E-Rezept: Umstellen der Verschlüsselung sorgt für Probleme

Ab Januar 2026 soll die Telematikinfrastruktur (TI) im deutschen Gesundheitswesen von der bisherigen Verschlüsselungstechnik RSA 2048 auf ein moderneres Elliptic Curve Cryptography (ECC) Verfahren umgestellt werden. Diese Migration ist ein zentraler Schritt, um die Sicherheit und Effizienz der digitalen Gesundheitsanwendungen langfristig zu gewährleisten. Doch die Umstellung verläuft nicht ohne Herausforderungen: Laut Kassenärztlicher Bundesvereinigung (KBV) sind noch immer über 50.000 elektronische Heilberufsausweise (eHBA) sowie zahlreiche Praxisausweise, Kartenterminals und Konnektoren nicht auf dem neuesten Stand. Besonders kritisch ist, dass einige Anbieter der notwendigen Hardware, wie die medisign GmbH, nach einer internen technischen Umstellung keine voll funktionsfähigen Schnittstellen für die neuen ECC-basierten Ausweise bereitstellen können.

Die KBV hat sich nun in einem Schreiben an die Bundesnetzagentur gewandt und fordert eine Fristverlängerung für die Nutzung der bestehenden RSA-only eHBA-Karten. Ohne eine solche Verlängerung droht zehntausenden Praxen ab Januar 2026 die Unfähigkeit, digitale Rezepte oder Krankmeldungen auszustellen oder die elektronische Patientenakte zu nutzen.

Technischer Hintergrund: Warum wird von RSA auf ECC umgestellt?

Was ist RSA und was ist ECC?

RSA (Rivest-Shamir-Adleman) ist ein seit Jahrzehnten etabliertes Verschlüsselungsverfahren, das auf der Schwierigkeit beruht, große Zahlen in ihre Primfaktoren zu zerlegen. Es wird weltweit für sichere Datenübertragung und digitale Signaturen eingesetzt. Allerdings erfordert RSA relativ lange Schlüssel (z.B. 2048 Bit), um ein hohes Sicherheitsniveau zu erreichen.

ECC (Elliptic Curve Cryptography) umfasst modernere kryptografische Verfahren, die auf der Mathematik elliptischer Kurven basiert. Im Vergleich zu RSA bietet ECC bei gleicher Sicherheit kürzere Schlüssel (z.B. 256 Bit ECC statt 3072 Bit RSA). Das macht ECC effizienter im Betrieb und erhöht gleichzeitig die Sicherheit.

Warum ist die Umstellung notwendig?

Die Umstellung auf ECC erfolgt auf Empfehlung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und der europäischen eIDAS-Verordnung. RSA-2048 ist nur noch befristet bis Ende 2025 zulässig, da es langfristig nicht mehr den höchsten Sicherheitsstandards entspricht. ECC gilt als zukunftssicherer, da es mit kürzeren Schlüsseln ein höheres Sicherheitsniveau erreicht und weniger Ressourcen verbraucht. Die Migration soll sicherstellen, dass die Telematikinfrastruktur auch in Zukunft den höchsten Sicherheitsanforderungen genügt.

Welche Komponenten sind betroffen?

Die Umstellung betrifft mehrere Komponenten der Telematikinfrastruktur, darunter:

Elektronische Heilberufsausweise (eHBA): Diese müssen auf ECC-fähige Karten umgestellt werden. Ärzte und Apotheker können bei ihrem Kartenanbieter prüfen, ob ihre aktuelle Karte bereits ECC-fähig ist.
Praxisausweise (SMC-B): Auch diese müssen ausgetauscht werden, insbesondere wenn sie noch auf RSA basieren. Die gematik empfiehlt, den Austausch so zeitnah wie möglich vorzunehmen.
Kartenterminals: Stationäre Kartenterminals benötigen eine ECC-fähige gSMC-KT (gerätespezifische Security Module Card). Die Nutzung älterer RSA-basierter Terminals (gSMC-KT 2.0) ist nur noch bis Ende 2026 zulässig. Empfohlen wird von der gematik ein gSMC-KT 2.1 Terminal.
Konnektoren: Ältere Konnektoren, die nur RSA unterstützen, müssen bis Ende 2025 durch ECC-fähige Modelle ersetzt werden. Abhilfe schaffen hier neuere Konnektoren oder das TI-Gateway. Eine Laufzeitverlängerung über den 31.12.2025 hinaus ist nicht möglich. Ohne funktionsfähigen Konnektor stehen die folgenden Dienstleistungen nicht mehr zur Verfügung: Versichertenstammdatenmanagement, E-Rezept, KIM, Elektronische Arbeitsunfähigkeitsbescheinigung (eAU), ePA.
Primärsysteme: Die Hersteller von Praxisverwaltungssystemen müssen Software-Updates bereitstellen, die ECC-Schlüssel und -Zertifikate unterstützen.

Fazit: Sicherheit und Praxistauglichkeit in Einklang bringen

Die Umstellung auf ECC ist ein notwendiger Schritt, um die Sicherheit im digitalen Gesundheitswesen langfristig zu gewährleisten. Doch die praktische Umsetzung erweist sich als komplex und zeitkritisch. Ohne rechtzeitige Anpassung der Infrastruktur droht ein Rückfall in die Papierwelt – ein Schritt, der nicht nur die Digitalisierung zurückwirft, sondern auch die Patientenversorgung beeinträchtigen könnte.

Quellen:

Beitragsbild von Towfiqu barbhuiya auf Unsplash