Wenn man an Krankenhäuser denkt, steht die Zeitstempelung von Daten nicht unbedingt im Vordergrund. Auch kommt einem nicht spontan in den Sinn, dass ein Krankenhaus ein riesiges Informationssystem ist: Von der elektronischen Patientenakte über die MRT bis hin zu allen Geräten in den Patientenzimmern besteht ein Krankenhaus aus Hunderten von Systemen und Anlagen, die kontinuierlich mit Zeitstempel versehene Daten erzeugen und austauschen.
Eine zuverlässige und sichere Zeitreferenz gewährleistet die Nachvollziehbarkeit der Patientenakte, die Konsistenz medizinischer Bilddaten, die IT-Sicherheit der Einrichtung sowie die Einhaltung gesetzlicher Anforderungen.
Die Patientenakte: ein rechtlich bindendes Dokument
ln einem Krankenhaus ist alles wichtig – wenn nicht sogar lebenswichtig. Zu Welcher Uhrzeit muss ein Medikament verabreicht werden? Wann wurde genau ein bestimmter Vitalparameter gemessen? Wer hat welche Pflegemaßnahme zu welchem Zeitpunkt durchgeführt? Diese Informationen sind integraler Bestandteil einer Patientenakte, die dem medizinischen Team als Grundlage für Entscheidungen dient. Vor diesem Hintergrund kann die Zeitangabe zu einer kritischen Information werden, die einem Richter oder einer Versicherung als Beweismittel vorgelegt wird. Sie stammt aus Quellen und Geräten, die ihre Aktionen mit ihrer eigenen Uhr zeitstempeln. Damit die Daten aussagekräftig sind, müssen all diese Uhren synchronisiert sein.
Betrachtet man ein Gerät für sich genommen, reicht dessen eigne Uhrzeit aus. Die Notwendigkeit einer Synchronisation ergibt sich, wenn mehrere Quellen miteinander abgeglichen werden, um einen Ablauf von Ereignissen zu rekonstruieren. Das passiert bei nachträglichen Analysen, beispielsweise nach einem unerwünschten Ereignis oder im Falle einer Anfechtung. Wenn die Geräte nicht dieselbe Zeitreferenz verwenden, ist die rekonstruierte Chronologie falsch und die Daten verlieren ihren Beweiswert.
Welche zeitliche Genauigkeit ist sinnvoll?
Betrachten wir das Beispiel der medizinischen Bildgebung, um den Grad der im Gesundheitswesen erforderlichen Genauigkeit zu verstehen. Die Bilder eines Computertomographen (CT) oder eines MRTs werden im DICOM-Format gespeichert, das jede Aufnahme mit einem Zeitstempel versieht.
Um konsistente Zeitstempel sicherzustellen, nutzt DICOM in Verbindung mit dem IHE-Profil „Consistent Time“ eine Zeitsynchronisation über das Network Time Protocol (NTP).
Um noch einen Schritt weiter zu gehen, gibt ein spezielles Attribut an, ob der Zeitstempel eines Bildes tatsächlich an einer externen Zeitreferenz ausgerichtet ist. So lässt sich feststellen, ob ein medizinisches Bild zuverlässig mit einem Zeitstempel versehen wurde.
Und ein externer Zeitstempel macht die Zeitangaben zuverlässig. Auf diese Weise können die Zeitstempel der an unterschiedlichen Geräten durchgeführten Untersuchungen miteinander abgeglichen werden. So lässt sich der zeitliche Verlauf der Diagnostik und Behandlung eines Patienten lückenlos und nachvollziehbar rekonstruieren.
Es gibt jedoch einen Aspekt, der das Gesundheitswesen von anderen Branchen (wie etwa dem Finanzsektor) unterscheidet.
Im Finanzsektor schreibt die MiFID II-Regulierung spezifische Genauigkeitsschwellen vor (bis zu 100 Mikrosekunden). Im Gesundheitswesen gibt es keine regulatorischen Schwellenwerte mit Blick auf die Genauigkeit.
Das erscheint auf den ersten Blick nicht logisch. Entscheidend für medizinische Anwendungen sind jedoch vor allem die lokale Stabilität und die zeitliche Konsistenz innerhalb einer Gesundheitseinrichtung. Eine hochpräzise Abstimmung mit einer internationalen Referenzzeit ist weniger kritisch. Eine Genauigkeit im Millisekundenbereich, wie sie mit NTP erreicht wird, reicht daher bei weitem aus. Die Herausforderung besteht darin, allen beteiligten Systemen zuverlässig und kontinuierlich dieselbe Referenzzeit bereitzustellen, damit Ereignisse korrekt chronologisch eingeordnet und bei Bedarf nachvollziehbar rekonstruiert werden können.
Anforderungen an Krankenhausinformationssysteme (KIS) im deutschen Gesundheitswesen
Im deutschen Gesundheitswesen bestehen hohe Anforderungen an die Nachvollziehbarkeit von Zugriffen und Änderungen innerhalb von Krankenhausinformationssystemen (KIS). Eine zentrale Rolle spielen dabei die Vorgaben der Datenschutz-Grundverordnung (DSGVO), des Bundesamts für Sicherheit in der Informationstechnik (BSI) sowie die Anforderungen an Informationssicherheits-Managementsysteme (ISMS), beispielsweise nach B3S Krankenhaus oder ISO/IEC 27001. Ein wesentlicher Bestandteil dieser Anforderungen ist die Protokollierung von Benutzeraktionen um zu wissen, wer welche medizinischen Daten wann eingesehen oder geändert hat.
Um dieses „Wann“ zu beantworten, muss das Protokoll zur Rückverfolgbarkeit einen genauen Zeitstempel für jedes Ereignis enthalten. Eine Abweichung von wenigen Minuten zwischen Servern kann zu Fehlern bei der Reihenfolge oder der Zuordnung von zwei zusammenhängenden Ereignissen führen. Aus diesem Grund ist die Synchronisierung des gesamten KIS mit einer einzigen NTP-Quelle entscheidend, damit die Rückverfolgbarkeit im Falle eines Audits zulässig ist.
Cybersicherheit im KIS
Es gibt ein Problem, das Krankenhäuser mit anderen Branchen gemeinsam haben: die Cybersicherheit.
Medizinische Einrichtungen sind regelmäßig Ziel von Ransomware-Angriffen. Sie sind in der Tat leichte Ziele mit vielen Mitarbeitenden, die immer „in Eile“ sind, und Infrastrukturen, die nicht immer auf dem neuesten Stand sind.
Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) und weiterer Sicherheitsbehörden wurden in den vergangenen Jahren zahlreiche Gesundheitseinrichtungen Opfer von Cyberangriffen.
Im Jahr 2023 gab das FBI in seinem „Internet Crime Report“ an, dass von den 1.193 Ransomware-Fällen, die in diesem Jahr von ihm bearbeitet wurden, 249 aus dem Gesundheitswesen stammten.
Nach einem Cyberangriff ermöglicht die Protokollierung der im Krankenhausinformationssystem (KIS) durchgeführten Aktionen die Rekonstruktion des Angriffsverlaufs. Sie hilft dabei nachzuvollziehen, über welchen Angriffsvektor der Eindringling in das System gelangt ist und was kompromittiert wurde. Konkret werden die Protokolle von Dutzenden von Geräten abgeglichen: Firewalls, Server, Endgeräte, Zugangskontrollsysteme, Videoüberwachung. Nur durch eine sorgfältige und präzise Synchronisierung lässt sich der Ablauf vergangener Ereignisse nachvollziehen. Ohne Synchronisation lässt sich nicht nachvollziehen, was passiert ist.
Aus diesem Grund wird der Einsatz eines internen NTP-Zeitservers empfohlen.
Ein Problem bleibt jedoch bestehen: In seiner aktuellen Version authentifiziert NTP seine Quellen nicht. Gelingt es einem Angreifer, manipulierte Zeitpakete in die Kommunikation einzuschleusen, kann er die Systemzeit eines Geräts verändern und dadurch die Zeitstempel in den Protokolldateien verfälschen. Das im RFC 8915 spezifizierte Protokoll NTS (Network Time Security) erweitert das Network Time Protocol (NTP) um Mechanismen zur Authentifizierung und Verschlüsselung.
Zur weiteren Verbesserung wird empfohlen, einen Zeitserver einzurichten, der das NTS-Protokoll nutzt.
Robust synchronisiert
In der Regel erhält ein interner Zeit-Server ein GNSS-Zeitsignal (GPS, Galileo usw.). Was geschieht jedoch, wenn dieses Signal durch Störungen, einen Antennenausfall oder Bauarbeiten ausfällt? Hier hängt alles vom internen Oszillator des Servers ab. Ein OCXO-Oszillator oder ein Rubidium-Oszillator hält die Referenzzeit (Holdover) mit minimaler Abweichung über einen Zeitraum von bis zu mehreren Monaten aufrecht (bis die Quelle wiederhergestellt ist). In einem Krankenhaus verhindert diese Holdover-Funktion, dass der Ausfall eines Satellitensignals schrittweise zu einer Desynchronisation der gesamten Einrichtung führt.
Konformität
Über die informationstechnische Ebene hinaus umfasst die gesetzlich geforderte Rückverfolgbarkeit auch medizinische Maßnahmen, die Verabreichung von Arzneimitteln sowie den Einsatz von Blutprodukten und implantierbaren Medizinprodukten. Ohne Zeitstempel geht die Rückverfolgbarkeit dieser Faktoren jedoch verloren. In Deutschland werden Anforderungen an Sicherheit, Nachvollziehbarkeit und Prüfbarkeit durch regulatorische Vorgaben, Zertifizierungsverfahren sowie Anforderungen an die digitale Gesundheitsversorgung berücksichtigt. Auch wenn eine zuverlässige Zeitsynchronisation nicht ausdrücklich gefordert wird, ergibt sie sich zwangsläufig aus den Anforderungen an Sicherheit und Nachvollziehbarkeit.
