Computer, Software und Netzwerke sind nicht für die Ewigkeit gedacht. Neue Betriebssysteme, Softwareversionen, Updates und Sicherheitsanforderungen etc. fordern immer wieder Anpassungen bis hin zum Austausch von Hardware. Aktuelles Beispiel ist die bevorstehende Einstellung des Supports für das Betriebssystem Windows 10, das in vielen Praxen noch im Einsatz ist. Aber auch die Telematikinfrastruktur im Gesundheitswesen ist davon nicht ausgenommen.
Vor zwei Jahren mussten die ersten, 2017 installierten Konnektoren getauscht werden, weil die installierten Zertifikate ausliefen. Zudem können die Anwender jetzt auf virtuelle Konnektoren resp. TI-Gateway wechseln, die kein gesondertes Gerät mehr erfordern, sondern den Zugang zum gesicherten TI-Netzwerk über eine Software herstellen. Doch in diesem Jahr könnten für viele Anwenderinnen und Anwender noch ein umfangreicherer Austausch von Hardware und Anpassungen von PVS drohen, weil ein Verschlüsselungsalgorithmus zum Jahresende 2025 abgelöst werden soll.
Die Kassenzahnärztliche Bundesvereinigung (KZBV) hat die für die Telematikinfrastruktur federführende Gematik schon vor zwei Jahren auf das Problem aufmerksam gemacht und sie aufgefordert, rechtzeitig steuernd tätig zu werden. Passiert ist bislang wenig. Dr. Karl-Georg Pochhammer, der als stellvertretender Vorsitzender des Vorstands der KZBV für das Thema Telematikinfrastruktur zuständig ist und auch in der Gesellschafterversammlung der Gematik sitzt, hat den unbefriedigenden Sachstand erst kürzlich auf der KZBV-Vertreterversammlung Anfang Juni in Köln wieder darlegen müssen. Um was es geht, auf was sich Zahnarztpraxen einstellen sollten, wo es Informationen gibt und wie sie sich insgesamt in Sachen TI gut aufstellen können, dazu gibt er im folgenden Interview mit Dr. Marion Marschall, Chefredakteurin „Quintessence News“, Auskunft.
Herr Dr. Pochhammer, Ihre Kollegin aus dem Vorstand der Kassenärztlichen Bundesvereinigung hat vor einigen Wochen öffentlich darauf hingewiesen, dass es zu massiven Problemen mit der Telematikinfrastruktur in den Praxen kommen könnte, wenn die Gematik darauf besteht, die Nutzungsdauer für einen Sicherheitsalgorithmus nicht zu verlängern. Sie haben schon früher mehrfach auf diese Situation aufmerksam gemacht, doch die Gematik bleibt bei ihrem Zeitplan, wie Sie Anfang Juni in der Vertreterversammlung der KZBV berichten mussten. Worum geht es genau?
Dr. Karl-Georg Pochhammer: Die TI und insbesondere ihre Anwendungen finden in der vertragszahnärztlichen Versorgung flächendeckende Anwendung und sind zu einem erkennbaren Mehrwert für die Patientenversorgung geworden, was grundsätzlich positiv ist. Im zahnärztlichen Bereich hat hier allem voran das elektronische Beantragungs- und Genehmigungsverfahren – Zahnärzte (EBZ) die Maßstäbe gesetzt. Bei diesem wie auch bei allen anderen Anwendungen kommen Verschlüsselungs- und Signaturverfahren zum Einsatz.
Aus Sicht des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und der Bundesnetzagentur (BNetzA) darf aber der aktuell verwendete RSA2048-Algorithmus in Deutschland nur noch bis Ende dieses Jahres verwendet werden. Im Klartext: Alle RSA-only-TI-Komponenten müssen nach dieser Lesart noch in diesem Jahr getauscht sowie zeitgleich sämtliche Anwendungen und Systeme auf ECC, dem neuen Algorithmus, umgestellt werden. Nur dann funktionieren die Anwendungen mit den Konnektoren, den elektronischen Heilberufsausweisen (eHBA) und Institutionenausweisen (SMC-B) sowie andere Komponenten auch weiterhin.
Andernfalls hätten die Praxen keinen Zugang mehr zur TI; aber ihre Betriebsbereitschaft ist mittlerweile zu einem Schlüsselfaktor für die Versorgung geworden. Wichtige Funktionen, wie zum Beispiel das Einlesen der elektronischen Gesundheitskarte, das Ausstellen von E-Rezepten oder die Übermittlung eines Behandlungsplans im Rahmen des EBZ an die Krankenkasse, sind nur über die TI möglich. Fällt sie aus, ist der Praxisalltag und damit die Patientenversorgung gestört.
Eine flächendeckende Umsetzung des Austauschs bis zum Ende dieses Jahres sehen wir – wie auch weitere Gesellschafter der Gematik – aber aufgrund der Menge an betroffenen Komponenten und dem damit verbundenen Aufwand als nicht mehr realisierbar an. Dies nicht zuletzt vor dem Hintergrund unserer Erfahrungen mit ähnlichen Zeitplanungen bei vergleichbaren Projekten und deren Umsetzung in den vergangenen Jahren.
Wichtige technische Voraussetzungen und Tools fehlen noch
Darüber hinaus stehen noch nicht alle Spezifikationen, Implementierungsleitfäden und Test-Tools der Gematik für die ECC-Migration zur Verfügung und nach unseren aktuellen Kenntnissen liegt auch immer noch kein wirklich allumfassender Migrationsplan seitens der Gematik vor.
Hinzu kommt, dass die Gematik hinsichtlich des Konnektors noch keine abschließende Gewissheit hat, ob auch die heute aktuellen Produktversionen tatsächlich mit „ECC-only"-Karten – diese sollen nach jetziger Planung der Gematik ab dem 1. Januar 2026 ausgegeben werden – zurechtkommen! Die Konnektorversion, die dies mit Sicherheit kann, soll erst Ende 2025 verfügbar sein.
Aktuell wissen wir somit insgesamt noch nicht, ob die Industrie ihre Produkte rechtzeitig bereitstellen und vor allem auch eine ausreichende Betreuung der betroffenen Praxen organisieren kann; zumal die Umstellung auch die Praxisverwaltungssysteme betrifft. Sie müssen in der Lage sein, bei der Signatur eines Datensatzes die neue ECC-Signaturart im Konnektor anzustoßen.
Gematik hat Probleme nicht ernstgenommen
Letztlich muss festgehalten werden, dass das Thema „ECC-Migration“ lange bekannt ist. Bereits im Jahr 2020 hatte das BSI eine Migration der ECC-Zertifikate zum 31.12.2024 angekündigt, die dann nochmal um ein Jahr verschoben werden konnte. Seitdem ist viel Zeit vergangen. Weil wir das Gefühl hatten, dass die Gematik die Dinge zu sehr laufen lässt, haben wir im vergangenen Jahr ein schlüssiges Migrationskonzept eingefordert, das insbesondere sicherstellt, dass der Betrieb der Praxen und der TI insgesamt nicht gefährdet wird. Zwar hat die Gematik zwischenzeitlich einen Umstellungsplan vorgelegt, es fehlt aber weiterhin ein finales Steuerungskonzept für den Umstieg, damit Betriebsausfälle in den Praxen vermieden werden. Daher können wir uns des Eindrucks nicht erwehren, dass die Gematik Größe und Komplexität ihrer Steuerungsaufgabe nicht erkannt hat – vor allem mit Blick auf die Auswirkungen auf die Praxisabläufe.
Hierzu muss man wissen, dass die Gematik für bestimmte Komponenten auch entgegen den Empfehlungen des BSI selbst festlegen kann, ob der Stichtag der erlaubten Nutzung verschoben werden soll. Für die sogenannte Lesegerätskarte (gSMC-KT) hat sie mittlerweile die Weiternutzung der alten Kartengeneration über 2025 hinaus erlaubt. Warum sie also angesichts der zuvor geschilderten Sachlage nicht auch für andere Komponenten den Stichtag auf ein realistischeres Datum verschiebt, bleibt völlig unklar.
Wenn die Gematik, wie sie jetzt schon mehrfach betont hat, dabei bleibt, dass getauscht beziehungsweise die Software angepasst werden muss – was hätte das im schlimmsten Fall für Folgen für die Nutzer in den Praxen?
Pochhammer: Wird jetzt trotz aller Warnungen der Gesellschafter der natürliche Zertifikatsablauf betroffener Komponenten nicht abgewartet, bedeutet das für die Praxen einen hohen Arbeits- und Kostenaufwand. Im vertragszahnärztlichen Bereich sind beispielsweise circa 4.000 SMC-B und rund 18.000 HBA betroffen. Inwieweit jede einzelne Praxis betroffen ist, hängt von den jeweiligen Komponenten ab.
Deshalb hatten wir ja auch die Gematik aufgefordert, kurzfristig einen konkreten Umstellungsplan vorzulegen und gleichsam mit dem BSI das Gespräch zu suchen, um zu versuchen, den Termin für die nicht qualifizierten Komponenten erneut zu verschieben. Das würde mit Blick auf den Pflichtstart der ePA im Oktober 2025 auch den TI-Terminkalender insgesamt entzerren.
Die Frist zu halten, mag formal korrekt sein, und für die Sicherheit der ePA und die Absicherung der Praxis-IT setzen auch wir uns immer wieder aktiv ein. Fakt ist aber doch, dass wir in erster Linie die Umsetzbarkeit für die Zahnarztpraxen im Abgleich mit der tatsächlichen Bedrohungslage im Auge behalten müssen. Aber eins darf man nicht vergessen und diesbezüglich wiederhole ich mich auch gerne: In diesem Fall bedeutet ein „Nicht-Umsetzen-Können“ für die Praxis gerade nicht, einen kleinen Nachteil oder Komforteinbußen zu haben. Nein! In diesem Fall wäre die Versorgung eingeschränkt, weil zum Beispiel E-Rezepte weder ausgestellt noch eingelöst werden könnten.
Richtige Balance von Sicherheit und Praktikabilität
Wie könnten Gematik und das BSI die Situation entspannen?
Pochhammer: Wie zuvor gesagt, hat die Gematik als erste Reaktion auf unsere gemeinsam mit den anderen betroffenen Gesellschaftern eingebrachte Initiative einen Umsetzungsplan für die RSA-Abschaltung erstellt. Das ist erst einmal positiv. Gleichzeitig hat sie die Gesellschafter zu einem Workshop eingeladen, in dem wir unter anderem regelmäßige Statusberichte eingefordert haben, um die KZVen und vor allem die betroffenen Praxen kontinuierlich auf dem Laufenden halten zu können. Auch hier hatte die Gematik jetzt glücklicherweise ein Einsehen und hat regelmäßige Meetings angekündigt. Wichtig ist jetzt, dass sie kurzfristig alle offenen Fragen klärt.
Wie bei der ePA oder der IT-Sicherheitsrichtlinie geht es auch bei der Migration von RSA zu ECC um die Frage der richtigen Balance von Sicherheit und Praktikabilität. Und auch hier sollten wir die Antwort davon abhängig machen, was das Beste für die Praxen und die Patientinnen und Patienten ist. Im Fall der ECC-Migration gilt es in jedem Fall, durch eine Fristverlängerung eine Störung der Versorgung abzuwenden. Allein die Gematik hat diese so wichtigen Punkte in der Hand. Hierbei sei auch betont, dass eine Verlängerung der Nutzungsdauer der RSA-Verschlüsselungsalgorithmen über den 31. Dezember 2025 hinaus mit Blick auf andere europäische Länder wie Frankreich – dort geht die RSA-Laufzeit bis 2030 – nicht ganz unüblich ist.
Was getauscht werden muss und worauf Praxen achten müssen
Dass Komponenten der Telematikinfrastruktur ausgetauscht werden müssen, ist für die Praxen immer ärgerlich, aber bei IT ja immer wieder nötig. Worauf sollten Praxen ihre Komponenten jetzt prüfen? Und welche Komponenten müssten dann getauscht werden?
Pochhammer: Die meisten Konnektoren, die im Feld sind und in der neuesten Version betrieben werden (PTV5+), sind zwar bereits ECC-fähig. Hier sei aber auch auf das zuvor erwähnte Problem hinsichtlich der „ECC-only"-Kartenwelt hingewiesen.
Ausrangiert werden müssen in jedem Fall Generationen der alten Konnektoren, die bereits eine Laufzeitverlängerung hinter sich haben. Betroffene Praxen müssen sich sehr zeitnah um einen Umstieg kümmern.
Was die Gerätekarten in den Kartenterminals betrifft, so kommt hier ja die Gematik der KZBV-Forderung nach und nutzt ihren Handlungsspielraum, indem sie die RSA-Zertifikate länger akzeptiert. Für die auszutauschenden SMC-B und HBA haben die Kartenanbieter im Juni mit dem Austausch begonnen.
Im Rahmen der ebenfalls erforderlichen Umstellung von KIM auf die Version 1.5 sind die Zahnarztpraxen gut aufgestellt, dennoch sind auch hier weitere Updates zu beachten. Das Mengengerüst der verschiedenen auszutauschenden Karten erfordert trotzdem einen Kraftakt.
Allgemeine Informationen zum Thema TI-Komponenten und Austausch haben wir auch auf der KZBV-Internetseite bereitgestellt.
TI-Pauschale berücksichtigt vorzeitigen Austausch nicht
Die Frage, die immer ganz schnell kommt, lautet: „Wer bezahlt mir das?“ Wie ist das aktuell geregelt?
Pochhammer: Seit dem 1. Juli 2023 erhalten vertragszahnärztliche Praxen ausschließlich monatliche Fix-Pauschalen für die Ausstattung und den TI-Betrieb. Sie gelten pro Praxisstandort. Ihre Höhe richtet sich unter anderem nach den in der Praxis implementierten TI-Anwendungen und der Anzahl der Zahnärztinnen und Zahnärzte zum Quartalsende.
Situationen wie diese werden dabei leider nicht berücksichtigt. Wenn also Praxen jetzt ihre Komponenten vor dem natürlichen Zeitablauf austauschen müssen, bedeutet das, wie zuvor gesagt, für die Praxis einen zusätzlichen Kostenaufwand. Ein Umstand, der nicht gerade die Akzeptanz der TI fördert.
Die Gematik hat ihre Informationen für die Praxen und die Dienstleister inzwischen aktualisiert und auf einer eigenen Themenseite zusammengestellt. -Red.
Wo finden Zahnarztpraxen weitere Informationen zu diesem Thema?
Pochhammer: Die Gematik hat hierzu die Checkliste „Blick in die Praxis – Betroffene Komponenten in Leistungserbringerinstitutionen“ veröffentlicht. Ziel der Checkliste ist es, für jede relevante Komponente darzustellen, wie festgestellt werden kann, ob ein Austausch oder Update nötig ist und wie der Ablauf des Austauschs gegebenenfalls aussieht.
Die derzeit veröffentlichte Version ist aus unserer Sicht zwar verbesserungsbedürftig, bietet aber dennoch einige hilfreiche Hinweise. In Kürze wird die Gematik eine überarbeitete Version auf ihrer Website zur Verfügung stellen.
Versorgung nicht gefährden
Zum Schluss: Sie sitzen ja in der Gesellschafterversammlung der Gematik und sind zu diesem Thema dort als Vertreter der Anwender auch schon laut geworden, wie Sie erzählt haben. Wie geht es dort weiter? Was ist das Ziel der KZBV?
Pochhammer: Wie zuvor gesagt – und das ist mir wichtig zu betonen –, setzen wir uns dafür ein, dass die Gematik sich jetzt auf dieses kritische Thema fokussiert und so die notwendigen Planungen für die zeitnahe Umsetzung mit aktiver Unterstützung aller Beteiligten schnellstens voranbringt. Parallel dazu muss die Gematik mit Unterstützung des Bundesgesundheitsministeriums zwingend den Austausch mit dem BSI und der Bundesnetzagentur, der BNetzA, suchen, um dort das Problembewusstsein zu schärfen. Denn ohne eine Verschiebung der Migration – zumindest dies als Notfalloption in Betracht zu ziehen – droht faktisch eine Gefährdung der Versorgung, die gegen die theoretischen Sicherheitsbedenken abgewogen und ins Verhältnis gesetzt werden muss.
Aktualisierte IT‐Sicherheitsrichtlinie und weitere Informationen auf der KZBV-Internetseite eingestellt
Mit dem Digital-Gesetz (DigiG) hat die Bundesregierung Anforderungen und Konkretisierungen für die digitale Zukunft in Praxen festgelegt. In diesem Rahmen wurden die KZBV und die Kassenärztliche Bundesvereinigung (KBV) beauftragt, die IT-Sicherheitsanforderungen für Zahnarzt- und Arztpraxen verbindlich in einer IT-Sicherheitsrichtlinie festzulegen. Die Richtlinie wurde im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) erstellt und muss nach dem Willen des Gesetzgebers gemäß § 390 SGB V jährlich überprüft und alle zwei Jahre an den Stand der Technik und an das Gefährdungspotential angepasst werden. Die KZBV hat sich bei der Erstellung der Richtlinie dafür eingesetzt, dass die gesetzlichen Vorgaben für Zahnarztpraxen mit vernünftigem und vertretbarem Aufwand umsetzbar sind und die Anforderungen auf das tatsächlich notwendige Maß konzentriert werden.
Die aktualisierte IT-Sicherheitsrichtlinie wurde am 1. Juli 2025 veröffentlicht und ist am 2. Juli 2025 in Kraft getreten. Neu eingeführte oder geänderte Anforderungen sind ab dem 2. Januar 2026 umzusetzen. Auf der Internetseite der KZBV stehen dazu zahlreiche Informationen für die Praxis bereit.
Der Text wurde am 11. Juli, 11.40 Uhr, um die Information und den Link zur neuen Infoseite der Gematik zum Thema aktualisiert. -Red.
