Einordnung zum Konnektortausch und den Alternativen dazu
Mitte des Jahres 2022 wurde die Debatte über einen notwendigen Konnektortausch zur Aufrechterhaltung der Anbindung an die Telematikinfrastruktur lauter. In der folgenden Abhandlung werden die grundlegenden Aspekte zur Entscheidungsfindung der Gesellschafter der gematik hinsichtlich des Konnektortausches erörtert und zudem aufgezeigt, welche Alternativen sich nunmehr dazu abzeichnen.
Was sind TI-Konnektoren?
Der TI-Konnektor ermöglicht den sicheren Netzzugang in die Telematikinfrastruktur (TI). Er ist mit den stationären Kartenterminals der Praxis und dem Praxisverwaltungssystem (PVS) von (Zahn-)Ärztinnen und (Zahn-)Ärzten sowie Krankenhäusern via Netzwerk verbunden. TI-Konnektoren beweisen ihre Echtheit mit Hilfe von Zertifikaten. Diese haben aus Sicherheitsgründen eine Lebensdauer von fünf Jahren. Die ersten Konnektoren wurden 2017 in Praxen und Krankenhäusern zur Verfügung gestellt. Für Konnektoren, die nunmehr knapp fünf Jahre in Betrieb sind, bedeutet dies, dass seit September 2022 deren Zertifikate ablaufen. Nach Ablauf ihrer Zertifikate sind diese Konnektoren nicht mehr funktionsfähig und betroffene Praxen oder Krankenhäuser haben keinen Zugang mehr in die TI.
TI-Konnektoren gibt es aktuell in zwei Verschlüsselungsvarianten
RSA (Rivest–Shamir–Adleman) ist ein asymmetrisches kryptographisches Verfahren, das als verbautes Zertifikat in Konnektoren verwendet wird. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat im Jahr 2016 verfügt, dass die RSA-Verschlüsselung nur bis Ende des Jahres 2023 genutzt werden darf. Infolge der Orientierung am europäischen SOG-IS Katalog wurde die Nutzungserlaubnis für die Verschlüsselung auf Ende 2025 verlängert. Danach ist die Nutzung dieses kryptographischen Verfahrens nicht mehr zulässig.
Seit Herbst 2020 sind auch Konnektoren in Nutzung, die neben den RSA-Zertifikaten auch ECC-Zertifikate (Elliptic Curve Cryptography / Elliptische Kurven-Kryptographie) tragen. Im Vergleich zu RSA ist ECC eine relativ neue Verschlüsselungsart. Diese neueren Geräte sind also in der Lage, die ECC-Schlüssel zu nutzen. Deshalb können diese Konnektoren auch über 2025 hinaus betrieben werden, da es für ECC bisher keine zeitliche Begrenzung für die Nutzung gibt.
TI 2.0 soll künftig ohne Hardware auskommen
Mit der TI 2.0 plant die gematik eine umfassende Umstellung und Modernisierung der Telematikinfrastruktur. Ziel ist unter anderem, dass Hardware wie Konnektoren künftig nicht mehr benötigt werden, um den sicheren Netzzugang in die TI zu gewährleisten. Wichtige Meilensteine in der Entwicklung der TI 2.0 sollen ab 2025 erreicht werden.
Aufrechterhaltung des TI-Zugangs bei Ablauf von Konnektorzertifikaten
Um einen kontinuierlichen Betrieb der TI zu gewährleisten, haben die Gesellschafter der gematik am 28.02.2022 den Tausch von Konnektoren beschlossen, deren Zertifikate nach fünfjährigem Betrieb ablaufen.
Ausschlaggebend für diese Entscheidung war, dass die Option einer Zertifikatsverlängerung (bei Konnektoren, die ausschließlich auf die Nutzung der RSA-Verschlüsselung vorbereitet sind) höchstwahrscheinlich nicht ausgereicht hätte, um einen fließenden Übergang in die TI 2.0 – also eine TI ohne Nutzung von Hardware-Konnektoren – zu gewährleisten. Ein darauffolgender, zusätzlicher Austausch wäre somit ein sehr wahrscheinliches Szenario geworden und hätte eine doppelte finanzielle Belastung (Kosten sowohl für Verlängerung der Zertifikate als auch für späteren Austausch) bedeutet. Ferner wurde die Möglichkeit einer Zertifikatsverlängerung durch ein Software-Update zum damaligen Zeitpunkt nicht von allen Herstellern umgesetzt und wäre damit nicht flächendeckend einsetzbar gewesen. Auf dieser Basis hat die Gesellschafterversammlung den Konnektortausch als sicherste und ökonomisch sinnvollste Lösung erachtet.
In einer späteren Gesellschafterversammlung vom 29.08.2022 wurde der Konnektortausch als kurzfristig beste Lösung bestätigt, allerdings sollen mittelfristig Alternativen zum Austausch möglich werden:
- Bei allen Konnektor-Zertifikaten, deren Gültigkeit bis August 2023 abläuft, ist ein Austausch des Konnektors weiterhin die gebotene Option. Der Hardwaretausch wurde als insgesamt sicherste und wirtschaftlichste Lösung identifiziert. Als zwischenzeitliche Alternative existiert daneben auch noch die Anbindungslösung über aktuell verfügbare "Konnektorfarm"-Angebote.
- Für Konnektor-Zertifikate, deren Gültigkeit ab August 2023 endet, sollen Alternativen angeboten werden. Hintergrund dieses Stichtags ist, dass ein neuer Refinanzierungsmechanismus für die TI-Ausstattung der Praxen zum Sommer 2023 in Kraft tritt, der neue Rahmenbedingungen und Anreize setzt. Die Alternativen zum Konnektortausch sind daher eine Zertifikatsverlängerung durch ein Software-Update des Konnektors oder die Nutzung von rechenzentrumsbasierten Konnektorlösungen, bei denen spezielle Konnektoren in einem Rechenzentrum betrieben werden. Für diese Lösung werden zurzeit neue Highspeed-Konnektoren entwickelt. Damit Praxen von dieser neuen Generation von Konnektoren auch profitieren können, wird außerdem ein sogenanntes „Gateway“ entwickelt, das die Rechenzentrumslösung für Praxen zugänglich macht. Ziel ist es, dass Dienstleister in sogenannten zertifizierten Rechenzentren einen Highspeed-Konnektor für mehrere Praxen via „Gateway“ betreiben. Ein einzelner Highspeed-Konnektor stellt dann also im Rechenzentrum für eine Vielzahl von Praxen den TI-Anschluss bereit.
Neuer Beschluss eröffnet Alternativen – mit einer Grundvoraussetzung
Die gematik hat Ende 2022 die Zertifikatsverlängerung via Software-Update wieder in die Konnektoren-Spezifikation aufgenommen. Weitere Alternativen zum Hardwaretausch sind neben der Zertifikatsverlängerung auch der sogenannte Rechenzentrumskonnektor. Letzterer wird voraussichtlich Ende 2023 zur Verfügung stehen. Denkbar sind auch gestaffelte Kombinationen wie zum Beispiel zunächst ein Software-Update und der spätere Wechsel auf den Rechenzentrumskonnektor. Der Beschluss der Gesellschafterversammlung vom 29.08.2022 eröffnet diese Alternativen, die kostengünstiger angeboten werden könnten, als ein Tausch der Konnektoren.
Damit diese Alternativen die notwendige Akzeptanz finden, bedarf es, wie bereits oben angeführt, einer entsprechenden gesetzlichen Grundlage, die die Refinanzierung solcher Lösungen zwischen den Bundesmantelvertragspartnern ermöglicht. Die Gesellschafter haben deshalb empfohlen, das Finanzierungsmodell so anzupassen, dass neben dem Konnektortausch die weiteren Varianten für die TI-Anbindung unterstützt werden. Das vom Bundestag beschlossene Krankenhauspflegeentlastungsgesetz (KHPflEntG) sieht eine entsprechende Regelung vor, indem die Finanzierung auf eine TI-Pauschale umgestellt werden soll und so Anreize für die günstigeren Alternativen zum Tauschen setzt.
Die gematik hat im Kontext der Finanzierungsvereinbarung kein Mitspracherecht, diese ist allein Angelegenheit der Bundesmantelvertragspartner.
Zur vermeintlichen Alternative vom Chaos Computer Club (CCC)
Mitte 2022 hat ein Beitrag des Chaos Computer Clubs die Debatte über die Notwendigkeit des Konnektortauschs stark angeheizt. Der CCC schlug in seinem Beitrag eine Alternative in Form einer Softwarelösung vor, die den Tausch von ablaufenden Konnektoren überflüssig machen sollte. Diese vorgeschlagene Alternative zum Austausch der Konnektoren war und ist nicht neu, die Option der Zertifikatsverlängerung via Software-Update hat die gematik bereits im Jahr 2021 spezifiziert. Abgelehnt wurde sie seinerzeit aus den unter Punkt 4 aufgeführten Gründen.
Ende 2022 hat die gematik die Zertifikatsverlängerung wieder als eine verpflichtende Option in die Spezifikationen für TI-Konnektoren aufgenommen. Entsprechend müssen Hersteller zeitnah für alle Konnektoren diese Möglichkeit umsetzen.