MVZ-IT-Architektur: Mehrere Standorte, zentrale Patientendaten

Was ein MVZ-IT-Setup von Einzelpraxis unterscheidet

Eine Einzelpraxis hat einen Server, ein Netz, eine Handvoll Arbeitsplätze. Wenn dort etwas nicht funktioniert, ist die Ursache meist schnell gefunden. Bei einem MVZ mit zwei oder mehr Standorten verdoppelt sich die Komplexität nicht einfach, sie potenziert sich.

Zentrale Herausforderung ist die gleichzeitige Verfügbarkeit der Patientendaten an allen Standorten. Wenn Arzt A in Mannheim und Arzt B in Ludwigshafen dieselbe Patientin behandeln, müssen beide auf dieselbe Akte zugreifen können, ohne dass eine Version die andere überschreibt. Das setzt eine klar durchdachte Datenbankarchitektur voraus, die nicht jedes PVS von Haus aus mitbringt.

Dazu kommt die Benutzer- und Berechtigungsverwaltung. In einer Einzelpraxis kennt jeder jeden. Im MVZ mit wechselnden Schichten, Kooperationsärzten und Springer-MFAs müssen Zugriffsrechte sauber definiert und zentral verwaltet werden. Wer an Standort A arbeitet, soll nicht automatisch auf die Abrechnung von Standort B zugreifen können.

Drei Architektur-Muster im Vergleich

Welches Muster passt, entscheidet sich nicht am Schreibtisch, sondern nach einer Leitungsanalyse an jedem Standort, einer Bestandsaufnahme der vorhandenen Hardware und einem Blick auf das PVS, das weitergenutzt werden soll.

Berechtigungen und Rollen über mehrere Standorte

Active Directory ist im Mehrstandort-MVZ kein optionales Feature. Es ist die einzige praktikable Methode, um Benutzerkonten, Passwortrichtlinien und Zugriffsrechte zentral zu verwalten und standortübergreifend konsistent zu halten.

Die Grundstruktur ist einfach: Jeder Mitarbeitende bekommt ein einziges Konto, das an allen Standorten gilt. Die Rechte werden nicht am Arbeitsplatz vergeben, sondern über Gruppen, denen der Account zugewiesen ist. Eine MFA aus Standort B, die für eine Woche in Standort A aushilft, meldet sich mit denselben Zugangsdaten an und bekommt genau die Rechte, die ihrer Rolle entsprechen.

Für Fachärzte mit unterschiedlichen Schwerpunkten im selben MVZ empfiehlt sich eine Rollentrennung nach Fachbereich: Kardiologie-Arzt sieht keine nephrologischen Patientendaten, sofern kein gemeinsamer Behandlungsfall vorliegt. Das ist keine technische Spielerei, sondern DSGVO-Pflicht und im Fall einer Datenschutzprüfung der erste Prüfpunkt.

Ausfallsicherheit und Redundanz

Ein MVZ-Betrieb ist auf seine IT angewiesen. Wenn der Server am Hauptstandort ausfällt und alle Außenstandorte damit kein PVS mehr haben, steht die Patientenversorgung still. Deshalb gehört Redundanz von Beginn an ins Konzept, nicht als Nachrüstung.

Drei Ebenen sind relevant:

Internet-Anbindung: Jeder Standort sollte eine primäre Glasfaserleitung und eine LTE-Backup-Verbindung haben. Bei einem Glasfaser-Ausfall übernimmt LTE automatisch. Die Umschaltzeit liegt bei gut konfigurierten Routern unter einer Minute.

Server-Hardware: Ein einzelner Server ohne RAID und ohne Monitoring ist ein Ausfallrisiko, das sich vermeiden lässt. Bei zentralen Servern setzt ITCC auf RAID-1 oder RAID-5 für die Datenfestplatten, tägliche verschlüsselte Backups in ein externes Rechenzentrum und ein Monitoring, das Festplatten-Vorausfälle meldet, bevor die Festplatte wirklich stirbt.

PVS-Datenbank: Bei einigen PVS ist die Datenbank anfällig für Korruption, wenn der Server während eines Schreibvorgangs abstürzt. USV-Absicherung ist deshalb Pflicht, nicht Empfehlung.

Compliance-Auswirkungen

Ein MVZ mit mehreren Standorten bewegt sich in mehreren Compliance-Rahmen gleichzeitig.

§75b SGB V: Ab Klasse 2 (sechs bis 25 Mitarbeitende mit PVS-Zugang) sind Netzwerksegmentierung und dokumentiertes Patch-Management Pflicht. Die meisten MVZ mit zwei Standorten und einem halben Dutzend Ärzten liegen in Klasse 2 oder 3. Das bedeutet unter anderem: das Active Directory muss dokumentiert sein, das Berechtigungskonzept muss schriftlich vorliegen, und Patches müssen nachvollziehbar eingespielt werden.

DSGVO: Wenn Patientendaten zwischen Standorten übertragen werden, gilt das als Datenübermittlung. Der VPN-Tunnel muss deshalb verschlüsselt sein (TLS 1.2 mindestens, TLS 1.3 empfohlen), und der Auftragsverarbeiter-Vertrag mit dem IT-Dienstleister muss den Mehrstandort-Betrieb explizit abdecken.

NIS2: Ab 50 Mitarbeitenden und zehn Millionen Euro Jahresumsatz wird das MVZ zur "wichtigen Einrichtung" nach NIS2. Das bringt Meldepflichten bei Sicherheitsvorfällen (24 Stunden für Erstmeldung), ein dokumentiertes Risikomanagement und Nachweispflichten mit sich.

Quelle: NIS2-Umsetzungsgesetz (BSI)NIS2-Umsetzungsgesetz: Pflichten für wichtige und besonders wichtige Einrichtungen.