Die Deutsche Krankenhausgesellschaft (DKG) und der Spitzenverband Bund der Krankenkassen (GKV-Spitzenverband) fordern vom Gesetzgeber, bundesweite Anreize und Rahmenbedingungen zu schaffen, um gestufte Versorgungsstrukturen konsequenter am regionalen Versorgungsbedarf auszurichten. Das geht aus einem gemeinsamen Positionspapier vom Dezember 2022 hervor [4]. Die Ziele des Strategiepapiers sind demnach gemeinsam formuliert und bedeuten:

Maßnahmen für Effizienz
Die DKG und der GKV-Spitzenverband heben zur Erreichung dieser Effizienzsteigerungen vor allem drei Maßnahmen hervor:

Im Grundsatz besteht zwischen den Beteiligten ein Konsens über die Ziele. Der Fokus liegt darauf, das neue Krankenhausmodell bis 2025 einzuführen und so die Finanzierung für Gesundheitseinrichtungen unter den neuen wirtschaftlichen Gesichtspunkten dauerhaft sicherzustellen.

Zusätzlich zu den thematisierten Schwerpunkten wird deutlich, dass viele Krankenhäuser trotz zwei Jahren Coronapandemie, den Auswirkungen des Ukrainekriegs und der fortwährenden Energiekrise ihren Digitalisierungsprozess weiter vorantreiben müssen.

Neben der Weiterentwicklung des digitalen Reifegrads sind zudem neue Managementansätze erforderlich, um Nachwuchskräfte für das Berufsfeld „Medizin” und den Arbeitsort „Krankenhaus” zu begeistern, bei gleichzeitiger Berücksichtigung der vorhandenen Diversität des Arbeitsmarkts, dem Voranbringen der Kampagne „Work-Life-Balance” mit dem Ansatz der Vereinbarkeit von Beruf und Familie und der Implementierung hybrider Arbeitsformen.

Digitalisierung bedeutet auch, neben veränderten Arbeitsbedingungen Wege zu finden, um jungen Menschen und Talenten im Arbeitsumfeld „Klinik” eine berufliche Plattform zu bieten, mit der die Gesundheitseinrichtung ganzheitlich und nachhaltig digital transformiert werden kann. Nur so wird es gelingen, die digitale Reife von Krankenhäusern innovativ voranzubringen.

Wertschätzende Unternehmenskultur
Eine wichtige Betrachtung bei der Reifegradentwicklung eines Krankenhauses bildet die dialogische Kommunikation. Darunter versteht man eine Arbeitsatmosphäre in der Klinik, die geprägt ist von Sicherheit am Arbeitsplatz, klarer und verbindlicher Regelung von Aufgaben, Abläufen, Zuständigkeiten und Verantwortlichkeiten. Ein gutes Arbeitsumfeld bewirkt, dass die Mitarbeiter bei der Reifegradentwicklung im Change-Management-Prozess eine positive Teamkultur entwickeln können und eigene Meinungen und Vorschläge in den Prozess mit einfließen. Der Ansatz ermöglicht es, in diesem Kontext eine wertschätzende Unternehmenskultur zu entwickeln.

Schätzungen gehen davon aus, dass rund zwei Drittel aller geplanten Veränderungsprozesse (Change-Prozesse) scheitern [5]. Zu den Hauptgründen dafür zählt die mangelnde Beteiligung der Mitarbeiter. Von der Beschäftigtenakzeptanz und ihrer Motivation hängt es am Ende ab, ob Veränderungsprozesse gelingen oder nicht. Kliniken und Krankenhäuser, die das verstanden haben, schaffen eine Kultur des kontinuierlichen Lernens und Räume, in denen alle Beteiligten die Digitalisierung gemeinsam aktiv gestalten. Visionäre Kliniken wissen um die hohe Bedeutung von Selbstwirksamkeit der Beschäftigten als Ressource und ermutigen die Mitarbeitenden, digitale Herausforderungen anzunehmen. Je größer das Vertrauen der Mitarbeiter, mit den neuen Anforderungen Schritt halten zu können, desto höher ist auch die Veränderungsbereitschaft im Prozess einer digitalen Reifegradentwicklung. Folgende zehn Punkte stellen dar, woran Change-Prozesse in der digitalen Reifegradentwicklung in einer Klinik scheitern können [6]. Mögliche Lösungsansätze werden direkt dazu genannt:

Ein langfristiger strategischer Erfolg innerhalb einer Entwicklungsroadmap zur digitalen Reifegradentwicklung eines Krankenhauses gelingt idealerweise besser mit einer Technologiepartnerschaft aus der Industrie. Das Ziel ist es, gemeinsam Innovationen voranzutreiben, die im Rahmen dieser Partnerschaft im Krankenhaus eingeführt werden. Im Zentrum einer Herstellerpartnerschaft stehen die digitale Transformation und die dauerhafte Einführung leistungsfähiger digitaler Lösungen in der Medizin und im Geschäftsumfeld. Eine Technologiepartnerschaft ist geprägt von:

Eine Technologiepartnerschaft ist Voraussetzung für die Schaffung idealer Bedingungen, um die Wirtschaftlichkeit und die Qualität der Patientenbehandlung dauerhaft zu erhöhen.

Die Nutzung von künstlicher Intelligenz (KI) in einer Gesundheitseinrichtung ist erforderlich, um eine Plattform zu schaffen, damit die automatische Nutzung von medizinischen Daten (im weiteren Verlauf für Forschung) und die Anwendung evidenzbasierter Medizin möglich wird. Eine integrierte technologische Plattform für KI macht klinische Daten aus den Bereichen Anamnese, Diagnose und Behandlungsverlauf transparent und allgemein für alle zugänglich. Die Anwendung von KI gilt als Triebkraft, um Daten aus unterschiedlichen medizinischen Systemen und Anwendungen für alle an der Patientenbehandlung Beteiligten zugänglich zu machen. Die Nutzung von KI macht die Einführung eines Managementsystems für klinische Studien (Clinical Trial Management System − CTMS) möglich [7].

Die deutschen Krankenhäuser haben einen großen Nachholbedarf bei der Umsetzung von Interoperabilität. Das KHZG fördert besonders die Fördertatbestände, die darauf abzielen die Interoperabilität im Krankenhaus zu verbessern. Anträge auf Vorhaben sind aber nur förderfähig, wenn beim Datenaustausch die internationalen Standards zur Herstellung einer durchgehenden internen und externen Interoperabilität verwendet werden; so sollen Medienbrüche im Sinne der Patientensicherheit sektorenübergreifend vermieden werden. Schwerpunkte bei der Umsetzung der Interoperabilität sind die Förderung der Standards, z. B.: IHE, FHIR, DICOM, XML, LOINC, SNOMED CT und weitere.

Die Standardisierung der Interoperabilität umfasst die Teilbereiche:

Die medizinische Teilhabe der Patientinnen und Patienten an ihrem eigenen Behandlungsprozess soll in Zukunft über Onlineplattformen stattfinden, in dessen Netzwerkmittelpunkt die Telematikinfrastruktur der Gematik steht. Denn die Patienten erwarten in der medizinischen Versorgung die gleiche digitale Selbstständigkeit und Selbstverständlichkeit, die sie aus allen anderen Lebensbereichen gewohnt sind.

Beispiel Patientenportale
Eine aktuelle Auswertung zeigt, dass die Krankenhäuser beim Anschluss an Onlineplattformen einen großen Nachholbedarf haben. Das Portal DigitalRadar Krankenhaus wertet bei seiner vorgeschriebenen Befragung aus, dass die deutschen Krankenhäuser bei der Patientenpartizipation durchschnittlich fünf Punkte erreichen (betrifft: Patientenportale, Entlassmanagement, Rehaüberleitung, elektronische Patientenakte ePA). Die Krankenhäuser haben laut Bundesamt für Soziale Sicherung (BAS) 1.130 Anträge (Stand 2022) für den Fördertatbestand Patientenportale gestellt [8].

Onlineplattformen unterstützen die Patienten (Leistungsempfänger) von der Krankenhauseinweisung (Onboarding) bis hin zur Entlassung (ggf. mit Überleitung in die Anschlussversorgung/Reha) aus dem Krankenhaus. Onlineplattformen können so die Beschäftigten der Kliniken und Krankenhäuser entlasten und die administrativen Prozesse bei der Bearbeitung von papierlosen Patientendokumenten beschleunigen.

Das Fallbeispiel „Patientenportale in Deutschland” zeigt, dass so etwas nicht sehr verbreitet ist. Vorhandene Patientenportale haben wiederum für Patienten nur einen eingeschränkten Funktionsumfang. Ziel der Etablierung eines Patientenportals ist es, vor, während und nach der Patientenbehandlung den Kommunikationsaufwand zwischen den am Behandlungsprozess Beteiligten zu reduzieren. Die durch ein Patientenportal optimierte Kommunikation soll den Informationsaustausch zwischen Krankenhaus und Patient beschleunigen und dadurch die Versorgungsqualität flächendeckend verbessern.

Nach dem KHZG sind Krankenhäuser verpflichtet, Patientenportale einzuführen und aktiv zu nutzen. Mit den staatlich geförderten Portalen sollen Patienten mehr teilhaben (Patienten-Journey). Unklar ist aber noch, wie die Vielzahl der Portalanbieter einheitlich, standardisiert und interoperabel auch überregional über die Telematikinfrastruktur der Gematik an die krankenhausinternen Prozesse andocken sollen.

Im Rahmen der digitalen Transformation im Krankenhaus kommt den Patientenportalen eine strategische Rolle zu: denn über diese können die Patienten und Einweiser (Arztpraxen) an Krankenhäuser gebunden werden. Beim Wettbewerb zwischen den Gesundheitseinrichtungen können also diejenigen Kliniken und Krankenhäuser Vorteile erlangen, die ein Patientenportal einführen.

Die Nutzung von Cloud-Plattformen können den IT-Betrieb effizienter machen. Viele Krankenhäuser setzen auf eigene Rechenzentren und managen ihre IT-Infrastruktur mit langjährig bewährten lokalen IT-Lösungen. Sie können zukünftig bedarfsgerecht von den Vorteilen der Cloud profitieren. Vorteile sind

Cloud-Plattform-Lösungen ermöglichen diese Vorteile, wenn die Cloud bedarfsgerecht in das IT-Betriebskonzept (auch IT-Ökosystem) eines Krankenhauses eingebunden wird. Mediziner und Verantwortliche für den IT-Betrieb können von neuesten Cloud-Technologien profitieren. Medizinproduktehersteller als Innovationspartner für Kliniken und Krankenhäuser haben inzwischen angepasste Cloud-Lösungen entwickelt und bieten Cloud-Technologie für die Integration in eine vorhandene IT-Infrastruktur an. Seit Beginn der Coronapandemie und auch zukünftig werden klinische Applikationen als Software im Verfahren Software as a Service (SaaS) den Krankenhäusern zur Verfügung gestellt.

Da Cloud-Lösungen dezentral (also außerhalb der Gesundheitseinrichtung) im Rahmen einer Technologiepartnerschaft zur Anwendung kommen, können für die Bereitstellung erhebliche Kosten eingespart werden (z. B. Betriebskosten wie Administrator- und Energiekosten). Der Aufwand für den Betrieb liegt beim Cloudanbieter. Aus technischer Sicht sprechen vor allem der geräte-, zeit- und ortsunabhängige Zugriff auf Patientendaten sowie die bedarfsgerechte Skalierbarkeit von Leistung und Kapazität für den klinischen Betrieb.

Moderne Cloud-Plattformen unterstützen [9]:

Eine moderne Cloud-Plattform kann alle Leistungen für das Gesundheitswesen aus einer Hand anbieten – von der Migration über die breitbandige Netzwerkanbindung bis zum kompletten Betrieb. Entweder werden bestehende Anwendungen des Krankenhauses genutzt oder IT-Dienstleistung bereitgestellt oder komplett in eine Cloud-Lösung migriert [10].

Health Cloud
Ein neuer notwendiger Trend ist der Cloudbetrieb für Healthcare-Anwendungen (Health Cloud). Health Cloud wird als Lösung von CRM-Health-Anbietern für Kliniken angeboten, um das Patientenbeziehungsmanagement zu handhaben und die Pflegekoordination im Krankenhaus zu optimieren. Diese sich ständig weiterentwickelnden Health-Cloud-Plattformen konzentrieren sich auf den Aufbau einer integrierten Umgebung. Darunter versteht man die Art und Weise einer Cloud-Implementierung von Anwendungen, die darauf abzielen die Patientenversorgung während der gesamten Patientenbehandlung im Rahmen einer Prozessorchestrierung im Krankenhaus zu verwalten. Ein Health-Cloud-Betrieb kann den Klinikbetreiber dabei unterstützen, den Datenaustausch und die Sichtbarkeit (Draufsicht) aller Behandlungsdaten des Patienten für alle Beteiligten zu verbessern, indem auf Daten innerhalb einer EHR/EMR zugegriffen werden kann und über die Health-Cloud-Plattform umfangreiche Tools bereitgestellt werden.

Cloud-Health-Plattform-Funktionen können als Add-on (Programmerweiterungen) durch das Krankenhaus im Rahmen der Einführung eines CRM-Health-Systems zugebucht werden. Die Add-ons zielen darauf ab, konkrete Tools zu nutzen, um die Fähigkeiten insbesondere der Patientendokumentation EHR/EMR zu verbessern und an die sich ständig ändernden Umgebungsbedingungen (z. B. regulatorische Anforderungen, Umsetzung von EU-Recht in nationales Recht) anzupassen.

Der Zugang zu den Health-Cloud-Plattform-Funktionen erfolgt über Health-Interoperabilitätsstandard-Formate. Damit wird gewährleistet, dass die derzeitigen und zukünftigen medizinischen Datenstandards der neuen Technologien (z. B. Einbeziehung der Daten aus IoT-Geräten oder Wearables), aber auch die Nutzung von Apps aus freigegebenen Digitalen Gesundheitsanwendungen (DiGA) mit in die komplexe Datenverarbeitung und die Speicherung dieser Daten in die ePA (EHR/EMR) stattfinden kann.

Bei der Umsetzung der EMRAM Stufe 3 muss die Implementierung von CRM Health und von Health Cloud Berücksichtigung finden. Es ist von strategischer Bedeutung für die Entwicklung einer Reifegradstufe nach EMRAM 3, dass die Ausrichtung eines Krankenhauses auf die Nutzung von Cloud-Health-Plattformen neue Kommunikationskanäle schafft, um über diesen Weg eine bessere Patientenbindung zu ermöglichen. Das gelingt dadurch, dass über den Cloud-Health-Betrieb Zugang zu sozialen und mobilen Technologien ermöglicht wird. Dieser Zugang schafft eine Metaebene zwischen Patient und Krankenhaus (Arztbeziehungsebene) und es wird in Zukunft ein Erfolgsfaktor sein, inwieweit es dem Krankenhaus gelingen wird, die modernen Technologien so zu nutzen, dass eine personalisierte Medizin (Patienteninteraktion) stattfinden kann, in der der Patient im Mittelpunkt steht.

Digitalisierung und Vernetzung in Kliniken und Krankenhäusern eröffnen großartige medizinische Nutzungsmöglichkeiten. Die moderne digitale Nutzung medizinischer Apps z. B. Cloudbetrieb oder Anschluss von Medizingeräten an die Fernwartung bergen aber auch erhebliche Gefahren für die Cybersicherheit im Krankenhaus. Die Zahl der Schadprogramme steigt seit Jahren rapide an. Professionelle Cyberkriminelle suchen zunächst nach ungeschützten Netzwerken und sorglosen Anwendern. Die Fälle reichen von Datendiebstahl über Erpressung (Ransomware), Sabotage bis hin zum Versuch (Social Engineering) der gezielten Manipulation von Systemen und Geräten (Hacking).

Um die IT-Sicherheit im Krankenhaus zu gewährleisten, ist ein Umdenken auf allen Arbeitsebenen notwendig. Effektiver Schutz vor Cyberkriminellen kann nur erreicht werden, wenn alle zusammenarbeiten, z. B.:

In dem Maße, wie sich die Medizin weiterentwickelt, entwickeln sich auch die Informationssysteme und Technologien, die Patientendaten enthalten und die Patientenversorgung unterstützen. Medizinproduktehersteller stellen den Betreibern (Gesundheitseinrichtungen, Kliniken, Krankenhäusern) sogenannte „Manufacturer Disclosure Statement for Medical Device Security”(MDS2-)Dokumente bereit, um über Sicherheitsinformationen die Cybersecurity betreffend über seine Medizinprodukte zu informieren. An einem Fallbeispiel des Medizinprodukteherstellers Dräger AG & Co. KGaA wird dargestellt, welche Herstelleranstrengungen unternommen werden, um Betreiber bei der Umsetzung der Cybersecurity zu unterstützen [11].

Auswirkungen
Die allgemeinnützige Organisation ECRI EMEA (Emergency Care Research Institute) stellt 2022 eine gekürzte Version über aktuelle Top-Gefährdungen für Medizinprodukte vor. Top-1-Punkt dieser Liste stellen Cybergefährdungen für Medizinprodukte dar. An einem Fallbeispiel im aktuellen Bericht des ECRI EMEA wird praktisch erläutert, welche Auswirkungen Cybergefährdungen auf die Patientensicherheit haben können. Sinngemäß heißt es eingangs: „Cybersicherheitsvorfälle beeinträchtigen nicht nur den Geschäftsbetrieb – sie können die Patientenversorgung stören und eine echte Gefahr für körperliche Schäden darstellen”. Ein aktuelles Fallbeispiel ist ein massiver Cyberangriff auf das Deutsche Klinikum Lippe, mit seinen drei Standorten Detmold, Lemgo und Bad Salzuflen im November 2022. Zur Wiederherstellung des Klinikbetriebs musste die komplette IT-Infrastruktur heruntergefahren und wiederhergestellt werden. Es entstand ein großer wirtschaftlicher Schaden und auch ein Imageschaden ist nicht auszuschließen. Robuste Cybersicherheit muss deshalb von Anfang an bei der Betrachtung der EMRAM Stufe 3 in die IT-Infrastruktur eines Krankenhauses eingebunden werden.

Risiko Metaverse
Einem anderen Augenmerk galt der Blick auf das sogenannte Metaverse. Darunter versteht man, dass die Angriffsfläche für Cybergefährdungen durch den möglichen Anschluss von verbundenen Systemen, wie z. B. Datenübertagung aus IoT oder Wearables, aber auch aus klinischen Cloudsystemen von Medizinprodukteherstellern, vergrößert wird. Im Kontext der Umsetzung einer hohen Cybersecurity nach den Anforderungen an EMRAM Stufe 3 müssen neue Gefährdungen aus dem Internet ständig betrachtet und Sicherheitsmaßnahmen angepasst werden. Neben den bekannten Risiken durch Phishing, Ransomware und Datendiebstal können Cyberkriminelle zum Beispiel Daten modifizieren, Anmeldedaten imitieren oder kompromittieren, gefälschte Informationen in vernetzte Endgeräte (Medizingeräte) einspeisen oder geistige Eigentumsrechte (medizinische Forschungsdatenbanken) verletzen.

API-Nutzung
In einer Zeit, in der die Cybersicherheit im Krankenhaus zum entscheidenden Thema geworden ist, sind APIs (Application-Programming-Interfaces) derzeit eine Schwachstelle in verbundenen medizinischen IT-Systemen. APIs wurden speziell für Medical-Dienste entwickelt, die wichtige Daten mit Kliniken, Drittanbietern von klinischen Diensten und Mitarbeitern von Krankenhäusern austauschen. Anbieter von DiGA zum Beispiel verfügen über eine Vielzahl von APIs, die sich laufend ändern (Anpassung der DiGA an die BfArM-Vorgaben). APIs werden darüber hinaus für die Cloud-Health-Integration externer Partner- sowie Medizinprodukteherstellerkanäle genutzt und ermöglichen neue, transformative und mobile Onlinedienste, die ab sofort in App-Shops der Medizinproduktehersteller zur lizensierten Nutzung durch Kliniken bereitstehen.

Durch die schnelle Entwicklung medizinischer Apps und DiGA wächst die Angriffsfläche durch fehlerhaft programmierte APIs ständig. Um sich innerhalb dieser sich entwickelnden App- und DiGA-Landschaft effektiv zu schützen, benötigen Sicherheitsverantwortliche von Krankenhäusern eine API-Sicherheitslösung, die mindestens drei Sicherheitsfunktionen bietet:

Medizinische IT-Systeme, Anwendungen und APIs sowie die Daten, mit denen sie interagieren, verteilen sich im Krankenhaus über mehrere Umgebungen. IT-Sicherheitsverantwortliche brauchen einen Einblick in alle APIs innerhalb und zwischen allen Umgebungen sowie Anwendungen des Krankenhauses, um eine vollständige Transparenz des API-Nachrichtenverkehrs zu erhalten. Das Fallbeispiel API-Nutzung zeigt auf, dass die Stellung der IT-Verantwortlichen (Informationssicherheitsbeauftragten – ISB) im laufenden IT-Sicherheitskonzept (ISMS) von entscheidender Bedeutung ist, wenn es um den Aufbau eines konformen Sicherheitskonzepts mit Fokus auf die Anwendung des branchenspezifischen Sicherheitsstandards B3S geht. MIT widmet wegen der besonderen Stellung der Cybergefahren für vernetzte Medizinprodukte ein gesondertes Kapitel des Fortsetzungswerks.