MDM im Gesundheitswesen: geteilte klinische Geräte verwalten

Die Geräteverwaltung im Gesundheitswesen hat eine Einschränkung, die keine andere Branche kennt: Das Gerät wird oft geteilt, es eilt immer, und Patientendaten sind häufig in Reichweite. Eine Pflegekraft nimmt zu Schichtbeginn ein Tablet, nutzt es acht Stunden lang und stellt es zurück in die Ladestation. Wer es als Nächstes in die Hand nimmt, darf nichts von dem sehen, was vorher darauf passiert ist.

Diese eine Anforderung verändert, was ein MDM in einem Krankenhaus oder Pflegeheim leisten muss. Im Folgenden steht, worauf es wirklich ankommt, gemessen daran, wie Teams im Gesundheitswesen in der Praxis ausrollen.

Geteilte Geräte sind die Regel, nicht die Ausnahme

In den meisten Branchen gehört ein Gerät zu einer Person. Im Gesundheitswesen gehört es zu einer Schicht. Stationstablets, Handscanner für die Medikamentengabe, das Telefon, das der Bereitschaftsrolle folgt und nicht der Ärztin: Das Gerät überdauert die Sitzung des Nutzers, und das ist so gewollt.

Von der Geräteverwaltung verlangt das einen sauberen Zustand zwischen zwei Nutzern. Sitzungsdaten gelöscht, zwischengespeicherte Zugangsdaten weg, die App zurück auf dem Startbildschirm. Ohne das sind Sie eine Übergabe davon entfernt, dass eine Pflegekraft die Patientenliste einer anderen Station sieht.

Es ist derselbe Mechanismus wie bei der Verwaltung geteilter Geräte im Handel oder in der Logistik, nur mit deutlich geringerer Fehlertoleranz.

Das Gerät auf seine Aufgabe festlegen

Ein klinisches Gerät muss in der Regel zwei oder drei Anwendungen ausführen und sonst nichts. Nicht weil man dem Personal nicht trauen könnte, sondern weil ein Gerät, das im Web surfen und Apps installieren kann, zur Angriffsfläche wird, und zwar in einem Netzwerk, an dem auch Medizintechnik hängt.

Der Kioskmodus löst das: Das Gerät startet in die klinische App, die Home-Taste bewirkt nichts, und die App lässt sich ohne Eingriff eines Administrators nicht verlassen. Bei einem Medikamentenscanner oder einem Terminal am Patientenbett ist das der Unterschied zwischen einem Medizingerät und einem Tablet, das zufällig in einem Krankenhaus liegt.

Was passiert, wenn ein Gerät verschwindet

In Krankenhäusern gehen Geräte öfter verloren, als irgendjemand gern veröffentlicht. Sie landen im Wäschewagen, im Patientenzimmer, in der Kitteltasche eines Kollegen am Ende einer Doppelschicht.

Die Reaktion muss sofort und abgestuft erfolgen: Gerät orten, aus der Ferne sperren und löschen, wenn es nicht wieder auftaucht. Die vollständige Festplattenverschlüsselung macht aus einem verlorenen Gerät einen Verwaltungsvorgang statt einer meldepflichtigen Datenschutzverletzung. Unter der DSGVO läuft dafür eine 72-Stunden-Frist, die Sie lieber nicht auslösen möchten.

Verschlüsselung ist zudem die Kontrolle, nach der Prüfer zuerst fragen, und die am leichtesten nachzuweisende: Entweder meldet sich jedes Gerät der Flotte als verschlüsselt, oder Sie haben eine Feststellung im Bericht.

Die Compliance-Frage, ehrlich beantwortet

Einkäufer im Gesundheitswesen fragen zwei Dinge: Wo liegen die Daten, und wer kommt an sie heran.

Für europäische Gesundheitseinrichtungen ist der Datenstandort selten verhandelbar. Appaloosa läuft vollständig in Frankreich, auf einer Infrastruktur, die von der ANSSI, der nationalen französischen Behörde für Cybersicherheit, nach SecNumCloud qualifiziert ist. Es gibt keine Übermittlungen außerhalb der Europäischen Union. Damit entfällt eine ganze Kategorie von Fragen zum Zugriff ausländischer Rechtsordnungen auf patientennahe Daten.

Hier lohnt sich Genauigkeit, weil Anbieter sie oft vermissen lassen: Ein MDM macht eine Organisation nicht compliant. Es liefert Ihnen die Kontrollen (Verschlüsselung, Zugriffsbeschränkung, Fernlöschung, Audit-Trail), auf denen ein Compliance-Programm aufbaut. Wer Ihnen Compliance aus der Schachtel verkauft, verkauft Ihnen etwas anderes.

Private Smartphones im klinischen Umfeld

Klinisches Personal nutzt das eigene Telefon. Man schreibt Kollegen, schlägt Dosierungen nach, fotografiert eine Wunde, um sie einer Fachärztin zu zeigen. So zu tun, als gäbe es das nicht, beendet es nicht. Es verschwindet nur aus Ihrem Blickfeld.

Die praktikable Antwort: der beruflichen Nutzung einen verwalteten Bereich auf dem privaten Gerät geben, statt das ganze Telefon zu verwalten. Arbeits-Apps und Arbeitsdaten liegen in einem Container, den die Organisation kontrolliert und löschen kann; die private Seite bleibt unangetastet und unüberwacht. Dieser Unterschied ist dem Personal enorm wichtig, und er sorgt dafür, dass BYOD im Gesundheitswesen akzeptiert wird, statt auf Widerstand zu stoßen.

Den Arbeitscontainer einer ausscheidenden Pflegekraft zu löschen ist Routine. Ihre Familienfotos zu löschen ist ein Vorfall.

Die Realität eines Rollouts im Krankenhaus

IT-Teams im Gesundheitswesen sind klein, und der Gerätebestand ist heterogen: iPads am Patientenbett, robuste Android-Handhelds in der Apotheke, Windows-Laptops in der Verwaltung, eine Handvoll Macs in der Bildgebung. Wer das mit vier verschiedenen Werkzeugen verwaltet, landet als unterbesetztes Team bei ungepatchten Geräten.

Zero-Touch-Enrollment macht einen Rollout erst machbar: Die Geräte kommen vom Lieferanten, treffen auf der Station ein und konfigurieren sich beim ersten Start selbst, mit den richtigen Apps, dem richtigen WLAN und den richtigen Einschränkungen. Niemand richtet 300 Tablets von Hand ein.

Appaloosa verwaltet iOS, Android, Windows und macOS aus einer Konsole. Für ein Team im Gesundheitswesen heißt das meist: ein Werkzeug statt drei.

Häufig gestellte Fragen

Macht uns ein MDM DSGVO-konform?

Nein, und seien Sie skeptisch gegenüber jedem, der das behauptet. Es liefert Kontrollen, auf die sich ein Compliance-Programm stützt: Verschlüsselung, Fernlöschung, Zugriffsbeschränkung und einen Audit-Trail darüber, was mit welchem Gerät gemacht wurde. Das Programm selbst, einschließlich Ihres Verzeichnisses der Verarbeitungstätigkeiten und Ihres Verfahrens bei Datenschutzverletzungen, bleibt Ihre Aufgabe.

Kann das Personal auf privaten Telefonen überwacht werden?

Nicht in einem Modell mit Arbeitscontainer, und das sollte dem Personal ausdrücklich gesagt werden. Die Organisation verwaltet den Arbeitscontainer und kann ihn löschen. Sie sieht weder private Apps noch private Nachrichten noch den Standort des Geräts. Das klar und schriftlich festzuhalten ist meist der Schritt, der BYOD in einem Krankenhaus überhaupt erst möglich macht.

Und Geräte, die von Patienten genutzt werden?

Dieselbe Logik wie bei geteilten Geräten, nur strenger: Kioskmodus, beschränkt auf die vorgesehene Anwendung, sauberer Zustand zwischen zwei Patienten und kein Weg zum darunterliegenden System. Ein Unterhaltungstablet für Patienten und ein klinisches Tablet sollten niemals dieselbe Konfiguration haben.

Wie schnell lässt sich ein verlorenes Gerät löschen?

Der Befehl geht sofort raus; die Ausführung hängt davon ab, ob das Gerät eine Verbindung hat. Genau deshalb zählt Verschlüsselung mehr als Fernlöschung: Sie schützt die Daten, ob sich das Gerät je wieder verbindet oder nicht.

Wo anfangen

Die meisten Rollouts im Gesundheitswesen beginnen bei den geteilten klinischen Geräten, weil sich dort das Risiko bündelt und der betriebliche Gewinn am sichtbarsten ist. Zuerst Verschlüsselung und Kioskmodus, dann die Automatisierung des Enrollments, zuletzt die privaten Geräte, sobald die Richtlinie mit der Personalvertretung abgestimmt ist.

Wenn Sie im Detail wissen möchten, was pro Plattform unterstützt wird, listet die Funktionsmatrix es Zeile für Zeile auf. Den größeren Zusammenhang zur Verwaltung unternehmenseigener Flotten finden Sie unter Verwaltung von Firmengeräten.