Der Schweizer Abrechnungsdienstleister MediData sichert sensible Gesundheitsdaten mit einem durchdachten Security-Konzept.
Foto: AdNovum
MediData hält sein Netzwerk mit Nevis Security in puncto Sicherheit auf dem neuesten Stand
Im Zuge der digitalen Transformation steigen die Anforderungen an Leistungsträger und Dienstleister im Gesundheitswesen. Immer größere Datenmengen wandern durchs Netz und die Kunden erwarten neue Services wie etwa Apps für Patienten. Zudem spielen Datenschutz und Sicherheit eine immer wichtigere Rolle – nicht zuletzt, weil in der jüngsten Vergangenheit vermehrt Angriffe von Cyber-Kriminellen auf Gesundheitsdienstleister bekannt wurden. So erbeuteten Hacker in Finnland Informationen aus Psychotherapie-Sitzungen und der irische Gesundheitsdienst hatte mit den Folgen eines Ransomware-Angriffs zu kämpfen. Vor diesem Hintergrund setzt MediData, eine Schweizer Plattform für die Übermittlung digitaler Leistungsabrechnungen im medizinischen Bereich, auf das Know-how von AdNovum, einem Spezialisten für Software- und Security-Lösungen, sowie auf die AdNovum-Ausgründung Nevis Security.
Rund 85 Prozent aller digital versendeten Rechnungen in der Schweiz werden über die Server von MediData übermittelt. Allein im Jahr 2020 waren das rund 82 Millionen Dokumente. Alle Krankenhäuser der Schweiz, 98 Prozent der Apotheken, 95 Prozent der Unfallversicherungen, Spitäler und Labore, 11.000 Ärzte sowie viele weitere Healthcare Professionals sind an das Netz des Unternehmens angeschlossen.
MediData hat schon im Jahr 2017 damit begonnen, ein neues Netzwerk aufzubauen: Das „MediData-Netz“. Die neue Plattform bietet Anwendern mehr Komfort sowie neben der Leistungsabrechnung zusätzliche Services und sollte in puncto Sicherheit auf dem neuesten Stand sein.
Bereitgestellt wird das MediData-Netz in drei verschiedenen Infrastrukturen. Kleinere Praxen und Organisationen erhalten mit der MediData Box einen Minicomputer als Einzelanschluss und größere Praxen, die oft mit einer virtuellen IT-Infrastruktur arbeiten, eine Virtual Appliance. Zudem wird eine technische Lösung für Softwarehäuser bereitgestellt, die ihre Branchenapplikationen in einer Cloud betreiben. Den Anwendern stehen im Wesentlichen Webprodukte und Produkte, die ausschließlich auf der von MediData zur Verfügung gestellten Appliance laufen, zur Verfügung. Zu Letzteren gehören auch die Leistungsabrechnungen als sogenannte Transportprodukte. MediData stellt dabei lediglich die Infrastruktur für diesen Transport bereit und kann die verschlüsselten Daten selbst nicht mitlesen.
Das neue MediData-Netz so abzusichern, dass nur berechtigte Personen auf die sensiblen Daten zugreifen können, war bei dem Projekt eine der zentralen Herausforderungen. „Mit der Authentifizierungslösung von Nevis haben wir die Garantie einer sicheren Zustellung samt korrekter und unzweifelhafter Identifikation der Teilnehmer. Zudem trifft der Funktionsumfang genau unseren Bedarf und die umfangreiche Dokumentation macht die Integration sehr einfach“, berichtet Cristiano Dias, Software-Entwickler bei MediData.
Ein weiterer Grund für den Abrechnungsdienstleister, Nevis sowie AdNovum mit der Umsetzung zu betrauen, war, dass während des gesamten Integrationsprozesses direkte Ansprechpartner zur Verfügung standen – und es auch jetzt im laufenden Betrieb noch tun.
Zusammen mit AdNovum wurde im Jahr 2017 initial ein Sicherheitskonzept erstellt. Bei der Umsetzung der neuen Plattform in den folgenden zwei Jahren kam MediData insbesondere bei komplexeren Anwendungen die technische Unterstützung des Security-Spezialisten zugute. Geschützt werden die einzelnen Anwendungen des MediData-Netzes mit der Nevis Identity Suite. Dazu zählen auch das Kundenportal, in dem die Kunden ihre Konfigurationen vornehmen können, und das interne Tool der Support-Abteilung.
Damit sich keine Unbefugten Zugang zu den sensiblen Abrechnungsdaten verschaffen können, werden die Appliance-Produkte mit OAuth gesichert. Die Registrierung erfolgt mit einem Private- und einem Public-Key, der Zugriff selbst via Access Token. Eine besondere Herausforderung stellte dabei dar, dass die Registrierung nach einem bestimmten Zeitraum abläuft. MediData und AdNovum entwickelten deshalb zusammen ein Konzept, damit sie automatisch erneuert wird.
Auch die Sicherstellung der Mandantenfähigkeit war ein wichtiger Punkt. Als Admin kann eine MPA, die allein in einer Gruppenpraxis arbeitet, gleichzeitig die Administrationsrolle für mehrere Organisationen übernehmen. Eine initiale Lösung wurde mit Nevis umgesetzt, sodass es möglich wurde, für eine gültige Session die Profile laufend auszutauschen; ein Benutzer kann dazu bei mehreren Units mit unterschiedlichen Rollen angehängt werden.
Da MediData bei diesem Projekt Sicherheitsanwendungen integriert hat, statt sie selbst zu implementieren, war die enge Zusammenarbeit auf technischer Ebene mit AdNovum essenziell. Zudem war es während des Integrationsprozesses unbedingt erforderlich, die Verantwortlichkeiten zwischen Betrieb und Entwicklung organisatorisch klar voneinander abzugrenzen – das gelang mit der Nevis Identity Suite, berichtet Cristiano Dias.
Heute läuft die neue Plattform bereits seit mehreren Jahren erfolgreich. „Durch den Einsatz der AdNovum-Lösungen und der Nevis Suite bei diesem Projekt haben wir die Sicherheit für die Login-Daten und die Daten, die wir über unser Netzwerk transportieren, signifikant erhöht. Zudem haben wir die Gewissheit in dieser Hinsicht stets auf dem neusten Stand zu sein – das kommt auch bei unseren Kunden gut an“, resümiert Dias. Eine weitere Zusammenarbeit sei in Planung.
