Gematik untersagt Videoident­verfahren in der Telematik­infrastruktur

Berlin – Die weitere Nutzung von Videoidentverfahren für die Ausgabe von Identifizierungsmitteln zur Nut­zung in der Telematikinfrastruktur (TI) ist von der Gematik als nicht mehr zulässig erklärt worden. Man habe heute verfügt, dass die Krankenkassen das Verfahren ab sofort aussetzen, so die Gematik.

Hintergrund sind sicherheitstechnische Schwachstelle in diesem Verfahren, die der Gematik zugänglich ge­macht worden seien. Der Schritt sei daher „unumgänglich“. Man handle im Rahmen der rechtlichen und ver­waltungsgemäßen Befugnisse und vor dem Hintergrund des hohen Schutzbedarfs bei der Digitalisierung des Gesundheitswesens.

Weitere Identifizierungsverfahren sind demnach nicht betroffen und können nach Angaben der Gematik weiterhin genutzt werden. Dies betrifft alle Verfahren, die eine Prüfung des Ausweises vor Ort beinhalten (etwa Filiale der Krankenkasse oder Postident bei der Zustellung), sowie alle Verfahren unter Nutzung der Onlineausweisfunktion.

Parallel dazu würden Gematik und Bundesgesundheitsministerium (BMG) daran arbeiten, zusätzliche Verfah­ren bereitzustellen, die eine vor Ort-Begutachtung des Ausweises beinhalten, hieß es weiter.

„Über die Wiederzulassung von Videoidentverfahren kann erst entschieden werden, wenn die Anbieter kon­krete Nachweise erbracht haben, dass ihre Verfahren nicht mehr für die gezeigten Schwachstellen anfällig sind“, betonte die Gematik.

Externe Sicherheitsexperten hätten die Gematik „detailliert, glaubwürdig und nachvollziehbar“ über einen erfolgreichen Angriff auf das von den Krankenkassen genutzte Videoidentverfahren hingewiesen.

Die vorliegenden Nachweise der Sicherheitsexperten zeigen demnach tatsächlich durchgeführte Angriffe ge­gen existierende Dienstanbieter. Die Ausnutzbarkeit der grundsätzlichen Schwachstellen des Videoidentver­fahrens überschreitet nach Einschätzung der Gematik das akzeptierbare Risiko.

Versicherte konnten sich bisher bei ihrer Krankenkasse mit dem Videoidentverfahren insbesondere im Zusam­menhang mit der elektronischen Gesundheitskarte (eGK) authentifizieren, um Anwendungen der TI nutzen zu können – etwa die elektronische Patientenakte (ePA) oder das elektronische Rezept (E-Rezept).

aha