Sicherheit & Architektur
Evidence-First-Architektur. Append-only Ereignislog, EU-Datenresidenz, minimale Datenerhebung, qualifizierte Zeitstempel auf der Roadmap. Übersicht für QM, IT und Datenschutz-Beauftragte.
Architektur-Prinzipien
Evidence-First
Hemostat ist kein Tracking-System, sondern ein Beweis-System. Erfasst werden ausschließlich Ereignisse, die für eine spätere Audit-Prüfung relevant sind. Alles, was nicht Beweisrelevanz hat, wird nicht erfasst.
Append-only Ereignislog
Alle relevanten Aktionen (Auftrag erstellt, Siegel gescannt, Übergabe bestätigt, Audit-Export erzeugt) werden als unveränderliche Ereignisse gespeichert. Nachträgliche Manipulation ist technisch ausgeschlossen. Korrekturen erfolgen ausschließlich durch Folge-Ereignisse („Korrektur-Eintrag"), die ihrerseits dokumentiert werden.
Minimale Datenerhebung
Hemostat speichert keine Patientendaten, keine Diagnosen, keine Befunde. Erfasst werden nur Transport-Metadaten: wer, was (Klassifikation, nicht Inhalt), wann, von wo, wohin, durch wen.
EU-Datenresidenz
Datenhaltung in deutschen / EU-Rechenzentren. Keine Übermittlung in Drittstaaten ohne expliziten Auftrag. AVV nach Art. 28 DSGVO Standardteil des Pilot-Vertrags.
Beweiskette im Detail
Jedes Ereignis wird mit folgenden Attributen gespeichert:
| Attribut | Inhalt |
|---|---|
| Ereignis-ID | UUIDv7, monoton steigend |
| Typ | order_created, seal_scanned, handover_confirmed, audit_exported, … |
| Zeitstempel | UTC, mit Server-Zeit zur Verifikation |
| Akteur | Mandanten-User-ID + Rolle |
| Standort-Bezug | Übergabepunkt-ID (kein freies GPS-Tracking) |
| Hash-Kette | Verweis auf Vorgänger-Ereignis im Mandanten-Log |
| Signatur | aktuell digital, eIDAS-konform qualifiziert auf Roadmap |
Die Hash-Verkettung pro Mandant erlaubt einen kryptografischen Integritäts-Beweis: ein nachträglich verändertes Ereignis bricht die Kette und ist beim Audit-Export sichtbar.
eIDAS 2.0 – Roadmap
Die eIDAS-Verordnung 2.0 führt qualifizierte elektronische Zeitstempel und Siegel als regulären Bestandteil im Gesundheitssektor ein. EUDI-Wallet-Akzeptanz im Healthcare-Bereich ist bis Ende 2027 vorgesehen.
Hemostat-Roadmap dazu:
- Heute: Server-seitige UTC-Zeitstempel, Hash-Kette, NTP-synchron.
- Q3/Q4 2026: Anbindung an einen qualifizierten Zeitstempeldienst nach eIDAS-2.0-Liste der Bundesnetzagentur.
- 2027: Empfangsbestätigung als qualifizierte elektronische Signatur via EUDI-Wallet (sobald infrastrukturell flächendeckend verfügbar).
Sicherheits-Maßnahmen (technisch)
- TLS 1.3 für alle Verbindungen
- Verschlüsselung at rest (AES-256)
- Mandanten-Isolation auf Datenbank-Ebene
- Rate-Limiting und Anomalie-Erkennung auf Audit-Export-Endpoints
- 2-Faktor-Authentifizierung für Admin-Rollen verpflichtend
- Audit-Trail auch für Admin-Aktionen (wer hat wann auf welchen Datensatz zugegriffen)
- Backups mit Point-in-Time-Recovery
- Penetrationstest jährlich durch externen Anbieter
Datenschutz (DSGVO)
- Auftragsverarbeiter-Vertrag (AVV) nach Art. 28 DSGVO – Standard-Bestandteil
- TOMs (technisch-organisatorische Maßnahmen) dokumentiert und auf Anfrage einsehbar
- Recht auf Auskunft, Berichtigung, Löschung jederzeit umsetzbar (mit Beschränkung der Löschung im Bereich von Audit-Pflichtdaten gemäß Aufbewahrungsfristen)
- DSFA (Datenschutz-Folgenabschätzung) für die App-Verarbeitung verfügbar
Wer wir nicht sind
Hemostat ist kein Überwachungswerkzeug. Der Standort-Beweis der Chain of Custody erfolgt ereignisbasiert (QR-Scan an einem definierten Übergabepunkt). Das optionale Live-Tracking zeigt die Fahrer-Position ausschließlich während aktiver Schicht bzw. aktivem Transport — mit Einwilligung des Fahrers, Pause-Schalter (in der Pause keine Ortung) und automatischer Löschung der Positionsdaten nach Aufbewahrungsfrist (Standard 30 Tage). Keine Ortung außerhalb von Schicht und Transport, keine privaten Bewegungsprofile, keine Verhaltensauswertung.
Hemostat ist kein Logistik-Dienstleister. Wir transportieren nicht. Wir liefern den Beweis-Layer über jeder Transport-Lösung, die das Haus heute nutzt.
Hemostat ist kein KIS-Modul. Wir benötigen keine Integration in das Krankenhaus-Informationssystem für den Start. Eine spätere API-Anbindung (HL7/FHIR-Auftragsmodelle) ist technisch vorgesehen.
Für IT und Datenschutz
Wir liefern auf Anfrage:
- Sicherheits-Whitepaper
- TOM-Dokumentation
- AVV-Vorlage
- Penetrationstest-Zusammenfassung
- DSFA-Vorlage
Anfrage an [email protected] oder direkt im Pilot anfordern.
Schwachstelle gefunden?
Sicherheitsforscher erreichen uns über einen eigenen Meldeweg mit PGP-Verschlüsselung und Safe Harbour: Schwachstelle melden. Maschinenlesbar nach RFC 9116 unter /.well-known/security.txt.