Patientendaten in der Cloud: Sichere Lösungen für Kliniken

IT-Umbruch im Gesundheitssektor ist unausweichlich Patientendaten in der Cloud: So sehen sichere Lösungen für Kliniken aus

17.04.2026 Ein Gastbeitrag von Thomas Chudo 2 min Lesedauer

Anbieter zum Thema

noris network AG

FIS Informationssysteme und Consulting GmbH

xSuite Group GmbH

Yorizon GmbH & Co. KG

Seit 2024 dürfen Kliniken Patientendaten auch in der Cloud verarbeiten. Doch welche Infrastruktur erfüllt die strengen Vorgaben und schützt gleichzeitig vor fremdem Zugriff?

DARUM GEHT'S

DigiG und § 393 SGB V: Sie ermöglichen erstmals die Cloud-Nutzung für Kliniken.

US-Hyperscaler: Sie stellen für die Nutzung im Klinikbetrieb ein Souveränitätsrisiko dar.

BSI-C5-testierte Cloud: Sie vereint regulatorische und sicherheitstechnische Vorgaben.

Patientendaten durften bis vor Kurzem nicht in Cloud-Umgebungen verarbeitet werden. Seit Verabschiedung des DigiG im Frühjahr 2024 öffnen sich die Rahmenbedingungen. § 393 SGB V schafft erstmals einen Erlaubnistatbestand für die Cloud-Verarbeitung von Gesundheitsdaten – geknüpft an das BSI-C5-Testat Typ 2.

Cybersicherheit: Healthcare im Visier

Wie dringend der Schritt in professionelle Infrastrukturen ist, verdeutlicht die Bedrohungslage. Ransomware-Angriffe auf Kliniken gehen weit über finanzielle Schäden hinaus. Es braucht forensische Kompetenz und ein Security Operations Center, das Vorfälle rund um die Uhr überwacht. Doch in welche Cloud sollen sensible Gesundheitsdaten wandern? Der US Cloud Act ermöglicht amerikanischen Behörden den Zugriff auf Daten bei US-Anbietern – unabhängig davon, ob die Server in Europa stehen. Die Konsequenz sind souveräne Infrastrukturen, betrieben auf deutschem Boden, unter deutschem Recht, ohne Hintertüren für fremde Jurisdiktionen.

FAQ: Cloud-NUTZUNG IN KLINIKEN

Was ist das BSI-C5-Testat?

Das BSI-C5-Testat definiert Mindestanforderungen an sicheres Cloud Computing. Es wird von unabhängigen Wirtschaftsprüfern nach BSI-Regeln vergeben. Bei Typ 1 wird geprüft, ob eine Plattform die Sicherheitsanforderungen grundsätzlich erfüllen kann. Bei Typ 2 wird nach mindestens einem Jahr Betrieb überprüft, ob die Maßnahmen tatsächlich gelebt werden. Für die Verarbeitung von Patientendaten ist Typ 2 zwingend erforderlich.

Warum sind US-Hyperscaler bei Patientendaten problematisch?

Der US Cloud Act ermöglicht amerikanischen Behörden den Zugriff auf Daten bei US-Anbietern – auch wenn die Server in Europa stehen. Bei Gesundheitsdaten ist dieses Risiko besonders gravierend, da sie zur Erpressung, Diskriminierung oder Benachteiligung bei Versicherungen missbraucht werden können.

Was ist der Sovereign Cloud Stack?

Der Sovereign Cloud Stack (SCS) ist ein Open-Source-Standard der Open Source Business Alliance. Er bildet die technische Grundlage für souveräne Cloud-Plattformen, die ohne proprietäre Abhängigkeiten von US-Hyperscalern auskommen und vollständig im EU-Rechtsraum betrieben werden können.

Souveräne Cloud als Antwort: Offenheit statt Abhängigkeit

An dieser Schnittstelle setzt zum Beispiel die Noris Sovereign Cloud (nSC) an. Die Plattform basiert auf den offenen Standards des Sovereign Cloud Stack – ohne proprietäre Abhängigkeiten und ohne Vendor Lock-in. Betrieben in deutschen Hochsicherheitsrechenzentren, zertifiziert nach EN 50600, ist sie DSGVO- und KRITIS-konform sowie nach BSI C5 testiert. Damit lassen sich Patientendaten in einer Cloud verarbeiten, die BSI-Anforderungen und die Vorgaben des Krankenhauszukunftsgesetzes erfüllt.

adobestock-652588375-metamorworks-amazon-web-services-aws-digitale-souveraenitaet-999x562v1 (Bild: © metamorworks/stock.adobe.com)

Fazit: Der Weg ist vorgezeichnet

Der Gesundheitssektor muss das Rad nicht neu erfinden. Datenschutz, Hochverfügbarkeit, Compliance, Schutz vor Cyberangriffen sind in regulierten Branchen wie dem Finanzwesen seit Jahren Alltag.

Digital Health – Cloud – Klinik Thomas Chudo
ist Senior Manager Public/Health bei Noris Network.

Bildquelle: Noris Network

Jetzt Newsletter abonnieren

Verpassen Sie nicht unsere besten Inhalte

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 16.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die WIN-Verlag GmbH & Co. KG, Chiemgaustraße 148, 81549 München einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von redaktionellen Newslettern nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://kontakt.vogel.de/de/win abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung, Abschnitt Redaktionelle Newsletter.