Freelance IT-Infrastruktur- & Cloud-Qualifizierung (GxP)

Aufgaben und Anforderungen im Überblick

Typische Projektanlässe

• Migration von GxP-Anwendungen aus dem eigenen Rechenzentrum in eine Public Cloud
• Einführung mehrerer SaaS-Lösungen mit Bedarf an standardisierter Lieferantenbewertung
• Wechsel des Managed-Service- oder Hosting-Providers für validierte Systeme
• Inspektionsfeststellung zu fehlender Infrastrukturqualifizierung oder Lieferantenkontrolle
• Aufbau einer qualifizierten Plattform für Data- und KI-Anwendungen
• Ausrichtung an der überarbeiteten Annex-11-Fassung mit stärkerem Fokus auf Dienstleister

Was Infrastruktur- und Cloud-Qualifizierung im Projekt leistet

Eine validierte GxP-Anwendung ist nur so verlässlich wie die Plattform, auf der sie läuft. Wenn Server ungeplant gepatcht, Backups nicht getestet oder Administratorrechte nicht kontrolliert werden, steht die Datenintegrität der Anwendung infrage. Infrastruktur-Qualifizierung schafft den Nachweis, dass Rechenzentrum, Netzwerk, Speicher, Virtualisierung oder Cloud-Dienste spezifiziert, kontrolliert installiert und unter definierten Prozessen betrieben werden.

In der Cloud verändert sich diese Aufgabe grundlegend. Physische Komponenten sind für das regulierte Unternehmen nicht mehr zugänglich, Verantwortung verteilt sich nach dem Shared-Responsibility-Modell auf Anbieter und Kunde. Der Freelancer muss deshalb zwei Dinge können: die Kontrollen des Anbieters anhand von Zertifikaten, Berichten und Audits bewerten und die kundenseitige Konfiguration – Konten, Netzwerke, Identitäten, Templates – qualifizieren.

Schnittstellen bestehen zu IT-Infrastruktur und Cloud-Engineering, Informationssicherheit, CSV- und IT-QA-Team, Einkauf, Anwendungsverantwortlichen und den Anbietern. Oft sind Sie die Person, die zwischen den Sprachen übersetzt: Was ein Cloud-Architekt als selbstverständlichen Automatismus versteht, muss für QA als kontrollierter, dokumentierter Prozess nachvollziehbar sein.

Typische Projekte und Deliverables in der Infrastruktur-Qualifizierung

Die Deliverables unterscheiden sich nach Betriebsmodell:

On-Premises und Private Cloud

Infrastruktur-Qualifizierungsplan, Inventar der qualifizierten Komponenten, Konfigurationsspezifikationen für Server, Speicher, Netzwerk und Virtualisierung, IQ-Protokolle, Prüfungen zu Backup und Restore, Notfallwiederherstellungstest, Abschlussbericht. Ergänzt durch SOPs für Patch-, Change- und Zugriffsmanagement.

IaaS und PaaS (Public Cloud)

Qualifizierungskonzept für eine GxP-Landing-Zone: Kontenstruktur, Netzwerksegmentierung, Identitäts- und Rollenkonzept, Logging und Monitoring, Verschlüsselung, Backup-Strategie. Infrastruktur wird zunehmend als Code bereitgestellt; dann qualifizieren Sie Templates und Pipelines statt einzelner Instanzen und weisen nach, dass Abweichungen vom freigegebenen Stand erkannt und behandelt werden. Typische Dokumente sind Plattform-Spezifikation, Risikoanalyse, Testnachweise für Templates, Verfahren zu Drift-Erkennung und Freigabe von Plattformänderungen.

SaaS

Hier liegt der Schwerpunkt auf dem Lieferanten: Bewertung anhand von Fragebogen, Zertifikaten, Berichten unabhängiger Prüfer und ggf. Remote- oder Vor-Ort-Audit; Abgrenzung der Verantwortlichkeiten; Qualitätsvereinbarung mit Regelungen zu Änderungsankündigung, Datenzugriff, Datenrückgabe, Audit-Rechten und Incident-Meldungen; Konzept für die Bewertung von Anbieter-Releases.

In allen Modellen gehört ein Periodic Review dazu, der Änderungen, Vorfälle und Lieferantenleistung regelmäßig bewertet.

Typische Schwachstellen, die Freelancer beheben sollen

Viele Aufträge beginnen mit einer Bestandsaufnahme, die ernüchternd ausfällt. Häufig existiert eine validierte Anwendung, deren Infrastruktur nie formal qualifiziert wurde, weil sie vor Jahren von der IT eingerichtet und seitdem nur betrieben wurde. Ebenso verbreitet sind Backups, die zwar täglich laufen, deren Wiederherstellung aber nie getestet wurde, oder administrative Sammelkonten ohne nachvollziehbare Zuordnung zu Personen. In der Cloud kommen eigene Muster hinzu: Testumgebungen, die manuell verändert wurden und nicht mehr dem freigegebenen Stand entsprechen; Protokolle, die nur kurz aufbewahrt werden; SaaS-Anbieter, die Releases ohne ausreichenden Vorlauf einspielen.

Ihre Aufgabe ist, diese Lücken risikobasiert zu priorisieren. Nicht jede Schwachstelle muss sofort behoben werden, aber jede muss bewertet, begründet und mit einem Maßnahmenplan versehen sein. Inspektoren akzeptieren eher eine dokumentierte, nachvollziehbare Restlücke mit Plan als eine scheinbar vollständige Qualifizierung, die in der Praxis nicht gelebt wird.

Normen und Guidelines für GxP-Infrastruktur und Cloud

Spezifische Gesetze für Cloud-Qualifizierung gibt es nicht; die Anforderungen ergeben sich aus allgemeinen GxP-Regeln und Branchenleitfäden:

Die 2025 zur Konsultation gestellte Neufassung von Annex 11 behandelt Lieferanten- und Servicemanagement, Sicherheit sowie Identitäts- und Zugriffsmanagement deutlich ausführlicher als die geltende Fassung. Bis zur Veröffentlichung einer finalen Version bleibt die Fassung von 2011 maßgeblich; für Cloud-Projekte ist der Entwurf dennoch eine wichtige Orientierung, weil er die Erwartungen der Inspektorate an Dienstleisterkontrolle konkretisiert.

Qualifikation und Erfahrung, die Auftraggeber erwarten

Diese Rolle verlangt ein Doppelprofil, das intern selten vorhanden ist:

• Technischer Hintergrund: Ausbildung oder Studium in Informatik, Elektrotechnik oder vergleichbar; mehrjährige Praxis als Systemadministrator, Infrastruktur- oder Cloud-Engineer.
• GxP-Erfahrung: Mindestens ein bis zwei Projekte, in denen Sie Infrastruktur qualifiziert oder an Validierungsprojekten mitgewirkt haben; Verständnis von Change Control, Abweichungen und Datenintegrität.
• Cloud-Kenntnisse: Praxis mit mindestens einer großen Plattform, Verständnis für Kontenstrukturen, Netzwerke, Identitäten, Infrastructure as Code und Logging. Anbieterzertifizierungen auf Associate- oder Professional-Level sind ein Pluspunkt.
• Audit und Lieferanten: Erfahrung mit Lieferantenbewertungen, Fragebögen, Auswertung von SOC-2-Berichten und ISO-27001-Zertifikaten; idealerweise Auditorenschulung.
• Kommunikation: Sie erklären QA, was ein Hypervisor ist, und Cloud-Ingenieuren, warum eine Änderung freigegeben werden muss.

Stundensatz und Konditionen in der Cloud-Qualifizierung

Als Orientierung liegen Freelance-Sätze bei etwa 90 bis 120 Euro netto pro Stunde ohne Reisekosten. Die Spanne dient der Einordnung, nicht als garantierter Marktwert.

Höhere Sätze sind erreichbar bei nachgewiesener Qualifizierung von Public-Cloud-Plattformen mit Infrastructure as Code, bei Lead-Rollen in Rechenzentrums- oder Cloud-Migrationen, bei Auditorenerfahrung mit großen Anbietern und bei Kombination aus Infrastruktur-, Sicherheits- und GxP-Wissen. Niedriger liegen klassische Dokumentationsrollen für On-Premises-Infrastruktur, reine Fragebogenauswertungen und lange Laufzeiten mit voller Auslastung.

Remote oder vor Ort: Arbeitsweise in Infrastruktur-Projekten

Diese Rolle lässt sich weitgehend remote ausüben. Cloud-Plattformen werden ohnehin über Konsolen und Pipelines verwaltet, Lieferantenbewertungen erfolgen über Dokumente und Videokonferenzen, Qualifizierungsdokumente entstehen in Kundensystemen. Ein Remote-Anteil von 80 bis 100 Prozent ist üblich.

Vor Ort ist sinnvoll bei Workshops zur Plattformarchitektur, bei der Qualifizierung eigener Rechenzentren und Serverräume, bei Restore- und Notfalltests mit physischen Komponenten sowie bei Inspektionen, wenn Infrastrukturthemen direkt vor dem Inspektor erläutert werden. Bei Anbieter-Audits, die vor Ort stattfinden, reisen Sie zum Rechenzentrums- oder Bürostandort des Anbieters.

Für die Remote-Arbeit gelten in diesem Feld besondere Anforderungen an Ihre eigenen Arbeitsmittel. Wer administrative Rechte in GxP-Umgebungen erhält, muss in der Regel gesicherte Endgeräte, Mehrfaktor-Authentifizierung und eine strikte Trennung zwischen Kundenumgebungen nachweisen. Viele Auftraggeber stellen eigene Geräte oder virtuelle Arbeitsplätze bereit und erlauben privilegierte Zugriffe nur über kontrollierte Sprungserver mit Protokollierung. Klären Sie diese Bedingungen vor Projektbeginn, damit der Start nicht an fehlenden Zugängen scheitert. Auch Schulungsnachweise auf die SOPs des Kunden werden meist vor der ersten Freischaltung verlangt.

Vertragsmodelle für Infrastruktur- und Cloud-Qualifizierung

Folgende Konstellationen sind üblich:

• Direkt beim regulierten Unternehmen: Häufig für Strategie- und Lead-Rollen, etwa bei der Einführung einer Cloud-Strategie für GxP-Anwendungen.
• Über Personaldienstleister: Verbreitet bei Konzernen mit Lieferantenrahmenverträgen.
• Über IT-Dienstleister oder Managed-Service-Provider: Wenn ein Anbieter eine GxP-fähige Plattform für Life-Science-Kunden aufbauen und dokumentieren will. Hier arbeiten Sie auf Anbieterseite und sollten Interessenkonflikte bei späteren Kundenaudits vermeiden.
• Eigene GmbH: Sinnvoll bei Werkverträgen über abgegrenzte Ergebnisse wie ein Qualifizierungspaket für eine Landing Zone.

Arbeitnehmerüberlassung ist in dieser Rolle selten. Bei langfristiger Einbindung in ein internes Plattformteam sollten Sie die Abgrenzung zur abhängigen Beschäftigung beachten; eine Statusfeststellung nach § 7a SGB IV schafft Klarheit. Dies ist eine allgemeine Information, keine Rechtsberatung.

Abgrenzung zu CSV, IT-QA und Informationssicherheit

Der CSV Engineer validiert Anwendungen, die Infrastruktur-Qualifizierung liefert dafür das Fundament. Der IT Quality Assurance Manager genehmigt und überwacht die Qualifizierung aus QA-Sicht. Informationssicherheitsexperten verantworten Schutzziele und ISMS, oft mit Überschneidungen bei Zugriff, Logging und Incident-Management. Ihre Stärke ist die Verbindung dieser Perspektiven auf Plattformebene.

Der Einstieg gelingt erfahrenen Infrastruktur- oder Cloud-Ingenieuren, die GxP-Grundlagen nachholen, ebenso wie CSV-Spezialisten, die sich technisch in Cloud-Plattformen vertiefen. Ein erstes Projekt als Teil einer Migration mit erfahrenem QA-Partner ist ein guter Weg, beide Welten im Zusammenspiel kennenzulernen.

Projektbeispiele für Cloud / Infra GxP

Anonymisierte Projektanfragen, wie sie für diese Rolle und verwandte Profile regelmäßig vorkommen.

Häufige Fragen

Allgemeine Information, keine Rechts- oder Steuerberatung. Stundensätze sind Orientierungsspannen, kein Honorarspiegel. Stand: 10/2026.