Sponsored AMC Advanced Medical Communication

Das Fachklinikum Mainschleife in Volkach ist mit seinen 40 überwiegend orthopädisch-chirurgischen, stationären Betten und seinen zwei als Medizinische Versorgungszentren (MVZ) organisierten Facharztzentren keine riesige Einrichtung. Knapp 150 Mitarbeiter: innen versorgen die Patient:innen, die dort operiert werden wegen Endoprothesen an Knie und Hüfte, Frakturen an Füßen und Sprunggelenken und auch wegen ein paar Erkrankungen der inneren Organe, minimalinvasiv.

Am 1. Januar 2022 hatte das Fachklinikum Mainschleife ein Problem. Das Haus hieß bis dahin Helios Klinik Volkach. Es wurde aus dem Helios Konzern herausgelöst und von der Frankfurter Remedium Healthcare übernommen. So weit, so normal im deutschen Gesundheitswesen. Die Übernahme wirkte sich aber nicht nur auf den Namen, sondern auch auf die IT-Ausstattung aus. Bis zur Übernahme war der Helios-Konzern für die IT zuständig. Das Haus hatte mit SAP IS-H und i.s.h.med gearbeitet. Es gab noch eine einjährige Übergangsfrist, aber zum 31. Dezember 2022 war definitiv Schluss. Das Klinikum musste sich neu orientieren.

Letztlich hatten die neuen Betreiber nur ein Jahr Zeit, um eine separate, eigenständige Infrastruktur aufzubauen und die Anwendungslandschaft völlig neu aufzusetzen. Das war eine Herausforderung, denn: „Die Komplexität einer Anwendungslandschaft im Krankenhaus ist nicht größenabhängig. Die Grundanwendungen brauchen Sie immer, egal ob Sie 40 oder 1 000 Betten haben“, sagt Rolf Grube, Senior Manager bei dem Unternehmen Oberender. Das Unternehmen berät Krankenhäuser, übernimmt aber auch Klinikgeschäftsführungen und begleitet Übernahmen und Fusionen operativ. Letzteres war beim Fachklinikum Mainschleife der Fall.

WARUM CLOUD?

Nicht zuletzt wegen des sportlichen Zeitrahmens habe man sich entschieden, in Sachen IT Neuland zu betreten, so Grube zu E-HEALTH-COM. Es wurde gemeinsam mit der Geschäftsführung beschlossen, die komplette IT-Infrastruktur Cloud-basiert zu realisieren – inklusive der klinischen Arbeitsplatzsysteme. Die Entscheidung war auch für Oberender Neuland: „Es ist ein Pilotprojekt für uns, aber eines, in dem wir sehr viel Potenzial sehen“, so Grube. Die Cloud hat aus seiner Sicht im Wesentlichen drei Vorteile: Wirtschaftlichkeit, Sicherheit, Geschwindigkeit.

Die Geschwindigkeit war der entscheidende Faktor: „Wir standen vor der Frage, ob wir eine komplette Anwendungslandschaft einschließlich einer kompletten Server-Landschaft neu kaufen.“ Für den Gang in die Cloud sprach auch, dass das Haus mit der Loslösung von Helios plötzlich ohne IT-Personal dastand. Denn dafür war bis dato die zentrale IT des Konzerns zuständig gewesen. In der ohnehin knappen Zeit hätte also auch noch eine ganze IT-Abteilung aufgebaut werden müssen.

Der Cloud-Betrieb machte das alles deutlich einfacher. Allerdings betont Grube, dass es nicht darum gehe, Personal einzusparen: „Auch wenn die Infrastruktur in der Cloud betrieben wird, braucht es Personal vor Ort. Ganz ohne geht es nicht. Wir können im Sinne einer ‚shared responsibility‘ gewisse Dinge an den Cloud-Betreiber abgeben, das Patchen von Servern zum Beispiel. Aber es müssen immer noch Nutzer:innen angelegt werden, es muss sich um Zugriffsberechtigungen gekümmert werden. Es gibt Drucker und andere physikalische Themen, etwa wenn ein Rechner nicht mehr startet.“ Die große Stärke am Cloud-Betrieb mit Blick auf das Personal sieht Grube darin, dass sich das Jobprofil verändert: „Es geht weniger um Kabel und mehr um die Frage: Wie kann ich das Potenzial einer Applikation optimal ausschöpfen? Das kommt bisher viel zu kurz.“ Grube ist überzeugt, dass durch diese Verschiebung des Aufgabenprofils letztlich auch der Job des Krankenhaus-IT-Leiters attraktiver wird – und das wiederum ist wichtig in Zeiten, in denen gerade mittelgroße Krankenhäuser kaum noch IT-Personal finden.

WELCHES KIS?

Dreh- und Angelpunkt des ganzen Cloud-Projekts aus klinischer Perspektive war natürlich das KIS. „Hier war klar, dass wir idealerweise eine webbasierte Applikation nutzen wollten“, so Grube. „Webbasierte Anwendungen stellen keine hohen Anforderungen an die Clients. Und auch die Netzwerklast ist eine ganz andere als bei klassischen Client-Server-Anwendungen.“ Nach kurzer Marktrecherche fiel die Entscheidung recht schnell auf CLINIXX® von AMC. Das war im März 2022, neun Monate bevor in Sachen IS-H und i.s.h.med der Hammer fiel. Das Unternehmen AMC ist Teil der United Web Solutions, einem Zusammenschluss mittelständischer Gesundheits- IT-Anbieter mit webbasierten Lösungen im Portfolio, an dem auch apenio, ID, d.velop und medatixx beteiligt sind.

Auch für AMC war ein KIS aus der Cloud Neuland, wie Geschäftsführer und Unternehmensgründer Jörg Reichardt berichtet: „Ich habe Oberender damals gefragt, wie das KIS denn betrieben werden soll, da sagten sie: In der Cloud. Da sagte ich: Gerne, das ist ja spannend.“ Spezielle Herausforderungen aus Sicht des KIS-Herstellers gebe es bei einer Cloud-Installation nicht, so Reichardt: „Die Software ist identisch, beim Lizenzmodell machen wir auch keinen Unterschied.“ Stark erleichtert wurde das Projekt dadurch, dass Oberender das Beratungsunternehmen KITE Consult aus München an Bord hatte, das viel Erfahrung mit Cloud-Installationen und Cloud-Anbietern hat.

KEINE BERÜHRUNGSÄNGSTE: DIE SOFTWARE LIEGT IN DER AMAZONCLOUD

Für Reichardt ist der Cloud-Betrieb vor allem jenseits der eigentlichen Implementierungsphase potenziell attraktiv: „Ein Punkt ist die Automatisierung von Updates. Wenn wir On-Premises arbeiten, müssen wir uns mit den Kund:innen zu einem Zeitpunkt X verabreden. Das fällt bei Cloud-Installationen weg, was es für uns und die Kliniken einfacher macht.“ Ein Cloud- Betrieb erleichtere es auch, neue Funktionen zügig bereitzustellen: „Sogar ein Shop-Modell, in dem neue Funktionen einfach zugebucht werden können, wird denkbar.“ Im Moment ist das aber noch Zukunftsmusik.

Eine der Gretchenfragen bei einem Projekt, bei dem die komplette IT-Infrastruktur in der Cloud bereitgestellt wird, ist natürlich die Frage nach dem Cloud-Anbieter. Die Volkacher haben diese Frage gemeinsam mit Oberender und KITE Consult mit als Erstes adressiert – und beantwortet. Genutzt wird die sogenannte Amazon-Cloud, das Cloud-Angebot der Amazon-Tochter Amazon Web Services (AWS). Dort wurde letztlich die komplette Server- Infrastruktur des Klinikums abgebildet. Das Ganze nennt sich im Fachjargon Virtual Private Cloud oder VPC. Die Daten sind komplett verschlüsselt mit Schlüsseln, die im Eigentum der Klinik sind und auf die nur die Klinik Zugriff hat. Insgesamt nutzt das Fachklinikum Mainschleife derzeit 28 virtuelle Server, und auf denen liegen die unterschiedlichen Applikationen, vom KIS über die Codier-Software bis hin zu PACS, Arztinformationssystem (AIS) und einer mit dem PACS kommunizierenden Planungssoftware für die Endoprothetik. Im Rahmen von Projekten, die mit Fördermitteln des Krankenhauszukunftsgesetzes (KHZG) verwirklicht werden, kommen demnächst noch eine Pflegemanagement-Software und eine Medikations-Software dazu.

Natürlich ist AWS nicht der einzige Cloud-Provider, der als Partner für Krankenhäuser bei derart ambitionierten Projekten infrage kommt. Andere große internationale Anbieter wie Google oder Microsoft fallen einem als erstes ein. Dazu kommen europäische Anbieter wie OVH oder T-Systems. Um für einen Krankenhaus-IT-Betrieb infrage zu kommen, müssen die Anbieter die europäischen Datenschutzanforderungen erfüllen. Es geht aber auch um Leistungsfähigkeit. Und da trenne sich irgendwann die Spreu vom Weizen, so Grube: „Die Technik ist mittlerweile so fortgeschritten, dass die Infrastruktur, die man in der Cloud abbilden möchte, in Programmier-Code abgebildet wird, der dann auf der Cloud ausgeführt wird und dort die gewünschte Infrastruktur erstellt.“ Da gebe es durchaus Unterschiede zwischen den Anbietern, auch was das nötige Programmiervolumen angehe.

UND DER DATENSCHUTZ?

Um ein Thema kommt niemand herum, der antritt, klinische Informationssysteme, ob KIS, AIS oder Pflegemanagementsystem, in der Cloud zu betreiben: Ist das sicher? Drehen die Datenschützer da nicht durch? Grube hält das zumindest teilweise für ein Vorurteil: „Wir haben uns als Allererstes mit dem Datenschützer des Hauses unterhalten und das diskutiert. Nachdem wir ihm genau erklärt haben, wie wir es machen wollen, hat er gesagt: ‚Das geht.‘“ Ganz neu ist das Thema ja auch nicht. Vom Bundesamt für Sicherheit in der Informationstechnik (BSI) gibt es Empfehlungen. Auch Landesdatenschützer haben im klinischen Bereich schon Cloud-Projekte akzeptiert, wenn auch noch kein komplettes Cloud-KIS bei einem der großen Cloud-Anbieter.

„Wo es tatsächlich Probleme mit Datenschützern gibt, sind bestimmte Cloud-basierte Software-as-a-Service-Angebote“, so Grube. „Das machen wir aber nicht, wir machen Infrastructure-as-a-Service. Überzeugt haben wir unseren Datenschützer mit einer durchgehenden Verschlüsselung, at rest und in transit, also sowohl bei der Speicherung als auch beim Transport in unserer VPC. Das Schlüsselmanagement liegt vollständig in Kundenhand. Und es gibt eine Regionenbegrenzung: Bei uns liegen die Daten in der Europaregion Frankfurt, auf drei Rechenzentren, die circa 200 Kilometer auseinanderliegen.“ Die Verschlüsselung beim Transport sei dabei ein wichtiger Faktor gewesen, betont Grube: „Selbst wenn im unwahrscheinlichen Fall Daten während des Transports nach außen gelangen, sind sie immer noch verschlüsselt. Das führt bei dem Transfer Impact Assessment, das die Datenschützer durchführen, am Ende zu einem niedrigen Risiko.“

In Sachen Datenschutz bietet die Cloud sogar Vorteile gegenüber dem On-Premises-Betrieb. So kann beispielsweise in jedes virtuelle Netzwerkkabel in der Cloud-Infrastruktur eine Firewall eingeklinkt werden. Microsegmentation nennt sich dieses Vorgehen. Es gibt dann für jede einzelne Serververbindung ein Regel-Set, das beschreibt, wie die jeweils verbundenen Server kommunizieren dürfen. Alles, was dem Regel-Set – der Firewall-Einstellung – nicht entspricht, wird geblockt. „Wir nutzen außerdem Load Balancer. Das ist eine von der Cloud bereitgestellte Dienstleistung, die bei der Umverteilung von Lasten für eine automatische Verschlüsselung sorgt. Und auch die Erneuerung ablaufender oder ausgefallener Zertifikate geht in der Cloud mehr oder weniger automatisch. Das sind alles sicherheitsrelevante Faktoren“, so Grube. Letztlich könne das Sicherheitsniveau, das die Klinik benötige, in der Cloud wirtschaftlicher hergestellt werden als On-Premises. Und natürlich ist bei On-Premises-Installationen auch noch vor Ort das Personal nötig, das sich mit den Tools auskennt.

GEHÖRT DIE ZUKUNFT DEM DUO AUS CLOUD UND VERÄNDERTER DATENHALTUNG?

Grube zufolge sind die Volkacher nicht verpflichtet, sich mit dem bayerischen Landesdatenschützer eigens abzustimmen: „Wir werden das aber tun, und wir haben wenig Zweifel, dass er zustimmen wird.“ Erleichtert werden dürfte die Sache durch die Neuregelung des Bayerischen Krankenhausgesetzes vom Sommer 2022, die unter anderem auf Erleichterung der Nutzung einer Speicherung von Patientendaten in der Cloud und von Cloud-basierten Mehrwertdiensten zielt.

Mit Blick auf die etwas fernere Zukunft stellt sich Grube die Frage, ob der Cloud-Betrieb nicht gemeinsam mit Standards wie HL7 FHIR dazu beitragen könnte, die Datenhaltung im Krankenhaus in Richtung einer standardisierten, objektorientierten Datenbasis zu verändern, ähnlich einem Vendor-Neutral-Archive, nur eben nicht mit Dokumenten, sondern mit Datenobjekten, und nicht physisch, sondern virtualisiert: „Diese Patientendaten könnten von allen Systemen genutzt werden. Bei einer Systemmigration müssten wir dann nur noch die Anwendungsschicht migrieren.“ Das, so Grube, würde auch berechtigte Löschanfragen nach DSGVO erleichtern, die im Moment oft ein Ding der Unmöglichkeit sind: „Wenn wir einen Daten-See haben, aus dem sich alle Systeme bedienen, sind diese Daten standardisiert, sie sind mobil und auch unkompliziert löschbar.“

Für den KIS-Hersteller AMC eröffnen sich mit dem Volkacher Cloud-Projekt ebenfalls spannende Perspektiven. So sei vorgesehen, künftig enger mit AWS zusammenzuarbeiten, so Reichardt: „Wir wollen uns aber nicht von AWS abhängig machen.“ Kurzfristig dürfte der Signalwert der Volkacher KIS-Installation in der Cloud im Vordergrund stehen. Vielleicht kann die kleine Klinik in Unterfranken eine Eisbrecherfunktion haben. Reichardt ist zuversichtlich: „Wir wollen das Projekt als Blaupause nutzen, um anderen Mut zu machen, diesen Weg ernsthaft in Betracht zu ziehen.“

Prinzipiell, da sind sich Grube und Reichardt einig, ist der Cloud-Betrieb klinischer Informationssysteme für Krankenhäuser jeglicher Größenordnungen interessant. „Die Umsetzung eines solchen Projekts wird aber mit steigender Größe der Einrichtung komplexer“, so Grube, „auch weil das Wissen um die eigenen Anwendungen in sehr großen Kliniken fragmentiert ist.“ Vielleicht sind es deswegen nicht die traditionellen Innovationstreiber in den Universitätskliniken, sondern eher kleine und mittlere Häuser, die das Thema Klinik-IT in der Cloud vorantreiben. Die kleineren Häuser profitieren unter Umständen auch wirtschaftlich mehr, schon weil sie von Skaleneffekten bei Servern, Strom und Kühlung profitieren können, zu denen sie sonst keinen Zugang hätten.

TEXT: PHILIPP GRÄTZEL VON GRÄTZ