Gefahr: Patientendaten auf Tablet-PCs

Klar ist, dass die IT heute einen wesentlichen Beitrag zu effizienteren Geschäftsprozessen in Kliniken, bei Krankenkassen und in sonstigen Einrichtungen der Gesundheitsbranche leistet. Weniger klar ist, wie es um die Sicherheit und die Erfüllung komplexer Compliance-Vorschriften in diesen Institutionen steht. Der Einsatz von Identity und Access Management (IAM) könnte einen Schritt nach vorne bedeuten, wenn sich die IT-Abteilung auf dieses Werkzeug einlässt.

Die Technologie existiert bereits seit Jahrzehnten. Sie schützt Anwendungen und Daten der Mitarbeiter im Unternehmen. Sie erlaubt eine zuverlässige organisationsübergreifende Zusammenarbeit genauso wie sichere Internet-Portale für Millionen Nutzer. Doch im Hinblick auf wachsende Ansprüche kommt eine IAM-Lösung selten allein. Entscheidend sind vielmehr eine ganzheitliche Strategie und ein Angebot, das auf die jeweiligen Bedürfnisse eingeht.

Im Gesundheitswesen stellen besonders sensible Daten Anforderungen an die Sicherheit. So arbeiten Krankenhäuser verstärkt mit elektronischen Patientenakten oder verfolgen wie die Berliner Charité eine dezidierte Tablet-PC-Strategie. In solchen Fällen spielt IAM neben der Wahl der Plattform eine entscheidende Rolle.

Denn zusätzlich zum klassischen PC kommen auch mobile Geräte wie Laptops, Smartphones oder Tablet-PCs zum Einsatz, die die Verwaltung für die IT-Abteilung zu einer Herausforderung machen. Tablet-PCs sind unter anderem auch für niedergelassene Ärzte attraktiv: Mobile Endgeräte, auf denen elektronische Krankenakten abrufbar sind, können ein zuverlässiger Begleiter bei Hausbesuchen sein, und auch im täglichen Praxisbetrieb erleichtern sie die Arbeit.

Für die Anwender und die Patienten tritt aber ein neues Problem auf: Der Missbrauch hoch sensibler Daten in mobilen Geräten, die nicht ständig im Firmennetz eingebunden sind, muss ausgeschlossen werden. Hierzu brauchen die neuen Geräte und Prozesse verlässliche Nutzeridentitäten und Zugriffsrechte – und zwar über unterschiedliche Plattformen hinweg.

Mehr Geräte und höhere Compliance-Ansprüche erfordern spezielle Tools für die Verwaltung

Insofern wird die Gesundheitsbranche um IAM künftig nicht herum kommen. In den USA erfordern schon jetzt besonders strenge Richtlinien wie die der Food and Drug Administration (FDA) oder der Health Insurance Portability and Accountability Act (HIPAA) eine eindeutige und nachvollziehbare Authentifizierung. Selbst wo solche Regeln noch nicht greifen, sollten die Healthcare-Institutionen aus eigenem Interesse aktiv werden.

Darüber hinaus bedürfen neue Online-Konzepte wie etwa das Gesundheitsportal Assignio einer sicheren Identifizierung seiner Nutzer. In diesem "Web-Tresor" können Bürger ihre persönlichen Gesundheitsdaten speichern, verwalten und sie relevanten Einrichtungen wie Ärzten oder Apotheken zur Verfügung zu stellen. Auch die Konzepte zur elektronischen Patientenakte erfordern einen sicheren Zugriffsschutz.

Wolfgang Hirsch, bei Siemens IT Solutions and Services (jetzt Teil von Atos Origin) für Global Competence Center Security verantwortlich, ist der Ansicht: "Tatsächlich ist der Zeitpunkt günstig, um über IAM nachzudenken. Die Projekt- und Integrationskosten von IAM-Lösungen sind in jüngster Zeit gesunken." Das liege nicht zuletzt an einer tieferen Einbindung von IAM in branchenrelevante Anwendungen und an modular aufgebauten Systemen, die sich budgetfreundlich umsetzen ließen. Darüber hinaus würden auch die Preismodelle durch Managed-IAM-Angebote zunehmend attraktiv.

Trotzdem sehen sich viele Entscheider bei der Einführung von IAM in der Zwickmühle: Einerseits wollen sie schnell Kosten senken, andererseits lassen sich die meist umfangreichen Projekte nicht von heute auf morgen realisieren. Hier empfiehlt sich laut Hirsch die Politik der kleinen Schritte: Zwar ließen sich kleinere Projekte schon innerhalb von etwa drei Monaten umsetzen, doch vor allem bei komplexeren IAM-Vorhaben ist es wenig zielführend, so schnell wie möglich alle Systeme und Abteilungen auf einmal anzubinden.

Sinnvoller ist an dieser Stelle ein Phasenmodell. In dessen Rahmen wird mit kleineren Abschnitten und den wichtigsten Systemen begonnen und dann werden Schritt für Schritt weitere Module eingebunden. Auf diese Weise werden Erfolge viel schneller sichtbar, was auch die Akzeptanz beim Management erhöht.

Beispiel für den Einsatz von IAM

Einige IAM-Lösungen sind bereits im Gesundheitswesen umgesetzt worden. Das zeigen zwei aktuelle Beispiele. So hat der Orbis Medical Park, ein Klinik-Komplex in den Niederlanden, ein IAM-System eingeführt.

Die Healthcare-Einrichtung hat zum Ziel, "immer und überall" eine auf den Patienten fokussierte Versorgung anzubieten. Dafür wurden die Geschäftsprozesse und die IT-Landschaft optimiert. Unter anderem implementierte man ein aktuelles Identitäts- und Zugangsmanagement, das auf den Produkten DirX Directory und DirX Identity basiert.

Die IAM-Lösung umfasst einen zentralen Speicher für die Identitäten, Authentifizierung, physikalische Zutrittskontrolle sowie den Zugang zu Computersystemen und -anwendungen. Der zentrale Identity-Speicher stellt für alle angebundenen Systeme und Anwendungen identische und aktuelle Benutzerinformationen zur Verfügung. Basierend auf Informationen aus dem Human Ressources (HR)-System und einer Kombination einzuhaltender Regeln erzeugt die Lösung automatisch ein Set unterschiedlicher Autorisierungen.

Diese schickt sie dann zu den relevanten angebundenen Systemen. Ohne Kennung und Passwort für jedes System umständlich eingeben zu müssen, hat das Personal sicheren Zugriff auf Daten, Anwendungen und Dienste wie die elektronische Patientenakte. Je nach Rechtevergabe kann der Mitarbeiter genau auf die Ressourcen zugreifen, für die er autorisiert ist. Eindeutige Identifikation, zentrale Administration und automatische Rechtevergabe steigern die Produktivität und Sicherheit. Gleichzeitig senken sie Fehlerquoten und Administrationskosten.

Beim Klinikum der Universität München war die Kontrolle der gespeicherten Daten aus dem Ruder gelaufen. Um geschäftliche und klinische Daten zu sammeln, zu speichern und zu verarbeiten, sind dort unterschiedliche Systeme und entsprechend viele Datenbanken im Einsatz – sei es für Personalmanagement, E-Procurement oder zur Microsoft-Registrierung an den PCs.

KIS plus IAM = bessere Kontrolle des Datenflusses

Nach der Einführung eines neuen Krankenhausinformationssystems (KIS), das medizinische Patientendaten zentral verwaltet, stiegen die Ansprüche des Klinikums an Sicherheit und Datenschutz erheblich. So muss im KIS nicht nur der aktuelle Benutzer nachvollziehbar dokumentiert, sondern auch eine verantwortliche Person bestimmt sein, die berechtigt ist, spezifische Daten wie zum Beispiel Röntgenbilder oder Patientenakten anzufordern.

Da den Mitarbeitern im hektischen Klinikalltag meist keine Zeit bleibt, sich für jede Anwendung einzeln anzumelden, war ein Single Sign-on unumgänglich. Ein einziges Zugangssystem sollte die Authentifizierung für alle anderen Applikationen übernehmen. Deshalb implementierte die Klinik auf Basis von DirX ein zentrales Mitarbeiterverzeichnis, in das Informationen aus allen bestehenden Datenbanken einfließen.

Das System prüft bei jeder Anfrage Rolle und Rechte des Nutzers sowie die verantwortliche Person und übermittelt diese an das KIS. Erst nach Abgleich der zentral gespeicherten Daten erhält der Mitarbeiter Zugriff zu den gewünschten Anwendungen, darunter auch Labor-, Radiologie- oder Bild- und Kommunikationssysteme.