Digitale Identitäten im Gesundheitswesen im Überblick

Digitale Identitäten im Gesundheitswesen im Überblick unknown

17.01.2023 Ein Gastbeitrag von  Nico Martens

Digitale Identitäten können verschiedenste Ausprägungen haben. Die einen sind besonders komfortabel in der Nutzung, andere sind besonders sicher, wieder andere besonders innovativ. Welche Ausprägung ist für das deutsche Gesundheitswesen die beste Wahl? Gibt es überhaupt die eine Lösung? Aktuell existieren verschiedene Ausprägungen und zukünftig kommt noch eine weitere hinzu.

Digitale Identitäten sind Voraussetzung für die Nutzung digitaler personalisierter Dienste. So auch im Gesundheitswesen. Wer zum Beispiel eine elektronische Patientenakte (ePA) nutzt, möchte in dieser ausschließlich seine eigenen Gesundheitsdaten wiederfinden und nicht die Daten einer anderen Person. Zudem sollte nur der Patient selbst auf die eigene Patientenakte zugreifen können. Damit das ePA-Aktensystem den Zugriff auf die Akten korrekt steuern kann, müssen diese einer Identität zugeordnet sein: einer digitalen Identität des Versicherten.

Für die Gestaltung der digitalen Identitäten im Gesundheitswesen ist die Gematik zuständig. Ihre Aufgabe ist es, die Telematikinfrastruktur (TI) für die sichere digitale Vernetzung der Akteure des Gesundheitswesens zu etablieren.

Zurzeit existieren verschiedene Ausprägungen digitaler Identitäten in der TI. Am weitesten verbreitet ist die digitale Identität in Form eines kryptografischen Schlüssels in Verbindung mit einem Zertifikat aus der Public Key Infrastruktur (PKI) der TI. Dieser ist auf einer personenbezogenen Smartcard gespeichert.

Smartcards in der TI

Die wohl bekannteste Smartcard in diesem Kontext ist die elektronische Gesundheitskarte (eGK), die in Deutschland alle gesetzlich Versicherten von ihrer Krankenkasse bekommen. Die eGK dient dem Versicherten zum einen als Krankenversicherungsnachweis, zum anderen kann sie vom Versicherten zur Authentisierung gegenüber der Fachdienste der TI wie der ePA oder dem elektronischen Rezept (eRezept) verwendet werden.

Neben der eGK existieren in der TI noch weitere Smartcards. Der Heilberufsausweis (HBA) speichert die digitale Identität eines Leistungserbringers, wie zum Beispiel eines Arztes. Die sogenannte SMC-B, übernimmt als Institutionskarte eine ähnliche Aufgabe und hinterlegt die digitale Identität einer Leistungserbringerinstitution wie einer Arztpraxis. Außerdem gibt es gerätespezifische Smartcards für den Konnektor (gSMC-K) oder eHealth-Terminals (gSMC-KT).

Mit der ePA kam der erste Fachdienst in die TI, auf den der Versicherte von seinem eigenen Endgerät aus über das Internet zugreifen konnte. Die in der Akte gespeicherten Patientendaten gehören zu den besonders schützenswerten personenbezogenen Daten nach Artikel 9 der Datenschutzgrundverordnung (DSGVO). Da es sich hierbei um sensible Daten handelt, erfordern sie einen entsprechend hohen Zugriffsschutz. Hierzu gehört auch das Vertrauensniveau der Authentifizierung des Nutzers. Um das notwendige Vertrauensniveau bei der Authentifizierung des Versicherten zu erreichen, wurde die Authentifizierung mittels der eGK spezifiziert. Hierbei nutzt der Versicherte sein persönliches Endgerät und sein ePA Frontend des Versicherten (ePA FdV). Während der Authentifizierung sendet das Aktensystem in einem Challenge-Response-Protokoll eine Zufallszahl. Der Versicherte hält seine eGK an sein Endgerät und signiert mit dem Schlüsselmaterial auf der eGK die Zufallszahl. Die Signatur kann vom Aktensystem verifiziert werden und stellt den Nachweis der erfolgreichen Authentifizierung dar. Dieser Prozess setzt neben einem kompatiblen Endgerät eine NFC-fähige eGK und die Kenntnis der PIN voraus. Die Verwendung eines zusätzlichen Hardware-Tokens wie einer Smartcard stellt außerdem bis heute eine Hürde bei der Nutzung dar. Um dies vorzubeuegn, hat die Gematik bereits zur Einführung der ePA auch die sogenannte Alternative Versichertenidentität eingeführt.

Die Alternative Versichertenidentität

Die Alternative Versichertenidentität (al.vi) verlagert die Signatur der Zufallszahl im Challenge-Response-Verfahren zwischen Aktensystem und Frontend von der eGK zu einem Signaturdienst. Beim Signaturdienst ist für jeden Nutzer ein eigener Signaturschlüssel gespeichert, dessen Signaturen wiederum über ein Zertifikat aus dem Vertrauensraum der TI verifizierbar sind. Um den Signaturschlüssel zu verwenden, muss der Nutzer sich beim Signaturdienst authentisieren. Hierbei können beliebige Authentifizierungsverfahren verwendet werden, die ein entsprechendes Vertrauensniveau erfüllen. Somit können auch Verfahren ohne zusätzliche Hardware verwendet werden. Der Signaturdienst hat gegenüber der eGK den sicherheitstechnischen Nachteil, dass der Versicherte den Signaturschlüssel nicht mehr unmittelbar unter seiner Kontrolle hat.

Der Identity Provider-Dienst

Mit der Einführung des eRezepts setzte die Gematik erstmals auf das Modell eines Identity Provider-Dienstes (IDP-Dienst), der heute auch zentraler IDP oder Smartcard-IDP genannt wird. Die Idee dahinter ist, die Funktionalität der Nutzer-Authentifizierung vom Fachdienst zu lösen und diese vom IDP-Dienst durchführen zu lassen. Der IDP-Dienst stellt dem Fachdienst dann auf Basis von OpenID Connect eine Authentifizierungsbestätigung bereit. Auf diese Weise erfüllt jeder Dienst seinen fachlichen Zweck. Außerdem kann der IDP-Dienst zumindest in der Theorie auch die Authentifizierung der Nutzer für weitere Fachdienste, etwa für die ePA übernehmen. Die Funktionalität der Authentisierung muss somit nicht für jeden Fachdienst neu spezifiziert und implementiert werden und der Nutzer kann seine bestehende Registrierung beim IDP-Dienst wiederverwenden. Da für die Authentifizierung beim IDP-Dienst wiederum die eGK verwendet werden muss, liegt hier die gleiche digitale Identität zugrunde wie zuvor bei der ePA. Zwar kann der Nutzer, je nach Eigenschaften seines Endgeräts, nach initialer Identifizierung auch biometrische Verfahren für die Authentisierung nutzen, muss sich aber zum Erhalt des Sicherheitsniveaus regelmäßig auch mit der eGK authentisieren – Ausnahme bilden hierbei einige geeignete Endgeräte.

Stand vom 30.10.2020

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von redaktionellen Newslettern nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://support.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung, Abschnitt Redaktionelle Newsletter.

Fasttrack

Um dem Versicherten einen ähnlich komfortablen Zugang zum eRezept wie zur ePA zu ermöglichen, wurde die Lösung Fasttrack entwickelt. Hierbei wird der IDP-Dienst mit dem Signaturdienst der ePA gekoppelt, sodass eine Authentifizierung über die al.vi möglich wird. Voraussetzung für die Nutzung ist aber, dass der Versicherte über eine ePA verfügt und die al.vi eingerichtet hat.

Föderiertes Identitätsmanagement

Ende 2020 veröffentlichte die Gematik das Whitepaper „Arena für digitale Medizin“ und kündigte darin unter anderem die TI 2.0 an. In diesem Zusammenhang wurde ein weiteres Modell für digitale Identität vorgestellt: das föderierte Identitätsmanagement.

Beim föderierten Identitätsmanagement gibt es nicht mehr einen zentralen IDP-Dienst, sondern eine Menge von sogenannten sektoralen Identity Providern, sogenannte sektorale IDP, die in einer Föderation organisiert sind. Mitunter wird auch von dezentralen IDPs gesprochen. Die Grundlage bildet, wie schon beim zentralen IDP, wieder OpenID Connect. Dies gilt gleichermaßen für die Föderation, welcher der OpenID Connect Federation Standard zugrunde liegt. Die sektoralen IDPs sollen von den Krankenkassen bereitgestellt werden. Die Idee: jede Krankenkasse verwaltet die digitalen Identitäten ihrer Versicherten, führt die Authentifizierung der Versicherten durch und bestätigt diese gegenüber den Fachdiensten in der TI und zukünftigen TI 2.0. Das föderierte Identitätsmanagement soll dabei die Vorgaben aus § 291 SGB V umsetzen, wonach die gesetzlichen Krankenversicherungen ihren Versicherten ab 01.01.2023 auf Rückfrage eine digitale Identität zur Verfügung stellen müssen. Da die finalen Spezifikationen zum föderierten Identitätsmanagement Mitte Dezember 2022 noch nicht veröffentlicht sind, wird die tatsächliche Einführung dieser digitalen Identitäten aber wohl noch etwas dauern.

Fazit

In der TI gibt es aktuell verschiedene Ausprägungen von digitalen Identitäten. Mit der Einführung der TI 2.0 könnte das föderierte Identitätsmanagement die anderen Ausprägungen verdrängen. Dies scheint auch der Gesetzgeber zu planen. So heißt es im Digitale-Versorgung-und-Pflege-Modernisierungs-Gesetz (DVPM), dass „die digitalen Identitäten in gleicher Weise wie die elektronische Gesundheitskarte zur Authentisierung des Versicherten im Gesundheitswesen und als Versicherungsnachweis“ dienen sollen. Nach Stand der aktuell veröffentlichten Entwürfe der Spezifikationen spielt die eGK zur Authentisierung des Versicherten aber auch im föderierten Identitätsmanagement weiterhin eine Rolle. Vorerst werden wohl alle beschriebenen Ausprägungen digitaler Identitäten ihre Relevanz für eine funktionierende TI und für ein zunehmend digitales Gesundheitswesen behalten.

Der Autor

Nico Martens, Berater SRC Security Research & Consulting GmbH

(ID:49014966)