Die sechs Schichten Sicherheits-Zwiebel — wie wir Patientendaten in Radiologie-IT schützen
Defense-in-Depth in einfachen Worten erklärt: warum sechs unabhängige Schutzschichten zusammenwirken — und was das für eine Praxis konkret bedeutet.
TL;DR — Sicherheit in einer Radiologie-IT ist nie eine einzelne Maßnahme, sondern ein Stapel aus sechs unabhängigen Schichten. Wenn eine versagt, halten die anderen fünf. Diesen Stapel haben wir bei MiraNext "Sicherheits-Zwiebel" getauft, weil das Bild stimmt: Im Kern liegen Ihre Patientendaten, drumherum wachsen Schalen — von der Identitätsprüfung außen bis zur Compliance-Schicht ganz oben.
01 · Identität & Zugriff. Bevor irgendjemand überhaupt zu Daten kommt, muss bewiesen sein: wer er ist und wofür er berechtigt ist. OIDC / OAuth 2.1, rollenbasierte Zugriffssteuerung pro Mandant, hardwarebasierte Sicherheitsschlüssel für Admin-Zugänge, automatische Session-Auslogung nach vier Stunden. Jede Anmeldung wird mit Zeitstempel, Gerät und IP protokolliert. Klingt selbstverständlich — ist es im radiologischen IT-Bestand häufig nicht.
02 · Verschlüsselung. Daten verlassen das Verschlüsselungs-Setup nie. AES-256 für ruhende Daten, TLS 1.3 für die Übertragung, Schlüsselverwaltung in einem Hardware-Sicherheitsmodul (HSM). Optional Bring-Your-Own-Key: Sie behalten die Schlüssel, MiraNext sieht Klartext nie. Schlüsselrotation alle 90 Tage automatisch.
03 · Netzwerk & Isolation. Patienten-Tenants sind voneinander getrennt — niemand sieht über die eigene Grenze hinaus. EU-only-Hosting in Wien und Frankfurt bei nach BSI C5 zertifizierten Cloud-Anbietern. Die vollständige technische Architektur wird Kunden unter NDA offengelegt; die Datenebene bleibt in EU-Region.
04 · Endpoint-Sicherheit. Jedes Praxis-Endgerät, das auf die Plattform zugreift, ist potenzielle Schwachstelle. Auf Wunsch bieten wir über zertifizierte MiraNext-Partner Endpoint Detection & Response (EDR), Mobile Device Management (MDM) und automatische Geräte-Isolation bei Bedrohung. Gleiches Setup ist über Partner für das Praxis-Netzwerk verfügbar (Firewall, segmentiertes WLAN, Site-to-Site-VPN).
05 · Monitoring & Reaktion. Jede Aktion in der Plattform wird strukturiert protokolliert (hash-verkettet, 6 Monate Aufbewahrung). Auffälligkeiten lösen Alarme aus. Unser NIS2-konformes Incident-Response-Verfahren stellt sicher: Reaktion innerhalb von Minuten, nicht Stunden.
06 · Compliance & Recht. Externe Auditoren überprüfen jährlich, dass die anderen fünf Schichten halten, was sie versprechen. ISO 27001 + ISO 42001 zertifiziert, GDPR-konform mit unabhängiger Prüfung, KBV-Zertifizierung für Deutschland, NIS2-ready, EU AI Act conformant für Hochrisiko-Module wie MiraPhone. Kontinuierliche Pen-Tests gemeinsam mit unabhängigem Drittauditor. Reports unter NDA verfügbar.
Was das für eine Praxis konkret bedeutet. Ein einzelner Angriff — egal wie raffiniert — muss sechs unabhängig konstruierte Hürden gleichzeitig überwinden. Das ist nicht "unmöglich", aber es ist die maximale Hebelhöhe, die ein Software-Anbieter heute realistisch ziehen kann. Und es ist der Grund, warum wir die Diskussion um "Rechenzentrums-Klassen" oder "Cloud Sovereignty" für eine zweitrangige Diskussion halten: Die Schicht zählt — nicht das Marketing-Label.
Wer sich tiefer einlesen will: Unsere Trust-Center-Seite enthält den vollständigen Compliance-Stack, die ISO-Zertifizierungsnummern und das Eskalationsverfahren bei Sicherheitsvorfällen. Vertragspartner erhalten zusätzlich die Architektur-Diagramme und Pen-Test-Reports unter NDA.