VALORIS: Einmalige und verlustfreie vertikale logistische Regression für datenschutzschützende Multi-Site-Gesundheitsanalysen

Warum das Teilen von Gesundheitsdaten so schwer ist

Die moderne Medizin ist zunehmend darauf angewiesen, Informationen aus vielen Quellen zu kombinieren: klinische Aufzeichnungen, Laborbefunde, Bilder und sogar genetische Daten. Diese Informationsstücke liegen jedoch meist in verschiedenen Einrichtungen, die nicht — rechtlich oder ethisch — berechtigt sind, detaillierte Patientendaten an einem Ort zusammenzuführen. Das erschwert statistische Analysen, mit denen Ärztinnen und Ärzte vorhersagen können, wer ein hohes Risiko für schwere Verläufe wie Nierenversagen oder Tod auf der Intensivstation hat. Die Studie stellt VALORIS vor, ein neues Verfahren, um eine verbreitete Analyseform über mehrere Standorte hinweg durchzuführen, wobei die Rohdaten der Patienten sicher lokal verbleiben.

Viele Teile einer Patientengeschichte

Um die Herausforderung zu veranschaulichen, stellen Sie sich ein Kind mit chronischer Nierenerkrankung vor, dessen Daten auf verschiedene Systeme verteilt sind. In einer Krankenhausdatenbank stehen Alter, Geschlecht und Messungen der Nierenfunktion. In einer anderen sind Blutwerte abgelegt. Ein drittes System könnte langfristige Ergebnisse wie Nierenversagen erfassen. Jedes Zentrum hält unterschiedliche Spalten mit Informationen über dieselben Kinder — eine Situation, die als „vertikale“ Aufteilung bezeichnet wird. Keine dieser Einrichtungen möchte ihre detaillierten Aufzeichnungen preisgeben, und manche dürfen das Ergebnis — etwa ob Nierenversagen eingetreten ist — überhaupt nicht nach außen weitergeben. Trotzdem möchten Forschende ein einziges Vorhersagemodell erstellen, das all diese verstreuten Informationen nutzt, als lägen sie an einem Ort.

Eine Ein-Rund-Methode, um von vielen Standorten zu lernen

VALORIS adressiert dieses Problem für die logistische Regression, eine Standardmethode, mit der untersucht wird, wie mehrere Faktoren zusammen mit einem Ja‑/Nein‑Ergebnis zusammenhängen — etwa Organversagen oder Tod im Krankenhaus. Anstatt Patientendaten zu verschicken, führt jeder Standort eine kompakte lokale Berechnung auf seinen Daten durch und fasst die Zusammenhänge der Variablen in prägnanten Formaten zusammen. Diese Zusammenfassungen, die wie mathematische Matrizen aussehen, werden einmal an eine spezielle Rolle gesendet, den sogenannten Antwortknoten, in dem das Ergebnis vorliegt. Der Antwortknoten kombiniert die Zusammenfassungen, führt einen einzigen Optimierungsschritt durch und sendet dann sorgfältig konstruierte Zwischenwerte an die einzelnen Standorte zurück. Mithilfe dieser ausgetauschten Größen kann jeder Standort die exakten Regressionsresultate für seine eigenen Variablen rekonstruieren — ohne jemals die Rohdaten eines anderen Standorts oder die vollständige Ergebnisliste zu sehen.

So genau wie das Zusammenführen aller Daten

Wenn eine Standardanalyse durch eine datenschutzschützende Variante ersetzt wird, stellt sich stets die Frage: Geht Genauigkeit verloren? Die Autorinnen und Autoren zeigen, dass VALORIS so eingestellt werden kann, dass die Ergebnisse für praktische Zwecke identisch sind mit denen einer herkömmlichen gepoolten Analyse. Dazu lösen sie eine leicht abgeänderte Version des üblichen logistischen Regressionsproblems, die winzige Strafterme enthält. Mathematische Argumente und numerische Experimente zeigen, dass bei hinreichend kleinen Strafgrößen die geschätzten Werte und ihre Unsicherheitsmaße nicht mehr vom zentralen Goldstandard unterscheidbar sind, während sie dennoch aus getrennten Daten berechnet werden können.

Tests in der Praxis: Nierenerkrankungen und Intensivmedizin

Um zu zeigen, dass die Methode über die Theorie hinaus funktioniert, wendete das Team VALORIS in zwei realen Gesundheitsstudien an. Die erste untersuchte Kinder mit chronischer Nierenerkrankung, die am Necker-Enfants Malades Hospital in Paris behandelt wurden. Hier hielt ein Knoten Basismerkmale und das Ergebnis Nierenversagen innerhalb von zwei Jahren, während ein anderer Knoten Blutwerte enthielt. VALORIS lieferte Schätzungen zum Zusammenhang einzelner Faktoren mit Nierenversagen, die mit der Standard-Pooled‑Analyse im Mittel um weniger als ein Zehntausendstel übereinstimmten. Der zweite Test nutzte einen deutlich größeren Datensatz, die MIMIC‑IV‑Intensivdatenbank, aufgeteilt in drei Knoten, die Informationen aus Notaufnahme, Station und Intensivpflege abbildeten. Auch hier reproduzierte VALORIS die zentralen Ergebnisse nahezu exakt, selbst bei über zehntausend Patientinnen und Patienten und vielen Variablen.

Datenschutz einbauen, nicht nur versprechen

Viele sogenannte „datenschutzfreundliche“ Methoden vermeiden zwar das Versenden von Rohdaten, geben aber dennoch ausreichend Informationen preis, damit ein entschlossener Partner individuelle Daten rekonstruieren kann. Die Autorinnen und Autoren führen daher eine stärkere Anforderung ein: Nach Abschluss aller Nachrichten darf keine Partei in der Lage sein, eindeutig die Daten einer Person aus dem Gesehenen zu rekonstruieren. Sie analysieren Schritt für Schritt, welche Informationen jeder Standort während VALORIS erhält, und zeigen, dass unter realistischen Bedingungen — etwa wenn außerhalb eines potenziellen Angreifers mindestens eine stetige numerische Variable existiert — stets viele unterschiedliche zugrundeliegende Datensätze möglich sind, die dieselben geteilten Zahlen erzeugt haben könnten. Außerdem liefern sie eine praktische Prüfprozedur, basierend auf Optimierung, die der Antwortknoten vor dem Versenden ausführen kann, um für ein konkretes Projekt zu bestätigen, dass dieser stärkere Schutzniveau erfüllt ist.

Was das für zukünftige Gesundheitsstudien bedeutet

Kurz gesagt zeigt VALORIS, dass Krankenhäuser und Forschungsnetzwerke nicht immer zwischen starkem Datenschutz und hoher Ergebnisqualität wählen müssen. Für logistische Regression können sie ihre detaillierten Aufzeichnungen hinter den eigenen Firewalls behalten, nur begrenzte Zusammenfassungen in einer einzigen Kommunikationsrunde austauschen und trotzdem Ergebnisse rekonstruieren, die praktisch mit denen einer traditionellen gepoolten Analyse identisch sind. Das erleichtert die Teilnahme vielbeschäftigter klinischer Partner, reduziert Genehmigungshürden beim Datenaustausch und öffnet die Tür zu groß angelegten Studien, die klinische, laborbasierte und weitere Datenquellen kombinieren. Die Autorinnen und Autoren schlagen vor, dass ähnliche Ideen auf andere Modelle und Szenarien mit fehlenden Daten ausgeweitet werden könnten, sodass künftige Gesundheitsforschung die Vertraulichkeit der Patienten wahrt und zugleich die statistische Stärke nutzt, die aus gemeinsamer Arbeit entsteht.

Zitation: Camirand Lemyre, F., Domingue, MP., Morissette, JP. et al. VALORIS: One-shot and lossless vertical logistic regression for privacy-protecting multi-site health analytics. Sci Rep 16, 12558 (2026). https://doi.org/10.1038/s41598-026-41936-y

Schlüsselwörter: datenschutzfreundliche Gesundheitsanalytik, verteilte logistische Regression, medizinische Daten von mehreren Standorten, federiertes statistisches Modellieren, elektronische Gesundheitsakten