Blockchain in der Pharmaindustrie für verifizierbare Rückverfolgbarkeit

Die Pharmaindustrie bewegt nicht nur Kartons. Vor der Abgabe stehen Wirkstoffe, Materialien, Fertigungschargen, Qualitätskontrollen, die Freigabe durch befugtes Personal, Konfektionierung, Großhandelsvertrieb und Lagerung. Jede Stufe erzeugt Nachweise, die dem richtigen Produkt zugeordnet und für die Dauer der regulatorischen Aufbewahrungsfrist aufbewahrt werden müssen.

In der Handelskette wirken Hersteller, Zulassungsinhaber, Logistikdienstleister, Großhändler, Apotheken, Krankenhäuser und Behörden mit. Dieselbe Packung kann den Eigentümer wechseln, ohne dass sich der Verwahrer ändert; sie kann in einem Karton oder auf einer Palette zusammengefasst und wieder vereinzelt werden. Retouren, Rückrufe und Ausnahmen erzeugen Wege, die nicht linear sind. Nützliche Rückverfolgbarkeit muss diese Zustände abbilden, nicht nur eine Liste von Standorten.

Blockchain passt, wenn unabhängige Organisationen verifizierbare Ereignisse teilen müssen, ohne die Historie über E-Mails, Portale und Abstimmungen zu rekonstruieren. Die Marktzulassung, die Chargenfreigabe und die Legitimität eines Partners stammen jedoch aus regulatorischen Systemen und externen Kontrollen. Das Netzwerk verteilt Nachweise; es macht ein Produkt nicht von sich aus sicher, wirksam oder rechtmäßig verkehrsfähig.

In der Pharmabranche kann Blockchain als Schicht für Rückverfolgbarkeit und Verifizierung dienen. Jede Packung erhält eine eindeutige Kennung, und autorisierte Partner teilen standardisierte Ereignisse aus Herstellung, Transport, Distribution und Abgabe. Das Register hält fest, wer welches Ereignis wann gemeldet hat; die Autorisierung des Akteurs und die physische Identität der Packung hängen jedoch von externen Kontrollen ab.

Eine Abfrage erlaubt es, den gemeldeten Status zu prüfen und den tatsächlich erfassten Weg zu rekonstruieren. Sie beweist für sich genommen nicht, dass das Produkt echt, sicher oder vollständig ist. Sensible Daten aus Studien und von Patienten bleiben in der Regel off-chain; ein Hashwert erlaubt es, spätere Änderungen zu erkennen, garantiert aber nicht die Qualität oder Richtigkeit der ursprünglichen Daten.

Serialisieren weist jeder Packung eine eindeutige Identität zu. Verifizieren gleicht diese Identität und ihren Status mit einem autorisierten Repository ab. Rückverfolgen rekonstruiert die Ereignisse, die erklären, wie die Packung dorthin gelangt ist. Ein System kann bei der Abgabe verifizieren, ohne den gesamten Weg zu teilen, und es kann Chargen rückverfolgen, ohne jede Einheit zu identifizieren. Die Architektur richtet sich nach der regulatorischen Anforderung und dem konkreten Risiko.

Die Aggregation verknüpft Packungen mit Kartons und Paletten, damit ein Beteiligter nicht bei jeder Bewegung jede Einheit scannen muss. Wird ein Karton geöffnet oder ändert sich sein Inhalt, muss die Zuordnung aktualisiert werden. Fehler in dieser Hierarchie erzeugen Fehlalarme oder lassen Einheiten aus der Historie herausfallen, obwohl das Blockchain-Netzwerk korrekt arbeitet.

EPCIS liefert ein Modell, um zu beschreiben, was wann, wo, warum und mit welchem Objekt geschehen ist. DLT kann diese Ereignisse und ihren Nachweis zwischen Partnern verteilen, sollte aber weder die Kennungen noch das Vokabular der Branche neu erfinden. Ohne gemeinsame Standards hält jeder Node eine technisch unveränderliche, semantisch aber inkompatible Version vor.

Blockchain liefert einen gemeinsamen Zustand, wenn Hersteller, Logistikdienstleister, Großhändler, Apotheken und Behörden die Identität und den Status eines Arzneimittels prüfen müssen. Jeder Teilnehmer erfasst Ereignisse innerhalb seiner Zuständigkeit. Das Netzwerk ordnet Herstellung, Übertragung, Retoure, Rückruf und Abgabe, während die regulatorischen Repositorys und die Qualitätssysteme ihre Autorität behalten.

Ein gemeinsames Repository mit API, Berechtigungen und Audit-Trail ermöglicht es ebenfalls, Ereignisse unternehmensübergreifend abzufragen. Blockchain fügt eine Möglichkeit hinzu, die Kontrolle über die Historie zu verteilen, wenn die Partner sie unabhängig voneinander verifizieren müssen. Der Vergleich muss dieselben Kennungen, Daten und Verantwortlichkeiten beibehalten; ob sich der Abgleichsaufwand verringert, wird im gewählten Prozess nachgewiesen und nicht allein wegen des Technologiewechsels angenommen.

Die WHO schätzte 2017, dass in Ländern mit niedrigem und mittlerem Einkommen etwa jedes zehnte Arzneimittel minderwertig oder gefälscht war, mit Ausgaben von rund 30,5 Milliarden US-Dollar pro Jahr. Ihr Factsheet von 2024 greift diese Schätzungen wieder auf. Sie entsprechen weder dem weltweiten wirtschaftlichen Schaden noch den Einsparungen, die sich Blockchain zuschreiben ließen.

Die Antwort kombiniert Regulierung, Kennzeichnung von Packungen und Zusammenarbeit zwischen Organisationen. Der US-amerikanische DSCSA legt Pflichten zum interoperablen Datenaustausch fest; in Europa verifiziert das EMVS Arzneimittelkennungen über vernetzte Repositorien. EMVO meldete im Dezember 2025 eine Abdeckung von 30 Ländern und 125.000 Endnutzern. Das ist eine Referenz für die operative Größenordnung beim Vergleich von Lösungen, keine Kennzahl zur Verbreitung von Blockchain.

Das europäische Verifikationssystem nutzt eine zentrale Datenbank und prüft Packungen im großen Maßstab. Ein Blockchain-Netzwerk bietet eine andere Form der Governance, wenn mehrere Unternehmen Zustand und Nachweise teilen müssen, ohne einem von ihnen die alleinige Kontrolle zu überlassen. Dieser Bedarf muss belegt sein, bevor verteilte Komplexität hinzukommt.

Der Normalablauf ist der einfache Teil. Eine wiederverkaufsfähige Retoure erfordert die Prüfung von Echtheit, autorisierter Herkunft, Abgabe- oder Rückrufstatus und Lagerbedingungen. Eine Warnmeldung kann eine Charge, eine Serie, einen Markt oder ein Datum betreffen. Das System muss die betroffenen Einheiten lokalisieren, ohne legitime Ware pauschal zu sperren.

Ein gemeinsames Register reduziert bilaterale Abfragen und ermöglicht die Weitergabe von Zuständen, braucht aber Konfliktregeln. Zwei Akteure können unvereinbare Ereignisse melden, ein Scanner kann offline arbeiten oder ein Partner Informationen verspätet senden. Die Antwort besteht nicht darin, die Historie zu löschen, sondern die Korrektur hinzuzufügen, den Verantwortlichen zu benennen und zu entscheiden, welcher Zustand operativ wirksam ist.

Die Geschwindigkeit eines Rückrufs hängt zudem davon ab, dass die Ereignisse vollständig und mit dem realen Bestand verknüpft sind. Die Erfassung jeder Übergabe garantiert weder, dass eine Apotheke die Packung physisch findet, noch dass der Patient die Warnung erhält. Blockchain verbessert Untersuchung und Koordination; Verfahren, Verzeichnisse und Kommunikationskanäle vervollständigen die Reaktion.

Bei einer Handelsretoure ist die Prüfung, ob die Kennung existiert, nur der Anfang. Der Großhändler muss den Status der Packung, ihre Zuordnung zur Lieferung und die Bedingungen für eine Wiederaufnahme in den Bestand verifizieren. Eine Warnmeldung kann auf einen Lesefehler oder auf eine Situation zurückgehen, die eine Untersuchung erfordert. Das System muss Grund, Nachweise und die entscheidende Person festhalten, ohne eine technische Übereinstimmung in eine automatische Freigabe für den Wiederverkauf des Arzneimittels zu verwandeln.

Ein Rückruf erfordert, Packungen oder Chargen zu lokalisieren, Anweisungen zu kommunizieren und die Umsetzung an jedem Punkt der Kette zu bestätigen. Der Eingang der Meldung, die Sperrung der Bestände und die Bestätigung der physischen Entnahme sind zu trennen. Ein Node kann das Ereignis empfangen haben, während das Lager die Aufgabe noch ausführen muss. Die Bewertung muss diese Verzögerung messen und nicht verbundene Beteiligte oder unvollständige Daten einbeziehen. Der Prozess endet mit einem Abgleich von Mengen und Ausnahmen, zusätzlich zur Protokollierung der Benachrichtigungen.

Biologika, Impfstoffe und neuartige Therapien können an Qualität verlieren, wenn sie den Temperaturbereich verlassen oder unzulässigen Bedingungen ausgesetzt sind. Sensoren und Datenlogger liefern Messwerte; das Netzwerk kann sie versiegeln, mit der Sendung verknüpfen und eine Unterbrechung für Hersteller, Spediteure und Empfänger sichtbar machen.

Die On-Chain-Integrität beweist nicht, dass der Sensor kalibriert, an der richtigen Verpackung angebracht oder gegen Manipulation geschützt war. Außerdem ist zu entscheiden, wie Tausende Messwerte zusammengefasst werden, wer eine Abweichung bewertet und was bei fehlender Konnektivität geschieht. Der Smart Contract kann eine Warnmeldung auslösen oder eine Zahlung zurückhalten; die Freigabe des Produkts bleibt Sache der Qualitätsverfahren und des autorisierten Personals.

Ein sorgfältiges Design bewahrt den ursprünglichen Messwert, die Geräteidentität, die Kalibrierung, den Standort und die Chain of Custody. Schwellenwerte werden versioniert, Ausnahmen hinterlassen Nachweise. So beschleunigt die Automatisierung die Untersuchung, ohne einen isolierten Datenpunkt zu einer automatischen regulatorischen Schlussfolgerung zu machen.

Eine Studie verteilt Verantwortlichkeiten auf Sponsor, Prüfzentren, Prüfärzte, CROs, Labore, Ethikkommissionen und Behörden. Über Jahre werden Prüfplan, Einwilligung, Prüfbögen, Analysen und Entscheidungen versioniert. Das Verankern der Hashwerte von Dokumenten und Ereignissen ermöglicht es, die Abfolge zu belegen und spätere Änderungen zu erkennen, ohne sensible Inhalte zu veröffentlichen.

Der Integritätsnachweis belegt weder, dass die Daten klinisch korrekt sind, noch dass die Studie den Prüfplan einhält. Eine Beobachtung kann falsch übertragen sein, ein Gerät kann ausfallen oder eine Korrektur kann legitim sein. Das System muss die Quelldaten, den Grund der Änderung, die Signatur und den nach GxP geforderten Audit-Trail aufbewahren. Unveränderlich bedeutet nicht, dass nie korrigiert wird, sondern dass die Korrektur die vorherige Version nicht verbirgt.

Einwilligung und Datenschutz erfordern ein eigenes Design. Der Widerruf der Einwilligung löscht nicht zwangsläufig Daten, die bereits unter regulatorischen Pflichten verarbeitet wurden, kann aber je nach anwendbarem Rahmen künftige Nutzungen unterbinden. Das Netzwerk kann festhalten, welche Version akzeptiert wurde und wann sich die Erlaubnis geändert hat; der Verantwortliche entscheidet weiterhin über Rechtsgrundlage, Zugriff, Pseudonymisierung und Aufbewahrung. Codes, die sich einer Person zuordnen lassen, dürfen nicht allein deshalb als anonyme Daten behandelt werden, weil sie gehasht sind.

Die tragfähigsten Anwendungen haben ein identifiziertes Produkt, autorisierte Beteiligte und regulierte Ereignisse gemeinsam. Serialisierung, Retouren, Rückrufe, Kühlkette, klinische Studien und Materialherkunft erfordern unterschiedliche Nachweise. Blockchain koordiniert den Zustand, den mehrere Unternehmen verifizieren müssen, während Herstellung, Qualitätskontrolle, Chargenfreigabe und Abgabe in ihren Systemen und bei ihren Verantwortlichen bleiben.

Die Partner müssen nicht alle Geschäftsinformationen der anderen sehen. Preise, Mengen, Lieferanten und Routen können vertraulich sein, auch wenn eine Aufsichtsbehörde die Kette rekonstruieren muss. Ein Pharma-Netzwerk benötigt in der Regel rollenbasierte Berechtigungen, private Kanäle oder selektive Nachweise sowie klare Regeln dazu, welche Metadaten sichtbar sind.

Die Governance legt fest, wer einen Partner aufnimmt, seine Lizenzen prüft, Nodes betreibt, Regeln ändert und bei einer Schwachstelle reagiert. Sie muss auch verspätete Daten, Streitfälle, Fusionen und den Austritt von Beteiligten regeln. Ein Konsortium schafft den Betreiber nicht ab; es verteilt bestimmte Funktionen im Rahmen einer gemeinsamen Vereinbarung.

Die Verantwortung bleibt an die regulierte Handlung gebunden. Der Hersteller gibt die Charge frei, der Großhändler behält seine Pflichten und die Apotheke entscheidet vorschriftsgemäß über die Abgabe. Der technische Konsens kann belegen, was angegeben wurde, verteilt diese Verantwortlichkeiten aber nicht automatisch neu.

ERP, Lagerverwaltungssysteme, Serialisierungsplattformen, regulatorische Repositorien und Geräte wickeln die operativen Abläufe bereits ab. Die DLT empfängt normalisierte Ereignisse, hält gemeinsame Zustände vor und stellt autorisierten Partnern Nachweise bereit. Die Integration muss idempotent sein, um Duplikate zu vermeiden und die Verbindung zwischen On-Chain-Ereignis und Ursprungsdokument zu erhalten.

Personenbezogene Daten und detaillierte GxP-Dokumente bleiben in der Regel off-chain, mit Aufbewahrungs- und Zugriffskontrollen. Das Netzwerk speichert Kennungen, Zustände oder Hashwerte, wenn ein gemeinsamer Verifikationsbedarf besteht. Alles zu verschlüsseln löst die Frage der Aufbewahrung nicht von selbst. Verschlüsselte und unveränderliche Daten können offengelegt werden, wenn der Schlüssel künftig kompromittiert wird.

Kontinuität erfordert Offline-Warteschlangen, Abgleich, Schlüsselrotation und ein Migrationsverfahren. Eine Apotheke oder ein Lager darf den Betrieb nicht einstellen müssen, nur weil ein Node nicht verfügbar ist. Das System muss kontrolliert in einen eingeschränkten Betrieb übergehen und zwischen vorübergehend fehlender Bestätigung und illegitimem Produkt unterscheiden.

Der beste Test versucht nicht, die gesamte globale Kette nachzubilden. Er kann sich auf wiederverkaufsfähige Retouren, die Untersuchung einer Charge, eine Kühlkettenroute oder den Austausch von Ereignissen innerhalb einer definierten Gruppe konzentrieren. Die Ausgangslage wird gemessen, und Daten, Verantwortliche und Alternativen werden identifiziert, bevor die Technologie gewählt wird.

Relevante Kennzahlen sind Verifikationszeit, vollständige Ereignisse, Fehlalarme, Geschwindigkeit des Rückrufs, vermiedene Abstimmungen und Kosten pro Partner. Die Zahl der Transaktionen oder Nodes belegt keinen Nutzen. Zu messen ist auch, wie lange ein kleiner Beteiligter für die Anbindung braucht und wie viele Ausnahmen manuelle Eingriffe erfordern.

Die Skalierung hängt mehr von Standards und Governance ab als von der reinen Leistung des Netzwerks. Wenn jede Neuaufnahme eine eigene Integration oder eine bilaterale Vereinbarung erfordert, reproduziert das Netzwerk die bestehende Fragmentierung. DLT ist gerechtfertigt, wenn der gemeinsame Zustand Streitfälle oder Abhängigkeiten reduziert, ohne eine Infrastruktur zu schaffen, die teurer ist als das Problem.

Der größte Teil der Kosten entsteht nicht beim Anlegen der Kennung, sondern bei der Klärung von Ausnahmen. Eine verdächtige Charge bindet Qualitätspersonal, Lager, Handelspartner und Behörden; eine Retoure erfordert die Rekonstruktion der Besitzkette (Chain of Custody); eine Temperaturabweichung sperrt den Bestand, bis über die Freigabe entschieden ist. Wenn jede Partei inkompatible Nachweise aufbewahrt, geht die Zeit mit dem Suchen und Abgleichen von Dokumenten verloren.

Ein gemeinsamer Zustand kann diese Untersuchung verkürzen, bringt aber Kosten für Integration, Nodes, Governance, Support und Partnervalidierung mit sich. Die Wirtschaftlichkeitsanalyse stellt die eingesparte Zeit und das reduzierte Risiko den Gesamtkosten über mehrere Jahre gegenüber. Sekunden bei einer Abfrage zu sparen rechtfertigt keine komplexe Infrastruktur, wenn Ausnahmen weiterhin außerhalb des Systems per Telefon und E-Mail gelöst werden.

Auch die Anreize sind nicht gleich verteilt. Der Hersteller schätzt möglicherweise den Markenschutz, der Großhändler schnelle Retouren, die Apotheke eine einfache Verifikation und die Behörde vollständige Nachweise. Die Governance muss Kosten und Nutzen so verteilen, dass die Erfassung hochwertiger Daten für alle rational ist. Andernfalls speisen diejenigen das Netzwerk, die die Last tragen, während andere den Wert abschöpfen.

Die Rückverfolgbarkeit von Arzneimitteln ist reguliert. In den USA verlangt der DSCSA einen elektronischen, interoperablen Datenaustausch auf Packungsebene zwischen autorisierten Partnern; die FDA empfiehlt Standards wie GS1 EPCIS, das Gesetz schreibt aber keine Blockchain-Technologie vor. In der EU legen die Fälschungsrichtlinie und das EMVS andere Pflichten zur Kennzeichnung und Verifikation fest.

Bei klinischen Studien greifen die DSGVO, die Verordnung über klinische Prüfungen sowie die GCP- und GxP-Grundsätze ineinander. Inhalte off-chain zu halten reduziert die Exposition, aber ein Hashwert, ein Schlüssel oder ein zuordenbares Metadatum kann weiterhin ein personenbezogenes Datum sein. Rechtsgrundlage, Zweck, Datenminimierung, Aufbewahrung, Betroffenenrechte und Verantwortlichkeiten müssen vor dem technischen Design geklärt sein.

Die Technologie ersetzt nicht die Repositorien oder Verifikationen, die jede Jurisdiktion verlangt. In den USA regelt der DSCSA den elektronischen, interoperablen Datenaustausch auf Packungsebene zwischen autorisierten Partnern. In der Europäischen Union verifiziert das EMVS Kennungen bei der Abgabe über vernetzte Repositorien und nutzt keine Blockchain. Eine DLT muss sich in diese Pflichten integrieren oder einen zusätzlichen Prozess lösen; sich als parallele Alternative zu positionieren, würde Doppelstrukturen und Risiken schaffen.

Die GxP-Regeln verlangen validierte Systeme, Änderungskontrolle, Integrität, Verfügbarkeit und Audit-Trails. Der Code des Smart Contracts, die Nodes und die Schnittstellen fallen in den Geltungsbereich des Qualitätsmanagements, sobald sie eine regulierte Entscheidung stützen. Es braucht Verantwortliche, Tests, Lieferantenmanagement und Kontinuität. Dass ein Register kryptografisch gegen Änderungen geschützt ist, belegt für sich genommen nicht, dass das System für den vorgesehenen Zweck validiert ist.

Eine zentrale Datenbank reicht aus, wenn es einen akzeptierten Betreiber gibt, der Prozess klar und stabil abgegrenzt ist und die Beteiligten seiner Daten- und Änderungsgovernance vertrauen. Das EMVS zeigt, dass eine Repositorien-Architektur Packungen im großen Maßstab verifizieren kann. Zusätzliche Nodes verbessern das Ergebnis nicht, wenn alle von einer einzigen Instanz abhängen und keine Kontrolle teilen müssen.

DLT ist eher vertretbar, wenn der Prozess Unternehmens- oder Landesgrenzen überschreitet, die Parteien eigene Nachweise aufbewahren müssen und der Zustand einen Betreiberwechsel überdauern soll. Retouren, Herkunft von Ausgangsstoffen, die Besitzkette hochwertiger Therapien oder die Untersuchung von Ausnahmen können von einer gemeinsamen Historie profitieren, wenn sie heute mehrfache Abstimmungen erfordern.

Die Entscheidung vergleicht Governance, Datenschutz, Verfügbarkeit, Leistung, Integrationskosten und Ausstieg. Sie fragt auch, wer eine Korrektur ausführt und welches System im Konfliktfall Vorrang hat. Die richtige Option ist die minimale Architektur, die Rückverfolgbarkeit und regulatorische Kontrolle erfüllt. Blockchain nur einzusetzen, um ein bestehendes Repositorium nachzubilden, erhöht die Komplexität, ohne Vertrauen sinnvoll zu verteilen.

Das Netzwerk kann Ereignisse bewahren und teilen, doch die Arzneimittelsicherheit hängt weiterhin von Herstellung, Qualität, Kennzeichnung und physischen Kontrollen ab. Es erkennt auch nicht von selbst ein gefälschtes Produkt, das eine legitime Kennung erhalten hat, einen manipulierten Messwert oder eine nicht erfasste Temperaturabweichung. Digitale Nachweise sind nur so zuverlässig wie ihr Ursprung.

Diese Begriffe unterscheiden Packungsidentität, Statusverifikation, logistischen Weg und regulatorische Compliance. Sie klären auch die Rolle von GS1 und EPCIS als gemeinsame Sprache gegenüber dem Register, das zum Teilen von Ereignissen dient. Wer sie versteht, verwechselt Serialisieren nicht mit Rückverfolgen, einen Hashwert nicht mit dem vollständigen Dokument und technischen Konsens nicht mit pharmazeutischer Freigabe.