Verliert Deutschland den Anschluss an die Digitalisierung?

Es soll ja langsam vorangehen mit der Digitalisierung des Gesundheitswesens. Wir erinnern uns: Für 2006 war die Einführung der elektronischen Gesundheitskarte geplant. Im Anschluss sollte die Kommunikation im Gesundheitswesen dann zügig digitalisiert werden. Mittlerweile schreiben wir das Jahr 2017, die elektronische Gesundheitskarte ist zwar eingeführt, beinhaltet aber außer einem Passbild des Inhabers wenig Neues. Und die überwiegende Anzahl deutscher Krankenhäuser kommuniziert selbst intern noch zu einem guten Teil mit Papier – von dem externen Austausch von Daten ganz zu schweigen. Warum denke ich gerade an Flughafenneubauten?

Krankenhäuser leiden unter massivem Investitionsstau

Man muss nicht übertrieben ketzerisch denken, um sich zu fragen, ob das Geld, das in den vergangenen 10 Jahren in die laufende Reanimation der eGK und Telematikinfrastruktur gepumpt wurde, nicht in den IT-Abteilungen der Krankenhäuser besser aufgehoben gewesen wäre. Der Entwicklungsstand dort ist beschämend, was allerdings in der Regel nicht an den Kliniken liegt: Für sie ist die IT nur ein Problemkind unter vielen. Laut der Deutschen Krankenhausgesellschaft sanken zwischen 1991 und 2015 die Fördermittel der Länder nominal um 23%, während das Bruttoinlandprodukt im gleichen Zeitraum um 92% stieg. Allein der bestandserhaltende Investitionsbedarf der Krankenhäuser liegt aktuell bei rund 6 Milliarden Euro. Dem steht eine Finanzierung durch die Bundesländer von rund 2,8 Milliarden Euro im Jahr 2015 gegenüber. Es klafft eine Lücke von über 100%¹ .

Selbst wenn man davon ausgehen möchte, dass die Zahlen vielleicht etwas zu hoch gegriffen sein mögen: Klar ist, dass den Krankenhäusern die Mittel fehlen, um in moderne Technik so zu investieren, wie es notwendig wäre. Während die Krankenhäuser noch weitgehend in der Informationstechnologie-Steinzeit vor sich hindümpeln, diskutiert man auf der 29. Konferenz der Fachberufe im Gesundheitswesen unter anderem über die Notwendigkeit einer Beratung beim Einsatz von Apps im Gesundheitswesen². Willkommen in der wilden, nicht immer wirklich verständlichen Welt des deutschen Gesundheitswesens.

Die Zeichen deuten auf offene IT-Strukturen, nicht auf abgeschottete Infrastruktur

Während jeder zweite Handyeigentümer bereits munter alle möglichen Gesundheitsapps nutzt³, Wearables bereits zum Alltag gehören und ein mexikanischer Student für die Erfindung eines BHs, der Hinweise auf eine mögliche Brustkrebserkrankung liefern kann, ausgezeichnet wurde⁴, tauschen viele Kliniken in Deutschland noch Befunde und Informationen in Papierform aus und warten auf eine digitale Infrastruktur. Während in anderen Ländern wie Österreich ein elektronischer Austausch von Gesundheitsdaten (und mehr) schon längst Routine ist, benötigen wir in Deutschland ein eHealth-Gesetz, um die Hoffnung auf eine Digitalisierung nicht zu verlieren.

Obwohl sich schon längst abzeichnet, dass die Zeichen weg von einer abgeschotteten medizinischen Infrastruktur hin zu einer offenen Systemlandschaft weisen, verharren wir in Deutschland auf dem Standpunkt, dass eine abgeschottete Telematikinfrastruktur der Weisheit letzter Schluss sei. Schließlich will man ja höchstmögliche Sicherheit. So gerechtfertigt das auch sein mag: Wie sieht die Realität aus? Erst vor kurzer Zeit kam es zu einem breit angelegten weltweiten Angriff mit Ransomware⁵. Unter anderem wurden auch viele IT-Systeme in Krankenhäusern des Britischen NHS auf diese Weise lahmgelegt. Im Gegensatz zu einer eher lokalen Attacke auf einzelne Krankenhäuser in Deutschland einige Monate zuvor war dieser Angriff weltweit angelegt und betraf schwerpunktmäßig Rechner und Infrastrukturen in Indien und Asien. Wie sich herausstellte wurde das Schadprogramm über eine Sicherheitslücke eingeschleust, die der amerikanische Geheimdienst NSA genutzt hatte. Das entsprechende Tool wurde auf dem Schwarzmarkt verkauft. Allerdings hatte der Hersteller Microsoft, dessen Betriebssystem davon betroffen war, bereits im März dieses Jahres ein entsprechendes Update veröffentlicht, das die Lücke für Angreifer schloss. Entsprechend gewartete und auf neuestem Stand befindliche Systeme waren gegen den Angriff unempfindlich, während veraltete bzw. schlecht gewartete Systeme flächendeckend infiziert wurden. Gerade in Asien und Indien, wo das veraltete Windows XP Betriebssystem noch weit verbreitet ist, aber auch im bekanntermaßen mangelfinanzierten NHS fanden die Angreifer daher leichte Beute.

Mangelhaft gewartete IT-Systeme bieten Angriffsfläche

Das aktuelle Beispiel zeigt zweierlei: Erstens, dass Angreifer sich offensichtlich weniger für Opa Maiers Gallensteine interessieren, als vielmehr dafür, Geld zu verdienen. Zweitens, dass gut gewartete Systeme, die auf dem neuesten Stand sind, Angriffe vergleichsweise gut abwehren können. Eine hundertprozentige Sicherheit gegen Cyberangriffe – das wird jeder seriöse Experte bestätigen – gibt es nicht. Selbst in physikalisch abgetrennte Systeme kann mit Hilfe von Social Engineering⁶ eingedrungen werden. Technische Barrieren helfen also nur eingeschränkt gegen Angriffe, müssen dazu aber auf dem aktuellsten Stand sein. Das aber wiederum kostet Geld. Und das haben Deutsche Krankenhäuser – siehe oben – eben leider nicht.

Vom Sicherheitsaspekt her wäre es also deutlich sinnvoller, den Leistungserbringern ausreichende Investitionsmittel und spezifisch fachliche Beratungsmöglichkeiten durch – gerne staatliche – Sicherheitsexperten zukommen zu lassen, als eine hochkomplexe Infrastruktur auf dem Reißbrett zu entwerfen, die letztlich im Gegensatz zu bewährten Systemen mit Sicherheit trotz aller Mühen eine Fülle an neuen Sicherheitslücken aufweisen dürfte. Zumal eine geschlossene Infrastruktur für Angreifer ein deutlich lohnenderes Ziel darstellt, als offene, dislozierte Netzwerke. Darüber hinaus muss die Frage erlaubt sein, warum andere, ebenfalls kritische und für Angreifer wesentlich lukrativere Infrastrukturen wie z.B. Bankennetzwerke schon längst hochgradig digitalisiert sind und damit auch keine wesentlichen Probleme haben. Im Gegenteil: Die Banken drängen aus verschiedensten Gründen auf digitale Anwendungen, die ihre Kunden nutzen können. Warum funktioniert das nicht auch im Gesundheitswesen?

Fehlende Steuerung und Förderung im Bereich Standardisierung

Neben den zumindest teilweise überzogenen Sicherheitserwartungen an die Infrastruktur (ein schönes Beispiel dafür war der Abbruch von Feldtests der eGK vor einigen Jahren, weil – wen wundert es – alte Patienten Probleme damit hatten, sich eine PIN für den Zugang zu ihren Gesundheitsdaten zu merken) ist auch das Fehlen verpflichtender Standards ein Problem. Zwar arbeiten international bereits viele Gruppen an der Vereinheitlichung der Kommunikation, aber es fehlt auch hier an zielgerichteter Förderung und Investitionen. Zumal die Medizin sich rasant weiterentwickelt und damit auch die Anforderungen an technische Standards sich verändern.

Ein gutes Beispiel dafür ist HL7. Das Kürzel steht für eine Gruppe von Standards, die eine reibungslose Kommunikation zwischen Applikationen im Gesundheitswesen ermöglichen soll. Dafür werden Nachrichtentypen für klassische Anwendungsszenarien definiert, bei denen Daten ausgetauscht werden müssen, also beispielsweise Patientenaufnahme, -Entlassung und -Verlegung, die Anforderung von Leistungen etc.. Während die Version zwei von HL7 rein auf die Übertragung zwischen Anwendungen abzielte, sollte mit der seit 1995 entwickelten Version drei die Standardisierung auf die gesamte Kommunikation – also auch innerhalb der Applikationen – ausgeweitet werden, um Inkonsistenzen zu vermeiden. Denn eines der (teilweise hohe Kosten generierenden) Probleme beim Einsatz von HL7 Version zwei ist es, dass nur der reine Datentransfer zwischen Applikationen definiert ist, nicht aber die Form der Daten bzw. die Kommunikation in den Applikationen selbst. Das führt dazu, dass Anwendungen zwar miteinander reden können (Datenaustausch), nicht jedoch kommunizieren (Nutzung der Daten). Dazu müssen die Daten teilweise erst umgewandelt werden.Diese Probleme sollten mit Version drei gelöst werden. Nicht unbedingt zur Freude mancher Hersteller, die – ähnlich wie ein namhafter Computerhersteller – lieber auf Abschottung und eigene Standards setzen. Eine weitere Hürde bestand in der hohen Komplexität der Aufgabe, eine komplette Kommunikationsinfrastruktur zu verstehen und mit Hilfe bestehender Standards abzubilden und zu definieren. Keine einfache Aufgabe für eine Gruppe, die zwar als Normengremium akkreditiert ist, aber keine wesentliche staatliche Förderung erfährt.

FHIR als zukunftsweisende Standardisierungslösung im Gesundheitswesen

In der Konsequenz konnte sich HL7 Version drei – auch aufgrund der mangelnden Reife – nicht durchsetzen. Anwendungen im Gesundheitswesen kommunizieren immer noch über HL7 Version zwei und die Schnittstellen zwischen den Systemen müssen nach wie vor kostenintensiv angepasst werden, was den Aufbau einer offenen Infrastruktur mit einer Vielzahl von Anwendungen erschwert.

Eine Lösung zeichnet sich aber mit der nächsten Generation von HL7 ab: FHIR (gesprochen wie das englische Wort „fire“) ist die Weiterentwicklung der Version drei. Auch hier wird die gesamte Kommunikation innerhalb und zwischen Applikationen im Gesundheitswesen über existierende Standards definiert. Der Unterschied zu HL7 Version drei ist der höhere Reifegrad und vor allem die leichtere Implementierbarkeit. Im August 2015 wurde die Version 1.0.0. von der HL7-Gemeinschaft freigegeben.

Das Attraktive daran: Es handelt sich um Allgemeingut. Jeder kann den Standard kostenlos nutzen und in seine Anwendungen implementieren. Damit eröffnen sich ganz neue Möglichkeiten im Gesundheitswesen: Setzt FHIR sich durch, können nicht nur Medizingeräte und IT-Systeme sich reibungslos untereinander austauschen, ohne dass teuer Schnittstellenanpassungen erfolgen müssen. Die Healthcare-IT wäre auch offen für neue, kleinere Anwendungen wie Gesundheits-Apps, die sich ungebrochen steigender Beliebtheit erfreuen.

Zweifelsohne würde diese Entwicklung auch zur Folge haben, dass die bisherigen Infrastrukturen im Gesundheitswesen sich wandeln würden. KIS-Systeme wären nicht mehr weitgehend geschlossene Systeme in einem Krankenhaus, die mit weitgehend geschlossenen Systemen bei Krankenkassen oder im niedergelassenen Bereich kommunizieren. Vielmehr würden sie sich wandeln zu offenen Systemen, mit denen auch Gesundheits-Apps oder Wearables kommunizieren könnten. Dieser Schritt zu Healthcare 4.0 wirft zugegebenermaßen neue Fragen auf: Wem gehören die Daten, wie können sie geschützt werden, wer definiert, welche App oder welches Wearable auf die Systeme zugreifen kann?

Die Politik ist aufgefordert, zu fördern und zu investieren

Die schnelle und nachhaltige Beantwortung dieser und weiterer Fragen wäre – neben der Investition in Krankenhaus-Infrastruktur und die Förderung von Gruppierungen wie HL7 – die eigentlich wichtige Aufgabe der Gesundheitspolitik. In einem – auch im Gesundheitswesen – internationalen Umfeld machen nationale Alleingänge wie eine geschlossene Telematik-Infrastruktur schlicht keinen Sinn mehr. Alleine in einem geeinten Europa kommt früher oder später der Zeitpunkt, in dem nicht mehr nur Abrechnungsdaten mit viel Aufwand ausgetauscht werden, sondern immer mobilere Bürger überall eine hervorragende, individuelle Gesundheitsversorgung erwarten.

Das kann nur erreicht werden, wenn die Politik Rahmenbedingungen vorgibt und Gremien fördert, die faktisch bereits weit fortgeschritten dabei sind, eine sichere technische Infrastruktur zu entwerfen und sie kontinuierlich – auch über Grenzen hinweg – weiterzuentwickeln. Es bleibt zu hoffen, dass FHIR seinem Namen gerecht wird und das Feuer der Digitalisierung im Gesundheitswesen nicht nur in Deutschland neu entfacht.

¹ Deutsches Ärzteblatt 5, Mai 2017, S. 293

² Deutsches Ärzteblatt 5, Mai 2017, S. 308

³ Studie BITCOM, https://www.bitkom.org/Presse/Presseinformation/Fast-jeder-Zweite-nutzt-Gesundheits-Apps.html

⁴ http://www.aerztezeitung.de/praxis_wirtschaft/unternehmen/article/935348/innovation-preis-biosensoren-bh-brustkrebs-frueherkennung.html

⁵ Als Ransomware werden Schadprogramme bezeichnet, die in IT-Systeme eingeschleust werden und die dort vorhandenen Daten verschlüsseln. Danach wird ein Lösegeld gefordert, das gezahlt werden soll, damit die Erpresser den Schlüssel senden, mit denen die Daten wieder freigeschaltet werden können.

⁶ Beim Social Engineering sammeln Angreifer gezielt Informationen über Personen, die an einem IT-System arbeiten, um so Zugriff zu erlangen. Sei es durch die gesammelten Informationen selbst (z.B. Passwörter) oder indem den entsprechenden Personen zielgerichtet mit Schadcode kompromittierte Dateien zugespielt werden, die sie unwissend an ihrem Arbeitsplatz ins System einbringen.