Gematik glaubt nicht mehr an Medisign

Bis zum Jahresende müssen die Verschlüsselungsverfahren für die Telematikinfrastruktur (TI) umgestellt werden: Das alte Verfahren RSA 2048 wird von dem neueren ECC 256 abgelöst. In der Praxis bedeutet das: Die elektronischen Heilberufsausweise (eHBA) sowie Praxis- und Institutionsausweise (SMC-B) der Generation 2.0 müssen bis zum Stichtag durch Karten der Generation 2.1 ersetzt werden, sonst können Apotheken nichts mehr signieren und E-Rezepte nicht mehr eingelöst werden.

Doch genau auf diesen Kartentausch warten zahlreiche Medisign-Kunden seit Monaten. Der Anbieter hängt deutlich hinter dem Zeitplan. Zur Erklärung teilt eine Sprecherin gegenüber der PZ mit: »Durch die Umstellung auf ein neues System ist es leider zu einem Zeitverzug in der Produktion von etwa vier Wochen gekommen.« Optimierte Prozesse und Funktionalitäten im Antragsportal sowie Mehrarbeit sollen jetzt den Produktionsrückstand ausgleichen, heißt es.

Die entstandene Verzögerung sei auf zwei Faktoren zurückzuführen: den Aufbau einer neuen Produktionsstraße, die am vergangenen Samstag vollständig in Betrieb genommen worden sei, sowie die Datenmigration auf das neue System, heißt es von Medisign. Dem Vernehmen nach war das alte Trustcenter nicht für die neuen HBA zertifiziert. Und der Wechsel auf das neue lief alles andere als rund, sodass die Produktion der Karten vorübergehend komplett stilllag.

Trotzdem geht man bei Medisign weiter davon aus, bis zum Jahreswechsel noch alle Apotheken umstellen zu können. »Mit der neuen, deutlich leistungsstärkeren Produktionsstraße sind wir in der Lage, täglich bis zu 2.600 Karten herzustellen.« Bis Jahresende sollen alle Apotheken ihre Folgekarten erhalten. Allein bei den Apotheken müssen noch 6400 HBA und 1100 SMC-B ausgetauscht werden.

Weniger optimistisch ist man bei der Gematik. Die teilstaatliche Agentur ist für den Betrieb der Telematikinfrastruktur (TI) zuständig und sah sich jetzt genötigt, das Bundesgesundheitsministerium (BMG) sowie die anderen Gesellschafter davor zu warnen, dass tausende Leistungserbringer bald von der TI abgeschnitten sein könnten.

Nach Zahlen der Gematik müssen insgesamt noch 72.000 HBA mit RSA-Verschlüsselung von Medisign getauscht werden. Dazu sollen noch rund 14.000 SMC-B kommen. Der Anbieter habe schon mehrfach Produktionspläne vorgelegt, die zwischenzeitlich einen Tausch von bis zu 8.000 Karten pro Woche vorgesehen hätten. Die notwendige Produktion von HBA mit ECC-Verschlüsselung habe aber bis zum gestrigen Montag noch nicht regelmäßig in relevanter Anzahl begonnen, kritisiert die Gematik.

Daher kommt man hier zu einem anderen Schluss: »Die Gematik sieht einen vollständigen Tausch der Karten durch den Anbieter Medisign bis Ende des Jahres als nicht mehr umsetzbar an.« Als spätestmöglichen Zeitpunkt für den Abschluss der Produktion der neuen Karten veranschlagt die Gematik den 1. Dezember. Schließlich müssten die Nutzer oder IT-Dienstleister sie dann noch aktivieren und gegebenenfalls testen.

Um 72.000 Karten zu produzieren, müsste die im Produktionsplan angegebene Maximallast – jene 8000 Karten pro Woche – ab sofort und durchgehend für die kommenden neun Wochen erreicht werden. Die Rechnung gehe nur bei gleichmäßigen Bestellungen ohne Bedarfsspitzen auf. »Beide Annahmen werden durch die Gematik als nicht realistisch eingeschätzt«, heißt es im Schreiben, das der PZ vorliegt. Denn zuletzt sei auch das Antragsportal für den Bestellprozess aufgrund technischer Probleme längere Zeit nicht erreichbar gewesen.

Die Gematik kommt daher zu der Einschätzung, dass ein vollständiger Tausch aller betroffenen HBA von Medisign bis zum Jahresende nicht mehr bewerkstelligt werden könne. Zur Stellungnahme aufgefordert, habe Medisign am vergangenen Freitag zwar einen neuen Produktionsplan vorgelegt. Der sieht nun die Produktion von bis zu 12.000 Karten pro Woche vor. Doch bei der Gematik glaubt man diesen Versprechungen nicht mehr: Zu oft habe Medisign seit Anfang Juli immer wieder die selbst gesteckten Ziele verpasst. Daher bewerte man auch die Umsetzung des aktuellen Plans als »risikobehaftet«.

Vor diesem Hintergrund und weil eine Weiternutzung der alten Karten von den zuständigen Stellen abgelehnt werde, empfiehlt die Gematik den Nutzern jetzt, »einen Anbieterwechsel zu prüfen«. Nicht namentlich erwähnt werden im Schreiben die Alternativen D-Trust und T-Systems.

Auch Angaben zu rechtlichen Optionen oder etwaigen zivilrechtliche Ansprüchen gegen Medisign  gibt es von der Gematik nicht. Aber immerhin so viel: »Festzuhalten ist jedoch, dass ein Anbieter verpflichtet ist, seinen Kunden funktionsfähige Karten zur Verfügung zu stellen, die den rechtlichen Vorgaben entsprechen.«

Abschließend bemerkt die Gematik-Geschäftsführung um Florian Fuhrmann noch, dass auch weitere Komponenten wie ausgetauscht werden müssen. Das betrifft unter anderem Konnektoren mit RSA-Verschlüsselung.