Dateiaustausch zwischen Akteuren des Gesundheitswesens

Der BfDI hat in mehreren Prüfberichten festgestellt, dass unverschlüsselter Datenaustausch zwischen Gesundheitseinrichtungen zu den häufigsten DSGVO-Verstößen im Gesundheitswesen gehört. Zwischen Krankenhäusern, Facharztpraxen, Pflegeeinrichtungen und Homecare-Anbietern laufen täglich tausende Dateiübertragungen – Entlassungsberichte, Bildgebungsstudien, Laborergebnisse, Verlegungsprotokolle. Der Austausch erfolgt über vier Hauptkanäle: Direct-Secure-Messaging, FHIR-basierte APIs, HIE-Abfrageaustausch und ad-hoc-verschlüsselte Dateiübertragung. Die meisten realen Austausche nutzen mindestens zwei Kanäle – eine FHIR-Abfrage für die Zusammenfassung plus einen verschlüsselten PDF-Transfer für den vollständigen OP-Bericht.

Warum der Austausch zwischen Leistungserbringern noch immer scheitert

Interoperabilität hat sich verbessert, aber tägliche Reibung bleibt. Ein Patient wird aus Krankenhaus A entlassen und erscheint am nächsten Morgen in Klinik B. Die Klinik möchte den Entlassungsbericht, die Medikamentenabgleichung und den CT-Befund. Im Idealfall gibt eine FHIR-Abfrage ein DocumentReference-Bundle und einen DiagnosticReport zurück. In der Praxis liegt die CT-Studie als 400-MB-DICOM vor, die FHIR-Endpunkte nicht effizient ausliefern, und der Entlassungsbericht steckt in einem Anhangfeld, das die API nicht freigibt.

Also wird gefaxt. Oder eine CD gebrannt. Oder ein unverschlüsselter Anhang per E-Mail versendet – was gegen die DSGVO und das TTDSG verstößt, das seit 2021 auch elektronische Kommunikation im Gesundheitswesen erfasst.

Die Lücke zwischen den standardisierten Austauschwegen und der unordentlichen Realität ist dort, wo die meisten Datenpannen entstehen.

Die vier Austauschkanäle in der Praxis

Direct Secure Messaging nutzt S/MIME über SMTP mit Zertifikaten von akkreditierten HISPs. Es ist push-basiert, asynchron und ideal für Überweisungen und Versorgungsübergänge. Anhangsgröße begrenzt in der Regel auf 50–100 MB je nach HISP.

FHIR-APIs nach HL7 FHIR R4 ermöglichen abfragebasierten Zugriff auf strukturierte Daten: Diagnosen, Medikamente, Allergien, Laborergebnisse, Vitalwerte. Gut für maschinell lesbare Austausche. Schwach bei Binäranlagen.

HIE-Abfrageaustausch via vernetzte Gesundheitsinformationsnetzwerke nutzt IHE-XCA- und XCPD-Profile für unternehmensübergreifende Dokumentenabfragen. Gut für „Hol alles, was zu diesem Patienten existiert"-Workflows.

Ad-hoc-verschlüsselte Übertragung behandelt alles andere – Bildgebungsstudien zu groß für Direct, Rechtssicherungsfälle, Forschungskooperationen, Überweisungspakete mit Dutzenden Anhängen. Hier konzentriert sich das Compliance-Risiko.

Technische DSGVO-Schutzmaßnahmen beim Dateiaustausch

Die DSGVO Artikel 32 verlangt geeignete technische Maßnahmen zur Sicherung personenbezogener Daten. Für den Dateiaustausch bedeutet das:

• Zugriffskontrolle – eindeutige Nutzeridentifikation und automatisches Abmelden. Ein gemeinsam genutztes „anmeldung@praxis.de"-Postfach, das Patientenakten empfängt, genügt nicht.
• Audit-Kontrollen – Protokollierung, wer auf was zugegriffen hat. Das Übertragungsprotokoll ist Teil davon.
• Integrität – Erkennung unzulässiger Änderungen. SHA-256-Hashes auf übertragenen Dateien.
• Übertragungssicherheit – Verschlüsselung während der Übertragung. TLS 1.3 ist die praktische Mindestanforderung.

Das BDSG ergänzt die DSGVO für deutsche Gesundheitseinrichtungen um spezifische Anforderungen an Protokollierung und Datenzugriffskontrolle.

Auftragsverarbeitungsverträge und die Anbieterkette

Jeder Anbieter, der beim Austausch personenbezogene Gesundheitsdaten berührt, benötigt einen Auftragsverarbeitungsvertrag nach DSGVO Artikel 28. Das umfasst:

• Das KIS/KAS des Krankenhauses
• Den HISP für Direct-Messaging
• Das Gesundheitsinformationsnetzwerk (sofern separate Einheit)
• Jede Dateiübertragungsplattform für Ad-hoc-Austausch
• Cloud-Speicher für Staging-Daten

Wird für Patientendaten ein kostenloser Drittdienst ohne Auftragsverarbeitungsvertrag genutzt, liegt ein DSGVO-Verstoß vor – unabhängig davon, ob der Anbieter im EU-Ausland oder Deutschland sitzt.

Überweisungspakete: Die größte einzelne Dateiaustausch-Kategorie

Ein typisches kardiologisches Überweisungspaket umfasst 40–200 MB:

• Arztbriefe (PDF, 500 KB–5 MB jeweils)
• EKG-Aufzeichnungen (PDF oder proprietäres Format)
• Echokardiografiebericht und DICOM-Studie (50–300 MB)
• Laborwerte und Medikamentenliste
• Frühere Herzkatheterbefunde

Direct Messaging versagt bei DICOM. Fax verliert Bildqualität. Ein verschlüsselter Web-Link mit clientseitiger Verschlüsselung und kurzer Ablaufzeit löst das Problem. Die meisten Überweisungskoordinatoren möchten einmal klicken, Dateien ablegen, einen Link senden. Dieser Workflow mit AES-256-GCM und 7-tägiger Ablaufzeit schließt den Überweisungskreis ohne neues IT-Projekt.

HexaTransfer eignet sich genau für dieses Transfermuster: Dateien ablegen, im Browser verschlüsseln, Link teilen, Passphrase festlegen. Testen Sie es auf https://hexatransfer.com – kostenlos, kein Konto, maximal 10 GB.

Notfall- und Nachtübertragungen

Um 2 Uhr morgens verlegt eine Notaufnahme einen Schlaganfallpatienten in ein überregionales Schlaganfallzentrum. Das Zentrum braucht die CT-Aufnahme des Kopfes und das Behandlungsprotokoll, bevor der Patient ankommt. Die Notaufnahmepflegekraft hat fünf Minuten.

Der Workflow muss auf einem gesperrten Notaufnahme-Arbeitsplatz funktionieren, ohne Installation, ohne Kontoerstellung. Das ist der harte Filter für Gesundheits-Übertragungswerkzeuge. Erfordert es eine IT-Freigabe für eine neue Domain, existiert es nicht, wenn die Pflegekraft es braucht.

Vorab freigegebene Übertragungswerkzeuge in einem klinischen Schnellzugriffs-Browserordner funktionieren. Gedruckte Anweisungen mit URLs an der Pflegestation funktionieren. Komplizierte SSO-Flows funktionieren nicht.

Versorgungskoordination nach stationärer Behandlung

Pflegeheime, häusliche Krankenpflege und Hospizeinrichtungen tauschen ständig Dateien mit Akutkrankenhäusern aus. Ein typisches Entlassungspaket für einen Pflegeheimaufenthalt umfasst:

• Anamnese und körperliche Untersuchung
• Entlassungsbrief
• Medikamentenabgleich
• Physiotherapie-/Ergotherapiebewertungen
• Aktuelle Wundfotos
• Notfallverfügung und Patientenverfügung

Viele Pflegeheime empfangen diese Pakete noch per Fax, weil ihr Pflegemanagementsystem keine Direct-Adresse hat, an die das Krankenhaus routen kann. Ein sicherer Web-Transfer mit einem Download-Link an ein überwachtes Pflegeheim-Postfach überbrückt die Zeit, bis FHIR-APIs diese Lücke schließen.

Audit-Anforderungen nach DSGVO und BDSG

Unter der DSGVO Artikel 30 müssen Verantwortliche im Gesundheitswesen ein Verarbeitungsverzeichnis führen. Das BDSG präzisiert für Krankenhäuser und Praxen die Protokollierungspflichten. Mindest-Audit-Felder für Dateiübertragungen:

1. Datum und Uhrzeit (UTC plus Ortszeit)
2. Absender (Einrichtung und Rolle)
3. Empfänger (Einrichtung und Rolle)
4. Patientenkennung (nicht der Name im Audit-Log)
5. Dateityp und -größe
6. SHA-256-Hash
7. Erfolg oder Fehler
8. Rechtsgrundlage (Behandlung, Abrechnung, Einwilligung)

Führen Sie diese Protokolle mindestens 10 Jahre gemäß den für Gesundheitseinrichtungen geltenden Aufbewahrungsfristen.

Patientenveranlasste Übertragungen

Patienten haben nach DSGVO Artikel 20 ein Recht auf Datenübertragbarkeit. Wenn ein Patient sagt „Senden Sie meine Akte an Dr. Müller", kann die Einrichtung dies nicht mit dem Argument verweigern, dass Dr. Müller ein anderes System nutzt.

Die Fallback-Lösung ist der sichere Dateitransfer mit dem Patienten als Zwischenstation oder eine patientenveranlasste Übermittlung über eine API. Dokumentieren Sie die Anfrage des Patienten, senden Sie das Paket, protokollieren Sie die Übermittlung. Ein DSGVO-Verstoß wegen Nichterfüllung des Auskunftsrechts kostet mehr als zehn Übertragungstools zusammen.

Der Dateiaustausch im Gesundheitswesen wird sich in den nächsten Jahren nicht auf ein einziges Protokoll konsolidieren. Das realistische Ziel ist ein gestufter Workflow: Direct für Routineüberweisungen, FHIR für strukturierte Datenabfragen, HIE für breite Patientenaktenabfragen und verschlüsselte Ad-hoc-Übertragung für alles andere. Wählen Sie Werkzeuge, die Ihr am wenigsten technisch versierter Mitarbeiter im schlimmsten Moment seiner Schicht bedienen kann – und dokumentieren Sie den Workflow in der SOP, bevor Sie ihn brauchen.