Class-I-Rückruf: Blutzuckermessgerät und Use Error

Ein Rückruf der Class I, bei dem der Sensor nichts falsch gemacht hat

Am 20. Oktober 2026 informierte die FDA die Öffentlichkeit, dass das StatStrip Glucose Hospital Meter System Gen 2.0 von Nova Biomedical unter einem Rückruf der Class I steht, der schwerwiegendsten Kategorie der Behörde. Die Mitteilung der FDA ist kurz, und der Grund verdient ein zweites Lesen. An der Blutzuckermessung war nichts falsch. In der Mitteilung erklärt Nova Biomedical, das Problem habe „keine Auswirkung auf die analytische Leistung der Glukosemessungen“. Versagt hat der Bildschirm.

Scannt ein Bediener eine Patienten-ID oder einen Barcode für die Qualitätskontrolle (QC), können vorherige Informationen auf der Anzeige des Messgeräts stehen bleiben. Übernimmt der Bediener, was angezeigt wird, kann das Blutzuckerergebnis in der Akte des vorherigen Patienten abgelegt werden, oder unter einer QC-ID. Das bedeutet zugleich, dass in der Akte des tatsächlich getesteten Patienten für diesen Test kein Ergebnis steht. Als mögliche Schäden nennt die FDA eine verzögerte Behandlung, eine unnötige Behandlung einschließlich unangemessener Insulingabe und das Ausbleiben der Behandlung beim vorgesehenen Patienten. Schwerkranke Patienten und Säuglinge sind stärker gefährdet, weil sie die Symptome einer Unterzuckerung möglicherweise nicht mitteilen können.

Mit Stand 5. Oktober hatte Nova Biomedical eine schwere Verletzung und keine Todesfälle gemeldet. Betroffen ist nur das Modell Gen 2.0, und zwar in jeder Firmware-Version; frühere Generationen sind es nicht. Das Unternehmen hat den Versand neuer Systeme der Gen 2.0 gestoppt, während es ein Software-Update validiert, dessen stufenweise Auslieferung ab November 2026 geplant ist. Krankenhäuser, die über ein alternatives Messgerät verfügen, wurden angewiesen, das betroffene Gerät bis zum Update nicht mehr zu verwenden. (Zahlen und Daten stammen aus der FDA-Mitteilung in der am 30. Oktober 2026 aktualisierten Fassung.)

Genaue Zahlen, falscher Patient

Wer ein Messgerät baut, optimiert dieselben Dinge: Genauigkeit, Wiederholbarkeit, elektrische Sicherheit, den Weg durch die Zertifizierung. Das sind die Punkte, die ein Datenblatt auflistet, ein Prüflabor misst und ein Auditor kontrolliert. Dieser Rückruf hat keinen davon berührt. Er traf die halbe Sekunde zwischen einem Test und dem nächsten, auf einer Station, mit einer Pflegekraft, die das Messgerät in einer Hand hielt.

Diese halbe Sekunde ist der Teil eines Geräts, der sich auf dem Prüftisch am schwersten erkennen lässt. Im Labor scannt man einen Barcode, misst einen Teststreifen, liest ein Ergebnis ab, und die Abfolge ist sauber. Auf der Station wird diese Abfolge ein Dutzend Mal unterbrochen: ein Patientenruf, ein zweiter Patient, ein Streifen, der nicht richtig sitzt. Durch all das hindurch muss das Gerät über seinen eigenen Zustand im Bilde bleiben. Ein Bildschirm, der nach dem Scan des nächsten Patienten noch die Kennung des letzten anzeigt, ist technisch gesehen ein Anzeigefehler. Im Vokabular des Risikomanagements ist er eine Gefährdung.

Die Regulierungsbehörden haben einen Namen für diese Kategorie: Benutzungsfehler, englisch use error. Nicht Benutzerfehler, und auf genau diesen Unterschied kommt es an. Ein Benutzungsfehler ist eine Handlung oder Unterlassung des Benutzers, die zu einem anderen Ergebnis führt, als der Hersteller beabsichtigt oder der Benutzer erwartet hat. Die Norm begrenzt das auf die normale Benutzung, zu der auch der vernünftigerweise vorhersehbare Fehlgebrauch gehört. IEC 62366-1, die Norm zur Gebrauchstauglichkeit von Medizinprodukten, und die Human-Factors-Leitlinie der FDA gehen von derselben Prämisse aus: Die Arbeitsbelastung des Bedieners gehört zu den Betriebsbedingungen des Geräts, und das Gerät darf sie nicht als Ausrede benutzen.

Genauigkeit ist die Eintrittskarte. Der Arbeitsablauf entscheidet.

Unsere Sicht, nachdem wir seit 1996 Medizin- und Gesundheitsgeräte für den Heimgebrauch für Marken bauen: Genauigkeit bringt Sie in den Markt. Was Sie dort hält, ist alles rund um die Messung. Wer der Benutzer ist, was er sonst noch tut, was der Bildschirm in dem Moment sagt, in dem er hinsieht, und was das Gerät tut, wenn er gar nicht hinsieht.

Geräte für den Heimgebrauch machen das schwieriger. Der Bediener ist ein Patient oder ein Familienmitglied, ungeschult, oft müde, manchmal die Person, deren Wert gerade gemessen wird. Die Beschaffungsseite davon haben wir in unserem Leitfaden zur Fertigung von Medizinprodukten für den Heimgebrauch behandelt. Die Lehre aus diesem Rückruf ist, dass eine geschulte Pflegekraft in einem Krankenhaus genügte, um in dieselbe Falle zu tappen. Für den abgelenkten Benutzer zu entwerfen ist der Normalfall. Der Heimgebrauch macht ihn nur lauter.

Die vorläufigen Maßnahmen in der FDA-Mitteilung sind aufschlussreich. Den Einrichtungen wurde geraten, im Datenmanagementsystem des Messgeräts die Funktion „Validate Patient ID’s“ zu aktivieren (für Standorte mit ADT-Anbindung in ihrem EMR), den Abmeldemodus so einzustellen, dass der Bediener nach jedem Test abgemeldet wird, und die Patientenkennung auf dem Bildschirm „Confirm Patient ID“ und noch einmal auf dem Ergebnisbildschirm zu prüfen. Zwei davon sind Einstellungen, die ab Werk hätten eingeschaltet sein können; das dritte ist eine Prüfung, die der Bildschirm hätte erzwingen können. Das ist die Designlehre in einer einzigen Liste: Das sichere Verhalten steckte bereits im System, und es war optional.

Drei Fragen für die Prüfung vor dem Werkzeugbau

Bevor ein Produkt in den Werkzeugbau geht, fahren wir eine DFX-Risikoprüfung mit 33 Punkten, mit den Noten Rot, Gelb und Grün und der Regel, dass ein einziges Rot das Programm anhält. Die meisten Punkte betreffen Fertigbarkeit, Kosten, Sicherheit und Konformität. Ein Rückruf wie dieser ist ein starkes Argument dafür, die Zustandsbehandlung bei jedem Gerät mit Bildschirm und Speicher zu einem ausdrücklichen Prüfpunkt zu machen. Drei Fragen, die wir in dieser Prüfung beantwortet haben wollen:

Was wird gelöscht, und wann? Jedes Ereignis, das den Kontext ändert (ein neuer Benutzer, eine neue Probe, eine neue Sitzung, ein Timeout), sollte eine definierte Wirkung darauf haben, was angezeigt und was gespeichert wird. „Der vorherige Wert bleibt stehen, bis er überschrieben wird“ ist eine Designentscheidung. Sie sollte bewusst getroffen, schriftlich festgehalten und mit den Unterbrechungen getestet sein, die der echte Arbeitsablauf mit sich bringt.

Was bestätigt der Bestätigungsbildschirm tatsächlich? Ein Bestätigungsbildschirm, der veraltete Daten zeigt, bestätigt mit voller Überzeugung das Falsche. Der Bildschirm sollte den Wert zeigen, mit dem das Gerät gleich arbeiten wird, gelesen von derselben Stelle, von der das Gerät ihn lesen wird. Eine zwischengespeicherte Kopie aus der letzten Transaktion zählt nicht.

Welche sicheren Verhaltensweisen sind Standard? Den Bediener nach jedem Test abmelden. Die ID gegen das Aktensystem validieren, wann immer diese Daten verfügbar sind. Wenn ein Verhalten sicher genug ist, um in einer Rückrufmitteilung empfohlen zu werden, ist es sicher genug, um ab Werk eingeschaltet ausgeliefert zu werden. Wer es aus haben will, soll es selbst abschalten.

Nichts davon ist exotische Ingenieurskunst. Es sind die Punkte, die übersprungen werden, weil die Firmware in der Vorführung funktioniert und der Zeitplan eng ist. Eine Torprüfung existiert, damit „funktioniert in der Vorführung“ nicht die Messlatte ist. Derselbe Gedanke steht bereits hinter unserer Regel, dass eine sicherheitskritische Funktion zwei unabhängige Schutzmechanismen bekommt, in Hardware und in Firmware: Nehmen Sie an, der Fehler tritt ein, und machen Sie ihn dann harmlos.

Was das bedeutet, wenn Sie ein Gerät beschaffen

Wenn Sie als Marke ein vernetztes Gesundheitsgerät beschaffen, liefert Ihnen dieser Rückruf eine nützliche Auditfrage. Fragen Sie Ihren Hersteller, wo benutzungsbezogene Risiken in seiner Designprüfung sitzen und ob sie erst im Prüfplan auftauchen. Fragen Sie, was sein Gerät tut, wenn der Benutzer mitten in der Sitzung wechselt. Lassen Sie sich einen echten CAPA-Fall zeigen und prüfen Sie, ob die Grundursache auf Designebene gelandet ist oder bei einem ausgetauschten Teil stehen blieb.

Zum Umfang: Wir entwickeln und fertigen nach ISO 13485:2016 und bieten Unterstützung bei Dokumentation und Prüfung für Ihre regulatorische Arbeit. Die Gebrauchstauglichkeitsakte, die Einreichung und die Clearance gehören dem rechtlichen Hersteller des Geräts, typischerweise der Marke. Die Fragen zur Zustandsbehandlung oben werden allerdings während der Entwicklung beantwortet, auf unserer Seite des Tisches, und wir beantworten sie viel lieber vor dem Werkzeugbau als in einer Feldmitteilung.

Wenn Sie ein Gerät mit Bildschirm und Speicher planen, senden Sie eine Anfrage und bitten Sie uns, mit Ihnen durchzugehen, wie eine DFX-Prüfung es behandeln würde. Sie erhalten innerhalb von zwei Werktagen eine erste Antwort.

FAQ

Was bedeutet ein Rückruf der Class I?

Es ist die schwerwiegendste Rückrufklasse der FDA: eine Situation, in der eine begründete Wahrscheinlichkeit besteht, dass die Verwendung des Produkts schwerwiegende gesundheitliche Folgen oder den Tod verursacht. Die Klasse beschreibt die mögliche Schwere der Gefährdung und sagt nichts darüber aus, wie viele Vorfälle aufgetreten sind. In diesem Fall war bei Veröffentlichung der Mitteilung eine schwere Verletzung gemeldet worden.

War das ein Hardware- oder ein Softwarefehler?

Laut FDA-Mitteilung liegt das Problem in dem, was die Anzeige nach einem Barcode-Scan zeigt, es betrifft Messgeräte der Gen 2.0 in allen Firmware-Versionen, und die Korrektur ist ein Software-Update. Laut Mitteilung ist die analytische Leistung nicht betroffen, sodass Testchemie und Sensor nicht im Verdacht stehen.

Was ist der Unterschied zwischen Benutzungsfehler und Benutzerfehler?

Benutzerfehler schiebt die Schuld der Person zu. Benutzungsfehler, der in IEC 62366-1 und in der FDA-Leitlinie verwendete Begriff (use error), beschreibt ein Ergebnis, das der Benutzer unter vorhersehbaren Benutzungsbedingungen nicht beabsichtigt hat. Der Gebrauchstauglichkeitsprozess macht es dann zur Aufgabe des Herstellers, solche Fehler zu verringern.

Übernimmt ein Auftragsfertiger die Gebrauchstauglichkeitsarbeit (Usability Engineering)?

Teilweise. Die Gebrauchstauglichkeitsakte und die regulatorische Einreichung gehören dem rechtlichen Hersteller, in der Regel der Marke. Ein Auftragsfertiger steuert die Risikoprüfung auf Designebene bei, die Zustandsbehandlung und das Design der Verriegelungen sowie die Dokumentation und die Prüfnachweise, die diese Akten brauchen. Vereinbaren Sie schriftlich, wer welchen Teil verantwortet, bevor die Entwicklung beginnt.