Neues Verschlüsselungsverfahren: Praxen sollten fünf TI-Komponenten prüfen

Ab 2026 gilt ein neues Verschlüsselungsverfahren für die Telematikinfrastruktur (TI). Die Umstellung hat direkte Auswirkungen auf fünf TI-Komponenten in den Praxen, wie die gematik jetzt auf ihrer Website mitteilt. Dort informiert die Betreibergesellschaft der TI nun genau, was Praxen beachten müssen und wo sie zeitnah handeln sollten.

Allerdings nicht ohne Seitenhieb von der KBV, die bereits im Mai in einem Brandbrief an die gematik die Sorge geäußert hatte, dass ein Austausch der betroffenen TI-Komponenten bis Jahresende aufgrund der Menge nicht realisierbar sei. Die jetzt von der gematik veröffentlichten ersten Informationen zur Umstellung seien auf Betreiben der Körperschaft entstanden, vermeldete die KBV am Donnerstag.

Umstellung auf das neue ECC

Hintergrund ist, dass die Verschlüsselungsalgorithmen der TI auf Empfehlung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) von RSA-2048 (Rivest-Shamir-Adleman) auf das neue ECC (Elliptic Curve Cryptography) umgestellt werden. Die noch genutzten RSA-2048-Verfahren seien nur noch bis Ende 2025 zulässig, so die gematik. Praxen sollten daher zeitnah prüfen, welche ihrer TI-Komponenten betroffen sind. Denn: Greift das Verschlüsselungsverfahren nicht, können diverse TI-Anwendungen wie E-Rezept, eAU, E-Arztbrief oder KIM nicht mehr genutzt werden.

Diese TI-Komponenten sollten Praxen im Blick haben

Doch wie gehen Praxen nun vor? Die gematik hat tatsächlich eine Anleitung erstellt – wird dabei allerdings nicht müde, die Praxisteams darauf hinzuweisen, unbedingt ihre Anbieter mit ins Boot zu holen. Folgende Komponenten sollten dabei geprüft werden:

Elektronischer Heilberufsauweis (eHBA): Hier sollten Ärztinnen und Ärzte checken, um welche Kartengeneration es sich handelt. Karten der Generation G2.0 müssten ausgetauscht werden. Karten der neueren Generation G2.1 hingegen seien ECC-fähig, bleiben also weiter im Einsatz. Die Information, um welche Karte es sich handelt, finden Ärztinnen und Ärzte auf der Rückseite der Karte. Zusätzlich könnten sich Ärzte im Kartenportal ihres Anbieters anmelden und dort die Zertifikatsinformation ihres eHBA prüfen, empfiehlt die gematik.

Institutionskarte SMC-B: Auch hier gilt es, zu prüfen, welche Kartengeneration im Einsatz ist. Karten der Generation 2.0 basierten auf dem RSA-Verfahren und dürften ab 2026 nicht mehr eingesetzt werden. Dies gelte „unabhängig von dem auf der Karte ausgewiesenen Gültigkeitsdatum“, stellt die gematik klar. Es müssten ebenfalls die neueren Karten der Generation 2.1 genutzt werden.

Secure Module Card (gSMC-KT) der E-Health-Kartenterminals: Vom Tausch betroffen sind ebenso die gerätespezifischen Security Module Cards (gSMC-KT) der stationären Kartenlesegeräte. Die Karten dienen dazu, dem jeweiligen Terminal innerhalb der Telematikinfrastruktur eine Identität zu geben, ohne sie können die Kartenleser also nicht innerhalb der TI genutzt werden. Normalerweise wird die gSMC-KT zusammen mit dem Kartenleser ausgeliefert. Karten der Generation 2.0 sollten ab Januar aber ebenfalls nicht mehr genutzt werden, mahnt die gematik.

Allerdings gewährt die TI-Betreibergesellschaft bei dieser Komponente eine Übergangsfrist: „Da ein vollständiger Kartentausch bis Jahresende voraussichtlich nicht möglich ist“ und unter Berücksichtigung, dass die alten RSA-Zertifikate der gSMC-KT 2.0 ausschließlich in geschlossenen Netzen, also innerhalb der Praxis, und nicht zur Verschlüsselung oder Signatur medizinischer Daten verwendet würden, bleibe die Nutzung der alten Karten bis 31.12.2026 gültig, schreibt die gematik auf ihrer Website.

Und wie überprüfen Praxen nun, welche Kartengeneration in ihrem Kartenleser steckt? Am einfachsten ist es, den Hersteller anzusprechen. Im Normalfall informieren die Hersteller ihre Kunden aber auch vor Ablauf der Gültigkeit des Schlüsselmaterials auf den Karten. Wer selbst den Test machen will, kann zudem der Anleitung der gematik folgen: https://go.sn.pub/ooauz8

Praxisverwaltungssystem/Primärsystem und KIM: Damit hinterher alle TI-Anwendungen reibungslos mit dem neuen ECC-Verschlüsselungsverfahren arbeiten können, benötigt auch die Praxis-Software ein Update. Dieses müssten die PVS-Hersteller rechtzeitig bereitstellen, die gematik steht nach eigenen Angaben hier in direktem Austausch mit den Herstellern.

Wichtig für Praxen sei: Bevor das Software-Update aufgespielt werde, müsse sichergestellt sein, dass alle angebundenen Komponenten bereits auf ECC umgestellt wurden oder mit ECC-basierten Verfahren kompatibel sind, mahnt die gematik. Sonst könne es zu Kommunikationsproblemen kommen. Dabei sollte auch das KIM-Clientmodul mit gedacht werden.

Konnektor: Laut gematik sind 35.000 Konnektoren betroffen, die noch das RSA-2028-Verfahren nutzen. Mehrheitlich seien dies Konnektoren von secunet (ca. 28.000), betroffen seien zudem rund 4.500 Geräte von CGM/KoCo. Dies sind Geräte, für die bereits 2023 noch einmal eine Verlängerung der Zertifikatsschlüssel erfolgt war.

Eine weitere Verlängerung sei jedoch nicht vorgesehen, so die gematik. Spätestens Ende 2025 sei daher die Nutzung dieser Konnektoren nicht mehr möglich. Um herauszufinden, ob der Praxis-Konnektor betroffen ist, sollten sich Ärztinnen und Ärzte mit ihrem Anbieter in Verbindung setzen. Die Laufzeit des Konnektors kann in der Regel aber auch im Praxisverwaltungssystem eingesehen werden.

Das Problem bei den Konnektoren liegt dabei ebenfalls in ihrer gerätespezifischen SMC-Karte (gSMC), diese trägt den Sicherheitsschlüssel, ist aber fest im Gerät verbaut und kann daher nicht ausgetauscht werden. Ohne gültiges Zertifikat ist aber ein Zugang zur TI nicht möglich.

Besser auf TI-Gateway umsteigen?

Die KBV rät Praxen, die ihren Konnektor tauschen müssen, zu prüfen, ob nicht der Einsatz eines TI-Gateway die bessere Wahl für die Zukunft wäre. Denn die Einbox-Konnektoren wären ohnehin nur noch bis Ende 2030 nutzbar, so die Körperschaft. Dies geht auf einen Beschluss der Gesellschafterversammlung der gematik von Ende Juni zurück. Beim Gateway werden die Praxen an einen Rechenzentrumskonnektor angebunden. Zumindest der Konnektortausch dürfte für die betroffenen Praxen aber nicht ganz überraschend kommen, sie wurden nämlich mit dem Update 2023 informiert, dass die Konnektorlaufzeit nur bis 2025 verlängert wird. 

Quelle: www.aerztezeitung.de