FAQ - KIM

KIM ist als sicherer E-Mail-Dienst in der Telematikinfrastruktur (TI) konzipiert. Die Übertragung von Nachrichten erfolgt verschlüsselt, die beteiligten Kommunikationspartner werden authentifiziert, wobei der Kreis der Nutzenden ausschließlich auf Einrichtungen im Gesundheitswesen begrenzt ist. Das Sicherheitsniveau ist im Vergleich zu herkömmlichen E-Mailverfahren deutlich höher: Das zeigte sich auch in dem Vortrag zu KIM von Prof. Christoph Saatjohann auf dem 39C3-Kongress, in dem er über weitgehend bereits geschlossene Schwachstellen berichtete, die im Zentrum der anschließenden Medienberichterstattung standen.

Prof. Saatjohann hatte der gematik die Schwachstellen bei der Anwendung KIM bereits vor seinem Vortrag über das Sicherheitsprogramm „Coordinated Vulnerability Disclosure Program“ (CVDP) gemeldet. Das CVDP richtet sich explizit an Sicherheitsforscher:innen und -Expert:innen, die über dieses Verfahren Lücken und Bedrohungen melden können, bevor diese öffentlich bekannt werden. Dies ist ein in der IT bewährtes Vorgehen, um Schwachstellen möglichst frühzeitig zu schließen und so potenziellen Schaden zu begrenzen. Darüber hinaus wird die Sicherheit der TI allgemein und auch im Speziellen von KIM in Zusammenarbeit mit den zuständigen Sicherheitsbehörden kontinuierlich geprüft.

Die gemeldeten Sicherheitslücken hatten weder bis zum Zeitpunkt der Meldung noch danach konkrete Auswirkungen für medizinische Einrichtungen.

Unmittelbar nach Eingang der CVDP-Meldung hat die gematik Maßnahmen zur Behebung der Schwachstellen eingeleitet. Ein Großteil der Mängel wurde durch eine außerordentliche Spezifikation (durch einen sogenannten Hotfix) bereits vor dem Vortrag von Prof. Saatjohann behoben. Dieser Hotfix ist öffentlich einsehbar: https://gemspec.gematik.de/releases/KIM_1_5_2-10/.

Mit der nächsten KIM-Version (Release-Version KIM 1.5.5) werden zudem weitere Maßnahmen umgesetzt, um die Anwendung KIM zu stärken und noch sicherer zu gestalten, z. B. die Nachvollziehbarkeit der bei der Signatur von KIM-Nachrichten eingesetzten Institutionskarte (SMC-B).

Zusammenfassend bleibt festzuhalten, dass KIM derzeit der sicherste für das Gesundheitswesen verfügbare E-Mail-Dienst ist. Auch Prof. Saatjohann beendete seinen Vortrag mit der Einordnung, dass KIM auf einem hohen Sicherheits-Niveau agiere. 

Sofern Dokumente wie z.B. ein eArztbrief oder eine eArbeitsunfähigkeitsbescheinigung in jedem Behandlungszimmer signiert werden sollen, ist es erforderlich, je ein Kartenterminal für die Eingabe der PIN vorzusehen. 

Der KIM-Anbieter muss dazu im Service-Portal von Arvato Systems einen Request einstellen und die Domain beantragen.

Grundsätzlich genügt pro Praxis eine Adresse, welche an die SMC-B gekoppelt ist. Man kann aber je nach Bedarf weitere E-Mailadressen einrichten.

Das hängt von den Nutzungsfällen ab. Wenn Informationen ausschließlich für den Arzt verschlüsselt werden sollen und auch nur der Arzt die Informationen entschlüsseln soll, kann ein HBA gebundenes Postfach verwendet werden.

Ja, die Krankenkasse ist verpflichtet, eine Zustellbestätigung zu schicken.

Nein, jede Institution benötigt nur mindestens eine E-Mail-Adresse. Personenbezogene Postfächer gebunden an den Heilberufsausweis sind dazu nicht erforderlich.

Ja, die Krankenkassen sind an die Telematikinfrastruktur und an KIM angeschlossen. Sie sind dadurch automatisch durch das PVS auffindbar.

Für die behandlungsbezogene Kommunikation zwischen Leistungserbringenden über KIM ist in der Regel keine gesonderte neue Einwilligung erforderlich. Patientinnen und Patienten sind im Rahmen der Datenschutz-Informationspflichten zu informieren, ein geäußerter Widerspruch bzw. entgegenstehender Patientenwille ist zu beachten. Für Einzelfälle außerhalb der Behandlung (z. B. bestimmte Auskünfte an Versicherungen) können Einwilligungen erforderlich sein - hierzu sollten die Datenschutzverantwortlichen der eigenen Einrichtung/KV konsultiert werden.

Therapeutische Einrichtungen erscheinen im KIM-Adressbuch, sobald sie an die TI angebunden sind und eine KIM-Adresse registriert ist; aktuell ist die Abdeckung je nach Region noch nicht vollständig.

Nein, die Arbeitgeber sind an KIM nicht angeschlossen. Die Krankenkassen haben jeweils ihr eigenes Verfahren mit den Arbeitgebern.

Die Kosten für KIM werden über die monatliche TI-Pauschale refinanziert. Die Abwicklung erfolgt über die zuständige KV.

Ja, es gibt auch mobile Kartenterminals.

Die elektronischen Arbeitsunfähigkeitsbescheinigung wird von jeder Kasse zentral verarbeitet.

Wenn das Praxisverwaltungssystem die Vorgaben der Kassenärztlichen Bundesvereinigung umgesetzt hat, kann die Zuordnung automatisch erfolgen.

Informationen hierzu finden Sie im Fachportal der gematik unter dem Link https://fachportal.gematik.de/zulassung/zulassungs-und-bestaetigungsuebersichten/produkte-dienste-und-anbieter?admissionstate=zugelassen&component=anbieter%2520kim
Hinweis: Bei einigen Suchergebnissen wird der Hinweis "KOM-LE" angezeigt, dies ist synonym zu KIM zu verstehen. Die Übersicht können sie unter der Tabelle als Excel exportieren.

Ohne den Zugang zur Telematikinfrastruktur (TI) über Konnektor oder TI-Gateway, Kartenterminal, Smartkarten und VPN (Virtual Private Network) ist die Nutzung von KIM nicht möglich. Um eine KIM-Adresse und ein KIM-Client-Modul zu erhalten, muss ein Vertrag mit einem zugelassenen KIM-Dienst-Anbieter abgeschlossen werden. Eine Liste aller zugelassenen Kim-Anbieter finden Sie hier: fachportal.gematik.de/anwendungen/kommunikation-im-medizinwesen

Der Virenschutz liegt in der Verantwortung der Praxen bzw. ihres Praxisverwaltungssystems und der IT-Verantwortlichen. Der Virenschutz sollte genauso gehandhabt werden wie auch sonst in der Praxis. Die IT- Sicherheitsrichtlinie der KBV zum Schutz sensibler Daten sieht vor, dass die Praxen aktuelle Virenschutzprogramme einsetzen müssen, um sowohl die sensiblen Daten als auch die Praxis selbst vor Schadsoftware zu schützen.

Die KIM-Adressen von KIM-Nutzern werden im sogenannten TI-Verzeichnisdienst erfasst. Dieses Adressregister können Sie über Ihr Primärsystem abrufen und ansehen.

Ja.

KIM wird regelmäßig weiterentwickelt. Es ist vorgesehen, dass in Folgeversionen von KIM auch IMAP unterstützt wird.

Zunächst bekommt jede Institution, wie etwa ein Krankenhaus, eine eigene E-Mail-Adresse. Diese setzt sich aus dem Namen der Institution beziehungsweise einem Personennamen zusammen und endet auf: @anbieter-domain.kim.telematik. Die Anbieter-Domain-Bezeichnung kann sich aus dem Namen des Anbieters ergeben oder auch vom Anbieter frei gewählt werden.

Darüber hinaus kann es sinnvoll sein, weitere KIM-Adressen einzurichten, beispielsweise für einzelne Ärztinnen, Ärzte und Abteilungen, um so die Postfächer abzutrennen. Jede Institution kann selbst entscheiden, wie viele KIM-Adressen sie nutzen möchte.

Die Erzeugung der qualifizierten elektronischen Signatur eines elektronischen Arztbriefes entspricht der handschriftlichen Unterschrift eines papiergebundenen Arztbriefes. Die elektronische Unterschrift müssen Sie als Ärztin deshalb selbst vornehmen. Den Versand des unterschriebenen Dokumentes können Sie weiterhin delegieren.

Der Versand der Anhänge erfolgt verschlüsselt über KIM. Quelldokumente für die Arztbrieferstellung können Word-Dokumente (*.doc, *.docx, *.rtf), PDF-Dokumente (*.pdf) oder VhitG-Arztbriefe (*.xml) sein und diese werden während des Transports nicht verändert. Das bedeutet: Ein angehängtes Word-Dokument kommt auch als Word-Dokument beim Empfänger an.

Ja, Sie können Favoriten anlegen.

Ja, Sie können mehrere Briefe an verschiedene Adressen auf einmal signieren.

Ja, das ist möglich. Die eNachricht ist quasi eine reguläre E-Mail, mit und ohne Anhang – sicher übermittelt über KIM. Für eine unsignierte eNachricht benötigen Sie keinen Heilberufsausweis (HBA).

Innerhalb des eArztbriefes werden die Anhänge strukturiert mitgeschickt. Das bedeutet, sie genügen den Vorschriften beziehungsweise der Syntax einer festen Struktur.
Wenn Sie eArztbriefe empfangen, können Sie entscheiden, welche Dateien in die Karteikarte importiert werden. Die Datenstruktur kann in die Patientenkartei übernommen werden.

Vor dem Versenden eines eArztbriefes werden Sie von Ihrem PVS System aufgefordert den eArztbrief qualifiziert zu signieren. Dazu muss der elektronische Heilberufsausweis (eHBA) in einem Kartenlesegerät gesteckt sein. Mittels Eingabe der PIN signieren Sie den eArztbrief.

Ein vorhandenes PDF können Sie als Anhang einer KIM-Nachricht versenden. Für den Versand als eArztbrief muss das Dokument im eArztbrief-Format (mind. PDF/A + XML) vorliegen bzw. vom PVS entsprechend erzeugt werden.

Mit der aktuellen KIM-Version 1.5+ können Anhänge bis zu 500 MB versendet werden. Dafür müssen sowohl Sender als auch Empfänger den Empfang großer Dateien im KIM-Client aktiviert haben.

Das Ablegen und Speichern von Anhängen in einer eNachricht funktioniert wie in einem regulären E-Mail-Programm.

Das Ergebnis der Signaturprüfung ist in der KIM-eMail ersichtlich.

Der Virenschutz liegt in der Verantwortung der Praxen bzw. ihres Praxisverwaltungssystems und der IT-Verantwortlichen. Der Virenschutz sollte genauso gehandhabt werden wie auch sonst in der Praxis. Die IT- Sicherheitsrichtlinie zum Schutz sensibler Daten sieht vor, dass die Praxen aktuelle Virenschutzprogramme einsetzen müssen, um sowohl die sensiblen Daten als auch die Praxis selbst vor Schadsoftware zu schützen.

Für KIM fallen je nach Anbieter laufende Kosten an. Die Kosten werden über die monatliche TI-Pauschale durch die zuständige KV refinanziert, abhängig von Praxisgröße und erfüllten TI-Anforderungen.

Die medizinischen Fachangestellten können elektronische Arbeitsunfähigkeitsbescheinigungen (eAU) vorbereiten und auch versenden. Aber die ausstellende Person, also die Ärztin oder der Arzt, muss sie mit eigenem elektronischen Heilberufsausweis (eHBA) qualifiziert elektronisch signieren. Die Papierbescheinigungen muss die Ärztin oder der Arzt händisch unterzeichnen.

SMC-B, elektronischer Praxisausweis und elektronische Praxis-/Institutionskarte sind synonyme Begriffe für eine Smart-Card, die zur Authentisierung der Praxis gegenüber der Telematikinfrastruktur und der elektronischen Gesundheitskarte (eGK) eingesetzt wird. Mithilfe  eines Praxisausweises können zum Beispiel besonders geschützte Daten auf der eGK in einer Arzt- und Psychotherapeutenpraxis ausgelesen werden.
Der elektronische Arztausweis ist eine personenbezogene Chipkarte im Scheckkarten-Format. Er dient neben seiner klassischen Funktion als Sichtausweis auch als Instrument, die Zugehörigkeit zum Arztberuf in der digitalen Welt zu attestieren.

Sofern nicht innerhalb von 24 Stunden nach Versendung der eAU eine Fehlernachricht eintrifft, gilt die eAU als erfolgreich übermittelt. Darüber hinaus kann bei Versendung der eAU zusätzlich auch noch eine Zustellbestätigung angefordert werden.

Bei Privatversicherten zeigt das Praxisverwaltungssystem an, dass die digitale Übermittlung der eAU-Daten an die Krankenkasse nicht möglich ist. Für diese Patientinnen und Patienten kommt bis auf Weiteres das Ersatzverfahren zum Einsatz: Sie erhalten die Ausdrucke für Krankenkasse, Arbeitgeber und Versicherte in Papierform.

KIM spart Porto, Papier und Zeit. KIM übermittelt sicher sensible Daten und ermöglicht eine schnelle und vernetzte Kommunikation im Gesundheitswesen. Zudem können Befunde von Fachärzten direkt an die Hausarztpraxen geschickt werden. MFA müssen Befunde nicht mehr einscannen und können diese dank KIM elektronisch gleich weiterverarbeiten.

Wenn Sie eine eAU falsch erstellen, können sie diese per Storno annullieren. Die Krankenkasse erkennt anhand der Krankenversicherungsnummer, um welche Versicherte oder welchen Versicherten es dabei geht.

Die Beantragung und Bewilligung von Therapien soll zukünftig auch über KIM direkt an die Krankenkassen geschickt werden können. Die genauen Festlegungen dazu müssen jedochvorab durch die Kassenärztliche Bundesvereinigung (KBV) und den Spitzenverband Bund der Krankenkassen (GKV) definiert werden.

Jeder eArztbrief muss einzeln angelegt werden, denn er ist immer einem Patienten zugeordnet. Beim Versand eines Arztbriefes über KIMordnet die Praxissoftware einen empfangenen eArztbrief mithilfe der enthaltenen Informationen automatisch einer Patientin bzw. einem Patienten zu.

Im KIM-Verzeichnisdienst steht eine umfangreiche Suchfunktion mit verschiedenen kombinierbaren Suchkriterien zur Verfügung, auch eine Freitextsuche.

Eine Arztpraxis kann über KIM eine Nachricht an mehrere Adressaten zeitgleich verschicken. Die Sicherheitsarchitektur von KIM sorgt dafür, dass die E-Mail-Adressaten durch öffentliche Zertifikate verschlüsselt werden. Die Konnektoren bzw. das TI-Gateway verhindern somit, dass Rundmails an hunderte oder tausende Adressaten geschickt werden.

Sie können Nachrichten mit ihren Anhängen sowohl im Gesendet– als auch Empfangen–Ordner einzeln abrufen. Anhänge können Sie einzeln oder gesammelt in die Patientenakte importieren.

Das KIM-Adressbuch füllt sich sukzessive mit Adressen derjenigen, die an KIM teilnehmen. Alle Teilnehmenden der TI sind im Verzeichnisdienst auffindbar.

Das hängt von den Nutzungsfällen ab. Wenn Informationen ausschließlich für die Pflegefachkraft verschlüsselt werden sollen und auch nur der Arzt die Informationen entschlüsseln soll, kann ein HBA gebundenes Postfach verwendet werden.

Zunächst bekommt jede Institution, wie etwa ein Pflegeheim/Pflegedienst, eine eigene KIM E-Mail-Adresse. Diese setzt sich aus dem Namen der Institution beziehungsweise einem Personennamen zusammen und endet auf: @anbieter-domain.kim.telematik. Die Anbieter-Domain-Bezeichnung kann sich aus dem Namen des Anbieters ergeben oder auch vom Anbieter frei gewählt werden.Darüber hinaus kann es sinnvoll sein, weitere KIM E-Mail-Adresse einzurichten, beispielsweise für einzelne Pflegefachkräfte und Abteilungen, um so die Postfächer abzutrennen. Jede Institution kann selbst entscheiden, wie viele KIM-Adressen sie nutzen möchte.

Häufig kann man pro SMC-B bis zu 100 E-Mailadressen verwalten. Technisch sind auch höhere Werte - je nach Anbieter möglich.