Souveräne digitale Gesundheitswesen: Die Schicht, über die niemand Pressemitteilungen schreibt
Der Ruf eines Schweizer Uhrmachers ruht auf dem, was man nicht sehen kann. Die sichtbaren Zahnräder, die die Zeiger einer feinen Uhr bewegen, sind nicht das, was ein Präzisionsinstrument von einem Spielzeug unterscheidet. Sie sind notwendig, sie sind schön verarbeitet, und ein sachkundiger Käufer wird sie sich ansehen. Aber sie sind nicht die Uhr.
Die Uhr ist die Hemmung. Dieser kleine, präzise konstruierte Mechanismus wandelt die gespeicherte Energie der Unruh in regulierte, messbare Bewegung um. Er tickt hinter dem Zifferblatt, verborgen vor dem Träger, und erledigt die eine Aufgabe, von der alles andere abhängt. Entfernen Sie ihn, und die schönste verzierte Unruh wird zu Altmetall.
Dasselbe Prinzip gilt für souveräne digitale Infrastruktur. Die sichtbaren Komponenten – die Suite, der Cloud-Provider, die containerisierten Workloads, das Rechenzentrum auf heimischem Boden – sind notwendig und beeindruckend. Sie sind auch der leichtere Teil, um darüber zu sprechen, und der leichtere Teil für eine Pressemitteilung. Aber sie sind die Zahnräder und die Zeiger.
Souveräne Rechenleistung ist notwendig. Sie ist nicht ausreichend.
Warum die Entscheidungen von HIN ein Blueprint sind, kein Fallbeispiel
HIN – Health Info Net – sitzt hinter etwa 90% der Schweizer Gesundheitsstakeholder. Ärzte, Spitäler, Apotheken, Versicherer, Labore. Wenn HIN sich modernisiert, führt es nicht einfach einen Test durch. Es verlagert die Vertrauensgrundlage eines ganzen nationalen Sektors.
Als Red Hat auf seinem Summit in Atlanta im Mai 2026 ankündigte, dass HIN zu Red Hat OpenShift migriert hatte, das auf zwei souveränen Schweizer Clouds läuft – Cloudscale und Exoscale – und 24×7 von VSHN verwaltet wird mit einer angestrebten Verfügbarkeit von 99,99%, war das kein Routinevertragsabschluss. Es war ein regulierter Sektor, der seine operative Zukunft auf eine offene Architektur wettete, absichtlich auf zwei Provider verteilt, damit kein einzelner Anbieter die Schaltzentrale der Schweizer digitalen Gesundheitswesen kontrolliert.
Die Arbeit war ernsthaft, und die Menschen, die sie taten, verdienen es, genannt zu werden. Aarno Aukia, Mitgründer von VSHN, beschrieb die architektonische Wahl unmissverständlich: «Wir haben uns für Red Hat OpenShift entschieden, um die Sicherheits- und Multitenancy-Anforderungen von HIN zu erfüllen. Die Lösung bot die richtige Grundlage, um die angemessene Sicherheitsarchitektur zu entwickeln.» Sein Team hatte die neue Umgebung in 36 Stunden aufgebaut. Mohammad Alavi, CTO von HIN, beschrieb, was die Migration in seiner eigenen Organisation veränderte: «Wir hatten noch nie einen Rapid-Experimentation-Ansatz, und unsere Altumgebung ermöglichte uns nicht, Automatisierung zu nutzen. Es war eine grossartige Erfahrung, zu DevOps zu wechseln und unsere Entwickler mit einer völlig neuen Kultur zu ermächtigen.» Richard Zobrist, Country Manager Schweiz von Red Hat, rahmte den strategischen Ansatz ein: «Digitale Souveränität erfordert operative Kontrolle über Technologie, strategische Flexibilität und Vertrauen.»
Aber das Fallbeispiel erwähnt einen Dienst beinahe beiläufig: Verschlüsselte Nachrichten für Arzt-Patient-Kommunikation. Diese kurze Formulierung ist der Punkt, an dem die interessantere Geschichte beginnt.
Souveräne Infrastruktur speichert Daten. Vertrauensinfrastruktur bewegt sie.
Es gibt mindestens zwei sehr unterschiedliche Dinge, die «verschlüsselte Nachrichten» bedeuten können, und die meisten Diskussionen in unserer Branche vermischen sie so vollständig, dass die wichtigere Bedeutung völlig aus der Unterhaltung verschwindet.
Die einfache Version ist TLS im Transit. Bytes werden zwischen dem Gerät des Benutzers und den Servern der Plattform verschlüsselt, und erneut zwischen der Plattform und dem Empfänger. Das ist Standard. Jedes moderne Messaging-System tut dies. Es schützt vor passiven Abhörern auf der Leitung und vor unsichertem öffentlichen WiFi. Es schützt in keinem strukturellen Sinne vor der Plattform selbst. Der Plattformbetreiber sitzt in der Mitte, hält die Schlüssel und liest, indiziert und erneuert die Nachricht nach Belieben. Das Schloss ist real. Die Plattform hat eine Kopie des Schlüssels.
Die schwierigere Version ist der Ende-zu-Ende-verifizierte Austausch. Absender- und Empfängeridentitäten werden kryptografisch zum Zeitpunkt des Austauschs behauptet, von den Teilnehmern selbst, nicht delegiert an einen Plattformbetreiber. Der Inhalt ist konstruktionsbedingt vertraulich, nicht richtlinienbedingt vertraulich. Ein Arzt kann nachweisen, dass eine Nachricht unversehrt angekommen ist und vom beabsichtigten Patienten geöffnet wurde. Die Plattform kann sie nicht lesen, nicht umschreiben und kann nicht unauffällig einen Empfänger durch einen anderen ersetzen.
Diese Unterscheidung ist in der Gesundheitswesen noch wichtiger als fast überall sonst. Ein Arzt und ein Patient, die über einen plattformvermittelten Kanal kommunizieren, vertrauen der Plattform standardmässig mit Informationen an, die gesetzlich und ethisch nicht geteilt werden dürfen. Schweizer Datenhoheit sagt Ihnen, wo die Bytes physisch liegen. Sie sagt nichts darüber, wer sie in Bewegung lesen kann.
Souveräne Infrastruktur ist notwendig. Sie beantwortet allein nicht die Frage, wer die Nachricht lesen kann.
HIN verstand das. Deshalb war ihre Infrastruktur-Modernisierung kein Single-Layer-Projekt.
Ein gesperrter Tresor mit einer Fliegengittertür
Stellen Sie sich die digitale Infrastruktur von regulierten Sektoren als ein Gebäude mit zwei unterschiedlichen Sicherheitseigenschaften vor. Die erste ist der Tresor – wo die Daten leben. Die zweite ist die Tür – wie die Daten rein und raus gehen, und wer hindurchpasst.
Die Arbeit von Red Hat und VSHN behandelt den Tresor. Wo leben die Daten? In souveränen Schweizer Clouds, auf einer offenen Plattform, betrieben von Menschen, die dem Schweizer Recht und den Schweizer Kunden antworten, ohne Single-Vendor-Abhängigkeit und mit einer angestrebten Verfügbarkeit, die echte Kontinuität für echte Patienten bedeutet. Die Pressemitteilung landet bei Red Hat Summit, weil dies eine echte Leistung ist. Eine Multitenant-, souveräne Dual-Cloud OpenShift-Umgebung zu bauen, die Sicherheits- und Betriebsanforderungen auf Gesundheitswesen-Niveau erfüllt, ist wirklich schwierig. Die Menschen, die es taten, verdienen die Sichtbarkeit, die sie erhalten.
Layer eins ist gelöst. Aber Layer zwei ist, wo die regulierten Sektoren seit dreissig Jahren improvisieren.
Die Schicht der verschlüsselten Nachrichten behandelt die Tür. Wie bewegen sich Daten von einer Organisation zur anderen, unter welchen Identitätsgarantien, mit welcher Nachverfolgbarkeit, mit welcher Versicherung, dass der Plattformbetreiber strukturell unfähig ist, den Austausch zu kompromittieren? Diese Frage ist unabhängig von der Infrastruktur-Schicht. Sie können eine vollständig souveräne Cloud betreiben und trotzdem jede Arzt-Patient-Nachricht durch ein Vertrauensmodell leiten, das jemand anderes kontrolliert.
Souveräne Rechenleistung plus kryptografisch verifizierte Kommunikation ergibt etwas, das die regulierten Sektoren seit dreissig Jahren anstreben: eine Infrastruktur, die nach Architektur vertrauenswürdig ist, nicht nach Richtlinie.
Das Fallbeispiel vermerkt, dass HIN unter den ersten Schweizer Unternehmen ist, die eine Zero-Trust-Architektur annehmen. Zero Trust beginnt mit einer einfachen Prämisse: Gehen Sie davon aus, dass ein Teil der Infrastruktur kompromittiert wird. Gestalten Sie danach. Wenn Sie diese Prämisse ernst nehmen, kann die Kommunikations-Schicht keine Nebensache sein, weil sie genau die Schicht ist, die funktionieren muss, wenn die Annahme zutrifft.
Layer eins ist gelöst.
HIN improvisiert nicht. Und das ist wichtig weit über die Schweiz hinaus.
Ein Blueprint für das, was als Nächstes kommt
Der Europäische Gesundheitsdatenraum schreibt den länderübergreifenden Austausch von Gesundheitsdaten über 27 Mitgliedstaaten vor. Schweiz DigiSanté-Programm baut die nationale Entsprechung. Jede dieser Initiativen muss früher oder später die gleiche architektonische Frage beantworten, die HIN jetzt in der Produktion beantwortet hat: souveräne Infrastruktur, plus was?
Die HIN-Bereitstellung ist der früheste funktionsfähige Blueprint für digitale Infrastruktur regulierter Sektoren, richtig gemacht. Offene Plattform auf souveränen Clouds, betrieben unter Schweizer Recht, mit Ende-zu-Ende-verifizierter Kommunikation, die den sensibelsten Inhalt trägt. Nicht als eine Roadmap-Folie. Als laufende Dienste, in Produktion, heute, für die Menschen, die tatsächlich Gesundheitswesen in der Schweiz erbringen.
Aarno Aukia, erneut: «Gesundheitswesen ist eine vorsichtige Branche, aber es ist auch eine, die echte Auswirkungen auf das Leben der Bürger hat.» Diese Auswirkung ist genau der Grund, warum die langweilige, unsichtbare Schicht zählt. Die schwierige Frage für jedes Land, jeden Sektor, jede Institution, die Kommunikationen handhabt, die es sich nicht leisten kann, offenzulegen, ist nicht, ob Ihre Daten im richtigen Land gespeichert sind. Es ist, ob die Menschen, die kommunizieren sollen, tatsächlich die sind, die sprechen.
Diese Antwort ist nicht in den Zahnrädern. Sie ist in der Hemmung.
