Cloud, KI und Plattformtechnologien eröffnen Krankenhäusern neue Möglichkeiten. Doch mit jeder Entscheidung bezüglich Technologie kommt auch eine strategische Frage auf: Wie viel Kontrolle behält ein Krankenhaus über seine Daten, seinen IT-Betrieb und seine künftigen Technologieentscheidungen?
Genau darum geht es bei digitaler Souveränität für das Gesundheitswesen. Sie bedeutet nicht, auf Cloud oder internationale Technologieanbieter zu verzichten. Sie bedeutet, Abhängigkeiten zu kennen, bewusst zu bewerten und steuerbar zu halten.
Diese Frage beschäftigt mich nicht erst, seit Cloud und KI die Diskussionen im Gesundheitswesen bestimmen. Aus meiner Zeit im strategischen Klinikeinkauf kenne ich sie aus einem anderen Zusammenhang.
Bei Investitionen in Medizintechnik, Großgeräte oder Infrastruktur war nicht nur entscheidend, was eine Lösung am Tag der Anschaffung leistet.
Mindestens ebenso wichtig war: Welche Abhängigkeiten gehen wir damit für die nächsten fünf oder zehn Jahre ein? Wie entwickeln sich Service und Kosten? Welche Erweiterungsmöglichkeiten bleiben? Und welche Alternativen haben wir, wenn sich unsere Anforderungen verändern?
Heute sprechen wir über Cloud-Plattformen, Krankenhausinformationssysteme (KIS), Datenräume und KI. Die Logik einer guten Investitionsentscheidung ist jedoch dieselbe geblieben.
Digitale Souveränität beschreibt für mich deshalb vor allem die Fähigkeit einer Klinik, Kontrolle über ihre Daten, ihren IT-Betrieb und wesentliche Technologieentscheidungen zu behalten. Digitale Unabhängigkeit ist dabei aber nicht das Ziel, denn kein Krankenhaus kann und muss seine gesamte Technologie selbst entwickeln und betreiben. Entscheidend ist vielmehr, auch innerhalb digitaler Ökosysteme realistische Handlungsalternativen zu behalten.
Digitale Souveränität ist mehr als die Frage, in welchem Land ein Server steht. Für Krankenhäuser lässt sie sich auf vier Ebenen konkretisieren.
Datensouveränität: Wer darf auf Gesundheitsdaten zugreifen? Wo werden sie verarbeitet? Wer kontrolliert kryptografische Schlüssel? Und lassen sich Daten vollständig und in einem weiterverwendbaren Format exportieren?
Betriebliche Souveränität: Welche externen Dienste sind für die Versorgung kritisch? Wie schnell lassen sich Systeme wiederherstellen? Welche Möglichkeiten für Notbetrieb und Wiederanlauf bestehen, wenn ein Dienst ausfällt?
Technologische Souveränität: Wie austauschbar sind Anwendungen und Plattformdienste? Offene Schnittstellen, standardisierte Datenmodelle und Interoperabilität können verhindern, dass Daten und Prozesse dauerhaft in proprietären Systemen gebunden sind.
Entscheidungssouveränität: Bleibt das Krankenhaus in der Lage, zwischen realistischen Alternativen zu wählen, wenn sich Anbieter, Technologien, Kosten oder regulatorische Anforderungen verändern?
Gerade die letzte Ebene verbindet digitale Souveränität mit der Versorgungsverantwortung. Denn die IT ist heute Voraussetzung dafür, dass ein Krankenhaus seinen medizinischen Auftrag erfüllen kann.
Die entscheidende Frage ist deshalb nicht: Public Cloud oder Private Cloud? Sie lautet stattdessen: Welches Maß an Kontrolle benötigen wir für welche Daten und welchen Prozess?
Ein öffentlich zugänglicher Informationsdienst hat andere Anforderungen als ein klinisches Kernsystem oder eine Plattform, auf der besonders sensible Gesundheitsdaten verarbeitet werden. Eine Hybrid-Cloud etwa kann unterschiedliche Betriebsmodelle verbinden und ermöglicht es, Workloads entsprechend ihrer Kritikalität zuzuordnen. Kritische Daten und Anwendungen können dort betrieben werden, wo besonders hohe Anforderungen an Kontrolle und Souveränität bestehen. Andere Workloads können gezielt die Skalierbarkeit sowie Innovationsgeschwindigkeit von Public-Cloud-Diensten nutzen.
Interessant ist, dass auch die europäische Diskussion zunehmend diesem risikobasierten Ansatz folgt. Die Europäische Kommission hat im Juni 2026 den Cloud and AI Development Act (CADA) vorgeschlagen. Das darin vorgesehene EU-weite Sovereignty Framework unterscheidet vier Souveränitätsstufen – von der Verarbeitung und Speicherung innerhalb der EU bis hin zur weitreichenden Kontrolle über Anbieter und Software-Lieferketten.¹
Für Krankenhäuser lässt sich daraus ein wichtiger Grundsatz ableiten: Souveränität muss zur Kritikalität passen. Maximale Souveränität für jeden einzelnen Workload ist weder notwendig noch wirtschaftlich. Entscheidend ist eine Architektur, die unterschiedliche Optionen ermöglicht und ihre spätere Anpassung nicht verbaut.
Eine wichtige Erkenntnis aus dem strategischen Klinikeinkauf begleitet mich bis heute: Die Qualität einer Investitionsentscheidung zeigt sich häufig erst Jahre nach der Beschaffung.
Bei einem medizinischen Großgerät sind Abhängigkeiten relativ sichtbar. Wartungsverträge, Ersatzteilversorgung, Softwareupdates und Erweiterungsmöglichkeiten lassen sich vorab bewerten.
Bei digitalen Plattformen entstehen Abhängigkeiten dagegen häufig dort, wo sie zunächst kaum auffallen: in proprietären Schnittstellen und Datenformaten, Lizenzmodellen, Plattformdiensten oder Betriebsprozessen. Je stärker diese Komponenten miteinander verzahnt sind, desto größer können Aufwand und Kosten eines späteren Wechsels werden.
Deshalb gehört für mich eine einfache Frage bereits an den Anfang jeder strategischen Technologieentscheidung:
Wie kommen wir wieder heraus?
Können Daten vollständig und in einem nutzbaren Format exportiert werden? Lassen sich Anwendungen und Workloads zu einem anderen Anbieter übertragen? Welche Unterstützung ist für eine Migration vertraglich vorgesehen? Wie lange würde ein Wechsel dauern – und kann der Krankenhausbetrieb währenddessen uneingeschränkt weiterlaufen?
Portabilität und eine belastbare Exit-Strategie sind damit keine Fragen für das Vertragsende. Sie sind Kriterien für die ursprüngliche Investitionsentscheidung. Auch der EU Data Act setzt bei Cloud- und Datenverarbeitungsdiensten auf Wechselmöglichkeiten, Portabilität und Interoperabilität.²
Das gilt ebenso für die Weiterentwicklung von KIS. Wenn Daten über offene Schnittstellen und standardisierte Modelle unabhängig von einzelnen Anwendungen verfügbar bleiben, können Kliniken neue Services, KI-Anwendungen oder Plattformen leichter integrieren. Eine herstellerunabhängige Gesundheitsdatenplattform wie synedra AIM kann dafür einen technologischen Unterbau schaffen, ohne die Daten dauerhaft an einzelne Anwendungen zu binden.
Technologie allein schafft noch keine digitale Souveränität. Krankenhäuser müssen auch festlegen, wer Abhängigkeiten bewertet, wer über das notwendige Souveränitätsniveau entscheidet und wann diese Entscheidungen erneut überprüft werden.
Bei größeren Technologieentscheidungen sollten deshalb Geschäftsführung, CIO, Einkauf, Informationssicherheit und Datenschutz gemeinsam Antworten auf zentrale Fragen finden:
Warum diese Fragen relevant sind, zeigt auch die aktuelle Diskussion um das US-Verfahren Trump v. Slaughter. Das Urteil selbst betrifft zwar nicht das europäische Datenschutzrecht und macht das EU-US Data Privacy Framework auch nicht unwirksam; es zeigt jedoch, wie sich politische und rechtliche Rahmenbedingungen verändern können, obwohl die eingesetzte Technologie unverändert bleibt.³
Für Entscheider in Krankenhäusern liegt genau darin die relevante Botschaft: Eine Architektur sollte nicht nur unter den Bedingungen von heute funktionieren. Sie sollte Handlungsmöglichkeiten erhalten, auch wenn sich diese Bedingungen morgen ändern.
Kliniken müssen ihre IT modernisieren und gleichzeitig Wirtschaftlichkeit, Sicherheit und Versorgung im Blick behalten. Die deutsche Krankenhausreform erhöht diesen Handlungsdruck zusätzlich: Laut dem Krankenhaus-Barometer 2025 des Deutschen Krankenhausinstituts schrieben 2024 zwei Drittel der Krankenhäuser Verluste; rund 90 Prozent berichteten von eingeschränkter Planungssicherheit im Zusammenhang mit der Reform.⁴
Gerade unter solchen Bedingungen müssen Technologieentscheidungen langfristig tragen.
Digitale Souveränität für das Gesundheitswesen bedeutet deshalb nicht, Abhängigkeiten vollständig zu vermeiden. Sie bedeutet, sie zu kennen, zu bewerten und steuerbar zu halten.
Für CIOs und Krankenhausmanagement ergeben sich daraus drei Fragen, die aus meiner Sicht bei jeder größeren Technologieentscheidung beantwortet werden sollten:
Wenn die Antwort darauf ja lautet, entsteht echter Investitionsschutz. Denn digitale Souveränität zeigt sich nicht daran, welche Technologie ein Krankenhaus heute einsetzt. Sie zeigt sich daran, welche Möglichkeiten ihm morgen noch offenstehen.
Digitale Souveränität für das Gesundheitswesen beschreibt die Fähigkeit von Krankenhäusern und anderen Akteuren, die Kontrolle über ihre Daten, ihren IT-Betrieb und wesentliche Technologieentscheidungen zu behalten. Entscheidend ist dabei nicht, Abhängigkeiten vollständig zu vermeiden, sondern sie zu kennen, zu bewerten und steuerbar zu halten.
Krankenhäuser sind für die Versorgung auf jederzeit verfügbare digitale Systeme angewiesen und verarbeiten besonders sensible Gesundheitsdaten. Digitale Souveränität hilft ihnen, Cloud, KI und Plattformtechnologien zu nutzen und gleichzeitig langfristig handlungsfähig zu bleiben – auch wenn sich Anbieter, Technologien oder regulatorische Rahmenbedingungen verändern.
Digitale Unabhängigkeit zielt darauf, Abhängigkeiten von einzelnen Anbietern oder Technologien möglichst weit zu reduzieren. Digitale Souveränität geht darüber hinaus: Ein Krankenhaus kann externe Cloud- und Plattformdienste nutzen und trotzdem souverän handeln, wenn Abhängigkeiten transparent sowie steuerbar bleiben und realistische Handlungsalternativen bestehen.
Nein. Das erforderliche Souveränitätsniveau sollte sich nach der Kritikalität von Daten, Anwendungen und Prozessen richten. Ein öffentlich zugänglicher Informationsdienst stellt andere Anforderungen als ein klinisches Kernsystem mit sensiblen Gesundheitsdaten. Hybrid-Cloud-Modelle können unterschiedliche Betriebsformen verbinden und Workloads entsprechend ihrer Anforderungen zuordnen.
Vendor Lock-in lässt sich insbesondere durch offene Schnittstellen, standardisierte Datenmodelle, interoperable Systeme und portable Daten und Workloads begrenzen. Ebenso wichtig sind vertragliche Regelungen für einen Anbieterwechsel. Entscheidend ist nicht, jede Abhängigkeit zu vermeiden, sondern ihre Auswirkungen und Wechselkosten zu kennen und beherrschbar zu halten.
Digitale Souveränität zeigt sich auch daran, ob ein Krankenhaus einen Anbieter oder eine Technologie tatsächlich wechseln kann. Eine Exit-Strategie sollte deshalb bereits bei der Beschaffung berücksichtigen, welche Daten und Workloads übertragen werden können, in welchen Formaten sie verfügbar sind, welche Unterstützung der Anbieter leisten muss und wie der Krankenhausbetrieb während einer Migration sichergestellt wird.
1 Europäische Kommission: Cloud and AI Development Act (CADA), Vorschlag vom 3. Juni 2026. Das vorgeschlagene EU-Sovereignty-Framework sieht vier risikobasierte Souveränitätsstufen für Cloud und KI vor.
2 Europäische Kommission: Data Act / Interoperability of data processing services. Der Data Act adressiert insbesondere Wechselmöglichkeiten, Portabilität und Interoperabilität zwischen Datenverarbeitungsdiensten.
3 Siehe Einordnung zu Trump v. Slaughter und EU-US Data Privacy Framework; das Framework gilt weiterhin. Der Fall illustriert mögliche Veränderungen politischer und regulatorischer Rahmenbedingungen.
4 Deutsches Krankenhausinstitut (DKI): Krankenhaus-Barometer 2025, veröffentlicht durch die Deutsche Krankenhausgesellschaft (DKG), Dezember 2025.
