Ratgeber12 Min. Lesezeit
Confidential Computing im Gesundheitswesen: wie die Technik Patientendaten schützt und wo ihre Grenzen liegen
Confidential Computing im Gesundheitswesen schirmt Patientendaten beim Rechnen vom Cloud-Betreiber ab. Wie Verschlüsselung und Attestierung funktionieren, wo die Grenzen liegen, was rechtlich gilt.
Von Nik Steinbrügge
Confidential Computing schützt Daten, während ein Server mit ihnen rechnet. Im Gesundheitswesen heißt das: Patientendaten bleiben auch dann abgeschirmt, wenn sie gerade verarbeitet werden. Der Prozessor verschlüsselt den Arbeitsspeicher einer virtuellen Maschine, und ein signierter Bericht belegt, welche Software darin läuft. Das schützt vor Administrator:innen des Cloud-Betreibers. Es schützt nicht vor jedem Angriff, und es ersetzt weder den Vertrag zur Auftragsverarbeitung noch die Verpflichtung zur Verschwiegenheit.
Dieser Beitrag erklärt die Technik für Praxisinhaber:innen, IT-Dienstleister und technisch interessierte Ärzt:innen. Er fasst zusammen, was Hersteller, Behörden und Forschungsgruppen bis zum 11. November 2026 veröffentlicht haben, und ersetzt keine Rechtsberatung. Die Kurzfassung ohne Technik steht im Ratgeber ChatGPT und Datenschutz in der Arztpraxis.
Was ist Confidential Computing, und welche Lücke schließt es im Gesundheitswesen?
Das Confidential Computing Consortium, ein Zusammenschluss von Hardware-Herstellern, Cloud-Anbietern und Software-Entwicklern, definiert Confidential Computing als Schutz von Daten in Verarbeitung durch Berechnung in einer hardwarebasierten, attestierten Trusted Execution Environment (TEE).
Die Lücke: Auf der Festplatte und im Netz sind Daten heute meist verschlüsselt. Zum Rechnen müssen sie entschlüsselt im Arbeitsspeicher liegen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schreibt dazu: „Der Zugriff auf den Arbeitsspeicher stellt für den Betreiber der Infrastruktur in der Regel keine nennenswerte Hürde dar.“ Wer einen KI-Dienst mit Befunden oder Arztbriefen nutzt, vertraut also bisher darauf, dass beim Betreiber niemand hinsieht.
Achten Sie auf den Begriff. Die Datenschutzkonferenz (DSK), das Gremium der deutschen Datenschutzaufsichtsbehörden, hält in einer Entschließung vom 16. Juni 2025 fest, dass „Confidential Computing“ „von verschiedenen Anbietern unterschiedlich belegt“ wird. Fragen Sie deshalb immer nach, welche Technik gemeint ist.
Was ist ein Trusted Execution Environment (TEE)?
Eine Trusted Execution Environment, etwa „vertrauenswürdige Ausführungsumgebung“, ist ein abgeschirmter Bereich, in dem Programme und Daten vor dem Rest des Systems geschützt laufen. Das Consortium nennt drei Eigenschaften: Unbefugte können die Daten dort nicht einsehen, nicht verändern und das laufende Programm nicht austauschen.
Als Unbefugte zählt das Consortium auch Systemadministrator:innen, Dienstleister und den Eigentümer der Infrastruktur, also den Betreiber des Servers selbst.
Wie funktioniert Confidential Computing auf Prozessor und Grafikprozessor?
In der Cloud teilen sich viele Kund:innen einen Server. Jede:r bekommt eine virtuelle Maschine (VM), und der Hypervisor des Betreibers teilt Prozessor und Speicher zu. Er kann normalerweise den Speicher jeder VM lesen. Bei einer vertraulichen VM nimmt ihm der Prozessor diese Möglichkeit. Verbreitet sind AMD SEV-SNP und Intel TDX:
- Der Prozessor verschlüsselt den Speicher. Jede VM bekommt einen eigenen Schlüssel, den Software nicht auslesen kann. Liest der Hypervisor den Speicher, sieht er laut AMD nur verschlüsselte Bytes.
- Der Prozessor schützt vor Manipulation. Bei SEV-SNP führt er Buch darüber, welche Speicherseite welcher VM gehört. Intel TDX kann den Speicher zusätzlich mit einer kryptografischen Prüfsumme absichern.
- Die Technik misstraut dem Betreiber. AMD behandelt BIOS, Hypervisor, Gerätetreiber und andere VMs als nicht vertrauenswürdig. Intel nennt ausdrücklich auch Administrator:innen und Techniker:innen des Rechenzentrums als Angreifer. Vertrauen müssen Sie dem Prozessor, seiner Firmware und der Software in der VM.
Große Sprachmodelle rechnen auf Grafikprozessoren (GPUs). NVIDIA unterstützt Confidential Computing ab der H100 und in der Blackwell-Generation, mit einer VM unter AMD SEV-SNP oder Intel TDX. Der Weg zur GPU ist mit AES-GCM (256 Bit) verschlüsselt. Im Speicher der GPU liegen die Daten aber im Klartext, geschützt durch Zugriffssperren in der Hardware. Die GPU wird eigens attestiert, und beide Nachweise müssen stimmen, bevor Daten fließen.
Bei einer vertraulichen KI-Anfrage prüft das Programm der Praxis zuerst den Attestierungsbericht und verschlüsselt die Anfrage dann für einen Schlüssel, der nur in der TEE existiert.
Wichtig ist ein Satz aus NVIDIAs Bedrohungsmodell: Die Grenze der vertraulichen VM trennt die Daten nicht von demjenigen, der die VM betreibt. Die Technik schließt zuerst den Betreiber der Infrastruktur aus. Ob auch der Anbieter des KI-Dienstes ausgeschlossen ist, hängt davon ab, welche Software er in der VM laufen lässt und ob Sie genau diese per Attestierung prüfen können.
Was beweist die Remote-Attestierung (Remote Attestation)?
Die Remote-Attestierung, englisch Remote Attestation, ist ein von der Hardware signierter Bericht darüber, welche Software in der TEE gestartet wurde und auf welchem Stand Prozessor und Firmware sind. Signiert ist der Bericht mit einem Schlüssel, dessen Zertifikatskette zu AMD, Intel oder NVIDIA führt.
Entscheidend ist, wer prüft. Der Internet-Standard RFC 9334 trennt den Attester, der den Nachweis liefert, vom Verifier, der ihn bewertet. Intel schreibt, dass jede Partei die Prüfung vornehmen kann und selbst festlegt, was sie prüft.
| Wer prüft | Was das für Sie bedeutet |
|---|---|
| Ein Programm auf Ihrer Seite, vor jeder Verbindung | Stimmt der Bericht nicht, gehen keine Daten raus. |
| Ein Prüfdienst des KI-Anbieters | Sie vertrauen dem Anbieter, dass er prüft und was er prüft. |
| Ein Prüfdienst des Cloud-Betreibers | Sie vertrauen der Partei, vor der die Technik schützen soll. |
Die DSK schreibt: „Nicht in allen Fällen ist für die Nutzenden klar überprüfbar, ob Confidential Computing überhaupt eingesetzt wird.“
Die Attestierung beweist, welcher Code läuft, nicht dass er fehlerfrei ist. Ein Messwert bedeutet nur etwas für den, der ihn aus offenem Quelltext nachrechnen kann oder eine unabhängige Prüfung hat. NVIDIA schreibt, dass sie nicht belegt, dass freigegebener Code frei von Schwachstellen ist. Und RFC 9334 weist darauf hin, dass sich der Zustand eines Systems direkt nach dem Bericht ändern kann.
Wo liegen die Grenzen von Confidential Computing?
Confidential Computing verschiebt, wem Sie vertrauen müssen. Der Hersteller von Prozessor und GPU bleibt Vertrauensanker. Drei Dinge schützt die Technik nicht: Metadaten wie Zeitpunkt und Zahl der Anfragen, die Verfügbarkeit (AMD und Intel nehmen das Abschalten der VM aus ihrem Schutzziel aus) und alles, was die Software in der TEE nach außen gibt, etwa Protokolle, Verläufe und Sicherungen.
AMD schließt Angriffe auf die Speicherleitungen im laufenden Betrieb und bestimmte Seitenkanäle selbst aus seinem Bedrohungsmodell aus. Veröffentlichte Angriffe zeigen, wo die Grenzen praktisch liegen:
| Angriff | Betroffen | Was die Angreifer brauchten | Reaktion der Hersteller |
|---|---|---|---|
| CacheWarp, 2023, CISPA und TU Graz | AMD SEV-ES und SEV-SNP | Kontrolle über den Hypervisor | Mikrocode-Update von AMD |
| Heckler und WeSee, 2024, ETH Zürich | AMD SEV-SNP, Heckler auch Intel TDX | Kontrolle über den Hypervisor | AMD und Intel sahen die Schwachstelle in der Software der VM |
| BadRAM, 2024, KU Leuven, Universität zu Lübeck, University of Birmingham | AMD SEV-SNP | manipulierten Speicherriegel für unter 10 US-Dollar | Firmware-Update von AMD |
| Battering RAM, 2025, KU Leuven und University of Birmingham/Durham University | AMD SEV-SNP und Intel Scalable SGX mit DDR4 | Zwischenstecker für unter 50 US-Dollar | außerhalb des Schutzumfangs, AMD plant keine Korrektur |
| TEE.fail, 2025, Georgia Tech und Purdue University | Intel SGX und TDX, AMD SEV-SNP mit DDR5 | Zwischenstecker für unter 1.000 US-Dollar | außerhalb des Bedrohungsmodells |
Daraus folgt: Die Software in der VM gehört zur Vertrauensbasis, und die prüfende Seite muss veraltete Software und Firmware ablehnen. Wer an die Hardware kommt, ist ein anderer Gegner. Die DSK schreibt, der Betreiber habe „physikalischen Zugang zu den Systemen und umfangreiche Möglichkeiten, die Hardware und Software zu manipulieren“. Rechenzentrum, Zutrittsschutz und Vertrag bleiben also wichtig.
Bei Sprachmodellen kommt ein Seitenkanal dazu, der mit der TEE nichts zu tun hat: Die Größe der verschlüsselten Pakete verrät, wie lang die gestreamten Wortstücke sind. Eine Gruppe der Ben-Gurion-Universität rekonstruierte 2024 so 27 % der Antworten von KI-Assistenten. Microsoft zeigte 2025 mit Whisper Leak, dass sich aus Paketgrößen und Zeitabständen das Thema einer Unterhaltung ableiten lässt. Fülldaten senken die Trefferquote, schließen den Kanal laut der Studie aber nicht vollständig.
Die DSK fasst zusammen: „Absolute Vertraulichkeit ist nicht möglich und grundsätzlich ist davon auszugehen, dass ein Cloud-Betreiber Zugriffsmöglichkeiten auf die zu schützenden Daten besitzt.“ Zugleich bietet die Technik laut DSK typischerweise wertvollen Schutz gegen einzelne Innentäter, und ihr Einsatz sollte empfohlen werden.
Unsere Sicht: Ohne Confidential Computing genügt beim Betreiber ein Administratorzugang. Mit Confidential Computing braucht es einen gezielten Angriff auf die Hardware oder eine Schwachstelle. Wer verspricht, niemand könne je zugreifen, verspricht mehr als Hersteller und Aufsicht.
Confidential Computing rechtlich: DSGVO, § 203 StGB, C5 und § 393 SGB V
Confidential Computing ist eine technische Maßnahme, die das Risiko senkt. Weder die DSGVO noch § 203 StGB oder § 393 SGB V nennen sie beim Namen, und sie ersetzt keine der Pflichten, die für Praxen gelten.
Art. 32 DSGVO: Stand der Technik
Art. 32 Abs. 1 DSGVO verlangt „geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten“, unter Berücksichtigung des Stands der Technik. Als Beispiel nennt die Vorschrift „die Pseudonymisierung und Verschlüsselung personenbezogener Daten“, eine bestimmte Technik schreibt sie nicht vor. Die TeleTrusT-Handreichung zum Stand der Technik von 2025 führt die „Vertrauliche Datenverarbeitung in der Cloud“ als eigene Maßnahme für sensible Verarbeitungen, „etwa in der Medizin“.
Die DSK empfiehlt den Einsatz und betont die Schlüssel: Geheimhaltung vor dem Cloud-Betreiber ist nur gewährleistet, wenn er „den zur Entschlüsselung notwendigen Schlüssel nicht in Erfahrung bringen oder nutzen kann“.
§ 203 StGB: Schweigepflicht
Ärzt:innen dürfen Geheimnisse gegenüber mitwirkenden Personen offenbaren, „soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist“ (§ 203 Abs. 3 Satz 2 StGB). Nach Abs. 4 Satz 2 Nr. 1 macht sich strafbar, wer eine mitwirkende Person nicht zur Geheimhaltung verpflichtet hat, wenn diese ein Geheimnis unbefugt offenbart.
Die Begründung des Gesetzentwurfs von 2017 stellt klar, „dass ein Offenbaren bereits dann gegeben ist, wenn die Möglichkeit der Kenntnisnahme von Geheimnissen besteht.“ Confidential Computing verkleinert den Kreis derer, die Kenntnis nehmen können. Wir haben aber keine Behörde, keine Kammer und kein Gericht gefunden, die sagen, dass eine TEE die Verpflichtung zur Geheimhaltung entbehrlich macht. Verpflichten Sie Anbieter und Unterauftragnehmer deshalb weiter zur Verschwiegenheit.
AVV nach Art. 28 DSGVO
Der Vertrag zur Auftragsverarbeitung bleibt Pflicht. Er muss vorsehen, dass der Auftragsverarbeiter „alle gemäß Artikel 32 erforderlichen Maßnahmen ergreift“ (Abs. 3 Satz 2 lit. c) und Ihnen die nötigen Nachweise gibt (lit. h). Wirbt ein Anbieter mit Confidential Computing, gehört in die Anlage zu den technischen und organisatorischen Maßnahmen, welche Teile in einer TEE laufen, mit welcher Technik und wer die Attestierung prüft. Was nur auf der Website steht, ist nicht vereinbart. Der Cloud-Betreiber bleibt weiterer Auftragsverarbeiter und braucht Ihre vorherige schriftliche Genehmigung (Art. 28 Abs. 2 DSGVO).
C5-Testat und § 393 SGB V
C5 ist der Kriterienkatalog des BSI für Cloud-Dienste. Leistungserbringer wie Vertragsarztpraxen und ihre Auftragsverarbeiter brauchen für Gesundheitsdaten in der Cloud „ein aktuelles C5-Testat der datenverarbeitenden Stelle im Hinblick auf die C5-Basiskriterien“ (§ 393 Abs. 3 Nr. 2 SGB V) oder einen Nachweis vergleichbaren Niveaus. Seit dem 1. Juli 2025 muss es ein Testat vom Typ 2 sein, das einen Prüfzeitraum abdeckt. Für neu in Verkehr gebrachte Systeme reicht in den ersten 18 Monaten Typ 1.
Der Katalog C5:2026 greift Confidential Computing erstmals eigens auf. OPS-32 verlangt eine Dokumentation, „welche Teile des Cloud-Stacks mit welcher Technologie geschützt sind und wo ein Zugriff Dritter möglich ist“. OPS-33 verlangt eine Schnittstelle, über die Kund:innen „die Integrität der Remote-Attestierung“ überprüfen können. C5:2026 gilt für Testate mit Stichtag oder Prüfbeginn ab dem 1. Juni 2027. Fragen Sie schon jetzt danach.
Das Prinzip kennt auch die elektronische Patientenakte: Die gematik verlangt eine Vertrauenswürdige Ausführungsumgebung (VAU), in der Daten verarbeitet werden, „ohne dass einzelne Mitarbeiter des Betreibers auf diese Daten zugreifen können“, mit Attestierung beim Start. Mehr zur ePA im Alltag steht im Ratgeber ePA befüllen im Praxisalltag.
10 Fragen an Anbieter, die mit Confidential Computing werben
- Welche Teile laufen in einer TEE, welche nicht? Sprachmodell, Spracherkennung, Datenbank, Protokolle (C5:2026, OPS-32).
- Welche Technik? AMD SEV-SNP, Intel TDX, GPUs im vertraulichen Modus. „Verschlüsselt im Rechenzentrum“ ist keine Antwort.
- Wer prüft die Attestierung, wo und wie oft? Auch die der GPU?
- Können wir den Messwert nachvollziehen? Offener Quelltext oder unabhängige Prüfung.
- Wer kann die Schlüssel erfahren oder nutzen? Der Cloud-Betreiber darf es nie können.
- Was sieht Ihr Personal, und was liegt außerhalb der TEE? Fernzugänge, Protokolle, Verläufe, Sicherungen.
- Welche Metadaten bleiben sichtbar? Gibt es Fülldaten gegen die Analyse von Paketgrößen?
- Wie schnell kommen Firmware-Updates? Lehnt die Attestierung veraltete Stände ab?
- Wie ist der physische Zugang zu den Servern geschützt?
- Steht das alles im AVV? Mit Anlage zu den technischen und organisatorischen Maßnahmen, Verpflichtung zur Geheimhaltung (§ 203 Abs. 4 StGB) und C5-Testat.
Allgemeine Fragen an jeden KI-Anbieter stehen im Ratgeber ChatGPT und Datenschutz in der Arztpraxis. Was gilt, wenn eine KI Anrufe annimmt, steht im Ratgeber KI am Praxistelefon: was rechtlich gilt, die Auswahl eines Telefonassistenten im Ratgeber KI-Telefonassistent in der Arztpraxis.
Wo atmOS Health hilft
atmOS Health ist ein Posteingang für die ganze Praxis. Anrufe, E-Mails, Faxe, Scans, Chat und Formulare landen als Vorgänge an einem Ort, und die KI-Assistentin Ilka arbeitet dort mit, wo Ihr Team sie einsetzt. Ilka bereitet vor, Ihr Team entscheidet.
Zu den Fragen an Anbieter: Hosting in Deutschland. Die KI läuft in Deutschland. Kein Training mit Kundendaten. Zugangsdaten zur Praxissoftware und Anrufaufnahmen werden zusätzlich mit einem eigenen Schlüssel je Praxis gespeichert. Jeder Schritt wird protokolliert. Die AVV schicken wir Ihnen auf Anfrage.
Datenschutz und Sicherheit bei atmOS Health. atmOS Health kostet ab 199 € im Monat je Arzt-Vollzeitstelle, zzgl. USt. (Preise). Gern zeigen wir es Ihnen in einer Demo.
Häufige Fragen
Ist Confidential Computing dasselbe wie Ende-zu-Ende-Verschlüsselung?
Nein. Bei Ende-zu-Ende-Verschlüsselung kann der Server die Inhalte nicht lesen und deshalb nicht mit ihnen rechnen. Bei Confidential Computing werden die Daten auf dem Server entschlüsselt, aber nur innerhalb der TEE.
Macht Confidential Computing den AVV oder die Verschwiegenheitsverpflichtung überflüssig?
Nein. Der AVV bleibt nach Art. 28 Abs. 3 DSGVO Pflicht, und § 203 Abs. 4 StGB verlangt weiter die Verpflichtung mitwirkender Dienstleister zur Geheimhaltung. Confidential Computing kommt als technische Maßnahme hinzu.
Müssen Praxen Confidential Computing einsetzen?
Die DSGVO nennt die Technik nicht. Art. 32 verlangt ein dem Risiko angemessenes Schutzniveau nach dem Stand der Technik. Die DSK empfiehlt den Einsatz. Ob Sie ihn brauchen, hängt vom Risiko Ihrer Verarbeitung ab.
Ist eine lokale KI auf dem Praxisserver sicherer?
Sie verlagert das Risiko. Die Daten verlassen die Praxis nicht, dafür liegen Updates, Zugriffsschutz und Sicherung bei der Praxis, und wer Zugang zum Server hat, kann den Arbeitsspeicher lesen.
Quellen
Gelesen am 11. November 2026. Fragen Sie im Einzelfall Ihre Datenschutzbeauftragte, Ihre Ärztekammer oder Ihre Kassenärztliche Vereinigung.
Technik und Standards
- Confidential Computing Consortium: A Technical Analysis of Confidential Computing, Version 1.3, November 2022 (PDF)
- AMD: SEV-SNP, Strengthening VM Isolation with Integrity Protection and More, Januar 2020
- AMD: SEV-SNP Platform Attestation Using VirTEE/SEV, Juli 2023 (PDF)
- Intel: Trust Domain Extensions, White Paper (PDF)
- Intel: TDX Enabling Guide, Infrastructure Setup
- NVIDIA: Confidential Virtual Machines, Trust and Threat Model
- NVIDIA: Secure AI with Blackwell and Hopper GPUs, White Paper, August 2025 (PDF)
- IETF: RFC 9334, Remote ATtestation procedureS (RATS) Architecture, Januar 2023
Angriffe und Forschung
- CacheWarp, AMD-SB-3005
- Heckler und WeSee, AMD-SB-3008
- BadRAM, AMD-SB-3015
- Battering RAM, AMD-SB-3024
- TEE.fail, AMD-SB-3040
- Weiss et al.: What Was Your Prompt? A Remote Keylogging Attack on AI Assistants, USENIX Security 2024
- Microsoft: Whisper Leak, 07.11.2025, McDonald und Bar Or, arXiv 2511.03675
Behörden und Verbände
- Datenschutzkonferenz: Entschließung „Confidential Cloud Computing“, 16.06.2025 (PDF)
- BSI: Kriterienkatalog C5:2026, OPS-32 und OPS-33 (PDF)
- BSI: Pressemitteilung zu C5:2026, 07.04.2026
- BSI: Leitfaden für Cloud-Lösungen im VS-Kontext der Bundesverwaltung, 14.01.2026, S. 25 (PDF)
- TeleTrusT: Handreichung „Stand der Technik in der IT-Sicherheit“, 2025, S. 63 (PDF)
- gematik: Spezifikation Aktensystem ePA für alle, Version 1.8.2, Abschnitt 3.5
Gesetze und Materialien
Wie fanden Sie diesen Artikel?
Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung; er gibt den Stand vom 12. November 2026 wieder. Für Ihre Praxis verbindlich sind die Vorgaben Ihrer KV und Ihrer Ärztekammer; im Einzelfall hilft eine Rechtsanwältin oder ein Rechtsanwalt. Fehler gefunden? Schreiben Sie uns an support@atmos.build.
