Werden Sie jetzt aktiv
Neues Verschlüsselungsverfahren für die Telematikinfrastruktur
Die Telematikinfrastruktur (TI) stellt ihre Kryptografie von RSA (Rivest-Shamir-Adleman) auf ECC (Elliptic Curve Cryptography) um. Die Migration stellt einen bedeutenden Fortschritt in der Weiterentwicklung unserer Systeme dar, mit dem Ziel, die Sicherheit und Effizienz zu verbessern. ECC ist eine moderne und leistungsstarke Verschlüsselungsmethode, die nicht nur ein höheres Sicherheitsniveau bietet, sondern auch ressourcenschonender ist. Die Umstellung erfolgt auf Empfehlung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und der Europäischen eIDAS, da RSA-2048 nur noch befristet bis Ende 2025 zulässig ist.
In Leistungserbringerinstitutionen können dabei Komponenten der TI betroffen sein. Bitte prüfen Sie zeitnah, ob und welche Komponenten von der Umstellung bei Ihnen betroffen sind und sorgen Sie dafür, dass diese rechtzeitig auf die neue, leistungsfähigere ECC-Verschlüsselung umgestellt werden. Nur so kann ein reibungsloser und sicherer Betrieb auch über 2025 hinaus sichergestellt werden.
Die folgenden fünf Komponenten sollten von Ihrem zuständigen Dienstleister vor Ort zeitnah überprüft werden:
Prüfen Sie die ECC-Fähigkeit Ihrer Karte wie folgt:
Kontrollieren Sie zunächst den Aufdruck auf der Rückseite Ihrer Karte nach der Kennzeichnung G2.0 oder G2.1, handelt es sich um eine Karte der Generation G2.0, so ist diese nicht ECC-fähig. In diesem Fall müssen Sie einen neuen HBA der Generation G2.1 beantragen. Eine Karte der Generation G2.1 ist ECC-fähig.
Zusätzlich können Sie sich im Kartenportal Ihres Anbieters anmelden und dort die Zertifikatsinformationen Ihrer Karte prüfen, um die ECC-Fähigkeit zu verifizieren. Bei Fragen kontaktieren Sie bitte rechtzeitig Ihren Kartenherausgeber oder wenden sich an Ihren zuständigen Dienstleister vor Ort. Sehen Sie dazu auch:
https://www.medisign.de/blog/ehba-und-smc-b-der-generation-2-0-werden-ausgetauscht/
https://www.d-trust.net/de/support/elektronischer-praxisausweis-institutionsausweis
Zusätzliche Informationen
Für den Anschluss an die Telematikinfrastruktur benötigen Sie mindestens einen elektronischen Heilberufsausweis (eHBA) je Institution. Anbieter, bei denen Sie diesen beantragen können, finden Sie auf der Website der für Sie zuständigen Kammern. Pflegefachkräfte, Hebammen und weitere Heilmittelerbringende erhalten ihn bundesweit zentral über das elektronische Gesundheitsberuferegister eGBR. Sobald Sie Ihren eHBA erhalten, kann dieser mittels PIN beim Anbieter freigeschaltet werden.
Weitere Informationen zum HBA erhalten Sie hier
Die SMC-B Karte ist Ihr Institutionsausweis. Diese kann erst beantragt werden, wenn ein eHBA innerhalb der Institution vorhanden ist. Ist das der Fall, können Sie die SMC-B bei einem in ihrem Sektor tätigen Anbieter anfordern. Eine Übersicht der durch die gematik zugelassenen Anbieter finden Sie hier in unserem Fachportal.
Nach Prüfung und Freigabe Ihres Antrags durch den zuständigen Kartenherausgeber sendet Ihnen der Anbieter sowohl die SMC-B als auch die dazugehörige PIN zu. Die Freischaltung der SMC-B kann im Antragsportal des Anbieters durchgeführt werden. Jede SMC-B hat eine begrenzte Laufzeit und muss vor Ablauf durch eine neue ersetzt werden. Die Anbieter der SMC-B kontaktieren Sie dazu rechtzeitig.
Weitere Informationen rund um die Beantragung der SMC-B finden Sie auf den Seiten der Anbieter D-Trust, medisign, T-Systems und SHC+Care.
Sie benötigen ein stationäres Kartenterminal. Das Kartenterminal kann entweder direkt beim Hersteller oder über den Einzelhandel gekauft werden und muss für den Einsatz von der gematik zugelassen sein. Die gSMC-KT (gerätespezifische Security Module Card des Kartenterminals) ist die Eintrittskarte Ihres eHealth Kartenterminals in die Telematikinfrastruktur des deutschen Gesundheitswesens. Die gSMC-KT ist im Kartenterminal installiert und wird Ihnen bei Bestellung eines TI-fähigen E-Health-Kartenterminals mitgeliefert. Die gSMC-KT gibt dem Terminal somit eine digitale Identität, um sich mit einem Konnektor verbinden zu können (man spricht hier vom sogenannten „Pairing“).
Die gematik steht im direkten Austausch mit den Herstellern von Primärsystemen, um bestmöglich zu informieren. Bitte sprechen Sie Ihren zuständigen Betreuer zeitnah an, um eventuelle Änderungen an Ihrer Software frühzeitig zu planen. Bitte beachten Sie auch mögliche zusätzliche im Einsatz befindliche Software, wie beispielsweise KIM Clientmodule oder Middleware.
Konnektoren haben aus Sicherheitsgründen eine Lebensdauer von fünf Jahren. Für die betroffenen Konnektoren ist bereits 2023 eine zweijährige Verlängerung der Zertifikate erfolgt. Eine weitere Verlängerungsoption ist nicht vorgesehen. Aktuell gibt es ca. 35.000 Konnektoren, die RSA2028 als Verschlüsselungsalgorithmus nutzen. Für die betroffenen Konnektoren stehen als Nachfolgelösung Angebote der Anbieter bereit, für die ein Konnektor in der medizinischen Einrichtung vor Ort nicht mehr notwendig ist (TI-Gateway). Damit kann der TI-Zugang für diese Einrichtungen weiterhin gewährleistet werden.
Der Anteil an Konnektoren mit RSA-Verschlüsselung entfällt mehrheitlich auf den Anbieter secunet (ca. 28.000) und in geringerer Anzahl auf CGM/KoCo (ca. 4.500). Das RSA-Zertifikat läuft zum Jahresenden nach einer zweijährigen Verlängerung aus und ist damit ungültig. Ein ungültiges Zertifikat führt zum Funktionsverlust des Konnektors.
FAQ
Bei RSA und ECC handelt es sich um Bezeichnungen für kryptografischen Verfahren. Diese Verschlüsselungsalgorithmen werden auch für das Gesundheitswesen in TI-Komponenten und Diensten eingesetzt.
Ein sicherer TI-Betrieb hat für die gematik oberste Priorität. Der Austausch der Verschlüsselungsalgorithmen RSA2028 auf ECC256 bis Ende 2025 ist eine zentrale Maßnahme, damit TI-Komponenten und Dienste auch künftig an den höchsten Sicherheitsstandards ausgerichtet sind.
Bei den Sicherheitsrichtlinien orientieren wir uns an den Empfehlungen und Vorgaben der obersten Sicherheitsbehörden und international anerkannten Standards. Das BSI orientiert sich an dem internationalem Standard SOGIS-Katalog bei ihrer Empfehlung. Der aktuell vorgesehene Zeitplan basiert auf den Empfehlungen des BSI und Vorgaben der Bundesnetzagentur (BNetzA) für die qualifizierte elektronische Signatur (QES), RSA<3000 bit nach 31.12.2025 nicht mehr zu nutzen. Die QES fällt in die Regelungskompetenz der BNetzA.
Nein. Das RSA-Zertifikat läuft zum Jahresenden nach einer zweijährigen Verlängerung aus und ist damit ungültig. Ein ungültiges Zertifikat führt zum Funktionsverlust des Konnektors.
Konnektoren haben aus Sicherheitsgründen eine Lebensdauer von fünf Jahren. Für die betroffenen Konnektoren ist bereits 2023 eine zweijährige Verlängerung der Zertifikate erfolgt. Eine weitere Verlängerungsoption ist nicht vorgesehen.
