Die Card-Link-Gefahr

Das Bundesgesundheitsministerium (BMG) hat sich – man kann es nicht anders sagen – dem Druck der Versender gebeugt und einen weiteren Weg zur Einlösung des E-Rezepts eröffnet. Denn Redcare, Doc Morris und Co. fühlten sich diskriminiert und drohten mit Klage. Schließlich können die Versicherten seit Mitte des Jahres mit einfachem Stecken ihrer elektronischen Gesundheitskarte (EGK) E-Rezepte in der Apotheke einlösen.

Wie eine aktuelle Umfrage zeigt, hat sich dieser Weg in der Praxis durchgesetzt, nachdem E-Rezepte in der Startphase paradoxerweise noch mehrheitlich ausgedruckt wurden. Die Gematik-App als designierte Digitallösung krankt dagegen bis heute an der komplizierten Registrierung mit PIN-Eingabe.

Ende 2023 wurde in der mehrheitlich vom BMG beherrschten Gematik der Beschluss gefasst, eine Spezifikation zu schreiben, um die Rezepteinlösung ohne Eingabe der EGK-PIN zu ermöglichen. Damit war der Weg frei für Card-Link: Der Versicherte hält seine EGK an sein NFC-fähiges Smartphone, gibt die letzten sechs Ziffern der EGK ein und verifiziert sich per SMS-Code. Damit können E-Rezepte aus der Ferne eingelöst werden.

Besonders heikel: Das Konzept wurde im Auftrag des Verbands der europäischen Versandapotheken (European Association of E-Pharmacies, EAEP) entwickelt. Die Gematik soll ihre Spezifikation entlang dieser Blaupause geschrieben haben. Und dem Vernehmen nach macht das BMG jetzt Druck, dass das Verfahren schnell umgesetzt wird – mutmaßlich wegen der schwebenden Klage der Versender.

Ende Januar wurde die überarbeitete Spezifikation vorgestellt. Noch im ersten Quartal soll die endgültige Spezifikation vorliegen.

Dann können die Anbieter ihren im Grunde fertig programmierten Lösungen den letzten Schliff geben und direkt ins Zulassungsverfahren gehen. Das könnte noch einmal sechs bis zwölf Wochen in Anspruch nehmen, bis das Card-Link-Verfahren womöglich Mitte Mai in der Breite eingesetzt wird.

Apotheken vor Ort können Card-Link ebenfalls nutzen, und im Markt tummeln sich auch schon die ersten Anbieter. Gedisa und die Plattform Ihre-Apotheken.de bündeln ihre Angebote, gesund.de sammelt gerade Zustimmungen zur Card-Link-Vereinbarung und ein Apotheker aus Pforzheim hat sogar eine eigene App entwickeln lassen, die er den Kolleginnen und Kollegen als »White Label«-Lösung zur Verfügung stellen will.

Die Softwarehäuser der Apotheken beklagen indes, dass die Hardware in der Offizin im Grunde nicht darauf ausgelegt ist, permanent von einer Vielzahl an Smartphones angesprochen zu werden, die sich als Kartenterminal ausgeben. Im schlimmsten Fall laufe der Chip auf der SMC-B der Apotheke heiß, warnt ein Anbieter.

Zudem werde ein neues System aufgesattelt auf ein bestehendes, das noch immer nicht reibungslos funktioniert. Und letztlich würden erneut die Apotheken zur Kasse gebeten, obwohl sie schon für drei Einlösewege investiert hätten.

In der ersten Kommentierungsrunde bei der Gematik wurden aber vor allem auch Bedenken mit Blick auf Datensicherheit vorgetragen. Da die angeschlossenen Apps nicht zertifiziert und überprüft würden, sei unklar, wer die übermittelten Daten erhält, so eine Sorge. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) wurde um Stellungnahme gebeten und hat gegenüber der Gematik dem Vernehmen Anpassungen gefordert.

Dazu passt ein aktueller Bericht von »heise-online«, wonach das BSI Card-Link samt Verifikation per SMS-Code allenfalls als Übergangstechnologie sieht. Zwar werde das Konzept von der Gematik spezifiziert, allerdings seien die anwendungsbezogenen Anteile nicht direkt Teil der Regulierung, ebenso wenig wie die zugehörigen Empfehlungen in den Implementierungsleitfäden, so ein BSI-Sprecher. Beides entspreche »nicht dem Stand der Technik«.

Daher empfiehlt die Behörde laut dem Bericht, das E-Rezept »in der durch das BSI bestätigten, gesetzlich garantierten Form mit elektronischer Gesundheitskarte und PIN-Eingabe zu nutzen«, bis Versicherte von ihren Krankenkassen eine Gesundheits-ID erhalten haben.

Ob sich das BMG von diesen Bedenken bremsen lässt, wird sich in zwei Wochen zeigen. Mitte des Monats steht bei der Gematik die nächste Gesellschafterversammlung an. Das Ministerium wird seinen Willen als Mehrheitsgesellschafter vermutlich durchsetzen – auch wenn andere Gesellschafter, darunter der Deutsche Apothekerverband (DAV), aufgrund der Sicherheitsbedenken gegen die Einführung von Card-Link stimmen sollten.

Bleibt die Frage der Akzeptanz in der Bevölkerung. Denn für die Abfrage muss die EGK mehrere Sekunden lang ruhig an das Smartphone gehalten werden, was bei Tests offenbar immer wieder zu Abbrüchen führte. Mit Eingabe von Kartennummer und SMS-Code ist der Vorgang womöglich gar nicht so komfortabel für die Versicherten.

Allerdings ist zu erwarten, dass auch diese Prozesse noch verbessert und beschleunigt werden können. Die nächsten Wochen und Monate werden entscheidend: Können die Versender nennenswerte Anteile am Rx-Geschäft erobern oder finden die E-Rezepte ihren Weg auch künftig in die Apotheke vor Ort?