Datenschutz in der Cloud Sichere Public Cloud für sensible Gesundheitsdaten

Trotz verschärfter Rechtslage kann die Public Cloud im Gesundheitssektor zum Erfolgsfaktor werden. Ein Praxisbeispiel zeigt, wie der Spagat zwischen Compliance und Modernisierung gelingt und welche Auswahlkriterien entscheidend sind.

Fachkräftemangel, steigende Kosten kombiniert mit unsicherer Finanzierung, eine statische Infrastruktur, die dringend notwendige Digitalisierung, und dies alles bei einem gleichzeitig hohen Anforderungsniveau durch die KRITIS-Verordnung – das Gesundheitswesen kämpft mit enormen Herausforderungen. Seit kurzem kommt eine weitere hinzu: Paragraf 393 SGB V verpflichtet Krankenhäuser, Krankenkassen sowie deren IT-Dienstleister, für Cloud-Lösungen ein C5-Testat des Bundesamtes für Sicherheit in der Informationstechnik (BSI) vorzulegen. Außerdem gilt es, die Datenverarbeitung auf Deutschland, die EU und wenige andere Länder zu beschränken. Anforderungen, die über die Datenschutzgrundverordnung (DSGVO) hinausgehen und von den betroffenen Organisationen neue Zertifizierungsprozesse sowie ein Umdenken bei der Auswahl des Cloud-Anbieters erfordern.

Kritische Infrastruktur

Höhere Resilienz für Krankenhäuser

Gleichzeitig müssen die Institutionen im Gesundheitswesen ihre IT-Infrastruktur modernisieren, flexibler werden und Kosten senken. Um diesen Spagat zu schaffen, fragen sich viele IT-Verantwortliche: Schließt die verschärfte Rechtslage die Public Cloud aus – oder gibt es Wege, beide Anforderungen zu erfüllen? Dass eine regelkonforme Cloud-Nutzung möglich ist, demonstriert ein aktuelles Projekt der AOK Niedersachsen, das als Blaupause für die Branche dienen kann.

20 Millionen Dokumente regelkonform verarbeiten

Zum Hintergrund: Große Akteure im Gesundheitswesen verarbeiten enorme Datenmengen. Im Fall der AOK Niedersachsen sind es jährlich mehr als 20 Millionen Dokumente, darunter Bescheide, Leistungsabrechnungen oder Informationsschreiben. 7.200 Mitarbeitende an über 100 Standorten betreuen mehr als 3 Millionen Versicherte, rund 195.000 Firmenkunden und mehr als 30.000 Vertragspartner.

Vier von fünf Dokumenten verschickt die Krankenkasse per Post. Der klassische Versand ist notwendig, da einige Informationen digital nicht abgebildet werden können oder dürfen oder weil es an einer konsequenten digitalen Umsetzung zwischen den Beteiligten im Gesundheitswesen hapert. Insgesamt handelt es sich um jährlich etwa 16 Millionen Sendungen, die gedruckt, kuvertiert und frankiert werden müssen. Die damit verbundenen Arbeitsschritte wickelt der Output-Management-Dienstleister Binect ab.

Die für die Managed Services benötigte Infrastruktur und Software liefen bisher on-premises in einem eigenen Rechenzentrum. Die Herausforderung: Die Infrastruktur ließ sich nur mit viel Aufwand anpassen. Die infrage kommende Hardware war nur sehr eingeschränkt verfügbar. Neue Rechenkapazität? Benötigte einen Vorlauf von vielen Wochen. Software-Updates? Waren mit langwierigen Abstimmungen und Installationen verbunden.

Bei Sonderaktionen an alle Versicherten – wobei in der Spitze bis zu 2,3 Millionen Dokumente nahezu zeitgleich verschickt werden müssen – stieß die Skalierbarkeit der On-Prem-Systeme an ihre Grenzen. Es kam zu Leistungsengpässen, die die Verfügbarkeit des Services beeinträchtigten. Für eine Krankenkasse, bei der viele Sendungen Terminsachen sind, bedeutete dies ein kritisches Risiko.

Wichtige Kriterien für die Cloud-Auswahl

Der logische Schritt ist die Migration der Managed-Services in die Cloud. Doch in welche? Eine Private Cloud bietet zwar mehr Kontrolle, bringt aber häufig ähnliche Skalierungsprobleme wie die bisherige On-Premises-Lösung mit sich, da neue Kapazitäten weiterhin vorausgeplant und Hardware beschafft werden muss. Eine Public Cloud dagegen verspricht genau das, was fehlte: Ressourcen auf Abruf, Skalierung innerhalb von Stunden statt Wochen, keine Vorlaufzeiten für Lastspitzen.

Doch im Gesundheitswesen stellt sich sofort die Frage: Lässt sich das mit den strengen Anforderungen an Datenschutz und Compliance vereinbaren? Passen sensible Gesundheitsdaten und Public Cloud zusammen? Im Prinzip ja – aber nicht jede Public Cloud erfüllt die Anforderungen.

Der Weg in die Public Cloud sollte daher – wie das Praxisbeispiel zeigt – nicht mit der Technologieauswahl beginnen, sondern mit intensiven internen Abstimmungen. Datenschutzbeauftragter, Rechtsabteilung und Fachbereiche müssen eng zusammenarbeiten, um alle rechtlichen und organisatorischen Fragen vorab zu klären. Welche Anforderungen muss ein Cloud-Anbieter erfüllen? Welche Vertragsklauseln sind unverzichtbar? Wie lässt sich die Kontrolle über Sozialdaten sicherstellen? Erst wenn diese Grundlagen feststehen, kann der Auswahlprozess beginnen. Diese Reihenfolge ist für den Projekterfolg entscheidend, um Anbieter gezielt prüfen zu können.

Folgende drei Kriterien kristallisieren sich dabei als essenziell heraus:

Regulatorische Compliance: § 393 SGB V verlangt seit März 2024 ein C5-Testat des BSI und beschränkt die Datenverarbeitung auf Deutschland, die EU und wenige weitere Länder. § 80 SGB X regelt die Verarbeitung von Sozialdaten durch externe Dienstleister und fordert, dass der Auftragnehmer nur nach Weisung handelt. Die DSGVO schützt personenbezogene Daten und verlangt Transparenz. Eine Public Cloud muss alle drei Vorgaben nachweislich erfüllen.

Standort und Kontrolle: Wo stehen die Server physisch? Verlassen Daten deutsches Territorium? Verantwortliche benötigen die Gewissheit, dass Sozialdaten ausschließlich in deutschen Rechenzentren verarbeitet werden – ohne Hintertüren durch ausländische Gesetze wie den US Cloud Act. Wer hat Zugriff auf die Systeme? Ein entscheidender Sicherheitsaspekt ist zudem das External Key Management: Die Hoheit über die Entschlüsselung muss beim Gesundheitsunternehmen liegen, der Cloud-Provider darf keinen Zugriff darauf haben.

Unabhängigkeit und Flexibilität: Um einen Vendor-Lock-in auszuschließen, sollten Cloud-Lösungen idealerweise auf offenen Standards basieren. So ist ein Wechsel des Anbieters technisch einfach möglich. Gleichzeitig muss die Cloud-Lösung schnell skalieren, um Lastspitzen innerhalb von Stunden abzufangen.

Wie deutsche Public Clouds die Anforderungen erfüllen

Im Auswahlprozess dienen vor allem bestehende Zertifizierungen als Indikator für die Eignung. Neben ISO 27001, ISO 27017, ISO 27018 und SOC 2 Typ 2 ist das erwähnte C5-Testat Typ 2 des BSI ein entscheidender Faktor. Dieses prüft nicht nur die Konzeption der Sicherheitsmaßnahmen, sondern deren tatsächliche Umsetzung über einen festgelegten Zeitraum (typisch 6 bis 12 Monate) – und wird jährlich erneuert. Seit Juli 2025 ist genau dieses Typ-2-Testat für Cloud-Dienste im Gesundheitswesen verpflichtend. Viele regionale und internationale Cloud-Anbieter bieten hier oft nur C5-Typ-1-Testate oder können die Datenverarbeitung nicht auf Deutschland beschränken.

Des Weiteren zeigt sich die Bedeutung technologischer Unabhängigkeit. Plattformen, die auf OpenStack basieren – einer Open-Source-Technologie –, vermeiden proprietäre Abhängigkeiten. „Die strengen regulatorischen Vorgaben im Gesundheitswesen lassen sich Stand heute nicht mit allen Hyperscalern realisieren“, sagt Oliver Kohl, Head of IT Operations and Service beim zuständigen Dienstleister Binect. „Wir brauchten eine Lösung, die uns Rechtssicherheit und technische Flexibilität zugleich bietet.“

Im beschriebenen Szenario fiel die Wahl auf eine Public Cloud mit Rechenzentrumsstandorten in Deutschland, sodass Sozialdaten zu keinem Zeitpunkt das Bundesgebiet verlassen. Der Umstieg sollte in mehreren Phasen erfolgen, um Risiken zu minimieren. Im Praxisbeispiel wurden zunächst Testdaten übertragen, die Systemanbindungen geprüft und die Mitarbeitenden geschult. Anschließend folgte der produktive Betrieb. Heute zeigt sich der Nutzen im operativen Alltag: Müssen kurzfristig Kapazitäten für Sondermailings bereitgestellt werden, lässt sich die nötige Rechenleistung innerhalb von Stunden hinzubuchen. Früher hätte dies Wochen gedauert.

Die Ergebnisse sprechen für sich: Seit über drei Jahren läuft die Lösung stabil. „Die Lösungszeiten haben sich von Tagen auf Stunden verkürzt. Und auch die User Experience hat sich deutlich verbessert“, sagt Sebastian Angerstein, Leiter IT Projekt- und Solutionmanagement bei der AOK Niedersachsen. Die Service-Verfügbarkeit hat sich deutlich verbessert. Updates lassen sich schnell ausrollen, Skalierung erfolgt auf Knopfdruck. Das Pay-as-you-use-Modell bringt Kostenvorteile und Transparenz über die tatsächlichen Kosten. „Die Bereitstellung der Services wurde für uns ein Leuchtturmprojekt, um Cloud-Dienste einzusetzen. Und wir haben den Schritt in dieser Zeit nicht bereut“, sagt Christoph Meyer, verantwortlich für den Bereich Solutionmanagement bei der AOK Niedersachsen.

Vom Projekt zur Praxis: Blaupause für das Gesundheitswesen

Was andere Organisationen von dem Projekt lernen können: Eine Public Cloud und das Gesundheitswesen schließen sich nicht aus. Die Erfüllung der umfangreichen Vorschriften kann mithilfe zertifizierter Cloud-Lösungen aus Deutschland sogar erleichtert werden. Entscheidend für den Erfolg sind dabei die frühe Einbindung der Compliance-Abteilungen, die Wahl offener Standards (Open Source) und ein Fokus auf Anbieter mit C5-Typ-2-Testat. Ein Gewinn aller Seiten, der aufzeigt, wie eine sichere Digitalisierung aus Deutschland heraus möglich ist.

Eine Checkliste für Health-Unternehmen

Fit für den AI Act?

(ID:50771661)