DICOM-Anonymisierung erklärt: Was Ihre Scan-Dateien preisgeben

Ihre Scan-Datei vereint zwei Dinge

Wenn Ihnen ein Bildgebungszentrum eine CD, einen USB-Stick oder einen Download-Link aushändigt, enthält der darin befindliche Ordner Dutzende oder Hunderte Dateien mit der Erweiterung .dcm. Jede dieser Dateien ist ein DICOM-Objekt und enthält zwei sehr unterschiedliche Arten von Inhalten. Der erste ist das Bild: die Pixeldaten einer einzelnen Schicht oder eines einzelnen Frames Ihrer CT-, MRT- oder Röntgenuntersuchung. Der zweite ist ein Header mit Metadaten, der beschreibt, wer wann, wo und wie untersucht wurde.

Das Bild allein ermöglicht nur selten die Identifizierung einer Person. Der Header hingegen identifiziert Sie vollständig. Bei der DICOM-Anonymisierung (auch als De-Identifizierung im HIPAA-Kontext bezeichnet) werden identifizierende Metadaten entfernt oder ersetzt, während das diagnostische Bild unverändert bleibt.

Welche personenbezogenen Daten ein DICOM-Header tatsächlich enthält

Der Header ist in Tags organisiert, und der DICOM-Standard legt fest, welche Tags personenbezogene Informationen enthalten können. In einem typischen Export aus einem Krankenhaus finden Sie:

• Patientenidentität: vollständiger Name, Patienten-ID oder Krankenaktennummer, Geburtsdatum, Geschlecht und manchmal Alter, Gewicht, Größe und ethnische Zugehörigkeit.
• Wer die Untersuchung angeordnet und durchgeführt hat: überweisender Arzt, durchführender Arzt, Namen des Bedienpersonals, Name und Anschrift der Einrichtung sowie der Stationsname des Scanners.
• Wann und warum: Datum und Uhrzeit der Untersuchung, Auftragsnummer, Beschreibungen der Untersuchung und Serien, Text zum angeforderten Verfahren sowie Freitextkommentare zum Patienten.
• Verborgene Kopien: Manche Hersteller wiederholen den Patientennamen in herstellerspezifischen privaten Tags, und bei manchen Ultraschall- und Bildschirmaufnahmebildern ist der Name direkt in das Bild eingebrannt.

Unser Leitfaden zum Hochladen von DICOM-Dateien erläutert diese Metadatengruppen ausführlicher, falls Sie sehen möchten, wie eine echte Datei aufgebaut ist.

Warum der Header wichtiger ist als das Bild

Menschen teilen Scans aus guten Gründen: für eine Zweitmeinung eines anderen Radiologen, für einen Spezialisten im Ausland, für eine Forschungsstudie, ein Patientenforum oder einen KI-Auswertungsdienst. Jeder dieser Empfänger erhält zusammen mit den Pixeldaten auch den Header. Nach dem HIPAA in den Vereinigten Staaten handelt es sich bei diesem Header um geschützte Gesundheitsinformationen (Protected Health Information, PHI). Nach der DSGVO in Europa sind es Gesundheitsdaten und damit eine der besonderen Kategorien, für die die strengsten Vorschriften gelten.

Die praktische Folge ist einfach. Ein unverarbeiteter DICOM-Ordner, der in einem Forum veröffentlicht, an eine E-Mail angehängt oder auf eine unbekannte Website hochgeladen wird, offenbart allen Personen, die damit umgehen, Ihren Namen, Ihr Geburtsdatum und Ihr Krankenhaus. Ein anonymisierter Ordner tut dies nicht, und der Betrachter kann dennoch jede Schicht in voller diagnostischer Qualität sehen.

Bei der Anonymisierung geht es nicht darum, den Scan zu verbergen. Es geht darum, die medizinischen Inhalte, die Sie teilen möchten, von Ihrer Identität zu trennen, die Sie in der Regel nicht weitergeben müssen.

Anonymisierung, De-Identifizierung und Pseudonymisierung

Die drei Begriffe überschneiden sich, haben aber unterschiedliche Bedeutungen. De-Identifizierung ist der HIPAA-Begriff: Werden die achtzehn Safe-Harbor-Identifikatoren entfernt – darunter Namen, alle Datumsangaben außer dem Jahr, Aktennummern und Gerätekennungen –, gelten die Daten nicht mehr als PHI. Anonymisierung ist der Begriff der DSGVO für die irreversible Entfernung jeder Verbindung zu einer Person. Bei der Pseudonymisierung werden Identifikatoren durch einen Code ersetzt, während ein Schlüssel an anderer Stelle aufbewahrt wird. Wer über den Schlüssel verfügt, kann die Identität wiederherstellen, weshalb die DSGVO pseudonymisierte Daten weiterhin als personenbezogene Daten behandelt.

Krankenhäuser, die Forschungsdatenbanken betreiben, verwenden normalerweise eine Pseudonymisierung, da sie Scans noch Jahre später mit den Behandlungsergebnissen verknüpfen müssen. Patienten, die einen einzelnen Scan teilen, benötigen fast immer eine reine Anonymisierung: Die Tags werden überschrieben und es wird kein Schlüssel aufbewahrt.

Wie die DICOM-Anonymisierung in der Praxis funktioniert

Überschreiben der Tags

Ein DICOM-Anonymisierer öffnet jede Datei, sucht die im Basic Application Confidentiality Profile des Standards aufgeführten Tags (Teil PS3.15 des DICOM-Standards) und ersetzt deren Werte. Obligatorische Tags wie Patientenname und Patienten-ID erhalten einen neutralen Platzhalter, damit auch streng validierende Viewer und PACS-Systeme die Datei weiterhin akzeptieren. Optionale Tags wie Namen von Ärzten oder die Anschrift der Einrichtung werden geleert. Die Pixeldaten werden niemals verändert.

Was ein guter Anonymisierer beibehält

Einige Metadaten müssen erhalten bleiben, da der Scan sonst unlesbar wird. Die Kennungen für Untersuchung, Serie und Bild sorgen dafür, dass die Schichten in der richtigen Reihenfolge gruppiert bleiben. Bildposition, Ausrichtung, Pixelabstand und Schichtdicke ermöglichen 3D-Rekonstruktionen und Messungen. Modalität, Sequenzparameter und Fenstereinstellungen teilen dem Viewer mit, wie das Bild dargestellt werden soll. Keine dieser Angaben identifiziert Sie, und ihre Entfernung würde den diagnostischen Wert zerstören.

Was er nicht leisten kann

Durch die Anonymisierung von Tags wird kein Text gelöscht, der in die Pixel eingebrannt wurde, was bei Ultraschall-Standbildern und Sekundärbilderfassungen häufig vorkommt. Sie kann außerdem nicht alle privaten Tags jedes Herstellers kennen. Wenn Ihre Dateien von einem Ultraschallgerät stammen oder Screenshots enthalten, sollten Sie sich die tatsächlichen Bilder vor der Weitergabe ansehen und die betreffenden Serien im Zweifelsfall weglassen.

Selbst im Browser anonymisieren

Für einen einzelnen Scan benötigen Sie keine Krankenhaussoftware. Unser kostenloser Online-DICOM-Anonymisierer wird vollständig in Ihrem Browser ausgeführt: Sie wählen den Ordner aus, die Dateien werden auf Ihrem eigenen Computer analysiert, die Patientenmetadaten werden angezeigt, damit Sie prüfen können, was ersetzt wird, und anschließend laden Sie eine ZIP-Datei mit den anonymisierten Dateien herunter, wobei die ursprüngliche Ordnerstruktur erhalten bleibt. Zu keinem Zeitpunkt werden Daten auf einen Server hochgeladen. Mit dem auf derselben Seite integrierten kostenlosen DICOM-Viewer können Sie vor der Anonymisierung überprüfen, ob Sie die richtige Serie ausgewählt haben.

Bevor Sie den anonymisierten Ordner versenden, sollten Sie kurz folgende Punkte prüfen:

• Öffnen Sie eine anonymisierte Datei und vergewissern Sie sich, dass im Namensfeld jetzt der Platzhalter angezeigt wird.
• Blättern Sie durch Ultraschall- und Screenshot-Serien und suchen Sie nach eingebranntem Text.
• Bewahren Sie Ihren Originalordner an einem sicheren Ort auf; die anonymisierte Kopie ist ausschließlich zum Teilen bestimmt.
• Senden Sie den schriftlichen radiologischen Befund separat, falls der Empfänger ihn benötigt, und entfernen Sie auch aus diesem Dokument Ihre persönlichen Daten.

Wenn Ihr Ziel eine unabhängige Auswertung und nicht die Weitergabe an eine Person ist, können Sie die Originaldateien oder die anonymisierten Dateien direkt für eine KI-Analyse Ihrer CT- oder MRT-Aufnahmen hochladen. Auf unserer Seite zur Datensicherheit wird beschrieben, wie hochgeladene Scans gespeichert und gelöscht werden.

Wann Sie mit Ihrem Arzt sprechen sollten

Die Anonymisierung schützt Ihre Privatsphäre; sie ändert nicht, was auf den Bildern zu sehen ist. Wenn Sie einen Scan teilen, weil Ihnen ein Befund Sorgen bereitet, ist weiterhin der Arzt, der die Untersuchung angeordnet hat, oder der Radiologe, der sie ausgewertet hat, am besten in der Lage, ihn zu erklären. Fragen Sie, ob ein Vergleich mit älteren Scans erforderlich ist. Anonymisierte Dateien von unterschiedlichen Zeitpunkten können vom Befunder weiterhin einander zugeordnet werden, sofern Sie angeben, welche Aufnahme von welchem Zeitpunkt stammt. Dieser Artikel dient der allgemeinen Aufklärung über medizinische Dateiformate und Datenschutzrecht und stellt keine medizinische oder rechtliche Beratung für einen Einzelfall dar.