt, technische Probleme beim Scanner und die doppelte Ausbuchung derselben Packung. Trotzdem muss jede dieser Meldungen geschlossen werden, und geschlossen wird sie mit Aufzeichnungen: einem Foto des Codes, einem Vermerk über den Scannerzustand, einer Notiz zum Lieferweg. Erstellt hat diese Aufzeichnungen ein Mitarbeiter unter Zeitdruck, geprüft hat sie niemand.

Wer sich mit den bekannten securPharm Problemen beschäftigt, findet dasselbe Muster: Der Systemhinweis ist eindeutig, die Klärung dagegen hängt an Belegen, die außerhalb des Systems entstehen. Ein Foto in der Fotogalerie eines Diensthandys trägt kein überprüfbares Datum, kein überprüfbares Gerät und keinen überprüfbaren Ort. Es lässt sich zuschneiden, nachbearbeiten und Wochen später aufnehmen, ohne dass ein Dritter das erkennen könnte.

Die Nachweise, die niemand zertifiziert: Wareneingang, Lagerung, Transport

An drei Stellen entstehen täglich Aufzeichnungen, die im Streitfall die Beweislast tragen und die kein regulatorisches System absichert: die Annahme der Ware, die Überwachung der Lagerbedingungen und die Übergabe zwischen zwei Transportabschnitten. In allen drei Fällen dokumentiert ein Mensch mit einem Gerät seiner Wahl, und das Ergebnis landet ungeprüft in einem Ordner.

Die beanstandete Charge im Wareneingang

Deutschland liefert den aussagekräftigsten Referenzwert für die Einführungsphase eines nationalen Verifikationssystems. Im ersten Monat nach dem Start im Februar 2019 wurden hierzulande rund fünf Prozent der gescannten Packungen nicht erkannt. Bis Ende 2019 sank der Wert auf 0,42 Prozent, im Folgejahr auf 0,07 Prozent. Die Kurve beschreibt keinen Rückgang von Fälschungen, sondern das Einschwingen von Stammdaten, Scannerkonfigurationen und Arbeitsabläufen. Wer diese Phase im Wareneingang miterlebt hat, erinnert sich an den eigentlichen Aufwand: Für jede beanstandete Palette musste jemand belegen, in welchem Zustand die Ware angekommen war, welche Umkartons betroffen waren und wann die Beanstandung erhoben wurde. Diese Belege bestimmen bis heute, wer bei einer Rückabwicklung die Kosten trägt. Entstanden sind sie als Handyfotos ohne überprüfbare Metadaten und als handschriftliche Vermerke, die später abgetippt wurden.

Nachträglich rekonstruierte Lagerbedingungen

Bei temperaturgeführten Arzneimitteln liegt der Nachweis formal beim Datenlogger. In der Praxis wird die Auswertung als Datei exportiert, in eine Abweichungsmeldung kopiert und mit Fotos der Sensorposition und des geöffneten Behälters ergänzt. Zwischen dem Ereignis und der Fertigstellung des Berichts liegen häufig Tage. Wenn ein Lieferant später bestreitet, dass die Kühlkette bei ihm unterbrochen wurde, steht Aussage gegen Aussage, denn keiner der Belege trägt einen überprüfbaren Zeitpunkt. Genau diesen Punkt greifen GDP-Inspektionen regelmäßig auf: nicht die Abweichung selbst, sondern die Frage, wann und von wem sie dokumentiert wurde.

Was eine Inspektion Monate später verlangt

Eine Inspektion prüft nicht, ob ein Vorfall stattgefunden hat, sondern ob die Dokumentation des Vorfalls trägt. Die französischen Zahlen zeigen, wie groß der Graubereich ist, der dabei geprüft werden kann: Frankreich bewegt sich bei einer Rate von 0,2 bis 0,3 Prozent, rund 400 Apotheken arbeiten mit inkompatiblen oder falsch konfigurierten Scannern, und nur etwa 75 Prozent der abgegebenen Packungen werden tatsächlich verifiziert und ausgebucht. Ein Viertel der Vorgänge hinterlässt also gar keine Systemspur, die sich später auslesen ließe. Was in diesen Fällen bleibt, sind die betrieblichen Aufzeichnungen. Ein Inspektor fragt dann nicht nach dem securPharm Status einer Packung, sondern danach, wer die Abweichung wann festgestellt hat, welcher Nachweis dazu vorliegt und ob dieser Nachweis seit seiner Entstehung unverändert geblieben ist. Genau an dieser Stelle scheitern gut geführte Betriebe an schlecht abgesicherten Dateien.

Die Anforderung ist nicht neu. GDP- und GMP-Leitlinien verlangen seit jeher zeitnahe, vollständige und nachvollziehbare Aufzeichnungen. Neu ist, dass sich das Beweismaterial fast vollständig auf Geräte verlagert hat, deren Ausgaben sich ohne sichtbare Spur verändern lassen.

Was die Dokumentation eines Schritts in der pharmazeutischen Lieferkette belastbar macht

Belastbar wird ein Nachweis dann, wenn seine Herkunft im Moment der Erfassung festgeschrieben wird und nicht im Nachhinein behauptet werden muss. TrueScreen ist eine Data Authenticity Platform, die genau das leistet: Jeder Nachweis wird bei der Erfassung mit einem digitalen Siegel versehen, mit einem qualifizierten Zeitstempel eines integrierten QTSP nach der eIDAS-Verordnung (EU) 910/2014 und mit verifizierten Metadaten zu Position, Datum, Uhrzeit und Gerät. TrueScreen stellt selbst keine qualifizierten Zertifikate aus, sondern integriert das Siegel eines qualifizierten Vertrauensdiensteanbieters über eine Schnittstelle. Das Ergebnis ist eine ununterbrochene Chain of Custody: Jedes Foto, jedes Video und jeder Screenshot ist mit Zeitpunkt, Ort und erfassendem Mitarbeiter verknüpft. Im Bereich Gesundheit und Pharma betrifft das Aufnahmen von Chargen, Packungen, Etiketten und Data Matrix Codes ebenso wie Videos von Werks- und Lagerbegehungen.

Zertifiziert werden auf demselben Weg auch Screenshots aus Rückverfolgbarkeitssystemen und digitalen Registern, Abweichungs- und Prüfberichte sowie Aufzeichnungen der Umgebungsbedingungen bei Lagerung und Transport, also Temperatur und Luftfeuchte. Die Erfassung erfolgt über App, Webzugang, API oder SDK, je nachdem, ob im Lager, im Labor oder direkt aus einem bestehenden Qualitätssicherungssystem heraus dokumentiert wird.

Der praktische Nutzen zeigt sich in zwei Situationen. Eine Inspektion, die Monate zurückliegende Vorgänge prüft, findet Nachweise vor, die nicht rekonstruiert werden mussten, sondern seit dem Ereignistag unverändert vorliegen. Und eine Auseinandersetzung mit einem Lieferanten über eine beanstandete Lieferung wird nicht mehr über Schriftverkehr geführt, sondern über Bildmaterial, dessen Aufnahmezeitpunkt und Aufnahmeort keine Partei bestreiten kann. Ein Beispiel aus dem Wareneingang: Werden die aufgerissenen Umkartons einer Palette direkt an der Rampe zertifiziert erfasst, statt am Abend aus dem Handyspeicher gesucht zu werden, verschiebt sich die Beweislast in der anschließenden Reklamation.