Souveräne digitale Gesundheitswesen: Die Schicht, über die niemand Pressemitteilungen schreibt
Der Ruf eines Schweizer Uhrmachers ruht auf etwas, das Sie nicht sehen können. Die sichtbaren Zahnräder, die die Zeiger eines feinen Zeitmessers bewegen, sind nicht das, was ein Präzisionsinstrument von einem Spielzeug unterscheidet. Sie sind notwendig, sie sind schön verarbeitet, und ein sachkundiger Käufer wird sie überprüfen. Aber sie sind nicht die Uhr.
Die Uhr ist das Hemmwerk. Dieser kleine, präzise konstruierte Mechanismus wandelt die gespeicherte Energie der Feder in geregelte, messbare Bewegung um. Er tickt hinter dem Zifferblatt, verborgen vor dem Träger, und erledigt die eine Aufgabe, von der alles andere abhängt. Entfernen Sie ihn, und das schönste dekorierte Werk wird zum Altmetall.
Dasselbe Prinzip gilt für souveräne digitale Infrastruktur. Die sichtbaren Komponenten – die Plattform, der Cloud-Anbieter, die containerisierten Workloads, das Rechenzentrum im Inland – sind notwendig und beeindruckend. Sie sind auch der leichtere Teil, über den man spricht, und der leichtere Teil für eine Pressemitteilung. Aber sie sind die Zahnräder und die Zeiger.
Souveräne Compute-Infrastruktur ist notwendig. Sie ist nicht ausreichend.
Warum HIN’s Entscheidungen eine Blaupause sind, nicht eine Fallstudie
HIN – Health Info Net – sitzt hinter etwa 90% der Schweizer Gesundheitsstakeholder. Ärzte, Spitäler, Apotheken, Versicherer, Laboratorien. Wenn HIN sich modernisiert, führt es nicht einfach ein Pilotprojekt durch. Es transformiert die Vertrauensinfrastruktur eines ganzen nationalen Sektors.
Als Red Hat auf seinem Summit in Atlanta im Mai 2026 ankündigte, dass HIN zu Red Hat OpenShift migriert hatte, das auf zwei souveränen Schweizer Clouds läuft – Cloudscale und Exoscale – und von VSHN rund um die Uhr mit einer Verfügbarkeitszielmarke von 99,99% betrieben wird, war das kein routinemässiger Herstellersieg. Es war ein regulierter Sektor, der seine operative Zukunft auf eine offene Architektur setzte, absichtlich auf zwei Anbieter verteilt, damit kein einzelner Hersteller die Schaltzentrale des Schweizer Digital-Gesundheitswesens kontrolliert.
Die Arbeit war seriös, und die Menschen, die sie leisteten, verdienen Anerkennung. Aarno Aukia, Co-Gründer von VSHN, beschrieb die architektonische Entscheidung klar: “Wir haben Red Hat OpenShift gewählt, um HIN’s Sicherheits- und Multi-Tenancy-Anforderungen zu erfüllen. Die Lösung bot die richtige Grundlage, um die angemessene Sicherheitsarchitektur aufzubauen.” Sein Team richtete die neue Umgebung in 36 Stunden ein. Mohammad Alavi, CTO von HIN, beschrieb, was die Migration in seiner Organisationen veränderte: “Wir haben nie zuvor einen Rapid-Experimentation-Ansatz verfolgt, und unsere Legacy-Umgebung ermöglichte uns nicht, Automatisierung zu nutzen. Es war eine erstaunliche Erfahrung, auf DevOps zu wechseln und unsere Entwickler mit einer ganz neuen Kultur zu befähigen.”
Richard Zobrist, Switzerland Country Manager von Red Hat, rahmt die strategische Sicht ein: “Digitale Souveränität erfordert operative Kontrolle über Technologie, strategische Flexibilität und Vertrauen.”
Aber die Fallstudie erwähnt einen Dienst fast beiläufig. Verschlüsselte Nachrichten für Arzt-Patienten-Kommunikation. Dieser einzige Satz ist, wo die interessantere Geschichte beginnt.
Souveräne Infrastruktur speichert Daten. Vertrauensinfrastruktur bewegt sie.
Es gibt mindestens zwei sehr unterschiedliche Dinge, die “verschlüsselte Nachrichten” bedeuten können, und die meisten Diskussionen in unserer Branche vermischen sie so vollständig, dass die wichtigere Bedeutung aus dem Gespräch völlig verschwindet.
Die einfache Version ist TLS im Transit. Bytes werden zwischen dem Gerät des Benutzers und den Servern der Plattform verschlüsselt, und wiederum zwischen der Plattform und dem Empfänger. Dies ist das Minimum. Jedes moderne Nachrichtensystem macht das. Es schützt vor passiven Abhörern auf der Leitung und vor ungesichertem öffentlichem WiFi. Es schützt in keinerlei strukturellem Sinne vor der Plattform selbst. Der Plattformbetreiber sitzt in der Mitte, hält die Schlüssel und liest, indiziert und verschlüsselt die Nachricht nach Belieben neu. Das Schloss ist echt. Die Plattform hat eine Kopie des Schlüssels.
Die schwierigere Version ist der end-to-end verifizierte Austausch. Absender- und Empfängeridentitäten werden kryptographisch im Moment des Austauschs von den Teilnehmern selbst behauptet, nicht an einen Plattformbetreiber delegiert. Der Inhalt ist konstruktionsbedingt vertraulich, nicht vertraulich nach Richtlinie. Ein Arzt kann beweisen, dass eine Nachricht intakt ankam und vom beabsichtigten Patienten geöffnet wurde. Die Plattform kann sie nicht lesen, kann sie nicht umschreiben und kann nicht stillschweigend einen Empfänger durch einen anderen ersetzen.
Dieser Unterschied ist im Gesundheitswesen wichtiger als fast überall sonst. Ein Arzt und ein Patient, die über einen plattformbetriebenen Kanal kommunizieren, vertrauen standardmässig der Plattform mit Informationen, die legal und ethisch nicht geteilt werden dürfen. Schweizer Datenspeicherung sagt Ihnen, wo die Bytes physisch liegen. Sie sagt Ihnen nichts darüber, wer sie während der Bewegung lesen kann.
Souveräne Infrastruktur ist notwendig. Sie beantwortet nicht von selbst die Frage, wer die Nachricht lesen kann.
HIN verstand das. Weshalb ihre Infrastrukturmodernisierung kein Single-Layer-Projekt war.
Ein verschlossener Tresor mit einer Fliegengittertür
Stellen Sie sich die digitale Infrastruktur des Regulierten Sektors als ein Gebäude mit zwei unterschiedlichen Sicherheitseigenschaften vor. Die erste ist der Tresor – wo die Daten leben. Die zweite ist die Tür – wie die Daten hinein und hinaus bewegt werden, und wer durchpassieren kann.
Die Red Hat- und VSHN-Arbeit adressiert den Tresor. Wo leben die Daten? In souveränen Schweizer Clouds, auf einer offenen Plattform, betrieben von Menschen, die dem Schweizer Recht und den Schweizer Kunden antworten, ohne Einzelanbieter-Abhängigkeit und mit einer Verfügbarkeitszielmarke, die echte Kontinuität für echte Patienten bedeutet. Die Pressemitteilung landet auf der Red Hat Summit, weil dies ein echtes Erfolg ist. Die Erstellung einer Multi-Tenant-, souveränen, Dual-Cloud-OpenShift-Umgebung, die Sicherheits- und Betriebsanforderungen auf Gesundheitswesen-Niveau erfüllt, ist wirklich schwierig. Die Menschen, die das taten, verdienen die Sichtbarkeit, die sie erhalten.
Schicht eins ist gelöst. Aber Schicht zwei ist das, was die regulierten Sektoren dreissig Jahre lang improvisiert haben.
Die verschlüsselte Nachrichtenschicht adressiert die Tür. Wie bewegen sich Daten von einer Organisation zur anderen, unter welchen Identitätsgarantien, mit welcher Nachverfolgbarkeit, mit welcher Zusicherung, dass der Plattformbetreiber strukturell nicht in der Lage ist, den Austausch zu kompromittieren? Diese Frage ist unabhängig von der Infrastruktur-Schicht. Sie können eine vollkommen souveräne Cloud ausführen und dennoch jede Arzt-Patienten-Nachricht durch ein Vertrauensmodell leiten, das von jemand anderem kontrolliert wird.
Souveräne Compute plus kryptographisch verifizierte Kommunikation erzeugt etwas, das die regulierten Sektoren dreissig Jahre lang angestrebt haben: eine Infrastruktur, die von Architektur vertrauenswürdig ist, nicht von Richtlinie.
Die Fallstudie notiert, dass HIN unter den ersten Schweizer Unternehmen ist, die eine Zero-Trust-Architektur einführen. Zero Trust beginnt mit einer einfachen Prämisse: Annahme, dass ein Teil der Infrastruktur verletzt wird. Design dafür. Wenn Sie diese Prämisse ernst nehmen, kann die Kommunikationsschicht kein Gedanke sein, da sie genau die Schicht ist, die funktionieren muss, wenn die Annahme zutrifft.
Schicht eins ist gelöst.
HIN improvisiert nicht. Und das zählt weit über die Schweiz hinaus.
Eine Blaupause für das Kommende
Der Europäische Gesundheitsdatenraum schreibt den grenzüberschreitenden Austausch von Gesundheitsdaten über 27 Mitgliedstaaten vor. Das Schweizer DigiSanté-Programm baut das nationale Pendant auf. Jede dieser Initiativen muss, früher oder später, die gleiche architektonische Frage beantworten, die HIN nun in Produktion beantwortet hat: souveräne Infrastruktur, plus was?
Die HIN-Bereitstellung ist die früheste funktionierende Blaupause für digitale Infrastruktur im Regulierten Sektor, richtig gemacht. Offene Plattform auf souveränen Clouds, betrieben unter Schweizer Recht, mit end-to-end verifizierter Kommunikation, die die empfindlichsten Inhalte trägt. Nicht als eine Roadmap-Folie. Als laufende Dienste, in Produktion, heute, für die Menschen, die tatsächlich Gesundheitswesen in der Schweiz liefern.
Aarno Aukia, erneut: “Das Gesundheitswesen ist eine vorsichtige Branche, aber es ist auch eine, die echte Auswirkungen auf das Leben der Bürger hat.” Diese Auswirkung ist genau der Grund, warum die langweilige, unsichtbare Schicht zählt. Die schwierige Frage für jedes Land, jeden Sektor, jede Institution, die Kommunikationen verarbeitet, die sie sich nicht leisten kann offenzulegen, ist nicht, ob Ihre Daten im richtigen Land gespeichert werden. Es ist, ob die Menschen, die miteinander kommunizieren sollen, tatsächlich die sind, die sprechen.
Diese Antwort ist nicht in den Zahnrädern. Sie ist im Hemmwerk.
