Konzepte und Komponenten für die Zugriffskontrolle in verteilten, heterogenen Krankenhaus-Informationssystemen am Beispiel des Mainzer Universitätsklinikums

In der Vergangenheit hat der Umfang der elektronischen Informationsverarbeitung in Krankenhäusern kontinuierlich zugenommen. Durch die vollständige Vernetzung stehen Daten und Funktionalität der Systeme technisch im gesamten Krankenhaus zur Verfügung. Dies erfordert im Gegenzug umfangreiche Maßnahmen zum Schutz der Daten vor unbefugter und unbemerkter Einsichtnahme und Manipulation. Art und Umfang dieser Maßnahmen sind in Deutschland gesetzlich geregelt und müssen durch die jeweiligen Krankenhäuser nach dem Stand der Technik und den aktuellen Möglichkeiten realisiert werden. Ziel der Arbeit war die Erstellung eines Konzepts für die datenschutzkonforme Nutzung informationsverarbeitender Systeme im Krankenhaus. Auf der Grundlage einer Zugriffspolitik für das Universitätsklinikum wurde ein Modell der Zugriffe und Zugriffsrechte entwickelt, das Strukturen, organisatorische Abläufe, Informationsflüsse und spezifische Rahmenbedingungen berücksichtigt. Darauf aufbauend wurde eine zentrale Zugriffskontroll-Architektur entworfen, deren Komponenten die interaktive Erfassung einer regel-basierten Zugriffspolitik sowie die Erfassung und Autorisierung von Nutzern ermöglichen und - mit Hilfe dieser Informationen und aktueller Informationen über die klinischen Abläufe - Zugriffsinformationen und -entscheidungen zur Verfügung stellen. Charakteristika und Bedürfnisse verteilter, heterogener Krankenhaus-Informationssysteme wurden besonders berücksichtigt. Der Entwurf beinhaltet formale Schnittstellen-Beschreibungen der Komponenten, sowie einen mehrstufigen Realisierungsplan und konkrete Anleitungen für die Administration der Zugriffpolitik. Teile des Konzepts wurden im Rahmen der Arbeit prototypisch implementiert.