Betrugsprävention und digitale Souveränität: Zwei Seiten derselben Frage im deutschen Gesundheitswesen

Allein bei den AOK-Kassen wurde 2023 ein Schaden durch Abrechnungsbetrug von 42,8 Millionen Euro rechtssicher nachgewiesen. Expertinnen und Experten schätzen die tatsächliche Dunkelziffer über alle gesetzlichen Krankenkassen hinweg auf 15 bis 17 Milliarden Euro pro Jahr. In einer ohnehin klammen Sozialversicherung ist das kein Randthema, sondern Geld, das an anderer Stelle in der Versorgung fehlt – und ein Problem, das sich mit heutiger Technologie längst deutlich wirksamer bekämpfen ließe, als es derzeit geschieht. Dass es trotzdem nicht dazu kommt, hängt an zwei ungelösten Fragen, die eng zusammenhängen: einer politischen und einer infrastrukturellen.

Eine Dekade Verspätung

Bereits 2017 forderte der GKV-Spitzenverband in einem Positionspapier erstmals eine bundesweite Betrugspräventionsdatenbank, die relevante Hinweise über Kassengrenzen hinweg bündeln und vergleichbar machen sollte – denn Muster in Abrechnungsdaten fallen oft erst im kassenübergreifenden Abgleich auf. Acht Jahre später, im Entwurf des Gesundheitsversorgungsstärkungsgesetzes (GVSG), war diese Forderung endlich angekommen: ein Konzept für genau diese Datenbank, gemeinsam mit erweitertem Datenaustausch zwischen Kassen für KI-gestützte Fehlverhaltens-Ermittlung, sollte gesetzlich verankert werden. Nach der ersten Lesung galt das als unumstritten.

Dann, kurz vor Ende der Wahlperiode, zerbrach die Ampel-Koalition – und die komplette Passage zur Betrugsbekämpfung wurde aus dem Gesetz gestrichen, um wenigstens den ohnehin schon dringend erwarteten Kern des GVSG, die Entbudgetierung der Hausärzte, noch zu retten. Verkündet wurde das GVSG im Februar 2025 – ohne diese Regelung. Nach aktuellem Stand sollen die überfälligen Regelungen nun mit dem Hilfsmittelmodernisierungs- und Bürokratieabbaugesetz erneut eingebracht werden, an dem das Bundesministerium für Gesundheit derzeit arbeitet. Frühestens 2027 könnten sie in Kraft treten. Macht: zehn Jahre zwischen erster Forderung und tatsächlicher Umsetzung – falls es dabei bleibt.

Wo Anspruch und Praxis auseinanderfallen

Diese gesetzgeberische Verzögerung verdeckt ein zweites, technisch fast noch grundlegenderes Problem: Selbst, wenn der Rechtsrahmen für einen kassenübergreifenden, KI-gestützten Datenabgleich morgen käme, stünde sofort die Frage im Raum, wo und wie diese hochsensiblen Gesundheits- und Abrechnungsdaten eigentlich verarbeitet werden sollen. Genau hier zeigt sich, dass Betrugsprävention und digitale Souveränität keine getrennten Themen sind, sondern zwei Seiten derselben Infrastrukturfrage.

Wie real dieses Risiko ist, zeigte sich Anfang Juli 2026 bei einer deutschen privaten Krankenversicherung: Im Zuge einer IT-Umstellung fehlte für wenige Stunden versehentlich eine Sicherheitseinstellung auf einem der Systeme. In diesem Zeitfenster griff ein automatischer Web-Crawler eines US-amerikanischen KI-Anbieters auf Daten des betroffenen Servers zu – kein gezielter Angriff, sondern ein automatisierter Vorgang, wie er im Internet inzwischen routinemäßig stattfindet. Genau das macht den Vorfall so aufschlussreich: Es brauchte keine kriminelle Energie, sondern lediglich eine kurze Lücke, damit hochsensible Daten außerhalb der eigenen Kontrolle landeten.

Die Infrastrukturfrage

Für ein System, das ohnehin schon mehr, nicht weniger kassenübergreifenden Datenaustausch braucht, um Betrug wirksam zu erkennen, ist das eine unbequeme, aber wichtige Lektion. Wie Dr. Gottfried Ludewig von der Deutschen Telekom es kürzlich auf den Punkt brachte: KI wird zunehmend zur Infrastrukturfrage – nicht nur, welche Modelle genutzt werden, sondern wo Daten verarbeitet werden, wer die Systeme betreibt und wie die Kontrolle über kritische Prozesse erhalten bleibt. Eine einseitige Abhängigkeit von globalen Hyperscalern kann bei hochsensiblen Gesundheitsdaten genau die Zielkonflikte erzeugen, die der PKV-Vorfall exemplarisch sichtbar gemacht hat. Vorbilder wie Frankreichs „Cloud de Confiance" oder die stark regulierten skandinavischen Gesundheitsplattformen zeigen, dass sich technologischer Fortschritt und souveräne, kontrollierbare Infrastruktur nicht ausschließen müssen.

Für Vorstände und Aufsichtsgremien in Krankenkassen, Kliniken und anderen Körperschaften des Gesundheitswesens folgt daraus eine doppelte Verantwortung: Wer wirksame Betrugsprävention will, muss kassenübergreifenden Datenaustausch und KI-gestützte Mustererkennung ermöglichen – und wer das verantwortungsvoll tun will, muss zugleich sicherstellen, dass diese Daten auf souveräner, kontrollierbarer Infrastruktur verarbeitet werden, statt unkontrolliert in fremden Systemen.

Digitale Lösungsansätze als Brücke

Genau an dieser Schnittstelle setzt caery an. Das Berliner HealthTech-Unternehmen hat eine KI-gestützte Orchestrierungsebene entwickelt, die, unter anderem, Auffälligkeiten und Muster in Abrechnungsdaten automatisiert identifiziert, um Abrechnungsbetrug vor Auszahlung abzuwenden. caery zeigt, dass kassenübergreifende Mustererkennung technisch machbar ist, und macht damit eine Forderung des GKV-Spitzenverbands aus dem Jahr 2017 praktisch umsetzbar. Entscheidend ist dabei der zweite Baustein: caery betreibt seine Lösung in Partnerschaft mit T-Systems in der Open Telekom Cloud und positioniert sich damit bewusst auf souveräner, europäisch kontrollierter Infrastruktur statt auf globalen Hyperscaler-Plattformen. Betrugserkennung und digitale Souveränität werden so nicht gegeneinander ausgespielt, sondern in einer Lösung zusammengeführt – ein Modell dafür, wie sich die politisch längst erkannte, aber bislang nicht umgesetzte Forderung nach kassenübergreifender KI-gestützter Betrugsprävention schon heute verantwortungsvoll technisch abbilden lässt, unabhängig davon, wann der Gesetzgeber tatsächlich nachzieht.

Das ersetzt nicht den ausstehenden Rechtsrahmen, den es für einen verbindlichen, flächendeckenden Datenaustausch zwischen allen Kassen weiterhin braucht. Aber es zeigt: Technologisch ist die Antwort auf beide Fragen – wirksame Betrugsbekämpfung und kontrollierte Datenhoheit – längst verfügbar.

Fazit

Die Zahlen zum Abrechnungsbetrug und der Vorfall bei der PKV machen an zwei sehr unterschiedlichen Stellen dasselbe deutlich: Das deutsche Gesundheitswesen kann es sich weder leisten, Milliardenschäden durch fehlenden Datenaustausch ungenutzt zu lassen, noch, diesen Datenaustausch auf unkontrollierter Infrastruktur zu organisieren. 

Betrugsprävention und digitale Souveränität gehören zusammen gedacht – und je länger der Gesetzgeber bei Ersterem zögert, desto wichtiger wird es, dass Lösungen wie die von caery schon heute zeigen, dass beides gemeinsam möglich ist.

Von Frank Michalak, Strategischer Berater bei caery