Konnektor

Das auffälligste Gerät der Telematik ist der Konnektor, der zu den dezentralen Komponenten der TI gehört. Er steht als Symbol für die Telematik und ist oft ungeliebt. Er bildet die Endpunkte der Telematik bei den Leistungserbringern ab und hat den Praxen und den Versicherten einiges an Kosten beschert. Leider konnte er jahrelang nur das Versichertenstammdatenmanagement (VSDM) abbilden und brachte keinen Mehrwert für die Behandler.

Das BMG unter der Führung des Herrn Prof. Dr. Karl Lauterbach will nun mehr Schwung in die Telematik bringen und hat einige Gesetzentwürfe in der Schublade. Unter anderem soll der ePA (elektronische Patientenakte) nun der Durchbruch gelingen: Bis 2025 sollen 80 Prozent der gesetzlich Versicherten eine ePA haben.

Der Konnektor ist nur Bindeglied zwischen den Praxen und der zentralen Telematik und bildet die alte Telematik der Version 1.0 ab. Die TI 2.0 will ab 2026 auf Konnektoren gänzlich verzichten. Bis dahin werden Konnektoren weiterhin erforderlich sein

In den Praxen derzeit (noch) unverzichtbar

Die Praxen, welche an die TI angebunden sind, können nicht auf den Konnektor verzichten. Ohne einen Konnektor können z. B. keine eGK eingelesen und kein Schein im Praxisverwaltungssystem (PVS) angelegt werden. Als Backup haben einige Praxen noch ein altes USB-Kartenlesegerät in der Schublade, sodass Sie beim Ausfall des Konnektors oder des eHKT (eHealth Kartenterminal) wenigstens die Versichertenkarte einlesen und einen Schein digital anlegen können.

Wer einen Konnektor außer Haus gebucht hat - einen sogenannten Rechenzentrumskonnektor – hat dasselbe Problem, wenn die Internetverbindung in der Praxis, unterwegs oder am Rechenzentrum streiken sollte. D. h. auch in diesem Falle können keine eGK eingelesen werden. Ohne einen funktionierenden Konnektor oder eine fehlerfreie Verbindung zum Konnektor können auch keine weiteren TI-Anwendungen genutzt werden. Eine Verbindung zur ePA würde genauso scheitern, wie der Versand einer eAU.

Unser Informationsangebot für
ärztliche und psychotherapeutische Praxen

News

Bleiben Sie auf dem neuesten Stand und lesen Sie unsere Nachrichten aus dem Bereich des digitalen Gesundheitswesens.

Mehr erfahren

Vorfälle & Incidents

Erfahren Sie, welche Datenpannen, Sicherheitslücken sowie technische und organisatorische Mängel in den Praxen offenkundig werden.

Mehr erfahren

Interviews

Experten und Expertinnen werden über verschiedene Themen wie IT, IT-Security, Datenschutz, eHealth und Telematik interviewt.

Mehr erfahren

Physische Konnektor-Sicherheit in der Praxis sicherstellen

Weil die ambulanten Einrichtungen die Endpunkte in der TI sind, gelten Sie auch als besonders vulnerabel was die Sicherheit und weitere Störungen anbelangt. So ist die physische Sicherheit ist ein wichtiger Punkt. Der Konnektor sollte in der Praxis zugriffsgeschützt aufgestellt sein. D. h. unbefugte Dritte dürfen keinen unbeaufsichtigten Zugang zu dem Konnektor haben. Somit bietet es sich an, den Konnektor entweder in einem abschließbaren Netzwerkschrank oder in einem ähnlichen Behältnis unter Verschluss zu halten.

Natürlich eignen sich auch entsprechende Serverräume oder andere abschließbare Räume an, wo der Konnektor ungestört und ohne Manipulationsversuche seine Arbeit verrichten kann. Wenn die Leistungserbringerorganisation den Konnektor dennoch nicht unter Verschluss halten will, sondern am Empfang oder im Behandlungsraum bzw. Praxisbüro unterbringen möchte und dafür garantiert, dass das Gerät zu den Praxisöffnungszeiten unter Aufsicht bzw. unter der Obhut der Behandler steht, ist das nicht zu beanstanden. Wichtig ist auf jeden Fall, dass nach Feierabend sichergestellt wird, dass niemand anderes die Praxisräume betreten kann, und somit unbeaufsichtigt Manipulationsversuche an den dezentralen TI-Komponenten vornehmen kann.

Die beiden Sicherheitssiegel, welche sich in den Vertiefungen an beiden Gehäuseseiten befinden, sollten ab und an auf Ihre Unversehrtheit hin überprüft werden. Wenn während des Betriebs beschädigte Sicherheitssiegel oder ein beschädigtes Gehäuse festgestellt wurde, dann befolgen Sie die Hinweise zur Meldung von Verlust und Kompromittierung – siehe Sicherheitsblatt. So ein Sicherheitsblatt hat jede Praxis bei der Erstinbetriebnahme des Konnektors erhalten. Weiterhin informieren Sie Ihren zuständigen TI-DVO (Telematik-Dienstleister-vor-Ort).

Digitale Konnektor-Sicherheit nicht minder wichtig

Manipulationsversuche oder digitale Angriffe auf die Konnektor-Schnittstelle sind ebenfalls möglich. Diese Angriffe können völlig zu jeder Zeit passieren und in der Regel bemerkt niemand in der Praxis etwas davon. Eine Hardware-Firewall – am effektivsten wäre eine UTM-Firewall – könnte bei Vorhandensein von IDS (Intrusion Detection System) den Angriff auf ein Netzwerk oder den Versuch ein Endgerät anzugreifen anhand von Mustererkennungen in den Sensoren detektieren und einen Einbruchs-Alarm auslösen.

Dieser Alarm kann durch eine E-Mail oder durch eine SMS an den zuständigen Administrator oder an ein SOC (Security Operations Center) ausgelöst werden. Weiterhin könnte die UTM-Firewall den Angreifer oder die IP-Adresse blockieren und/oder isolieren, sodass der Einbruchsversuch erfolglos bleibt. Eine Anomalieerkennung ist darüber hinaus in der Lage auch protokollverändernde Abweichungen zu erkennen und zu blockieren. Das Thema „Firewall“ ist im Übrigen ein eigener Themenbereich auf dieser Website.

Sobald der Konnektor „parallel“ in der Praxis-IT angebunden ist, dann ist die Hardware-Firewall seit 2020 zum Schutz der Netzwerkschnittstelle Pflicht in den Praxen. Unter „paralleler Anbindung“ verstehen wir einen Konnektor, der als zusätzliches Endgerät in die Praxis integriert worden ist. In der Regel ist der parallele Konnektor dadurch erkennbar, dass er nur ein Netzwerkkabel und ein Stromkabel gesteckt hat.

Die Alternative wäre der „serielle Konnektor“ welcher in einer Reihe installiert ist. D. h. er befindet sich zwischen der Praxis-IT und dem DSL-Router und bildet somit eine Art Schutzschirm vor Angriffen aus dem Internet, denn der Konnektor hat ein eigenes Schutzprofil um Angriffe aus der Telematik auf die Praxis-IT zu blockieren und dient somit als Firewall-Ersatz. Beide Szenarien „paralleler Konnektor“ mit Hardware-Firewall und „serieller Konnektor“ sind zugelassene Einsatzszenarien für den dezentralen Konnektor in der Praxis.

Konnektorfreie Praxis: IT-Sicherheit passé?

Wenn Sie zu den Niedergelassenen gehören, die die Telematik bislang vermieden haben oder Ihren Konnektor aus der Praxis verbannt haben, dann müssen sie dennoch nach Maßgabe der IT-Sicherheitsrichtlinie für die notwendige Netzwerksicherheit sorgen. D. h. eine wie schon oben kurz skizzierte Hardware-Firewall ist verpflichtend. Ein seriell installierter Konnektor hatte bis zu seiner Außerdienststellung wenigstens den netten Nebeneffekt, dass er regelkonform für eine Netztrennung und für eine Firewalltechnologie im Praxis-Netzwerk sorgte.

Eine mangelhafte Netzwerksicherheit ist umso problematischer, wenn sich eine Praxisgemeinschaft einen einzigen DSL-Router teilt. Entweder hat jede Betriebsstätte einen eigenen seriell installierten Konnektor oder es muss eine Hardware-Firewall mit getrennten, logischen IP-Bereichen (Ranges) für jede Betriebsstätte angeschafft werden. Empfehlenswert wäre es, wenn die dezentralen TI-Komponenten (in dem Falle das Kartenterminal und der Konnektor) in einem eigenen Netz konfiguriert werden. Die TI-Geräte würden via einem Bridge- oder Routingmodus dennoch von dem Praxis-PC der jeweiligen Betriebsstätte erreichbar sein.

Wenn die „konnektorfreie Praxis“ keinerlei digitale Sicherheitsmaßnahmen getroffen hat, dann bleibt das Risiko unbehandelt und kann für die Praxisinhaber:In sehr problematisch werden. Denn Konnektorsicherheit ist spätestens seit der IT-Sicherheitsrichtlinie verpflichtend und die Niedergelassenen tragen dafür die rechtliche Verantwortung.

RZ-Konnektor bleibt in der Verantwortung der Praxis

Falls eine Praxis nun den Rechenzentrumskonnektor gebucht hat, könnte man der Auffassung sein, dass die IT-Sicherheit bzw. der Datenschutz rund um die Patientendaten nicht mehr in der Verantwortung der Praxen sei und man wiegt sich u. U. in falscher Sicherheit. Die KVen betonen, dass „die Verantwortung der Praxen geht bis zum Konnektor“ und wenn dieser nicht mehr in der Praxis steht, sondern irgendwo in einem RZ, dann reicht der Geltungsbereich für die Verantwortung immer noch bis zum physischen Konnektor beim jeweiligen Anbieter.

Erst mit der Einführung von Highspeed-Konnektoren (HSK) und zertifizierten Rechenzentren wird sich die Lage ändern. Entsprechend für diesen Fall werden dann auch die Sicherheitsmechanismen, aber auch die Steuerung von Zugriffen ausgestaltet sein. Bis dahin ist und bleibt der „Einbox-Konnektor“ in einem Rechenzentrum eine freiwillige Entscheidung der Praxis mit allen Konsequenzen, wenn man von dem zertifizierten Standard abweicht, so wie es das BSI (Bundesamt für Sicherheit in der Informationstechnik) einst überprüft und zertifiziert hat. Die derzeitigen Konnektoren in den Rechenzentren sind normale „dezentrale“ Einbox-Konnektoren und haben keine Zulassung, wenn diese durch ein privatwirtschaftliches Netz mit der Praxis-IT angebunden werden.

Das BSI hat vor kurzem nochmals festgestellt, dass es keine Zulassungsverfahren der Gematik für den RZ-Betrieb von Einbox-Konnektoren gibt und somit der Betrieb eines Einbox-Konnektors in der Verantwortung des jeweiligen Leistungserbringers (bspw. der Praxis) liege.Eine sogenannte „Auftragsverarbeitung“ nach Art. 28 DS-GVO u. a. regelt zwar die Zusammenarbeit mit dem Dienstleister, entbindet aber die Praxis nicht von der Verantwortung gegenüber z. B. dem Patienten, wenn z. B. eine Datenschutzpanne oder ein IT-Sicherheitsvorfall passieren sollte. Der „Verantwortliche“ bleibt weiterhin der Leistungserbringer. Wir sprechen auch von einer Risikoakzeptanz im Zusammenhang mit der Auslagerung des Konnektors in die Cloud.