Blockchain im Gesundheitswesen mit Rückverfolgbarkeit und Datenintegrität

Medizinische Versorgung entsteht über einen längeren Zeitraum. Eine Konsultation erzeugt Befunde, Diagnosen und Verordnungen; das Labor ergänzt Ergebnisse; die Apotheke gibt Arzneimittel ab; das Krankenhaus dokumentiert Eingriffe; und der Kostenträger prüft Deckung und Abrechnung. Jede Organisation verwahrt einen Teil des Behandlungsfalls. Der Patient durchläuft das System, seine Daten jedoch nicht immer mit derselben Kontinuität.

Diese Aufzeichnungen sind keine beliebig austauschbaren Dokumente. Die Patientenakte leitet Behandlungsentscheidungen; ein Rezept berechtigt zur Abgabe eines Arzneimittels; die Einwilligung begrenzt bestimmte Verwendungen; eine Rechnung löst einen wirtschaftlichen Vorgang aus; und das Audit-Log ermöglicht nachzuvollziehen, wer auf Informationen zugegriffen oder sie geändert hat. Welche Quelle rechtlich maßgeblich ist, hängt vom jeweiligen Prozess und der verantwortlichen Institution ab.

Das Problem ist nicht ein Mangel an Datenbanken. Vielmehr müssen Organisationen mit unterschiedlichen Systemen, Kennungen, Formaten und Zuständigkeiten koordiniert werden, ohne dass Kontext oder Vertraulichkeit verloren gehen. Blockchain ist nur dann sinnvoll, wenn mehrere Parteien dasselbe Ereignis prüfen müssen und keine zentrale Datenbank allein die passende Governance bietet. Sie ersetzt weder die Patientenakte noch das ärztliche Urteil noch Interoperabilitätsstandards.

Im Gesundheitswesen dient Blockchain vor allem als Ebene für Integrität und Rückverfolgbarkeit, nicht für Tokenisierung. Statt den Vermögenswert selbst on-chain abzubilden, wird ein überprüfbarer Fingerabdruck jedes Ereignisses verankert. Das kann die Charge eines Arzneimittels sein, die den Besitzer wechselt, oder die Version einer Patientenakte.

Sensible Patientendaten werden nicht on-chain gespeichert, sondern off-chain. On-chain liegt nur der kryptografische Nachweis, mit dem sich prüfen lässt, dass nichts verändert wurde. So lassen sich Unveränderlichkeit und Datenschutz miteinander vereinbaren.

Mit einem Hash lässt sich prüfen, ob eine Datei exakt mit der registrierten Version übereinstimmt. Ändert sich eine Zahl, ein Bild oder ein Zeichen, stimmt der Fingerabdruck nicht mehr überein. Diese Eigenschaft ist nützlich für versionierte Patientenakten, Einwilligungen, Laborergebnisse oder Studiendokumente, weil sie nachträgliche Änderungen sichtbar macht und nachweisen lässt, wann eine bestimmte Version existierte.

Der Nachweis hat eine grundlegende Grenze. Er schützt die Integrität ab dem Zeitpunkt der Erfassung, nicht die Qualität der Ausgangsdaten. Eine falsch kalibrierte Messung, eine falsche Identität oder eine fehlerhaft kodierte Diagnose können ebenso unveränderlich verankert werden. Vor der Erfassung des Ereignisses bleiben daher klinische Kontrollen, validierte Geräte, Identifizierung, Signatur und Korrekturverfahren erforderlich.

Ebenso wenig genügt es, einen Fingerabdruck zu veröffentlichen, ohne den ursprünglichen Nachweis und seinen Kontext aufzubewahren. Die Institution muss das Dokument abrufen, seinen Aussteller belegen, seine Bedeutung erläutern und es dem richtigen Patienten zuordnen können. In einer ausgereiften Architektur liefert Blockchain Versiegelung, Reihenfolge und gemeinsame Überprüfbarkeit; die klinischen Repositories verwalten Inhalt, Berechtigungen, Aufbewahrung und Berichtigung.

Blockchain schafft eine gemeinsame Nachweisebene, wenn Krankenhäuser, Labore, Apotheken, Versicherer und Hersteller dasselbe Ereignis aus unterschiedlichen Systemen heraus verifizieren müssen. Das Netzwerk hält geteilte Zustände oder Hashes vor, während jede Organisation die klinischen Daten unter ihrer eigenen Kontrolle behält. Der Nutzen liegt in Integrität, Herkunftsnachweis und Koordination zwischen den Beteiligten.

In der herkömmlichen Infrastruktur führt jede Organisation ihr eigenes Register, und Abweichungen werden über Nachrichten, Kopien und Abstimmungen geklärt. Ein Blockchain-Netzwerk ermöglicht es autorisierten Teilnehmern, denselben Zustand und dessen Änderungshistorie zu prüfen. Personenbezogene Daten bleiben off-chain, und der gemeinsame Nachweis vermeidet die Replikation sensibler klinischer Informationen.

Interoperabilität im Gesundheitswesen hat mehrere Ebenen. Zwei Systeme müssen sich verbinden, Patient und Fachkraft identifizieren, dasselbe klinische Konzept interpretieren und es innerhalb eines autorisierten Prozesses nutzen können. Blockchain kann ein gemeinsames Register von Ereignissen oder Berechtigungen bereitstellen, definiert aber allein nicht, was eine Allergie bedeutet, wie eine Beobachtung kodiert wird oder aus welchen Feldern ein Befund besteht.

Für diese Semantik gibt es eigene Standards und Rahmenwerke. FHIR erleichtert den Austausch über Ressourcen und APIs; Terminologien wie SNOMED CT, LOINC oder ICD normieren Konzepte; nationale oder regionale Profile legen fest, welche Elemente verpflichtend sind. In den USA sind USCDI und TEFCA Teil der Austauschinfrastruktur. In der Europäischen Union führt der EHDS Regeln, Interoperabilitätskomponenten und eine schrittweise Einführung für die Primär- und Sekundärnutzung von Daten ein.

Ein DLT-Netzwerk schafft nur dann Mehrwert, wenn es in diese Mechanismen eingebunden ist. Es kann Einwilligung, Herkunft, Version oder Zugriff registrieren und verschiedenen Organisationen erlauben, das Ereignis zu verifizieren. Das klinische Dokument wird weiterhin über autorisierte Kanäle und in einem verständlichen Format übermittelt. Schreibt jeder Teilnehmer inkompatible Daten, entsteht ein verteiltes Register mit Informationen, die niemand sicher weiterverwenden kann.

Die WHO schätzte 2017, dass in Ländern mit niedrigem und mittlerem Einkommen etwa jedes zehnte Arzneimittel gefälscht oder minderwertig war. Eine 2020 veröffentlichte Studie schrieb der Verwaltung 34,2 % der für 2017 untersuchten US-Gesundheitsausgaben zu. Das sind unterschiedliche Bezugsgrößen, und sie messen nicht die Einsparung, die Blockchain bewirken würde.

In Europa ermöglicht das Arzneimittel-Verifikationssystem, Kennzeichen zu prüfen und innerhalb der legalen Lieferkette vor verdächtigen Packungen zu warnen. Estland nutzt KSI, um die Integrität von Gesundheitsdatensätzen und Zugriffsprotokollen zu schützen, wobei die klinischen Daten in der Gesundheitsinfrastruktur des Landes verbleiben. e-Estonia meldet 2,7 Millionen Patientenabfragen pro Monat, eine Kennzahl zur Nutzung des Portals und nicht zu Blockchain-Transaktionen.

Die meisten Implementierungen sind permissioned Netzwerke zwischen Institutionen, bei denen personenbezogene Daten stets off-chain bleiben. Der Wert liegt in überprüfbarer Herkunft und Datenintegrität, nicht darin, Gesundheit zu tokenisieren oder sensible klinische Informationen zu veröffentlichen.

Eine klinische Studie erzeugt über Jahre Protokolle, Einwilligungen, Beobachtungen, Analysen und Änderungen. Sponsoren, Prüfzentren, Prüfer, Labore und Behörden müssen rekonstruieren können, welche Version galt, wer welche Daten eingegeben und welche Korrektur vorgenommen hat. Eine gemeinsame Zeitstempel-Ebene kann Streitigkeiten über Abfolge und Herkunft reduzieren.

Das macht ein öffentliches Blockchain-Netzwerk nicht zu einem Forschungsrepositorium. Teilnehmerdaten, Randomisierungscodes und Informationen, die die Verblindung aufheben könnten, erfordern strenge Kontrollen. Selbst ein Hash kann ein personenbezogenes Datum sein, wenn er es erlaubt, Informationen über eine Person zu verknüpfen oder zu verifizieren. Das Design muss das Veröffentlichte minimieren, wiederverwendbare Identifikatoren vermeiden und abwägen, ob ein permissioned Netzwerk gegenüber einem herkömmlichen Audit-Log überhaupt etwas beiträgt.

Die Sekundärnutzung wirft eine weitere Frage auf. Dass ein Datensatz technisch zugänglich ist, heißt nicht, dass er weiterverwendet werden darf. Einwilligung, Rechtsgrundlage, Ethikkommission, Zugangsgenehmigung und die Bedingungen des Datenraums bestimmen die Rechtmäßigkeit. Blockchain kann diese Genehmigungen und ihre Entwicklung dokumentieren, doch die Governance entscheidet, wer einen Antrag prüft, welche sichere Umgebung genutzt wird und wie eine Re-Identifizierung verhindert wird.

Die am besten begründeten Anwendungen teilen eine Voraussetzung: Mehrere Organisationen müssen dasselbe Ereignis prüfen, aber keine muss die vollständige Akte offenlegen. Pharmazeutische Rückverfolgbarkeit, Dokumentenintegrität, Berufsnachweise und die Koordination von Genehmigungen eignen sich dann, wenn eine verlässliche Identität, eine Datenquelle mit klarer Governance und eine klar zugewiesene Verantwortung vorhanden sind.

Automatisierung ist am tragfähigsten, wenn das Ereignis objektiv ist, sauber kodiert vorliegt und alle Parteien die Quelle akzeptieren. Die Bestätigung, dass ein serialisiertes Arzneimittel abgegeben wurde, dass ein Berufsnachweis weiterhin gültig ist oder dass ein vollständiges Dokument eingegangen ist, kann den nächsten Schritt auslösen. Der Smart Contract reduziert Wartezeiten und Abstimmungsaufwand, weil alle denselben Zustand sehen.

Viele Erstattungsansprüche im Gesundheitswesen erfüllen diese Bedingungen nicht. Die Kostenübernahme kann von medizinischer Notwendigkeit, Ausschlüssen, Vorabgenehmigungen, der Koordination mehrerer Kostenträger oder der Prüfung von Unterlagen abhängen. Ein korrekter Code belegt für sich allein nicht, dass die Behandlung indiziert war. Wer ohne Ausnahmeweg automatisiert, verlagert den Fehler auf den Patienten und kann eine Dateninkonsistenz in eine sofortige Ablehnung verwandeln.

Ein geeignetes Design trennt deterministische Entscheidungen von prüfungspflichtigen Entscheidungen. Der Smart Contract kann Voraussetzungen prüfen, Mittel reservieren, Duplikate erkennen und Meilensteine registrieren; eine Fachkraft oder ein reguliertes Verfahren klärt Streitfälle und genehmigt Ausnahmen. Es muss zudem möglich sein, die Quelle zu korrigieren und den Prozess erneut auszuführen, ohne die Historie zu löschen. Ziel ist es, repetitive Arbeit zu reduzieren, nicht eine Versorgungsrichtlinie im Code zu verstecken.

Die Architektur trennt den gemeinsamen Nachweis vom klinischen Inhalt. On-chain werden minimale Identifikatoren, Zustände, Signaturen oder Hashes registriert, die mehrere Stellen verifizieren müssen. Akten, Bilder, Einwilligungen und Dokumente bleiben in kontrollierten Repositorien mit klarer Governance, wo sie korrigiert, eingeschränkt oder gelöscht werden können. Diese Trennung reduziert die Datenexposition, beseitigt aber für sich allein nicht das Risiko einer Re-Identifizierung.

Ein Hash, ein öffentlicher Schlüssel oder das Transaktionsmuster können weiterhin personenbezogene Daten sein, wenn sie einen Bezug zu einer Person erlauben. Das Risiko steigt, wenn derselbe Identifikator zwischen Krankenhäusern, Apotheken und Versicherern wiederverwendet wird. Den Namen off-chain zu halten vermeidet den offensichtlichsten Fehler, beseitigt aber weder Rückschlüsse noch die datenschutzrechtlichen Pflichten.

Der Verantwortliche muss Zweck, Rechtsgrundlage, Datenminimierung, Speicherdauer und Empfänger festlegen, bevor er über die Architektur entscheidet. Er muss außerdem bestimmen, wer Nodes betreibt, wer Metadaten lesen darf, wo Schlüssel und Repositorien gehostet werden und wie Auskunft, Berichtigung, Widerspruch oder Löschung umgesetzt werden. Die Leitlinien des Europäischen Datenschutzausschusses (EDSA) zu Blockchain betonen genau diese Notwendigkeit, Rollen zu bewerten und Datenschutz durch Technikgestaltung (Privacy by Design) sicherzustellen.

Das Schlüsselmanagement ist besonders heikel. Geht ein Schlüssel verloren, darf der Patient nicht von seiner Versorgung ausgeschlossen werden; wird er kompromittiert, muss er rotiert werden können, ohne die legitime Rückverfolgbarkeit zu verlieren. Deshalb stützt sich die Identität im Gesundheitswesen in der Regel nicht auf eine selbstverwahrte Wallet als einzigen Mechanismus. Wiederherstellbare Berechtigungsnachweise, Delegation, institutionelle Authentifizierung und Zugriffsprotokolle müssen neben herkömmlichen Verfahren für Sicherheit und Versorgungskontinuität bestehen.

Eine Lösung im Produktivbetrieb des Gesundheitswesens ist in der Regel hybrid. Klinische und pharmazeutische Systeme bewahren den Inhalt; Identitätsdienste verknüpfen Organisationen und Fachkräfte; eine Interoperabilitätsschicht übersetzt Nachrichten und Terminologien; und das verteilte Register speichert Ereignisse, Nachweise oder Zustände, die eine gemeinsame Verifizierung benötigen. Die Nodes ersetzen nicht all diese Komponenten.

Die Governance des Netzwerks muss operative Verantwortlichkeiten zuweisen. Jemand nimmt Teilnehmer auf, aktualisiert die Software, reagiert auf eine Schwachstelle, definiert den Konsens und entscheidet über einen Fork oder einen strittigen Datensatz. Ein permissioned Netzwerk kann die Validierung auf Institutionen verteilen, braucht aber weiterhin eine vertragliche Instanz und Änderungsverfahren. Die Infrastruktur zu dezentralisieren hebt die Verantwortung im Gesundheitswesen nicht auf.

Auch die Verfügbarkeit zählt. Ein Notfall, ein Konnektivitätsausfall oder der Ausfall eines Nodes dürfen den Zugriff auf kritische Informationen nicht verhindern. Die Systeme müssen eingeschränkten Betrieb, sichere Warteschlangen und nachträgliche Abstimmung unterstützen. Der klinische Zweck bestimmt die Service-Level, nicht die theoretischen Eigenschaften der Blockchain. Je näher das Netzwerk an einer Versorgungsentscheidung liegt, desto höher müssen Wiederherstellungsfähigkeit und Überwachung sein.

Eine Überweisung zwischen Einrichtungen erlaubt es, die Integration an einem konkreten Fall zu testen. Die überweisende Einrichtung teilt den autorisierten Befund, und die empfangende prüft Herkunft, Version und Berechtigungen, bevor sie ihn in ihren klinischen Ablauf übernimmt. Eine spätere Korrektur muss als neue, verknüpfte Version eingehen, damit die Fachkraft das ursprüngliche Dokument nicht mit dem gültigen verwechselt. Der Test muss auch doppelte Identitäten und fehlerhaft zugeordnete Dokumente umfassen. Ein übereinstimmender Hash klärt für sich allein noch nicht die Zuordnung zwischen Patienten.

Zugriffsprotokolle brauchen einen klaren Zweck und eine verhältnismäßige Verarbeitung. Sie können die Untersuchung eines unzulässigen Zugriffs unterstützen, aber auch Behandlungsbeziehungen offenlegen. Berechtigungen müssen zwischen Versorgung, Verwaltung, Forschung und Audit unterscheiden, mit eigenen Verfahren, wenn sich der Zweck ändert. Der Notfallbetrieb muss von der Gesundheitsorganisation definiert sein und die Maßnahmen nachweisbar dokumentieren. Die technische Infrastruktur setzt dieses Design um, ohne eine Nichtverfügbarkeit des Netzwerks in eine automatische klinische Entscheidung zu verwandeln.

Die Rückverfolgbarkeit von Arzneimitteln ist reguliert. In den USA ist sie durch den DSCSA vorgeschrieben, mit interoperablem Austausch auf Basis des GS1-Standards, in der EU durch die Fälschungsschutzrichtlinie (Falsified Medicines Directive) und ihr Verifikationssystem. Jede Rückverfolgbarkeitslösung muss sich in diesen Rahmen einfügen.

Für klinische Daten verlangt die DSGVO, Zweck, Rechtsgrundlage, Datenminimierung, Speicherdauer, Rollen und Betroffenenrechte festzulegen, bevor die Architektur gewählt wird. Inhalte off-chain zu halten, verringert das Risiko, doch ein Hash oder seine Metadaten können weiterhin personenbezogene Daten sein, wenn sie zuordenbar sind. Das Design muss dieses Risiko bewerten und darf nicht annehmen, dass der Hash nicht unter die Verordnung fällt.

Ein sinnvolles Pilotprojekt beginnt mit einem eng umrissenen Problem zwischen identifizierten Organisationen. Es kann einen Nachweis prüfen, einen Rückruf koordinieren, Dokumentversionen belegen oder den Aufwand für einen konkreten Abgleich verringern. Vor dem Aufbau werden die aktuelle Dauer, die Fehlerquote, die Kosten von Streitfällen und die jeweiligen Verantwortlichkeiten gemessen. Ohne Ausgangsbasis kann eine technische Demonstration keine Verbesserung belegen.

Erfolg bemisst sich auch nicht an On-chain-Transaktionen. Bei der Rückverfolgbarkeit zählen der Anteil vollständiger Ereignisse, die Zeit bis zur Lokalisierung einer Charge und die Fähigkeit, eine Anomalie zu untersuchen. Beim klinischen Austausch zählen die korrekte Identität, der Nutzen der empfangenen Daten und die Reduktion von Dubletten. Bei Erstattungsansprüchen zählen Bearbeitungszeit, Ausnahmen und revidierte Entscheidungen. Jede Kennzahl muss das gesundheitliche oder operative Ergebnis abbilden.

Skalierung erfordert, kleine Teilnehmer und Altsysteme einzubinden und Ausnahmesituationen abzudecken. Funktioniert das Modell nur mit individueller Integration für große Institutionen, kann es eine weitere technologische Insel schaffen. Für die endgültige Entscheidung wird ein verteiltes Netzwerk mit Alternativen wie APIs mit klarer Governance, elektronischer Signatur, gemeinsamen Repositorien oder Timestamping-Diensten verglichen. Blockchain verdient ihren Platz, wenn sie Vertrauen und Kontrolle auf eine Weise verteilt, die diese Optionen mit geringerer Komplexität nicht erreichen.

Ein gemeinsames Register kann Nachweise und Koordination stärken, verbessert aber für sich allein weder die Versorgungsqualität noch korrigiert es Anreize, Ungleichheiten oder Fehler des Prozesses, der das Netzwerk speist. Es ersetzt auch nicht die semantische Interoperabilität, das klinische Urteil, die Sicherheit der Geräte oder die berufliche Verantwortung für eine Entscheidung.

Diese Begriffe trennen die Nachweisinfrastruktur von den Systemen, die die klinischen Daten vorhalten, und von den Regeln, die deren Nutzung autorisieren. Wer sie versteht, kann ein Angebot bewerten, ohne Integrität mit Qualität, Zugriff mit Einwilligung oder technische mit organisatorischer Interoperabilität zu verwechseln. Sie erklären auch, warum ein kryptografischer Hash weiterhin mit personenbezogenen Daten verknüpft sein kann.