Die Validierung von Medizinprodukte-Software ist ein Grundpfeiler für Sicherheit, Konformität und Leistungsfähigkeit – sowohl bei klassischen eingebetteten Systemen als auch bei moderner Software als Medizinprodukt (SaMD). Da digitale Gesundheitsanwendungen in der Versorgung immer wichtiger werden, verlangen Behörden wie die FDA und die europäischen Aufsichtsstellen eine strenge Validierung und Prüfung über den gesamten Entwicklungszyklus.
Anders als allgemeine Software wirkt Medizinprodukte-Software unmittelbar auf die Gesundheit der Patienten. Validierung ist daher nicht nur eine bewährte Praxis, sondern eine regulatorische Pflicht, die auf internationalen Normen und evidenzbasierter Entwicklung beruht.
Nach FDA und EU-MDR ist Softwarevalidierung der Prozess, mit dem anhand objektiver Nachweise belegt wird, dass die Software den festgelegten Anwenderbedürfnissen und dem Verwendungszweck entspricht.
Wichtig: Validierung ist nicht dasselbe wie Verifizierung. Die Verifizierung stellt sicher, dass die Software gemäß den Spezifikationen korrekt umgesetzt wurde. Die Validierung stellt hingegen sicher, dass die richtige Software entwickelt wurde – also dass sie unter realen Bedingungen sicher und wirksam arbeitet.
Die Validierung umfasst die Erhebung der Anwenderbedürfnisse, Untersuchungen zur Gebrauchstauglichkeit, klinische Prüfungen und die vollständige Dokumentation aller Tätigkeiten und Ergebnisse. Sie ist ein kontinuierlicher Prozess, der bei den Anforderungen beginnt und bis in die Marktüberwachung reicht.
Sowohl SaMD als auch eingebettete Software müssen validiert werden, doch SaMD bringt besondere Herausforderungen mit sich. Als eigenständiges Produkt muss SaMD unabhängig von der Hardware einen klinischen Nutzen erbringen – und seine Leistung ist entsprechend zu validieren.
Behörden wie FDA und IMDRF betonen dabei:
Die Bestätigung, dass die Algorithmen korrekt und robust arbeiten.
Die Sicherstellung, dass Anwender die Software sicher bedienen können.
Die Validierung von SaMD folgt einem risikobasierten Ansatzim Einklang mit Normen wie der IEC 62304, die die Festlegung von Sicherheitsklassen (A/B/C), die Verknüpfung von Risikokontrollen mit Testprotokollen und die Validierung anhand realer Anwendungsfälle verlangt. Die Dokumentation muss Traceability-Matrizen, Testberichte und klinische Evidenz enthalten.
Das Testen medizinischer Software ist kein einmaliges Ereignis und keine Checkliste, sondern ein disziplinierter Prozess, der sich über den gesamten Entwicklungszyklus erstreckt. Sein Ziel ist es, sicherzustellen, dass die Software sich wie vorgesehen verhält – unter erwarteten und unerwarteten Bedingungen – und dies konsistent, zuverlässig und sicher tut.
Bei SaMD kommt dem Testen zusätzliche Bedeutung zu. Anders als bei klassischen Produkten gibt es keine physische Form, die die Anwendung begrenzt oder lenkt. Die Software muss robust genug sein, um auf unterschiedlichen Plattformen und in verschiedenen Anwenderumgebungen korrekt zu funktionieren. Darüber hinaus müssen ihre klinischen Aussagen – etwa zur Diagnose oder Überwachung – durch objektive Nachweise belegt werden.
Das Testen beginnt mit Unit-Tests, bei denen Entwickler kleine Codeeinheiten auf Korrektheit prüfen. Darauf baut alles Weitere auf. Sind die Module erstellt, prüfen Integrationstests das Zusammenspiel der Komponenten und stellen sicher, dass Daten korrekt übergeben und interpretiert werden. Systemtests bewerten anschließend das gesamte Softwarepaket in einer realitätsnahen Simulation. Abschließend prüfen Abnahmetests, ob die Software den Erwartungen der Anwender und den regulatorischen Kriterien entspricht.
Was alle diese Phasen verbindet, ist die Nachvollziehbarkeit: Jede Anforderung muss auf Testfälle abgebildet werden. Das ist nicht nur gute Praxis, sondern behördliche Erwartung. Verspricht eine Diagnose-App etwa, Melanome auf Bildern zu erkennen, muss jede daran beteiligte Funktion auf einen Test zurückführbar sein, der ihre Funktionsfähigkeit unter realistischen Bedingungen bestätigt.
Beispiele aus der Praxis machen das konkret: KI-Algorithmen müssen auf Sensitivität und Spezifität geprüft werden, Bedienabläufe auf intuitive Navigation validiert und die Anbindung an Krankenhaussysteme hinsichtlich Sicherheit, Latenz und Datenintegrität bewertet werden.
Die Validierung medizinischer Software geschieht nicht im Vakuum: Sie muss sich an international anerkannten Rahmenwerken orientieren, die in diesem streng regulierten Feld festlegen, was „sicher und wirksam" bedeutet.
Die Norm IEC 62304 steht dabei im Zentrum. Sie schreibt ein strukturiertes Lebenszyklusmodell für Software vor und deckt Planung, Entwicklung, Risikokontrolle, Testen und Instandhaltung ab. Sie führt zudem die Sicherheitsklassifizierung (Klasse A/B/C) ein, die den erforderlichen Umfang an Dokumentation und Kontrolle bestimmt.
Weiterhin liefert die ISO 13485 die Anforderungen an das Qualitätsmanagementsystem. Sie stellt sicher, dass die Softwareentwicklung in einem prozessgesteuerten Umfeld erfolgt – mit Versionskontrolle, klaren Rollen und Verantwortlichkeiten, Änderungsverfolgung und Designprüfungen.
Die FDA-Leitlinie zur Softwarevalidierung legt fest, welche Nachweise erwartet werden. Sie betont die Notwendigkeit objektiver, dokumentierter Belege dafür, dass das System seinen Verwendungszweck erfüllt – und dies auch nach Aktualisierungen weiterhin tut.
Für Unternehmen, die SaMD in agilen oder iterativen Modellen entwickeln, bietet GAMP5 einen praxisnahen Rahmen. Ursprünglich für die Pharmaindustrie entwickelt, helfen sein risikobasierter Ansatz und die Kategorisierung von Softwarefunktionen dabei, Kontrolle und Flexibilität auszubalancieren.
Die Einhaltung dieser Normen ist nicht optional, sondern Voraussetzung für den Marktzugang. Ob Sie die CE-Kennzeichnung in Europa oder die FDA-Freigabe in den USA anstreben: Wer diesen Rahmenwerken folgt, macht die behördliche Einreichung belastbarer und besser begründbar.
Die Validierung von SaMD bringt in der Praxis eigene Herausforderungen mit sich – besonders bei modernen, cloudverbundenen und sich schnell verändernden Plattformen.
Eine der häufigsten betrifft den Umgang mit Aktualisierungen. SaMD-Produkte folgen oft kurzen Release-Zyklen. Jede neue Funktion, jede Fehlerbehebung und jede Änderung der Benutzeroberfläche kann die klinische Leistung oder die Gebrauchstauglichkeit beeinflussen. Revalidierung ist damit keine gelegentliche Aufgabe, sondern ein fortlaufender Prozess. Ein strukturierter Änderungslenkungsprozess in Verbindung mit automatisierten Regressionstests wird dadurch unverzichtbar.
Eine weitere Herausforderung ist die Validierung der Leistung anhand realer Datensätze. Ein System, das mit idealen oder kuratierten Daten trainiert und validiert wurde, kann sich in heterogenen klinischen Umgebungen unvorhersehbar verhalten. Das unterstreicht die Notwendigkeit vielfältiger, repräsentativer Testdaten und von Usability-Tests in realen Umgebungen.
Schließlich besteht der Druck, jederzeit auditfähig zu sein. Behörden können die Dokumentation zu jedem Zeitpunkt prüfen – besonders nach dem Inverkehrbringen. Unvollständige, widersprüchliche oder veraltete Unterlagen können Genehmigungen verzögern oder Sanktionen auslösen. Teams müssen sicherstellen, dass Testprotokolle, Abweichungen, Validierungsberichte und Änderungsprotokolle sorgfältig gepflegt und zugänglich sind.
Zur Beherrschung dieser Risiken haben sich folgende Vorgehensweisen bewährt:
Letztlich geht es bei einer belastbaren Validierung nicht darum, Audits zu bestehen, sondern darum, zuverlässige, sichere und wirksame Software bereitzustellen, auf die Behandelnde und Patienten vertrauen können.
Diese Leistung unterstützt die Zertifizierungsreife, indem sie sicherstellt, dass Ihr Validierungspaket über alle Anwendungsfälle im Gesundheitswesen hinweg belastbar ist – von Krankenhausintegrationen bis zu Labordaten-Workflows in der Diagnostik. Besonders relevant ist sie für Programme in Pharma und digitaler Gesundheit, in denen regulierte Evidenz, Nachvollziehbarkeit und auditfähige Dokumentation entscheidend sind.
Eine sachgerechte Validierung und Prüfung von Medizinprodukte-Software ist nicht verhandelbar, wenn Patientensicherheit und regulatorische Konformität auf dem Spiel stehen. Bei SaMD-Produkten steigt die Komplexität – aber auch der klinische Nutzen.
Pharmaxi bietet fachkundige Unterstützung beim Aufbau von Validierungsstrategien, bei der Durchführung von Testprotokollen und bei der Erstellung regulatorischer Dokumentation im Einklang mit internationalen Vorgaben wie IEC 62304 und den FDA-Leitlinien.
