Dateiübertragung für Telemedicine: Sichere Remote Care

Telemedizinische Dateiübertragung findet in HIPAA-gedeckten Videoplattformen (Doxy.me, Zoom for Healthcare, Teladoc) oder über verbundene EHR-Portale (MyChart, FollowMyHealth) statt — nicht über Consumer-Messaging-Dienste. Das BDSG § 26 und die DSGVO Art. 9 gelten für alle Patientendaten, die von Einrichtungen mit EU-Bezug übertragen werden; das BSI fordert Ende-zu-Ende-Verschlüsselung für Gesundheitsdaten der Schutzklasse 3. Ein praxistauglicher Stack: eine integrierte Telehealth-Plattform mit BAA, ein E-Prescribing-Service (DrFirst, Surescripts, RxNT), der mit dem EHR verbunden ist, ein FHIR-basierter Dokumentenaustausch für Bildgebung und Laborbefunde, und ein BAA-unterzeichnender Ad-hoc-Transferdienst wie HexaTransfer Enterprise für die seltene außerband Sendung. Seit August 2023 müssen Anbieter HIPAA-konforme Telehealth-Tools nutzen — Consumer-Zoom oder FaceTime sind keine zulässige Option mehr.

Die Post-PHE Compliance-Neuausrichtung

Während des COVID-Gesundheitsnotstands setzte das OCR vorübergehend die HIPAA-Durchsetzung für Anbieter aus, die zu gutem Glauben Consumer-Videotools (FaceTime, Skype, Consumer-Zoom) für Telehealth nutzten. Diese Ausnahmeregelung endete am 11. Mai 2023 mit einer 90-tägigen Übergangsphase.

Seit August 2023 müssen Telehealth-Besuche HIPAA-konforme Plattformen nutzen:

Unterzeichnetes Business Associate Agreement
Ende-zu-Ende- oder serverseitige Verschlüsselung von Video und Daten
Zugriffskontrollen und Authentifizierung
Audit-Protokollierung
Meldepflichten bei Datenschutzverletzungen

Konforme Plattformen: Doxy.me, Zoom for Healthcare, Microsoft Teams mit BAA, Webex for Healthcare, Teladoc, Amwell, MDLive, Doximity Dialer.

Vorher-Besuch-Dokumentenerfassung

Patienten kommen zu einem Telehealth-Besuch mit relevanten Vorakten — externe Laborbefunde, Bildgebungs-CDs, Entlassungsberichte anderer Systeme, Medikamentenlisten. Diese vor dem Videostart zu erfassen spart Zeit.

Workflow:

Patient bucht über das Portal
Portal sendet 48 Stunden vor dem Besuch automatisch ein sicheres Upload-Formular
Patient lädt Fotos von Ausweis, Versicherungskarte und allen Vorakten hoch
Büropersonal prüft und fügt zum EHR hinzu
Kliniker hat alles vor dem Videoanruf

Plattformen hierfür: Phreesia (Intake), Klara, Luma Health, Clearwave, Solutionreach. Für Ad-hoc-Dokumentanfragen mitten im Besuch kann der Patient über denselben sicheren Link hochladen oder, wenn dringend, über das Patientenportal fotografieren und schicken.

Dateiabgleich während des Besuchs

Mitten im Besuch müssen Kliniker häufig Informationen mit dem Patienten teilen: Aufklärungsmaterialien, Nachsorgeanleitungen, Überweisungsschreiben, Behandlungspläne. Die meisten modernen Telehealth-Plattformen umfassen Dateianhänge innerhalb der Sitzung.

Häufige Dateitypen:

Nachsorge-Zusammenfassung (PDF, 1 bis 3 Seiten): automatisch vom EHR generiert
Patientenaufklärungsblätter (PDF): aus der EHR-Patientenbibliothek
Bildanmerkungen (PNG, JPG): zur Erläuterung von Anatomie oder Verfahren
Rezeptdokumentation: per E-Prescribing gesendet, nicht an den Patienten übergeben
Laborteilnehmerformulare: elektronische Unterschrift, zum Labor weitergeleitet
Überweisungsschreiben: generiert und über HIE oder Direct geteilt

Für zu große Dateien für den Telehealth-Chat (selten, aber einige Bildgebungsexporte erreichen 100 MB): einen passwortgeschützten Transferlink im Chat hinterlegen und das Passwort während des Anrufs mündlich mitteilen.

E-Prescribing und Betäubungsmittel

E-Prescribing ist in den meisten Bundesstaaten die vorgeschriebene Methode. Der Stack:

E-Prescribing-Modul des EHR (Epic, athenahealth, eClinicalWorks, NextGen)
Surescripts als nationales Netzwerk
DrFirst, RxNT als eigenständige Optionen für Nicht-EHR-Workflows
EPCS (Electronic Prescribing of Controlled Substances): verlangt Zwei-Faktor-Authentifizierung nach DEA-Anforderungen

Keine Rezept-PDFs per E-Mail an Patienten senden. Das ist nicht, wie das Verschreiben 2026 funktioniert — Apotheken erhalten eRx über Surescripts; Patienten handhaben das Rezept überhaupt nicht.

Bildgebung und Diagnosetests teilen

Telehealth-Besuche umfassen oft die Überprüfung von Bildgebung oder Diagnosestudien. Optionen:

Patient hat Bildgebung in Apple Health (aus teilnehmenden Krankenhäusern gezogen): Screen Share
Patient hat CD: über einen Cloud-Bildaustausch hochladen lassen (PocketHealth, Ambra, LifeImage)
Anbieter hat Bildgebung: über den Bildviewer des EHR teilen
Bildgebung von externem Anbieter: über Carequality, CommonWell oder TEFCA QHIN anfordern

Für dringende Besuche, bei denen Bildgebung während des Anrufs ankommt: patientengeladenes DICOM über das Dateifeature der Telehealth-Plattform — aber Dateigrößen (oft 500 MB+) überschreiten viele Plattformlimits. Ein dedizierter Cloud-Bildaustausch verarbeitet das besser.

Psychische Gesundheit und psychiatrische Telemedizin

Verhaltensgesundheit ist die größte Telehealth-Spezialität. Sie bringt zusätzliche Datenschutzüberlegungen mit:

Psychotherapie-Notizen (HIPAA § 164.501): separat geschützt, erfordern spezifische Einwilligung für die meisten Offenlegungen
42 CFR Part 2 (Suchtbehandlungsunterlagen): strenge Einwilligungsanforderungen
Staatsspezifische Gesetze zur psychischen Gesundheit: oft strenger als HIPAA
Minderjährige: unterschiedliche Staatsregeln zur Einwilligung für psychische Gesundheitsleistungen

Für Therapiesitzungen: dedizierte Plattformen (SimplePractice, TheraNest, TherapyNotes) kombinieren Video, Terminplanung, Notizen und Abrechnung. Sie unterzeichnen BAAs und bewältigen den Spezialworkflow besser als allgemeine Telehealth-Tools.

Fernüberwachung und Heimgeräte

Remote Patient Monitoring (RPM) erzeugt kontinuierliche Datenströme: Blutdruck, Glukose, Gewicht, EKG, SpO2. Plattformen hierfür:

Dexcom, Abbott Libre (Glukose)
Omron, Withings (Blutdruck, Gewicht)
Apple Watch, Fitbit (Aktivität, EKG)
iRhythm Zio (erweitertes EKG-Monitoring)

Daten fließen vom Gerät zur Anbieter-Cloud, dann über HL7 FHIR Observation oder proprietäre API zum EHR. BAAs decken jeden Anbieter im Pfad ab. Abrechnung nutzt CPT-Codes 99453-99458 für RPM und 99457-99458 für Remote Therapeutic Monitoring.

Ad-hoc-Dateiübertragung für Randfälle

Trotz integrierter Plattformen erfordern Randfälle Ad-hoc-Transfers:

Spezialistisches Review von ungewöhnlicher Bildgebung, die noch nicht im PACS ist
Multidisziplinäre Tumor-Boards: Pathologie + Bildgebung + Laborbefunde an konsulierende Anbieter senden
Second-Opinion-Dienste: patienteninitiierte Paketmontage
Medizinisch-rechtliche Freigaben: Anwaltsanfragen für Akten für Rechtsstreitigkeiten
Forschungskonsortien: de-identifiziertes Datenaustausch

Hierfür einen BAA-unterzeichnenden verschlüsselten Transferdienst wie HexaTransfer Enterprise verwenden. Ablauf auf 14 Tage setzen, passwortschützen, Passwort über separaten Kanal mitteilen.

Sicherheit für den Remote-Kliniker

Viele Telehealth-Anbieter arbeiten von zu Hause. Mindestmaßnahmen:

Gerät: von der Organisation verwaltet, Festplattenverschlüsselung aktiviert (BitLocker, FileVault), EDR installiert (CrowdStrike, SentinelOne)
Netzwerk: VPN zum Krankenhausnetzwerk oder Zero Trust Network Access (Zscaler, Cloudflare Access)
Physisch: privates Zimmer mit geschlossener Tür während der Besuche, Bildschirm für andere nicht sichtbar, Kopfhörer
Authentifizierung: MFA auf allen klinischen Systemen (Hardware-Schlüssel wie YubiKey bevorzugt)
Automatische Sperre: 5-Minuten-Bildschirmsperre
Drucken: für PHI deaktiviert wenn möglich; bei Bedarf sicherer Druckwarteschlange

Ein praxistauglicher Telehealth-Stack

Videoplattform: Doxy.me, Zoom for Healthcare oder Teams mit BAA
EHR mit Telehealth-Modul: Epic, athenahealth, eClinicalWorks
E-Prescribing: Surescripts über EHR; DrFirst für EPCS
Remote Monitoring: spezialitätsspezifische Plattformen mit FHIR zum EHR
Ad-hoc-Transfers: BAA-unterzeichnender Ende-zu-Ende-verschlüsselter Dienst wie HexaTransfer Enterprise
Patientenintake und -formulare: Phreesia oder Klara
Sicheres Messaging: EHR-Portal oder BAA-gedecktes Messaging (TigerConnect)

Für sichere Ad-hoc-Patientendatenübertragungen in der Telemedizin: https://hexatransfer.com