> Source: https://meetrix.io/blogs/sovereign-hipaa-communications-platform-de/ > Markdown copy of that page. Cite the URL above, not this file. IAM & Security # Souveräne Kommunikationsplattform, HIPAA-tauglich gebaut [By Shalomi Umeshika](https://meetrix.io/blogs/authors/shalomi-umeshika/) • October 27, 2026 • 10 min read [English](https://meetrix.io/blogs/sovereign-hipaa-communications-platform/)Deutsch[Español](https://meetrix.io/blogs/sovereign-hipaa-communications-platform-es/)[Français](https://meetrix.io/blogs/sovereign-hipaa-communications-platform-fr/)[Italiano](https://meetrix.io/blogs/sovereign-hipaa-communications-platform-it/) Wer eine souveräne Kommunikationsplattform aufbaut, bekommt Fragen von zwei verschiedenen Compliance-Teams, und die fragen völlig unterschiedliche Dinge. Ein Compliance-Verantwortlicher im US-Gesundheitswesen will wissen, wer an Patientendaten herankommt und ob Sie das nachweisen können. Ein Einkäufer der öffentlichen Hand in Europa will wissen, wessen Recht an die Daten herankommt. Das Interessante daran? Die Antwort auf beides ist derselbe Stack: Open-Source-Chat, Video, Telefonie, Dateien und E-Mail auf Servern, die Sie kontrollieren, hinter einem einzigen Identity Provider. Die einzelnen Bausteine haben wir an anderer Stelle behandelt: [souveräne Videokonferenzen](https://meetrix.io/blogs/sovereign-video-conferencing/), [HIPAA-konforme Telemedizin-Videos](https://meetrix.io/blogs/hipaa-compliant-self-hosted-video-telehealth/) und neun [selbst gehostete Microsoft-Teams-Alternativen](https://meetrix.io/blogs/self-hosted-microsoft-teams-alternatives/). In diesem Artikel geht es darum, sie zu einer Plattform zusammenzufügen, die beide Prüfungen besteht, und um die wenigen Stellen, an denen Daten auch dann noch abfließen, wenn jeder Server Ihnen gehört. Er ist ein technischer Leitfaden, keine Rechtsberatung. 6Kanäle: Identität, Chat, Video, Telefonie, Dateien, E-Mail 4Ebenen der Souveränität: Software, Infrastruktur, Betrieb, Schlüssel 5technische HIPAA-Schutzmaßnahmen in 45 CFR 164.312 1Identity Provider, über den sich jede Anwendung anmeldet Kurz gesagt Open-Source-Tools auf Infrastruktur, die Sie kontrollieren, bestehen beide Prüfungen. Die eigentliche Arbeit steckt nicht in einer einzelnen Anwendung, sondern in Identität, Logging und den Rändern, an denen Nachrichten Ihre Server verlassen. Selbst zusammenstellen Gesundheitswesen, Recht, öffentlicher Sektor Keycloak, ein Chat-Server, Jitsi, Nextcloud und mailcow auf Servern Ihrer Wahl. Jeder Baustein ist ausgereift und austauschbar. Eine Suite nutzen EU-Verwaltung auf Kubernetes openDesk liefert das ganze Paket als ein Produkt, gebaut für die öffentliche Verwaltung. Die Bereitstellung ist größer als ein paar Server. Bei Teams bleiben Nur HIPAA, keine Souveränitätsanforderung Microsoft unterschreibt ein BAA. Wenn niemand fragt, welches Recht gilt, kann eine gehostete Suite mit BAA die einfachere Antwort sein. Noch nicht Keine Risikoanalyse, kein Identitätskonzept Erstellen Sie zuerst die HIPAA-Risikoanalyse oder die DSFA nach DSGVO und legen Sie fest, wo die Anmeldung liegt. Alles Weitere hängt an diesen beiden Punkten. Auf dieser Seite 1. [Zwei Prüfungen, ein Stack](#two-tests) 2. [Die souveräne Plattform, Kanal für Kanal](#stack) 3. [Identität zuerst](#identity) 4. [Wo Sie sie hosten](#hosting) 5. [Wo die Grenze undicht ist](#leaks) 6. [Aufzeichnungen, Aufbewahrung und Logs](#records) 7. [Eine Einführungsreihenfolge, die funktioniert](#rollout) 8. [Lohnt es sich?](#worth-it) ## Zwei Prüfungen, ein Stack Bei Souveränität geht es um Jurisdiktion. Bei HIPAA geht es um Schutzmaßnahmen. Legt man die Fragen nebeneinander, landen sie bei denselben Teilen des Systems. | Ebene | Souveränität fragt | HIPAA fragt | | --- | --- | --- | | Software | Können Sie sie ohne den Hersteller betreiben und den Anbieter wechseln? | Unterstützt sie eindeutige Benutzerkennungen, Audit-Logs und Verschlüsselung? | | Infrastruktur | Welches Landesrecht gilt für den Eigentümer der Server? | Gibt es ein BAA mit dem Anbieter, der die Daten speichert? | | Betrieb | Wer kann sich anmelden, Patches einspielen und Support-Tickets beantworten? | Ist der Zugriff beschränkt, protokolliert und überprüft? | | Schlüssel | Wer kann die Daten entschlüsseln? | Ist ePHI bei der Übertragung und im Ruhezustand verschlüsselt? | **Der eigentliche Unterschied ist, mit wem Sie unterschreiben.** HIPAA ist mit einem BAA mit Ihrem Cloud-Anbieter erfüllt, egal wo dieser sitzt. Souveränität lässt sich mit keinem Vertrag mit einem Anbieter unter ausländischem Recht herstellen, denn der US CLOUD Act erfasst Daten, die US-Unternehmen halten, unabhängig davon, wo sie gespeichert sind. US-Strafverfolgungsbehörden können von den betroffenen Anbietern Daten unabhängig vom Speicherort verlangen, und das Gesetz schafft außerdem einen Rahmen, über den ausländische Regierungen per Regierungsabkommen auf Daten bei US-Anbietern zugreifen können. ## Die souveräne Kommunikationsplattform, Kanal für Kanal Hier ist eine praxistaugliche Auswahl an Open-Source-Tools. Jedes ist austauschbar, und genau darum geht es: Ändert ein Projekt seine Lizenz oder seine kostenlose Edition, tauschen Sie diesen Baustein aus, nicht die ganze Plattform. | Kanal | Open-Source-Wahl | Lizenz | Worauf achten | | --- | --- | --- | --- | | Identität | Keycloak | Apache 2.0 | Wird zum wichtigsten Server, den Sie betreiben. Sichern und überwachen Sie ihn zuerst | | Chat | Mattermost, Zulip oder Element (Matrix) | MIT (Mattermost Team Edition), Apache 2.0 (Zulip), AGPL oder kommerziell (Synapse) | Die kostenlosen Editionen unterscheiden sich stark bei SSO und Produktivnutzung; prüfen Sie das, bevor Sie sich festlegen | | Video | Jitsi Meet oder plugNmeet | Apache 2.0, MIT | Der Medienserver entschlüsselt, um Streams weiterzuleiten, sofern Sie keine Ende-zu-Ende-Verschlüsselung aktivieren | | Telefonie | Jigasi oder das SIP-Gateway von plugNmeet | Apache 2.0, MIT | Beim Netzbetreiber verlässt der Anruf Ihre Grenze | | Dateien | Nextcloud | AGPL-3.0 | Vorschauen, Office-Bearbeitung und Föderation bringen jeweils einen weiteren Dienst mit, der abgesichert werden muss | | E-Mail | mailcow | GPL-3.0 | Mails an externe Empfänger laufen über Server, die Sie nicht kontrollieren | | TURN-Relay | Coturn | BSD-3-Clause | Ohne eigenen TURN-Server scheitern manche Anrufe oder laufen über fremde Relays | ### Chat: Die Falle ist die kostenlose Edition Mattermost Mattermost kommt den Teams-Kanälen am nächsten, aber v11 hat die Rechnung deutlich verändert. Team Edition steht weiterhin unter MIT-Lizenz, doch die Nutzergrenze sank auf 250, und GitLab-SSO, Google OAuth und OpenID Connect wurden alle aus der kostenlosen Stufe entfernt. HIPAA verlangt eindeutige, verwaltete Identitäten, SSO ist also keine Option, sondern Pflicht. Entweder Sie zahlen für eine kommerzielle Edition, oder Sie wählen einen anderen Chat-Server. Zulip Zulip bietet Unterhaltungen in Threads, eine saubere Apache-2.0-Lizenz und unkompliziertes Selbsthosten. Gut geeignet für Teams, die in vollen Kanälen untergehen. Unser Leitfaden zu [Zulip als Slack-Alternative](https://meetrix.io/blogs/zulip-slack-alternative-gcp/) beschreibt die Einrichtung. Element (Matrix) [Element (Matrix)](https://meetrix.io/blogs/self-host-matrix-synapse/) bietet Ende-zu-Ende-verschlüsselte Räume und Föderation. Synapse steht unter AGPL oder einer kommerziellen Lizenz. Aber hier liegt die Falle: Elements kostenlose Suite ESS Community ist ausdrücklich „nicht für den Produktivbetrieb in kommerziellen Umgebungen vorgesehen“: keine Leistungsgarantien, keine Zertifizierungen, keine SBOM und keine Konformität mit dem Cyber Resilience Act. Für alles Ernsthafte landen Sie bei ESS Pro. ### Video und Telefonie Jitsi Meet ist der Motor von openDesk in Deutschland, und unter Visio in Frankreich arbeitet LiveKit, beides ist also für einen souveränitätsbewussten Einkäufer eine vertretbare Wahl. Für Teams, die viel aufzeichnen, ist [plugNmeet](https://meetrix.io/blogs/plugnmeet-jitsi-jibri-replacement-de/) die LiveKit-basierte Option mit integrierter SIP-Einwahl. Aktivieren Sie die [Ende-zu-Ende-Verschlüsselung in Jitsi Meet](https://meetrix.io/blogs/jitsi-meet-end-to-end-encryption/) für vertrauliche Besprechungen, und [betreiben Sie einen eigenen TURN-Server](https://meetrix.io/blogs/setting-up-a-turn-server-for-jitsi-meet/), damit Anrufe durch strenge Firewalls nicht über Dritte laufen. ### Dateien und E-Mail [Nextcloud](https://meetrix.io/blogs/nextcloud-vs-google-drive/) deckt Dateien, Kalender und Kontakte unter AGPL-3.0 ab, und die App Talk kann Chat und Anrufe übernehmen, wenn ein Team weniger Server betreiben will. [mailcow](https://meetrix.io/blogs/mailcow-gcp-marketplace/) betreibt einen vollständigen Mailserver in Docker unter GPL-3.0. ## Identität zuerst Jede Anwendung im Stack sollte sich über einen einzigen Identity Provider anmelden. Das ist für beide Prüfungen die wichtigste einzelne Kontrolle: ein Ort, an dem Multi-Faktor-Authentifizierung durchgesetzt wird, ein Ort, an dem Sie jemandem beim Ausscheiden alle Zugänge entziehen, und ein Log, wer sich wo angemeldet hat. 1. Keycloak vor allem anderen aufsetzenKeycloak spricht OIDC, OAuth2 und SAML, und jede Anwendung in der Tabelle unterstützt das in irgendeiner Edition. Unser Leitfaden zu [Keycloak auf AWS](https://meetrix.io/blogs/keycloak-on-aws/) beschreibt die Einrichtung, und die [Dokumentation von Keycloak](https://www.keycloak.org/) behandelt jedes Protokoll. 2. MFA für alle mit Zugriff auf sensible DatenHIPAA verlangt eine eindeutige Benutzeridentifikation, und die vorgeschlagene Änderung der Security Rule würde MFA ausdrücklich vorschreiben. Einkäufer mit Souveränitätsanforderungen werden ohnehin danach fragen. 3. Jede Anwendung beim Livegang anbindenChat-, Video-, Datei- und Mail-Clients sollten sich alle gegen Keycloak authentifizieren, nicht über eigene lokale Konten. 4. Offboarding mit einem einzigen SchrittWird ein Benutzer in Keycloak deaktiviert, sollte sein Zugriff überall enden. Testen Sie das vor dem Start mit einem echten Konto. ## Wo Sie sie hosten Dieselbe Software kann die Souveränitätsprüfung bestehen oder nicht bestehen, je nachdem, wo sie läuft. HIPAA interessiert sich weniger für das Land als für das BAA. | Wo sie läuft | Souveränität | HIPAA | | --- | --- | --- | | Eigene Hardware | Vollständig, wenn Sie sie auch selbst betreiben | Kein Cloud-BAA nötig; die physischen Schutzmaßnahmen liegen bei Ihnen | | Ein Anbieter in europäischem Besitz | Stark: EU-Unternehmen, EU-Recht | Nur für US-PHI relevant; wenige EU-Anbieter bieten ein HIPAA-BAA an | | AWS European Sovereign Cloud | Teilweise: EU-Gesellschaft und EU-Personal, aber die US-Muttergesellschaft unterliegt weiterhin dem CLOUD Act | Prüfen Sie, welche Services und Verträge angeboten werden | | Eine Standardregion von AWS oder Google Cloud | Schwach: US-Unternehmen, der CLOUD Act gilt | Stark: BAA verfügbar, HIPAA-fähige Services | Die AWS European Sovereign Cloud verdient einen genauen Blick. Sie ist physisch und logisch innerhalb der EU isoliert, wird von in der EU ansässigem Personal unter einer neuen deutschen Muttergesellschaft betrieben, und das Identitätsmanagement bleibt in der EU. AWS-Mitarbeiter außerhalb der EU haben keine technische Möglichkeit, auf Ihre Inhalte zuzugreifen. Die Konzernmutter dahinter ist aber nach wie vor ein US-Unternehmen, und der Wortlaut des Zusatzvertrags zu behördlichen Anfragen verpflichtet AWS zwar, gegen zu weit gefasste Anordnungen vorzugehen, beansprucht aber keine Immunität gegenüber US-Rechtsverfahren. Deshalb heißt es „teilweise“ und nicht „vollständig“. Für ein EU-Ministerium fällt die Standardregion glatt durch; die Sovereign Cloud ist eine spürbare Verbesserung, aber keine vollständige Antwort. Für eine US-Klinik ist eine Standardregion von AWS unter dem AWS BAA ein völlig geeigneter Standort für diesen Stack, und genau dieses Setup setzt unser [Leitfaden zu HIPAA-Voice-Agenten](https://meetrix.io/blogs/hipaa-ai-voice-agent-aws-de/) voraus. ## Wo die Grenze undicht ist Selbst wenn Sie jeden Server selbst hosten, bleiben einige Wege, auf denen Inhalte Ihre Kontrolle verlassen. Genau diese finden Auditoren. Mobile Push-Benachrichtigungen Standardmäßig laufen die Inhalte von Mattermost-Push-Benachrichtigungen über den Apple Push Notification Service (APNS) oder Google Firebase Cloud Messaging (FCM), bevor sie das Gerät erreichen. Enthält die Benachrichtigung Nachrichtentext, durchläuft dieser Text die Infrastruktur von Apple und Google. Der ID-only-Modus von Mattermost, bei dem das Telefon die Nachricht von Ihrem Server abruft, ist eine Enterprise-Funktion und kein Schalter in der kostenlosen Stufe. Nutzen Sie die privateste Option, die Ihre Edition unterstützt. Telefonanrufe Sobald ein Anruf das Telefonnetz erreicht, läuft er über die Technik eines Netzbetreibers. Ein Netzbetreiber, der Anrufe nur durchleitet, kann unter die Conduit-Ausnahme von HIPAA fallen; diese Ausnahme ist eng und auf Übertragungsdienste beschränkt, bei denen der Zugriff auf PHI zufällig oder selten ist. Ein Netzbetreiber, der aufzeichnet oder transkribiert, verarbeitet PHI und braucht ein BAA. Für die Souveränität wählen Sie einen Netzbetreiber in Ihrer Jurisdiktion. E-Mail an externe Empfänger Mails zwischen Ihren eigenen Nutzern können auf Ihrem Server bleiben. Mails an alle anderen laufen über deren Anbieter. Das HHS erlaubt unverschlüsselte E-Mail an Patienten, die auf das Risiko hingewiesen wurden und sie trotzdem bevorzugen. Für alles andere nutzen Sie statt eines Anhangs einen sicheren Link auf eine Datei in Nextcloud. Integrationen, Bots und Supportzugänge Ein SaaS-Bot in einem Chat-Kanal, ein KI-Assistent, der Nachrichten liest, ein Backup, das zu einem ausländischen Anbieter kopiert wird, oder ein Techniker eines Dienstleisters mit SSH-Zugang: Jedes davon hebt die Souveränitätsebene auf, die es berührt, und braucht unter Umständen ein eigenes BAA. **Zeichnen Sie die Grenze auf Papier, bevor Sie bauen.** Listen Sie jeden Weg auf, auf dem eine Nachricht Ihre Server verlassen kann, und entscheiden Sie für jeden: blockieren, verschlüsseln oder schriftlich akzeptieren. ## Aufzeichnungen, Aufbewahrung und Logs Eine Kommunikationsplattform erzeugt Aufzeichnungen an sechs Stellen gleichzeitig, und jede Anwendung hat ihre eigene Aufbewahrungseinstellung. Legen Sie diese bewusst fest. Aufbewahren und schützen - Anmelde- und Admin-Logs aus Keycloak und jeder Anwendung - Ihre HIPAA-Richtlinien und Risikoanalyse, sechs Jahre lang nach [45 CFR 164.316(b)(2)(i)](https://www.ecfr.gov/current/title-45/subtitle-A/subchapter-C/part-164/subpart-C/section-164.316) - Backups, verschlüsselt, in derselben Jurisdiktion wie die Live-Daten Begrenzen und planmäßig löschen - Besprechungsaufzeichnungen und Transkripte (die meisten Teams brauchen sie nicht) - Chatverläufe über das hinaus, was Ihre Richtlinie verlangt - Nachrichteninhalte in Logs, Fehlerberichten und Monitoring-Tools Die [Datenminimierung der DSGVO](https://meetrix.io/blogs/gdpr-webrtc-solutions-meetrix/) und die Aufbewahrungsregeln von HIPAA können in entgegengesetzte Richtungen ziehen. Klären Sie das in der Richtlinie, Kanal für Kanal, bevor Sie irgendetwas einschalten. ## Eine Einführungsreihenfolge, die funktioniert 1. Risikoanalyse oder DSFAHalten Sie fest, welche Daten jeder Kanal transportiert und wer sie braucht. Jede spätere Entscheidung geht darauf zurück. 2. IdentitätKeycloak mit MFA, vor jeder Anwendung für Endnutzer. 3. Chat und VideoDie Tools, die alle stündlich nutzen. Ziehen Sie zuerst ein Team um und beheben Sie, was es findet. 4. DateienNextcloud, mit Freigaberegeln, die vor dem ersten Upload feststehen. 5. TelefonieEinwahl oder ein SIP-Trunk, sobald die Frage des Netzbetreibers geklärt ist. 6. E-Mail zuletztSie ist am schwersten umzuziehen: MX-Einträge, DNS-Reputation und jahrelang gewachsene Postfächer. Betreiben Sie sie parallel, bevor Sie umschalten. ## Lohnt sich eine selbst gehostete Plattform? Wenn jemand im Einkauf fragt, wessen Recht für Ihre Kommunikation gilt: ja. Kein Vertrag mit einem US-Anbieter beantwortet diese Frage vollständig, und die Organisationen, die bereits gewechselt haben (Frankreich zu Visio auf Basis von LiveKit, Deutschland zu openDesk und der Internationale Strafgerichtshof weg von Microsoft Office nach einer sanktionsbedingten Kontosperrung), haben alle Open Source gewählt, das in ihrer eigenen Jurisdiktion betrieben wird. Wenn Ihre einzige Anforderung HIPAA ist, ist die Entscheidung knapper. Eine gehostete Suite mit BAA kann konform sein und macht im Betrieb weniger Arbeit. Selbsthosten zahlt sich aus, wenn Sie kontrollieren wollen, wo Daten liegen, was protokolliert wird und wer an die Server herankommt, oder wenn sich Lizenzen pro Nutzer in einer großen Organisation summieren. So oder so: Beginnen Sie mit der Identität und der Liste der Lecks. Diese Teile entscheiden, ob die Plattform die Prüfungen tatsächlich besteht, nicht die Wahl des Chat-Servers. ## Häufig gestellte Fragen Was ist eine souveräne Kommunikationsplattform? Eine Plattform, bei der Software, Infrastruktur, Betrieb und Schlüssel dem Recht Ihrer eigenen Jurisdiktion unterliegen, sodass keine ausländische Regierung den Zugriff auf Ihre Daten erzwingen kann. Kann eine Plattform zugleich souverän und HIPAA-konform sein? Ja. Open-Source-Tools auf Infrastruktur, die Sie kontrollieren, können beides erfüllen, sofern Sie dort, wo nötig, ein BAA haben und Schlüssel und Betrieb in Ihrer Jurisdiktion halten. Ist Microsoft Teams souverän, wenn ich eine EU-Datenregion nutze? Nicht vollständig. Microsoft ist ein US-Unternehmen, also gilt der CLOUD Act, egal wo die Daten liegen. Aus welchen Open-Source-Tools besteht der Stack? Keycloak für die Identität, Mattermost/Zulip/Element für den Chat, Jitsi oder plugNmeet für Video, Jigasi für Telefonie, Nextcloud für Dateien, mailcow für E-Mail und Coturn als TURN-Relay. Darf eine HIPAA-pflichtige Einrichtung Patienten von einem selbst gehosteten Server aus mailen? Ja, wenn die Patienten auf das Risiko hingewiesen wurden und trotzdem unverschlüsselte E-Mail bevorzugen. Für alles andere nutzen Sie einen sicheren Link statt eines Anhangs. Brauche ich ein BAA, wenn alles selbst gehostet ist? Nicht für Ihre eigene Hardware. Sie brauchen aber eines mit jedem Cloud-Anbieter, jeder SaaS-Integration und jedem Dienstleister mit Zugriff auf ePHI. Welcher Teil lässt sich am schwersten souverän machen? E-Mail. MX-Einträge, DNS-Reputation und jahrelang gewachsene Postfächer machen sie zum langsamsten Kanal bei der Migration, und die Anbieter externer Empfänger liegen immer außerhalb Ihrer Kontrolle. ## Sie planen eine souveräne oder HIPAA-taugliche Plattform? Wir stellen Open-Source-Chat, Video, Dateien und E-Mail auf Infrastruktur bereit, die unsere Kunden kontrollieren, und betreiben sie. Sagen Sie uns, welche Kanäle Sie brauchen und wo die Daten bleiben müssen. [Sprechen Sie mit Meetrix](https://meetrix.io/contact-us/) Meetrix Store Jitsi Meet Self-hosted video calls for 50 to 500 users [Deploy it](https://meetrix.io/store/jitsi-meet/) Meetrix Store New Deploy what this guide covers, pre-configured. - [Jitsi Meet Self-hosted video calls for 50 to 500 users](https://meetrix.io/store/jitsi-meet/) - [Mattermost Team chat, a self-hosted Slack alternative](https://meetrix.io/store/mattermost/) - [Nextcloud File sync and sharing, a Drive alternative](https://meetrix.io/store/nextcloud/) - [Coturn TURN/STUN for WebRTC, no per-minute relay fees](https://meetrix.io/store/coturn/) - [RustDesk Remote desktop AMI, a TeamViewer alternative](https://meetrix.io/store/rustdesk/) - [Mailcow Business email on your own domain](https://meetrix.io/store/mailcow/) [Browse all products](https://meetrix.io/store/)