Fragmentierte Data-Governance-Lücken in Gesundheitssystemen schließen
Die meisten Krankenhäuser verfügen nicht über eine einzige Data-Governance-Richtlinie. Sie haben mehrere: eine für das elektronische Gesundheitsakten-System (EHR), eine weitere für E-Mails, eine andere für Filesharing und oft gar keine kohärente Richtlinie für den neuesten Kanal, KI-gestützte klinische Tools. Jede wurde von einem anderen Team, zu einer anderen Zeit und auf Basis unterschiedlicher Anforderungen entwickelt. Für sich genommen erscheint jede Richtlinie sinnvoll. Zusammengenommen entstehen Lücken, die niemand absichtlich geschaffen hat und die kaum jemand erkennt.
Diese Lücken bleiben nicht lange theoretisch. Eine Patientenakte, die im EHR als sensibel eingestuft ist, kann ohne Einschränkungen als E-Mail-Anhang weitergeleitet werden, weil die EHR-Richtlinie die Datei nicht über das System hinaus begleitet. Ein Datensatz, der in einem System für die externe Weitergabe gesperrt ist, kann über eine Integration, an die niemand gedacht hat, dennoch das Unternehmen verlassen. Dieser Artikel beleuchtet, warum eine kanalweise Governance diese Lücken in Gesundheitseinrichtungen garantiert und was tatsächlich nötig ist, um sie zu schließen.
Executive Summary
Data Governance in Gesundheitseinrichtungen, die kanalweise aufgebaut wurde, führt zwangsläufig zu inkonsistentem Schutz, weil die Tools für jeden Kanal unabhängig voneinander entwickelt und konfiguriert wurden – oft von unterschiedlichen Teams, die jeweils akute Probleme lösen mussten. Das Ergebnis ist kein Nebeneinander akzeptabler Einzelrisiken. Es entsteht ein Gesamtrisiko, das dem schwächsten Kanal entspricht, da Patientendaten routinemäßig zwischen den Kanälen wechseln und eine Richtlinie, die an der Kanalgrenze endet, keinen Schutz mehr bietet, sobald die Daten diese Grenze überschreiten. Für Compliance-Verantwortliche bedeutet das praktisch: Einzelne Kanäle zu auditieren, deckt dieses Risiko nicht auf. Geprüft werden muss, was mit einem bestimmten Patientendatensatz passiert, wenn er von einem Kanal zum nächsten wechselt.
Wichtige Erkenntnisse
- Fragmentierte Governance bedeutet, dass derselbe Patientendatensatz in einem Kanal geschützt und in einem anderen ungeschützt sein kann. Eine Klassifizierung oder Zugriffsregel, die in einem System angewendet wird, begleitet die Daten selten, wenn sie in ein anderes System übergehen.
- Anhänge sind der häufigste Punkt, an dem eine Richtlinie stillschweigend nicht mehr greift. Ein Datensatz, der im EHR sorgfältig geschützt wird, kann als Anhang einer E-Mail versendet werden – ohne dass die Einschränkungen des EHR-Systems weiter gelten.
- Jeder zusätzliche Kanal ist ein weiterer Ort, an dem sich eine Richtlücken verstecken kann. Das EHR, E-Mail, Filesharing und nun auch KI-gestützte klinische Tools müssen alle abgedeckt werden – eine Lücke in einem davon reicht aus.
- Klassifizierung muss eine Eigenschaft der Daten selbst sein, nicht des Systems, in dem sie sich gerade befinden. Ein Tag oder Sensitivitätslabel schützt Patientendaten nur dann konsistent, wenn es beim Wechsel zwischen Kanälen erhalten bleibt.
- Eine zentrale Policy-Engine, die alle Kanäle abdeckt, schließt die Lücken, die kanalbezogene Tools nicht schließen können. Die Durchsetzung muss unabhängig davon erfolgen, durch welchen Kanal die Daten gerade übertragen werden.
Warum kanalbezogene Governance der Standard war – und warum sie für Gesundheitseinrichtungen nicht funktioniert
Die meisten Gesundheitseinrichtungen sind durch eine Reihe einzeln sinnvoller Entscheidungen zu fragmentierter Governance gelangt, nicht durch eine einzige Fehlentscheidung. Das EHR wurde ausgewählt und abgesichert, dann wurde E-Mail separat ausgewählt und abgesichert – jedes Projekt hatte sein eigenes Budget, einen eigenen Verantwortlichen und eine eigene Definition von Erfolg.
Jedes Tool löst nur seinen eigenen Kanal, nicht den gesamten Datenweg
Die Zugriffskontrollen des EHR regeln, wer innerhalb dieses Systems eine Akte öffnen, herunterladen oder teilen darf. Sie haben jedoch keinen Einblick und keine Kontrolle darüber, was passiert, wenn diese Akte als E-Mail-Anhang das System verlässt, in ein anderes System kopiert oder über eine Integration weitergegeben wird. Jedes Tool wurde entwickelt, um seinen eigenen Kanal gut zu steuern. Keines wurde dafür gebaut, die Daten nach Verlassen des Kanals weiter zu begleiten.
Richtlinien werden nachträglich selten kanalübergreifend harmonisiert
Sobald jeder Kanal sein eigenes Governance-Tool und eigene Administratoren hat, wird die Harmonisierung der Richtlinien zu einem Projekt ohne klaren Verantwortlichen. Es erfordert, Regelwerke in unterschiedlichen Sprachen und Systemen zu vergleichen, die sich auf überlappende, aber nicht identische Kategorien von Patientendaten beziehen. In der Praxis erfolgt diese Harmonisierung selten umfassend.
Wo die Lücke für Gesundheitseinrichtungen tatsächlich sichtbar wird
Das theoretische Risiko fragmentierter Governance wird an bestimmten, vorhersehbaren Punkten konkret, an denen Patientendaten eine Kanalgrenze überschreiten.
Das Anhang-Problem
Ein Datensatz, der im EHR sorgfältig verwaltet wird, ist aus Sicht der meisten E-Mail-Systeme einfach eine Datei, die ein Anwender anhängt. Die Zugriffsregeln, Aufbewahrungsfristen und Freigabebeschränkungen des EHR begleiten die Datei nicht in die E-Mail. Nach dem Versenden gilt nur noch die – meist deutlich weniger restriktive – Richtlinie des E-Mail-Systems.
Das Integrations- und KI-Tool-Problem
Gesundheitseinrichtungen verknüpfen ständig Systeme – über Integrationen und zunehmend KI-gestützte Tools, die Patientendaten im Auftrag von Klinikern lesen und zusammenfassen. Jede Integration ist ein potenzieller Kanal für den Transfer sensibler Daten, gesteuert durch eine eigene, oft minimale Zugriffskonfiguration statt durch die eigentliche Data-Governance der Einrichtung.
Warum Klassifizierung mit den Daten reisen muss
Um diese Lücken zu schließen, ist ein anderer Ansatz nötig: Die Richtlinie muss unabhängig vom aktuellen Kanal einheitlich bewertet werden – nicht jeder Kanal sollte seine eigene Version durchsetzen.
Tags und Klassifizierung als portable Eigenschaften
Wenn ein Datensatz beim Eintritt ins EHR als sensibel markiert wird, sollte diese Klassifizierung ihn in alle weiteren Systeme begleiten, damit dieselbe Einschränkung konsistent angewendet werden kann und nicht auf den Standard des neuen Kanals zurückfällt.
Durchsetzung muss den Übergang abdecken, nicht nur die einzelnen Systeme
Der riskanteste Moment für Patientendaten ist der Übergang zwischen Kanälen, nicht die Zeit im Ruhezustand in einem System. Ein Governance-Ansatz, der Regeln im EHR und im E-Mail-System gut durchsetzt, aber den konkreten Vorgang des Anhängens und Übertragens nicht abdeckt, schließt die Lücke nicht wirklich.
Auditierung auf Fragmentierung statt kanalweise Auditierung
Für die Compliance-Funktion einer Gesundheitseinrichtung bedeutet das: Es reicht nicht, getrennt zu fragen „Ist unser EHR sicher?“ und „Ist unser E-Mail-System sicher?“. Entscheidend ist, was mit einem bestimmten, sensiblen Patientendatensatz passiert, wenn er von einem Kanal zum nächsten wechselt.
Wie eine Data Control Plane die Lücke zwischen Kanälen schließt
Um Fragmentierung zu beseitigen, müssen nicht alle bestehenden kanalbezogenen Tools ersetzt werden. Es braucht eine Governance-Schicht, die über allen Kanälen liegt und dieselbe Richtlinie unabhängig davon bewertet, durch welchen Kanal die Daten gerade laufen.
Die Kiteworks Data Control Plane setzt einen einheitlichen Satz datenbewusster zero-trust-Richtlinien über alle Kanäle hinweg durch, durch die sensible Daten laufen – einschließlich E-Mail, Filesharing, APIs und KI-Agents. Eine beim Eintritt automatisch angewendete Klassifizierung begleitet die Daten, sodass dieselbe Einschränkung, die einen Datensatz im EHR schützt, auch greift, sobald jemand versucht, ihn als E-Mail-Anhang zu versenden oder über eine Integration zu übertragen. Jede Durchsetzungsentscheidung – kanalübergreifend – wird in einem einzigen fälschungssicheren, ungedrosselten Audit-Log erfasst, der direkt in SIEM-Tools eingespeist wird.
Gesundheitseinrichtungen, die ihre eigenen kanalübergreifenden Lücken identifizieren möchten, können eine individuelle Demo vereinbaren, um zu sehen, wie eine konsistent angewendete zentrale Richtlinie im Vergleich zum bisherigen, kanalbezogenen Ansatz abschneidet.
Häufig gestellte Fragen
Die meisten Krankenhäuser entwickeln Richtlinien kanalweise – etwa eine für das EHR, eine weitere für E-Mails und andere für Filesharing oder KI-Tools. Oft arbeiten unterschiedliche Teams an der Lösung jeweils akuter Probleme. Das führt zu fragmentierten Regeln, die Lücken hinterlassen, wenn Daten zwischen Kanälen wechseln.
Fragmentierte Governance bedeutet, dass derselbe Patientendatensatz in einem Kanal geschützt und in einem anderen ungeschützt ist, da Richtlinien selten mit den Daten reisen. Das Gesamtrisiko entspricht dem schwächsten Kanal, weil Daten regelmäßig Grenzen wie E-Mail-Anhänge oder Integrationen überschreiten.
Klassifizierung muss eine portable Eigenschaft der Daten selbst sein, nicht an ein einzelnes System gebunden. Nur so bleiben Sensitivitäts-Tags und Einschränkungen erhalten und gelten konsistent, wenn Datensätze von EHR zu E-Mail, Filesharing oder KI-Tools wechseln.
Sie setzt einen einheitlichen Satz datenbewusster zero-trust-Richtlinien über alle Kanäle hinweg durch, stellt sicher, dass Klassifizierung mit den Daten reist und die Durchsetzung einheitlich bewertet wird – und bietet einen zentralen, fälschungssicheren Audit-Log für die Compliance.