Spezifikation zu Card Link ist da

Es dürfte nun recht schnell gehen. Nachdem heute die Gematik die Spezifikation für die Umsetzung eines weiteren Wegs zur E-Rezept-Einlösung veröffentlicht hat, können die Entwickler loslegen. Schätzungen zufolge könnten nach erfolgter Zulassung in acht bis zehn Wochen die ersten Apps vorliegen, mit denen Patienten über ihr NFC-fähiges Smartphone ein E-Rezept online einlösen können. Bislang ist eine Einlösung nur via Tokenausdruck, Einstecken der elektronischen Gesundheitskarte (EGK) oder per E-Rezept-App der Gematik möglich.

Wie in der Spezifikation beschrieben, soll mit dem Verfahren der Aufbau einer sicheren Verbindung von einer Smartphone-App zur TI möglich sein. »Der eHealth-Card-Link (eH-CL) verbindet sich nach innen mit einem Konnektor und nach außen mit einem Kartenlesegerät des Nutzers, der eine Karte anbinden möchte.« In beiden Richtungen komme das TLS-Protokoll (Transport Layer Security) zur Absicherung der Verbindung zum Einsatz – ein Verschlüsselungsprotokoll zur sicheren Datenübertragung im Internet – wobei unterschiedliche Vertrauensräume Anwendung fänden. Nach innen Richtung Konnektor werde der Vertrauensraum der Telematik-Infrastruktur (TI) genutzt. Nach außen Richtung Client des Nutzers werde der »Vertrauensraum Internet« verwendet, heißt es in der Gematik-Festlegung.

Da sich der eH-CL gegenüber dem Konnektor wie ein E-Health-Kartenterminal (eHKT) verhalte, sollen für Card Link alle Anforderungen bezüglich der TLS aus der Gematik-Spezifikation E-Health-Kartenterminal gelten. Diese Anforderungen werden entsprechend im Produkttypsteckbrief des eH-CL genannt. Des Weiteren sind genaue technische Vorgaben aufgeführt, die die Absicherung der Verbindung nach außen zum NFC-fähigen Smartphone (Client des Nutzers) garantieren sollen.

Das Card-Link-Verfahren war zuletzt gegen den Willen der anderen Gematik-Gesellschafter vom Bundesgesundheitsministerium (BMG) durchgeboxt worden. Das Ministerium hält im Gematik-Gremium eine 51-Prozent-Mehrheit. Vertreter von Apotheken, Ärzten, Kliniken und Kassen hatte einstimmig dagegen gestimmt. Sie befürchten ein großes Sicherheitsrisiko bei dem Verfahren. Aus ihrer Sicht müssten beim Card-Link-Verfahren dieselben Sicherheitsanforderungen erfüllt werden, wie bei jeder anderen TI-Anwendung auch. Dies ist aus ihrer Sicht aber nicht der Fall.