Mirth Connect ist nicht mehr Open Source: Lizenz, Abspaltungen und Anbindung an KI

Was ist Mirth Connect?

Mirth Connect ist ein Kommunikationsserver, auch Interface-Engine genannt: Er leitet Nachrichten zwischen den Systemen eines Krankenhauses weiter und übersetzt ihre Formate, etwa vom KIS ins Labor oder von der Radiologie in die Abrechnung. Mirth versteht HL7 v2 und v3, FHIR, DICOM, X12, XML, JSON und Textdateien. Jede Verbindung heißt dort Kanal; für jeden Kanal legen Administratoren fest, woher Nachrichten kommen, wie sie umgewandelt werden und wohin sie gehen.

Entwickelt wurde Mirth von der Mirth Corporation, seit 2013 gehört es zu NextGen Healthcare. NextGen wiederum gehört seit November 2023 zum Finanzinvestor Thoma Bravo. Zwischen 2018 und 2021 hieß das Produkt „NextGen Connect“, seit Version 3.12 wieder „Mirth Connect by NextGen Healthcare“. In Deutschland setzen es Krankenhäuser seit vielen Jahren ein, das Universitätsklinikum Bonn etwa seit 2013, wie ein Erfahrungsbericht aus dem Jahr 2014 beschreibt.

Wie sich KIS, Kommunikationsserver, Datenplattform und KI-Plattform die Arbeit teilen, steht in KIS, Kommunikationsserver, Datenplattform, KI-Plattform.

Was hat sich an der Lizenz geändert?

Version	Lizenz	Stand
bis 4.5.2 (23.09.2024)	Mozilla Public License 2.0, daneben kommerzielle Erweiterungen	Quellcode frei verfügbar
ab 4.6 (angekündigt 19.03.2025)	nur kommerziell, proprietär	Stufen Enterprise, Gold, Platinum; feste Jahresgebühr je Server
4.7.2 (aktuell)	nur kommerziell	Download über das Kundenportal von NextGen

NextGen hat die Umstellung am 19. März 2025 angekündigt. Für Häuser mit der offenen Fassung nannte NextGen drei Wege: bei der eigenen Version bleiben, auf 4.5.2 als letzte offene Version gehen oder eine Lizenz erwerben. Für gemeinnützige Forschung gibt es eine kostenlose Lizenz „Mirth Connect for Research“. Die Lizenz wird je Server berechnet, nicht je Schnittstelle; Preise veröffentlicht NextGen nicht.

Was Lizenzwechsel bei Open-Source-Software allgemein bedeuten, an drei Beispielen: Lizenzrisiko bei Open-Source-Werkzeugen.

Warum spielt das für die Sicherheit eine Rolle?

Ein Kommunikationsserver sieht fast alle Nachrichten eines Hauses. Sicherheitslücken in ihm sind daher besonders heikel. Im September 2026 meldete die US-Behörde CISA drei Lücken in Mirth Connect, darunter eine SQL-Injection über die Schnittstelle des Datenbank-Connectors (CVSS 8.3) und zwei Lücken bei der Verarbeitung von XML. Betroffen sind laut CISA alle Versionen bis 4.7.1; behoben sind sie in 4.7.2, die NextGen über das Kundenportal ausliefert.

Für Häuser auf 4.5.2 heißt das: Korrekturen von NextGen gibt es für diese Version nicht. Wer bei ihr bleibt, muss Lücken selbst bewerten und absichern, etwa durch Netztrennung, oder auf eine Fassung gehen, die weiter gepflegt wird. Für NIS2 und den B3S Krankenhaus gehört das in das Risikomanagement; eine Softwarestückliste (SBOM) hilft, betroffene Versionen zu finden.

Welche Abspaltungen gibt es?

Weil der Code bis 4.5.2 unter der Mozilla Public License 2.0 steht, durfte die Gemeinschaft ihn weiterentwickeln. Zwei Abspaltungen sind 2026 aktiv:

• Open Integration Engine (OIE): gemeinschaftlich entwickelt, Mozilla Public License 2.0. Version 4.6.0 erschien am 9. Juli 2026. Das Projekt ist bei der Eclipse Foundation angenommen; geplant sind zwei Versionen mit neuen Funktionen pro Jahr. Den neutralen Namen trägt es wegen der Marke „Mirth“.
• BridgeLink: von Innovar Healthcare, ebenfalls Mozilla Public License 2.0, mit Versionen nach Kalender (zuletzt 26.9.0 vom 1. Oktober 2026). Erweiterungen und Support bietet Innovar kostenpflichtig an, in Deutschland über MARIS Healthcare. Die Lizenz jeder Komponente lohnt einen eigenen Blick, nicht jede steht unter derselben Lizenz.

Beide setzen auf 4.5.2 auf. Kanäle lassen sich deshalb in der Regel übernehmen; ob das für Ihre Erweiterungen und Kanäle gilt, testen Sie vor einem Wechsel.

Was sollten Häuser mit Mirth Connect jetzt prüfen?

1. Version feststellen: Welche Version läuft, mit welchen Erweiterungen? Sind die Lücken bis 4.7.1 geschlossen?
2. Lizenz klären: Nutzen Sie die offene Fassung, eine kommerzielle Lizenz oder beides? Kommerzielle Erweiterungen aus der Zeit vor 4.6 haben eigene Bedingungen.
3. Weg wählen: offene Fassung selbst absichern, kommerzielle Lizenz, Abspaltung oder anderer Kommunikationsserver. Jeder Weg hat Kosten: für Lizenz, für Wartung im eigenen Haus oder für den Umzug der Kanäle.
4. Kanäle dokumentieren: Welche Systeme hängen an welchem Kanal? Diese Liste brauchen Sie für jeden der Wege, auch für Ausschreibungen.
5. Nachrichtenspeicher prüfen: Mirth speichert je Kanal Nachrichten in verschiedenen Stufen, von nur Metadaten bis zum vollständigen Inhalt. Wie lange, regelt die Löschfunktion (Data Pruner). Die Einstellungen gehören ins Verzeichnis von Verarbeitungstätigkeiten.

Wie kommt eine KI an Mirth Connect?

Mirth Connect hat eine REST-Schnittstelle, die auch die eigene Verwaltungsoberfläche nutzt. Die Beschreibung steht öffentlich in der Dokumentation von NextGen, die vollständige Liste der Abfragen zeigt jede Installation unter /api. Die Anmeldung läuft über ein Benutzerkonto in Mirth.

Für eine KI sind vor allem drei Dinge nützlich:

• Status und Fehler der Kanäle: Welche Schnittstelle steht, wo stauen sich Nachrichten, welche Fehler gab es heute Nacht? Hier stehen kaum Patientendaten.
• Statistik: Durchsatz je Kanal, etwa für den Bericht an die IT-Leitung.
• Suche in Nachrichten: Zeit, Status, Fehlertext und Kanal einer Nachricht. Die Inhalte selbst sind Gesundheitsdaten.

Eine Frage wie „Warum sind seit 6 Uhr keine Laborbefunde im KIS angekommen?“ beantwortet die KI dann aus Status und Fehlern der Kanäle, mit Quelle.

Zwei Dinge sind dabei zu beachten. Die Schnittstelle kann auch schreiben, also Kanäle anhalten oder Nachrichten erneut senden. Ein KI-Zugang braucht deshalb ein eigenes Konto mit eingeschränkten Rechten. Und Nachrichteninhalte sollte er standardmäßig nicht lesen; wenn doch, dann nur nach Abstimmung mit dem Datenschutzbeauftragten und nur für die Personen, die diese Daten ohnehin sehen dürfen.

Wie ist das bei basebox?

basebox bindet Systeme über Konnektoren an; für Fachleute: über MCP (Model Context Protocol). Für Mirth Connect ist ein Konnektor angekündigt („In Kürze“). Er nutzt die REST-Schnittstelle und funktioniert damit auch mit den Abspaltungen Open Integration Engine und BridgeLink, die dieselbe Schnittstelle haben. Standardmäßig liest er nur; Nachrichteninhalte nur nach Abstimmung mit Ihnen. Jeder Aufruf steht im Audit-Log. Alle Konnektoren aus unserer Bibliothek sind in der Lizenz enthalten.

Über den Kommunikationsserver erreicht basebox außerdem die Systeme, die dort schon zusammenlaufen, etwa KIS, Labor und Radiologie. Für klinische Daten stimmen wir den Zugang mit Ihnen und den Herstellern ab; basebox ist kein Medizinprodukt, die Entscheidung trifft immer die Ärztin oder der Arzt. Alle Konnektoren mit Status stehen auf Konnektoren.

Keine Rechtsberatung: Ob eine Lizenz Ihren Einsatz erlaubt, prüfen Sie im Lizenztext und im Zweifel mit Ihrer Rechtsabteilung. Die Angaben zu Mirth Connect, Open Integration Engine und BridgeLink geben den Stand unserer Recherche am 15. Oktober 2026 wieder und stützen sich auf die Angaben der Hersteller und Projekte.