So wählen Sie eine HIPAA-konforme Video-API für Ihre Gesundheits-App aus

Das Einbinden von Videofunktionen in eine Gesundheits-App erscheint zunächst einfach – bis zur ersten Sicherheitsprüfung. Da jede Verbindung geschützte Gesundheitsdaten (PHI) übertragen kann, muss die Videofunktion denselben Standards entsprechen wie der Rest Ihres Produkts. Die frühzeitige Auswahl der richtigen HIPAA-konformen Video-API erspart Ihnen monatelange Nacharbeiten und kann darüber entscheiden, ob Krankenhäuser Ihre Lösung überhaupt genehmigen.

Auch der Zeitpunkt spielt eine Rolle. Twilio kündigte an, „Programmable Video“ einzustellen, machte diese Entscheidung dann aber im Oktober 2024 wieder rückgängig (Twilio). Viele Teams, die sich nach Alternativen umgesehen haben, sind noch dabei, diese zu prüfen. Falls Sie zu diesen Teams gehören, sollten Sie Folgendes beachten.

Was zeichnet eine HIPAA-konforme Video-API aus?

Es gibt keine offizielle HIPAA-Zertifizierung für Software. Eine HIPAA-konforme Video-API ist eine API, die Ihnen die von der HIPAA für PHI geforderten Sicherheitsvorkehrungen bietet und von einem Anbieter stammt, der bereit ist, die Verantwortung für die von ihm verarbeiteten Daten zu übernehmen. Dies bedeutet in der Regel den Abschluss einer Geschäftspartnervereinbarung (Business Associate Agreement, BAA). Achten Sie in der Praxis auf folgende Punkte:

• Verschlüsselte Medien und Signalisierung, wie beispielsweise SRTP für Audio und Video sowie TLS für die Signalisierung
• Sichere Sitzungen, durch die Verwendung verschlüsselter Token, sodass nur autorisierte Benutzer an einem Anruf teilnehmen können
• Zugriffskontrollen, einschließlich Moderation durch den Moderator, den Co-Moderator und die Teilnehmer
• Aufnahmesteuerung, mit einer klaren Auswahl, wo die Aufnahmen gespeichert werden

Bereitstellung: Wo die Daten Ihrer Kunden gespeichert sind

Nicht alle Krankenhäuser haben dieselben Vorschriften. Einige verlangen, dass Daten in einem Land verbleiben. Andere lassen nicht zu, dass geschützte Gesundheitsdaten (PHI) ihr eigenes Rechenzentrum verlassen. Wenn Sie in Europa verkaufen, kommen die DSGVO und nationale Vorschriften zur Datenhoheit als weitere Hürde hinzu.

Entscheiden Sie sich für eine HIPAA-konforme Video-API, die den Einsatz vor Ort, in einer privaten Cloud sowie in einer Hybridumgebung unterstützt. So können Sie die Anforderungen jedes einzelnen Kunden erfüllen, ohne separate Versionen Ihres Produkts pflegen zu müssen.

Zuverlässigkeit in realen Krankenhausnetzwerken

WebRTC funktioniert in einer Demo gut. In Krankenhausnetzwerken sieht die Sache jedoch anders aus: überlastete WLAN-Netze, Firewalls, ältere Geräte und Patienten, die sich über schwache Mobilfunkverbindungen zuschalten. Ein sicherer Anruf, der unterbrochen wird, ist für das medizinische Personal dennoch ein Misserfolg.

Fragen Sie nach, wie sich die einzelnen HIPAA-konformen Video-APIs bei geringer Bandbreite verhalten – und nicht nur, wie sicher sie sind. Adaptive Technologien wie der Scalable Video Codec (SVC) passen die Qualität in Echtzeit an die jeweilige Verbindung an und sorgen so dafür, dass Anrufe auch dann noch nutzbar sind, wenn das Netzwerk nicht richtig funktioniert.

Wie viel Aufwand ist mit der Integration verbunden?

Ihre Entwickler sollten ihre Zeit mit den Funktionen verbringen, die Ihrem Produkt seinen Wert verleihen, und nicht mit der Videoinfrastruktur. Achten Sie auf Folgendes:

• SDKs für Web-, Mobil- und native Apps
• Beispiel-Apps, Dokumentation und eine kostenlose Testversion, damit Ihr Team das Produkt vor einer endgültigen Entscheidung ausprobieren kann
• Anpassbare Layouts und White-Labeling, damit das Video wie ein integraler Bestandteil Ihres Produkts wirkt
• EHR-Integration, insbesondere Epic, falls Ihre Kunden erwarten, dass Videos direkt aus der Patientenakte abgespielt werden können

Warum die Stabilität von Anbietern ein Compliance-Thema ist

Im Gesundheitswesen ist der Wechsel des Videoanbieters nicht einfach nur eine Änderung des Codes. Für jeden Krankenhauskunden ist möglicherweise eine neue Sicherheitsprüfung erforderlich. Deshalb sollte die Stabilität des Anbieters nicht nur bei Ihrer Beschaffungsentscheidung, sondern auch bei Ihrer Compliance-Entscheidung eine Rolle spielen. Erkundigen Sie sich, wie lange es das Produkt bereits gibt, wem es gehört und welche Verpflichtungen der Anbieter in seiner Roadmap eingegangen ist.

Eine Checkliste zur Bewertung einer HIPAA-konformen Video-API

1. Sind die Medien und die Signalübertragung verschlüsselt, und mit welchen Protokollen?
2. Wird der Anbieter eine BAA unterzeichnen?
3. Kann die Lösung vor Ort, in einer privaten Cloud oder als Hybridlösung bereitgestellt werden?
4. Wo werden die Aufzeichnungen gespeichert, und wer hat die Kontrolle darüber?
5. Wie gut funktioniert Video in Netzwerken mit geringer Bandbreite?
6. Gibt es SDKs für jede Plattform, die Sie unterstützen?
7. Können Sie diese Erfahrung als Ihre eigene präsentieren?
8. Lässt es sich in die elektronischen Patientenakten integrieren, die Ihre Kunden nutzen?
9. Wird der Anbieter das Produkt in fünf Jahren noch unterstützen?

Wie Vidyo ins Bild passt

Vidyo bietet Anbietern von Software für das Gesundheitswesen eine HIPAA-konforme Video-API, die sie einbinden und unter ihrem eigenen Markennamen anbieten können. VidyoPlatform nutzt SRTP-Medienverschlüsselung, TLS- und HTTPS-Signalisierung mit branchenüblicher PKI sowie verschlüsselte Sitzungstoken. Die Lösung ist HIPAA- und DSGVO-konform. Partner können die Lösung vor Ort, in einer privaten Cloud oder als Hybridlösung bereitstellen.

Die SVC-Technologie passt sich an jede Verbindung an und bietet eine Qualität von bis zu 4K, sofern das Netzwerk dies zulässt. Entwickler erhalten SDKs für Web-, Mobil- und native Apps, kostenlose Beispiel-Apps, eine umfassende Dokumentation sowie eine kostenlose Testversion. Falls Sie Unterstützung benötigen, stehen Ihnen professionelle Dienstleistungen zur Verfügung. Vidyo lässt sich zudem in Epic integrieren und war der erste Anbieter von Telemedizin-Integrationslösungen für Epic (Enghouse Video). Dahinter steht Enghouse Systems, ein Unternehmen, das seit über 35 Jahren Unternehmenssoftware entwickelt.

Auswahl einer HIPAA-konformen Video-API

Die richtige HIPAA-konforme Video-API sollte die Sicherheitsprüfungen Ihrer Kunden bestehen, in deren Netzwerken funktionieren und Ihre Entwickler nicht behindern. Nutzen Sie die obige Checkliste bei jedem Anbieter, den Sie vergleichen.

Wir bei Enghouse Video sind davon überzeugt, dass Kommunikation so natürlich funktionieren sollte wie die Gesundheitsteams, die sie nutzen. Unsere Lösungen helfen Organisationen dabei, ihre Investitionen in Gesundheitstechnologie optimal zu nutzen, indem sie sichere virtuelle Versorgung, klinische Zusammenarbeit, unternehmensweites Videomanagement und vernetzte Kommunikation im gesamten Gesundheitswesen unterstützen. Während Krankenhäuser weiterhin nach praktischen Wegen zur Modernisierung suchen, werden nicht unbedingt diejenigen Organisationen den größten Erfolg erzielen, die die größten Investitionen tätigen. Es werden vielmehr diejenigen sein, die ihre bereits getätigten Investitionen in Gesundheitstechnologie am intelligentesten nutzen.