Gematik verteidigt Konnektortausch, Kassenärzte fordern Neubewertung

Inhaltsverzeichnis

Die für die Digitalisierung in Deutschland zuständige Gematik GmbH hat in einer Stellungnahme Fragen der Kassenärztlichen Bundesvereinigung (KBV) über nicht umgesetzte Alternativen zum Austausch von 130.000 Konnektoren beantwortet. Darin bestätigt sie zumindest indirekt die Feststellung des Computermagazins c't, dass keine technisch zwingenden Gründe existieren, die eine Verlängerung der Zertifikate verhindern. Zuvor hatte es geheißen, die Zertifikate seien fest mit den Konnektoren verbunden und ein Austausch der Hardware unumgänglich.

In der neuen Stellungnahme heißt es, "die Laufzeitverlängerung der gSMC-K" sei eine "bereits spezifizierte und weiterhin bestehende Option", die den Gesellschaftern auf der Sitzung am 9. Februar mitgeteilt wurde. Dem zum Trotz hatten sich die Gesellschafter einstimmig für einen teuren Tausch der Konnektoren entschieden. Hierfür, sowie für weitere Software-Updates, sollen die gesetzlichen und privaten Krankenkassen den Ärzten Kosten in Höhe von 400 Millionen Euro erstatten.

Gematik verweist auf Hersteller

Als Beweis, dass ein Austausch der gSMC-K-Karten nicht möglich sei, führt die Gematik Aussagen der drei Hersteller CGM, Secunet und RISE an – also jenen Firmen, denen der Hardware-Tausch Umsätze im dreistelligen Millionenbereich beschert: "Die aktuellen Aussagen aller Hersteller bestätigen, dass der Austausch einer alten gSMC-K gegen eine neue gSMC-K nicht möglich ist." Die Gematik führt jedoch keine weiteren Prüfungen unabhängiger Stellen an, die die Aussagen der Hersteller bestätigen oder widerlegen.

Im April zweifelte Gematik-Chef Markus Leyck-Dieken gegenüber dem Magazin E-Health-Com die Aussagekraft der Herstellerbekundungen noch an: "Wie sehr trauen wir den drei aktuellen Herstellern, dass sie ein Produkt mit den darauf befindlichen Zertifikaten in eine Verlängerung bringen können, die formal möglich ist?", fragte er. Die Gematik hätte laut Leyck-Dieken damals den Vorschlag gemacht, die Zertifikate der Konnektoren zu verlängern, bei denen dies möglich ist. "Den Gesellschaftern war das zu vage, sie waren für den sichersten Weg. Deshalb hat man sich im Gesellschafterkreis dafür entschieden, zunächst einen Beschluss zu fällen, der den Konnektoraustausch insgesamt in Deutschland vorsieht."

"Weitere Anpassung im Fertigungsumfeld nötig"

In ihrer aktuellen Erklärung führt die Gematik nun als Gründe gegen den deutlich günstigeren Kartentausch an, dass für eine Neuausstattung der Konnektoren eine "weitere Anpassung im Fertigungsumfeld (d.h. durch den Hersteller)" notwendig sei. "Die spezifischen Speicherbereiche der gSMC-K werden in der Fertigungsumgebung vorbereitet. Karten-PIN und Schlüssel sind außerhalb dieser Umgebung nicht erstellbar."

Demnach wäre eine Neubestückung der Konnektoren mit gSMC-K-Karten innerhalb einem solchen "Fertigungsumfeld" also durchaus möglich. Damit bestätigt die Gematik indirekt Aussagen von c't, dass keine Sicherheitsvorkehrungen wie Security Fuses oder Ähnliches einen Kartenaustausch grundsätzlich verhindern würden. Dennoch hatte die Gematik einen solchen Kartentausch durch die Hersteller, bei dem Ärzte ihren alten Konnektor einschicken und ein Ersatzgerät bekommen, "zu keinem Zeitpunkt als Lösung vorgesehen."

Angesichts der Kosten von mehreren hundert Millionen Euro stellen sich die Fragen: Was ist das Besondere an dem notwendigen "Fertigungsumfeld", ohne die eine Neubestückung der Konnektoren mit gSMC-K-Karten nicht möglich wäre? Mechanische Spezialwerkzeuge sind dazu zumindest nicht notwendig. Uns genügte ein kleiner Klingenschraubendreher, um das Konnektorgehäuse zu öffnen, anschließend die Karten zu entfernen, in einem kleinen Lesegerät am PC auszulesen und danach wieder einzusetzen.

Ungeklärt bleibt, warum der Kartentausch in der entscheidenden Gesellschafterversammlung im Februar nicht thematisiert wurde. Außerdem stellt sich die Frage, ob es noch eine Einschätzung unabhängiger Experten geben wird.

Kartentausch ursprünglich vorgesehen

Fragwürdig ist die Aussage der Gematik: "Der Konnektor als Kernelement der TI wurde als eine untrennbare Einheit von eigentlichem Konnektor und den dort verbauten gSMC-K mit den aufgebrachten Zertifikaten konzipiert. [...] Insofern war ein Ausbau und Tausch der gSMC-K zu keinem Zeitpunkt eine vorgesehene Lösung."

Inzwischen liegt uns ein Foto von einem Prototyp der KoCoBox vor. Es zeigt eine frühe Version der KoCoBox, die von der KoCo Connector AG entwickelt wurde. Diese hatte bereits 2009 eine erste Hardware-Version der KoCoBox vorgestellt und 2010 die Freigabe von der Gematik für einen Testbetrieb bekommen.

Das Bild zeigt ein Modell aus diesem Testbetrieb mit einem Slot für eine gSMC-K-Karte. Dieser liegt jedoch hinter einer Gehäuseklappe, die sich zum Tausch der Karte öffnen ließ. Somit war ein Ausbau und Tausch der gSMC-K entgegen der Aussage der Gematik zu einem früheren Zeitpunkt offenbar vorgesehen. Daher stellt sich die Frage: Warum hat der Hersteller CGM diese Möglichkeit des Kartentauschs später entfernt?

Vorbereitung für Schlüsseltausch vorhanden

Eigentlich sollten sich die Konnektoren aber auch ohne Wechsel der gSMC-K-Karten weiter betreiben lassen. Bereits seit Konnektor-Spezifikation gemSpec_Kon_V4.11.1 vom 27.4.2017 müssen die eingebauten gSMC-K-Karten ein Update der Krypto-Schlüssel unterstützen, wie es dort unterhalb von Anforderung TIP1-A_4505 heißt: "gSMC-Ks gemäß [gemSpec_gSMC-K_ObjSys] verfügen über die Möglichkeit zur nachträglichen Generierung von Schlüsselpaaren und dem Nachladen der zugehörigen Zertifikate. Dieser Mechanismus wird erst in kommenden Releases durch den Konnektor unterstützt. Initial sind alle Identitäten bereits einmal auf der gSMC-K vorhanden." Diese Anforderung wurde durch alle folgenden Spezifikationen durchgereicht und gilt seitdem unverändert.

Der Anforderung zufolge wäre die Unterstützung der Generierung neuer Schlüsselpaare auf den Karten nur eine Frage der Software und könnte per Firmware-Update nachgerüstet werden. Offenbar wurde die Umsetzung dieser Anforderung aber seit 2017 immer wieder verschoben.

Betriebsdauer von 10 bis 15 Jahren

Der ehemalige Gematik-Mitarbeiter Mark Langguth weist in einem Tweet darauf hin, dass die aktuellen gSMC-Karten bereits ein Update der Krypto-Schlüssel für elliptische Kurven unterstützen. Demnach wurden die Konnektoren so konzipiert, dass neue Zertifikate online ausgestellt und verteilt werden können. Die Konnektoren könnten laut Langguth "10 bis 15 J im Feld bleiben".

Die entsprechenden Vorgaben in den Spezifikationen beschreiben das Dokument "gemSpec_gSMC-K_ObjSys_V3.12.0.pdf" vom 15. Mai 2019. Im Kapitel 5.4 heißt es dort: "Neben den genannten RSA-Schlüsseln sind auch die Schlüssel für elliptische Kurven, PrK.AK.AUT.E256 bzw. PrK.AK.CA_PS.E256, sowie das Zertifikat C.AK.AUT.E256 vorhanden."

Ein Update auf längere Schlüssel, wie sie ab 2025 vorgeschrieben sind, soll laut Spezifikation ebenfalls möglich sein: "Als Nachfolgeschlüssel sind private Schlüssel für RSA (R2048, R3072) und elliptische Kurven (E384) vorbereitet. Die Auswahl und Generierung des Nachfolgeschlüssels erfolgt zu einem späteren Zeitpunkt. Das jeweilige Zertifikat mit dem öffentlichen Schlüssel kann wahlweise in EF.C.AK.AUT.R2048 oder EF.C.AK.AUT2.XXXX gespeichert werden."

Ebenso spricht Kapitel 5.4.3 von einem "Wechsel des Schlüsselmaterials zu einem späteren Zeitpunkt". Bei der Analyse der gSMC-K-Karten fand c't auf den Karten bereits Platzhalter für diese neuen Schlüssel.

Offene Fragen

Die Gematik erwähnt in ihrer Erklärung vom 28.7.2022 einige Dokumente mit entscheidungsrelevanten Informationen. Angesichts der hohen finanziellen Belastung aller Versicherten und Patienten wäre es ein Gebot der Transparenz, diese der technisch interessierten Öffentlichkeit zur Verfügung zu stellen. Für kommenden Dienstag ist eine erneute Sitzung der Gesellschafter der Gematik angesetzt.

Ärztevertreter hatten im Vorfeld eine dringende Aufklärung gefordert, warum der geplante Hardware-Tausch der Konnektoren unumgänglich sei und ob es keine günstigeren Alternativen gäbe. Die KBV hält an einer Forderung nach einer neuen Bewertung des Konnektortausches fest. "Wir erwarten von der Gematik, dass sie Gespräche führt, um herauszufinden, unter welchen Bedingungen die Hersteller gegebenenfalls die gSMC-K austauschen können und was dies kosten würde", sagte KBV-Vorstandsmitlglied Thomas Kriedel.

(hag)