TI: Neu-Registrierung lokaler secunet-Konnektoren kann erforderlich sein

28.09.2026 - Praxen mit einem lokal betriebenen secunet-Konnektor sollten aktuelle Mitteilungen ihres PVS- oder TI-Anbieters zur RSA-/ECC-Umstellung aufmerksam prüfen. Auch wenn der Konnektor bereits über eine aktuelle und ECC-fähige Firmware verfügt, kann eine erneute Registrierung des VPN-Zugangs zur Telematikinfrastruktur erforderlich sein, um ein Abschalten des TI-Zugangs zu vermeiden.

Die Telematikinfrastruktur (TI) befindet sich weiterhin in der Umstellung vom bisherigen kryptografischen RSA-Verfahren auf das modernere ECC-Verfahren (Elliptic Curve Cryptography).

Dabei reicht es nicht in jedem Fall aus, dass ein vorhandener Konnektor technisch bereits ECC unterstützt und mit einer aktuellen Firmware ausgestattet ist.

Entscheidend kann zusätzlich sein, mit welchem Zertifikat die ursprüngliche Registrierung des Konnektors beim VPN-Zugangsdienst durchgeführt wurde.

Warum kann ein bereits aktualisierter Konnektor betroffen sein?

Bei secunet-Konnektoren mit einer Firmware vor Version 5.70.6 konnte bei der Registrierung nur das RSA-Zertifikat der SMC-B verwendet werden.

Erst ab Firmware-Version 5.70.6 und späteren Versionen war eine Registrierung auch unter Verwendung des ECC-Zertifikats der SMC-B möglich – vorausgesetzt, zum Zeitpunkt der Registrierung stand bereits eine entsprechend dualpersonalisierte SMC-B mit RSA- und ECC-Zertifikat zur Verfügung.

Das führt zu einer wichtigen Besonderheit: Ein heute vollständig aktualisierter und ECC-fähiger Konnektor muss nicht zwangsläufig auch bereits mit ECC beim VPN-Zugangsdienst registriert sein.

Die ursprüngliche Registrierung kann weiterhin auf dem RSA-Zertifikat der SMC-B beruhen.

Nicht alle Informationen sind am Konnektor erkennbar

Über die Administrationsoberfläche des Konnektors lässt sich unter anderem nachvollziehen, welcher SMC-K-Zertifikatstyp für den VPN-Zugang verwendet wird.

Nicht ohne Weiteres ersichtlich ist dort jedoch, ob die Registrierungsstruktur ursprünglich mit einem RSA- oder ECC-Zertifikat der SMC-B signiert wurde.

Diese Information liegt beim jeweiligen Zugangsdienstleister vor. Dadurch können betroffene Registrierungen identifiziert und die entsprechenden Praxen bzw. deren PVS- oder TI-Anbieter informiert werden.

© daten-strom: Secunet-Konnektoren müssen überprüft werden, ob diese mit einer RSA-SMC-B signiert wurden.

daten-strom hat den Vorgang in einer Praxis begleitet

Nachdem entsprechende Aufforderungen verschiedener Anbieter bekannt wurden, haben wir zunächst geprüft, welche technische Änderung bei der angekündigten Fernwartung tatsächlich vorgenommen wird.

daten-strom hat dazu einen entsprechenden Fernwartungstermin in einer betreuten Pilot-Praxis begleitet.

Dabei bestätigte sich: Es ging nicht um ein weiteres Firmware-Update des secunet-Konnektors, sondern um eine Neu-Registrierung der VPN-Verbindung zur Telematikinfrastruktur.

Der gesamte Vorgang einschließlich des erforderlichen Neustarts des Konnektors dauerte in unserem Fall rund 15 Minuten.

Stichtag 14. Oktober 2026 beachten

Wurde die ursprüngliche Registrierung noch unter Verwendung eines RSA-Zertifikats durchgeführt, kann im Zuge der weiteren RSA-Abschaltung eine Neu-Registrierung erforderlich werden.

Betroffene Praxen sollten entsprechende Aufforderungen ihres PVS- oder TI-Anbieters daher nicht ignorieren und die erforderliche Maßnahme rechtzeitig vor dem 14. Oktober 2026 durchführen lassen.

Andernfalls kann es zu Problemen beim Zugang des Konnektors zur Telematikinfrastruktur und damit bei der Nutzung von TI-Anwendungen kommen.

Wer sollte jetzt aktiv werden?

Die Information ist insbesondere für Praxen relevant, die

• noch einen lokalen secunet-Konnektor in ihrer Praxis betreiben und
• von ihrem PVS-, TI- oder Zugangsdienstanbieter eine entsprechende Mitteilung zur RSA-/ECC-Umstellung oder Neu-Registrierung erhalten haben.

Wer eine solche Nachricht erhalten hat, sollte den darin beschriebenen Handlungsbedarf prüfen und die Neu-Registrierung gegebenenfalls rechtzeitig durchführen lassen.

Auch bei einem bereits aktualisierten Konnektor sollte eine solche Aufforderung nicht allein mit dem Hinweis auf eine vorhandene ECC-fähige Firmware als erledigt betrachtet werden.

TI-Gateway-Nutzer sind von dieser lokalen Maßnahme nicht betroffen

Wichtig ist die Unterscheidung zwischen einem lokalen Einbox-Konnektor in der Praxis und einem TI-Gateway bzw. Rechenzentrumskonnektor.

Die hier beschriebene Neu-Registrierung betrifft lokale Konnektoren. Praxen, die bereits auf ein TI-Gateway mit zentral betriebenem Rechenzentrumskonnektor umgestellt haben, müssen ihren nicht mehr vorhandenen lokalen Konnektor selbstverständlich auch nicht neu registrieren.

Unsere Empfehlung

Praxen mit einem lokalen secunet-Konnektor sollten derzeit prüfen, ob sie von ihrem PVS- oder TI-Anbieter eine entsprechende Benachrichtigung erhalten haben.

Im Zweifel empfehlen wir, die Situation vor dem 14. Oktober 2026 technisch prüfen zu lassen.

Entscheidend ist nicht allein, ob der Konnektor ECC unterstützt, sondern auch, auf welcher kryptografischen Grundlage die bestehende Registrierung des VPN-Zugangs erfolgt ist.

daten-strom unterstützt Praxen bei der technischen Einordnung und – sofern erforderlich – bei der Durchführung der Neu-Registrierung. Sie sind unsicher, ob Ihr lokaler Konnektor betroffen ist? Sprechen Sie uns gerne an.