E-Health: Müssen zum Jahresende 35.000 Konnektoren und 100.000 E-Arztausweise ausgetauscht werden?

Kommt zum Jahresende neuer Sand ins Getriebe der Telematikinfrastruktur (TI) und sind dann Anwendungen wie eAU, E-Rezept und Arztbriefe über KIM gefährdet? In einem Brandbrief an die gematik verleiht KBV-Vorstandsmitglied Dr. Sibylle Steiner den Befürchtungen der Kassenärztlichen Bundesvereinigung Ausdruck, die Umstellung der Verschlüsselungsalgorithmen innerhalb der TI könne dazu führen, dass „die TI-Anwendungen nicht mehr genutzt werden“ können.

Denn für eine solche Migration müssten bis zu diesem Zeitpunkt erforderliche Hardware-Komponenten für die Nutzung der TI ausgetauscht werden. Geschehe dies nicht, könnte beispielsweise kein E-Rezept von Praxen mehr ausgestellt werden, weil dafür keine gültige qualifizierte E-Signatur (QES) mehr ausgestellt werden könnte. In diesem Fall müsste wieder auf papiergebundene Ersatzverfahren für das Ausstellen von Kassenrezepten oder AU-Bescheinigungen zurückgegriffen werden. Was wiederum zu einem „erheblichen Imageschaden für die Digitalisierung in Deutschland führen“ würde.

100.000 E-Arztausweise müssten ausgetauscht werden

„Aufgrund der zeitlichen Planungen der gematik“ blicke die KBV „mit großer Sorge“ auf den bevorstehenden Austausch. Das Schreiben mit Datum vom 13. Mai, das an den Geschäftsführer der gematik Dr. Florian Fuhrmann gerichtet ist, liegt der Ärzte Zeitung vor. Nach den Informationen aus dem Schreiben müssten folgende Komponenten ausgetauscht werden, die vor allem in Arztpraxen stehen dürften:

• 35.000 Konnektoren, die im Jahr 2023 eine Laufzeitverlängerung erhalten haben
• ca. 100.000 elektronische Heilberufsausweise (eHBA)
• ca. 30.000 Praxisausweise (SMC-B)
• ca. 160.000 gerätespezifische Karten für die E-Health-Kartenterminals (gSMC-KT)

außerdem müssten die Primärsysteme (Praxisverwaltungssysteme, PVS) und die Konnektor-Konfiguration aktualisiert werden. Hintergrund der vorgesehenen Migration von RSA-Verschlüsselungsalgorithmen zu sogenannten ECC-Algorithmen ist, dass Verschlüsselungsalgorithmen von Zeit zu Zeit aktualisiert werden müssen, damit sie nicht von Hackern, die mit immer höherer Rechenkapazität ausgestattet sind, geknackt werden können.

„Nach den uns vorliegenden Informationen darf nach Vorgaben des BSI (Bundesamt für Sicherheit in der Informationstechnik, Anm. d. Red) und der Bundesnetzagentur der aktuell in Verwendung befindliche RSA2048-Algorithmus in Deutschland nur noch bis zum 31.12.2025 verwendet werden“, heißt es in dem Schreiben. Deshalb müssten alle Komponenten ausgetauscht werden, die mit diesem Verschlüsselungsverfahren arbeiten. Auf diese Problematik habe die KBV bereits seit dem Sommer 2024 hingewiesen, ebenso „andere Gesellschafter der gematik“.

KBV: Rechtzeitiger Austausch „nicht mehr realisierbar“

Eine flächendeckende Umsetzung des Austausches bis Ende 2025 sehe „die KBV – wie auch weitere Gesellschafter der gematik – aufgrund der Menge der betroffenen Komponenten als nicht mehr realisierbar an“. Es stünden auch „noch nicht alle Spezifikationen, Implementierungsleitfäden und Test-Tools der gematik für die ECC-Migration“ zur Verfügung, und es gebe immer noch keinen umfassenden Migrationsplan seitens der gematik.

Steiner fordert in dem Schreiben daher, dass sich die gematik für eine Verlängerung der Nutzungsdauer der RSA-Algorithmen – zumindest für den Bereich des Gesundheitswesens – über 2025 hinaus einsetzt. In Frankreich beispielsweise sei eine solche Entscheidung – eine Verlängerung bis 2030 bereits getroffen worden. Eine Verlängerung der Frist für die Migration – „realistischerweise bis Ende 2027“ sollte dann gemeinsam genutzt werden, um die angestoßenen Maßnahmen zu finalisieren und einen „praktikablen Migrationsplan“ bereitzustellen.

„Zentrale Maßnahme“ für die Sicherheit

Die Betriebsgesellschaft gematik bestätigte am Mittwochnachmittag den „ambitionierten Zeitplan“ für den Austausch der Verschlüsselungsalgorithmen. Sie nehme die Sorgen der KBV „sehr ernst“ und stehe darüber „laufend mit unseren Gesellschaftern im Austausch.

Die Migration der Verschlüsselungsalgorithmen von RSA2028 auf ECC256 sei jedoch „eine zentrale Maßnahme, damit TI-Komponenten und Dienste auch künftig an den höchsten Sicherheitsstandards ausgerichtet sind“. Der aktuell vorgesehene Zeitplan basiere auf den Empfehlungen des BSI und Vorgaben der Bundesnetzagentur (BNetzA) für die qualifizierte elektronische Signatur (QES), ein Algorithmus „RSA<3000 bit“ sei nach dem Jahreswechsel zu 2026 nicht mehr zu nutzen. Alle Beteiligten arbeiteten mit Hochdruck daran, die Migration von RSA auf ECC „schnellstmöglich voranzutreiben“ und den Übergang „so reibungslos wie möglich zu gestalten“. Über den Fortgang des Projekts werde die gematik „wie gewohnt auf unseren Kanälen berichten“.

secunet: „Konnektor-Migration in wenigen Minuten“

Dass der Austausch von Konnektoren für Praxen nicht notwendigerweise mit einem hohen Aufwand verbunden sein muss, zeigt die Antwort des Konnektor-Herstellers und IT-Sicherheitsanbieters secunet auf eine Anfrage der Ärzte Zeitung: Von den secunet-Konnektoren müssten tatsächlich „sehr viele“ zum Jahresende ausgetauscht werden, so Markus Linnemann, Vice President eHealth, secunet. Alle Konnektoren, die ausschließlich mit RSA-Schlüsseln ausgestattet sind, müssten spätestens zum Jahreswechsel ausgemustert werden. „Das sind alle Konnektoren, die vor Mitte 2020 produziert wurden“, erläutert Linnemann.

Konnektoren, die später produziert worden seien und bereits mit den moderneren ECC Schlüsseln ausgestattet wurden, könnten weiterhin betrieben und auch in der Laufzeit um bis zu drei Jahre verlängert werden. secunet sei „der erste Hersteller, der ECC-Schlüssel nach Vorgaben der gematik in seinen Konnektoren verbaut hat“, so Linnemann. Das Unternehmen biete seinen Partnern den Wechsel auf das TI-Gateway „als moderne, sichere und einfache Alternative“, die ihnen für ihre Leistungserbringer, also auch Arztpraxen, zur Verfügung stehe. Linnemann: „Wir haben ein besonderes Augenmerk darauf gelegt, dass eine Migration unserer Konnektoren auf unser TI-Gateway in wenigen Minuten beim Leistungserbringer umgesetzt werden kann.“ Das TI-Gateway ist ein Zugang in die Telematikinfrastruktur über ein Rechenzentrum.

Quelle: www.aerztezeitung.de