GLEIF und DirectTrust entwickeln ein praktisches Rahmenwerk für verifizierbare Organisationsidentität im US-Gesundheitswesen
Wie kann ein Krankenhaus sicher sein, welche Organisation hinter einem digitalen System steht, das Informationen anfordert? Und wie kann es überprüfen, dass ein Arzt, Mitarbeiter oder eine automatisierte Anwendung tatsächlich im Namen der Organisation handelt, die sie vorgibt zu vertreten?
Diese Fragen gewinnen zunehmend an Bedeutung, da Krankenhäuser, Labore, Versicherer und Gesundheitsorganisationen immer mehr Informationen über digitale Systeme austauschen.
Am 19. Oktober 2026 kündigten die Global Legal Entity Identifier Foundation (GLEIF) und DirectTrust, eine US-Organisation mit Fokus auf digitales Vertrauen im Gesundheitswesen, eine Partnerschaft zur Weiterentwicklung verifizierbarer Organisationsidentität im US-Gesundheitswesen an.
Im Zentrum der Initiative stehen der Legal Entity Identifier (LEI) und sein digitales Gegenstück, der verifizierbare LEI (vLEI).
Die Partnerschaft geht über die bloße Diskussion hinaus, ob LEIs im Gesundheitswesen nützlich sein könnten. Die Partner haben konkrete Anwendungsfälle identifiziert, von der Verifizierung von Gesundheitsorganisationen und delegierter Vollmacht bis hin zur Nutzung digitaler Berechtigungsnachweise bei API-Verbindungen und automatisierten Transaktionen.
Damit markiert die Initiative einen bedeutenden Schritt, die Rolle des LEI über den Finanzsektor hinaus zu erweitern.
Das Gesundheitswesen hat bereits Kennungen. Warum braucht es einen weiteren Ansatz?
Das US-Gesundheitswesen stützt sich auf mehrere Identifikationssysteme. Eines der bekanntesten ist der National Provider Identifier (NPI), ein Standard zur Identifizierung von Gesundheitsdienstleistern bei administrativen und finanziellen Transaktionen.
Eine Kennung allein beantwortet jedoch nicht jede Frage zur Identität einer Organisation oder dazu, wer in ihrem Namen handeln darf.
Gesundheitsorganisationen haben oft komplexe Strukturen. Ein Krankenhaus kann beispielsweise zu einem größeren Verbund gehören, an mehreren Standorten tätig sein, Laborleistungen auslagern und seine Systeme mit externen Technologieanbietern verbinden.
Der Gesundheitsdienstleister, der Ort der Leistungserbringung und die rechtlich verantwortliche juristische Person sind nicht zwangsläufig identisch.
Wenn zwei Systeme kommunizieren, stellen sich mehrere Fragen. Welche juristische Person steht hinter der Transaktion? Wurde ihre Identität überprüft? Wer handelt in ihrem Namen, und welche Befugnisse hat diese Person?
Bestehende Kennungen im Gesundheitswesen liefern auf all diese Fragen keine einheitliche Antwort. Ein NPI identifiziert beispielsweise einen Gesundheitsdienstleister, legt aber nicht zwingend die genaue juristische Person hinter einem bestimmten medizinischen Vorgang fest. Daraus ergibt sich ein praktischer Bedarf an einer ergänzenden Methode zur Verifizierung der Organisationsidentität.
DirectTrust griff diese Herausforderung auf der Gesundheitskonferenz ViVE 2026 im Februar in einer Sitzung mit dem Titel „No Identity, No Interop“ auf. Dabei wurde erörtert, wie verifizierbare Organisationsidentität bestehende Kennungen ergänzen könnte, einschließlich der möglichen Rolle von LEI und vLEI.
Im Oktober 2026 gaben GLEIF und DirectTrust ihre Partnerschaft bekannt, um diesen Ansatz weiterzuentwickeln.
Vier praktische Bereiche, in denen LEI und vLEI einen Unterschied machen könnten
Die Partnerschaft zwischen GLEIF und DirectTrust benennt vier Bereiche für die Anwendung verifizierbarer Organisationsidentität im Gesundheitswesen.
1. Verifizierung von Gesundheitsorganisationen
Ein LEI liefert eine weltweit anerkannte Kennung, die mit Referenzinformationen zu einer juristischen Person verknüpft ist.
Bei elektronischen Transaktionen im Gesundheitswesen kann dies Beteiligten helfen festzustellen, welche Organisation hinter einer Interaktion steht. Sie müssten sich dann nicht mehr ausschließlich auf separate Verzeichnisse oder bilaterale Vereinbarungen verlassen.
2. Verknüpfung von Personen und digitalen Systemen mit verantwortlichen Organisationen
Nicht nur Menschen initiieren Transaktionen im Gesundheitswesen. Auch Softwareanwendungen, automatisierte Systeme und zunehmend KI-gestützte Tools tauschen Informationen aus und stellen Anfragen.
Die Initiative zielt darauf ab, Beteiligten zu helfen festzustellen, welche verifizierte Organisation für diese Interaktionen verantwortlich ist.
3. Nachweis von Organisationsrollen und delegierter Vollmacht
Ein vLEI erweitert die verifizierte Identität einer Organisation um digitale Berechtigungsnachweise, die Beteiligte kryptografisch prüfen können.
Ein autorisierter Vertreter eines Krankenhauses könnte beispielsweise einen Berechtigungsnachweis vorlegen, der seine Verbindung zum Krankenhaus und seine festgelegte organisatorische Rolle zeigt. Der vorgeschlagene Ansatz umfasst auch Berechtigungen und gesundheitsspezifische Zwecke und hilft anderen Beteiligten, nicht nur die betroffene Organisation, sondern auch die mit einer bestimmten Interaktion verbundene Befugnis zu überprüfen.
4. Nutzung von Berechtigungsnachweisen im digitalen Alltag
Zu den geplanten Anwendungen zählen sichere Nachrichtenübermittlung, API-Verbindungen und automatisierte Arbeitsabläufe.
Das ist bedeutsam, da ein wachsender Anteil des Informationsaustauschs im Gesundheitswesen direkt zwischen Systemen stattfindet, häufig ohne dass eine Person jede Transaktion prüft.
Folglich könnte ein einheitlicher Ansatz für verifizierbare Identität den Aufwand verringern, dass jede Organisation für jeden neuen Partner eigene Identitätsprüfungen aufbauen muss.
Zusammen zeigen diese Anwendungsfälle die praktische Ausrichtung der Initiative. Ziel ist nicht einfach, Gesundheitsorganisationen eine weitere Kennung zuzuweisen. Vielmehr wollen die Partner verifizierte Organisationsidentität in den digitalen Transaktionen nutzbar machen, die diese Organisationen täglich durchführen.
Wie GLEIF und DirectTrust das Modell in die Praxis umsetzen wollen
Ein wichtiger Bestandteil der Partnerschaft ist die Entwicklung eines neuen Qualification-Agent-Modells.
Im bestehenden vLEI-Rahmenwerk stellen Qualified vLEI Issuers (QVIs) digitale Berechtigungsnachweise aus. Diese Organisationen müssen zunächst den Qualifizierungsprozess von GLEIF durchlaufen, bevor sie Berechtigungsnachweise ausstellen dürfen.
GLEIF führt bereits eine öffentliche Liste qualifizierter vLEI-Aussteller. Dies zeigt, dass das zugrunde liegende Ökosystem für Berechtigungsnachweise bereits etabliert ist.
Das neue Modell soll dieses Ökosystem auf Branchen mit bestehenden Zertifizierungs- und Akkreditierungsnetzwerken ausweiten.
Nach der vorgeschlagenen Struktur würde GLEIF Qualification Agents qualifizieren. Diese Agenten könnten dann vLEI-Aussteller innerhalb ihrer eigenen Netzwerke qualifizieren. GLEIF würde die Qualification Agents überwachen, während jeder Agent die von ihm qualifizierten Aussteller überwacht.
DirectTrust bringt Erfahrung in Akkreditierung, Zertifizierung und digitaler Identitätssicherung im Gesundheitswesen ein. GLEIF wiederum steuert das internationale Rahmenwerk für Organisationsidentität und die Governance-Struktur hinter vLEI bei.
Die Partner entwickeln derzeit die Qualifizierungs-, Governance- und Aufsichtsanforderungen für dieses vorgeschlagene Modell. DirectTrust dürfte sich voraussichtlich um eine Qualifikation als Qualification Agent bewerben, vorbehaltlich des Abschlusses des erforderlichen Verfahrens. Das neue Rahmenwerk soll bestehende Qualifizierungsregelungen ergänzen, nicht ersetzen.
Dies ist ein bedeutender Teil der Geschichte. Die Partner schlagen nicht nur eine technische Lösung vor. Sie arbeiten auch an einem Weg, diese über Organisationen und Vertrauensnetzwerke einzuführen, die bereits im Gesundheitswesen tätig sind.
In der Praxis könnte dies die Einführung erleichtern, verglichen damit, dass jede Gesundheitsorganisation eine völlig neue Vertrauensregelung von Grund auf aufbauen müsste.
Verifizierte Identität ist nicht gleichbedeutend mit Zugang zu Patientendaten
Es besteht ein wichtiger Unterschied zwischen dem Nachweis der organisatorischen Rolle einer Person und der Gewährung von Zugang zu medizinischen Informationen.
Ein digitaler Berechtigungsnachweis kann bestätigen, dass eine Person ein autorisierter Vertreter eines bestimmten Krankenhauses ist. Er erteilt dieser Person jedoch nicht automatisch die Berechtigung, die Krankenakte eines Patienten einzusehen.
Der Zugang zu Gesundheitsinformationen hängt weiterhin von gesundheitsrechtlichen Vorschriften, der Beziehung zwischen Patient und Leistungserbringer sowie den Zugriffsregeln des jeweiligen Informationssystems ab.
Die Unterscheidung ist eindeutig.
Ein LEI identifiziert die juristische Person. Ein vLEI kann helfen, die Identität und organisatorische Rolle einer in ihrem Namen handelnden Person zu verifizieren. Separate Zugriffskontrollen müssen weiterhin festlegen, ob diese Person auf Patientendaten zugreifen darf.
Genau darin liegt auch der potenzielle Wert des vLEI. Er muss bestehende Sicherheitssysteme im Gesundheitswesen nicht ersetzen. Stattdessen kann er diesen Systemen eine verifizierbare Grundlage dafür bieten, festzustellen, wer handelt und welche Organisation diese Person vertritt.
Europa steht vor einer ähnlichen Herausforderung
Der Bedarf an zuverlässiger digitaler Identität beschränkt sich nicht auf das US-Gesundheitswesen.
Die Europäische Union entwickelt den Europäischen Gesundheitsdatenraum (EHDS), ein Rahmenwerk zur Verbesserung des Zugangs zu und des Austauschs von elektronischen Gesundheitsdaten.
Über MyHealth@EU tauschen teilnehmende Länder bereits bestimmte Gesundheitsinformationen grenzüberschreitend aus, darunter elektronische Rezepte und Patientenkurzakten.
Die EU hat zudem spezifischere Vorschriften zur Identitätsverifizierung eingeführt.
Im September 2026 verabschiedete die Europäische Kommission die Durchführungsverordnung (EU) 2026/2099, die Anforderungen an die interoperable grenzüberschreitende Identifizierung und Authentifizierung von Patienten, Gesundheitsfachkräften und Gesundheitsdienstleistern festlegt.
Die Verordnung trat im Oktober 2026 in Kraft und gilt grundsätzlich ab dem 26. März 2027. Bestimmte Vorschriften, darunter jene zur Nutzung der European Digital Identity Wallets, gelten ab dem 26. März 2029.
USA und Europa befassen sich somit mit verwandten Fragestellungen: Wie können Organisationen und Einzelpersonen zuverlässig ihre Identität nachweisen, wenn sich Gesundheitsinformationen zwischen unterschiedlichen Systemen und Institutionen bewegen?
Ihre Herangehensweisen unterscheiden sich jedoch.
Europa baut Interoperabilität rund um nationale Identitätssysteme und grenzüberschreitende Infrastruktur für Gesundheitsdaten auf. Die US-Initiative von GLEIF und DirectTrust hingegen untersucht ein Modell, das auf international verifizierbarer Organisationsidentität und Rollennachweisen basiert.
Der EHDS verpflichtet Gesundheitsorganisationen nicht zur Nutzung von LEIs oder vLEIs.
Dennoch ist die Parallele aufschlussreich. Beide Entwicklungen spiegeln die wachsende Erkenntnis wider, dass der sichere Austausch von Gesundheitsinformationen mehr erfordert als sichere technische Verbindungen. Auch die Identität und Befugnis der am Austausch Beteiligten müssen vertrauenswürdig sein.
Könnte das Gesundheitswesen der nächste große Sektor für den LEI werden?
Die Partnerschaft zwischen GLEIF und DirectTrust ist weit über die Gesundheitsbranche hinaus bemerkenswert.
Der LEI ist vor allem bekannt für seine Rolle auf den Finanzmärkten, wo er die Identifizierung juristischer Personen und die regulatorische Meldepflicht unterstützt. Im Gesundheitswesen jedoch ist die vorgeschlagene Anwendung anders gelagert.
Die zentrale Frage lautet, wie Organisationen, Personen und digitale Systeme im alltäglichen Informationsaustausch verifiziert werden können.
Dies wird besonders relevant, da automatisierte Arbeitsabläufe und KI-Agenten zunehmend Aufgaben übernehmen.
Wenn beispielsweise ein Software-Agent im Namen einer Gesundheitsorganisation Informationen anfordert oder eine Transaktion initiiert, benötigt das empfangende System eine zuverlässige Methode, um festzustellen, welche Organisation dahintersteht und welche Befugnisse diese Organisation delegiert hat.
Die Initiative von GLEIF und DirectTrust verbindet diese Herausforderung mit einem bestehenden internationalen Identitätsrahmenwerk.
Die nächste Bewährungsprobe besteht darin, das vorgeschlagene Qualifizierungsmodell in praktische Umsetzungen mit Gesundheitsorganisationen und Technologieanbietern zu überführen. Die Ankündigung im Oktober belegt nicht, dass bereits vLEI-basierte Krankenhaus-Pilotprojekte laufen. Sie benennt jedoch konkrete Anwendungsfälle und einen Weg zu deren Umsetzung.
Hier liegt auch eine umfassendere Lehre.
Das Gesundheitswesen braucht nicht zwingend ein weiteres isoliertes Identifikationssystem. Es braucht bessere Wege, um Vertrauen zwischen Organisationen, Personen und Technologieplattformen herzustellen, die bereits unterschiedliche Systeme nutzen.
Genau hier könnte eine international verifizierbare Organisationsidentität wertvoll werden.
Das US-Gesundheitswesen könnte zu einem der wichtigsten realen Testfälle für vLEI jenseits des Finanzsektors werden. Die Frage ist nicht mehr, ob verifizierte Organisationsidentität im Gesundheitswesen nützlich sein könnte, sondern ob GLEIF und DirectTrust ihr vorgeschlagenes Modell in etwas verwandeln können, das Gesundheitsorganisationen täglich nutzen.