Um sich vor einem temporären Totalausfall der Telematikinfrastruktur (TI) zu schützen, sollten Hausärztinnen und Hausärzte – sofern noch nicht geschehen – nun gezielt alle Komponenten in der eigenen Praxis prüfen und dabei möglicherweise auch ihren IT-Dienstleister zu Rate ziehen. Denn das Auslaufen bestimmter Sicherheitszertifikate kann eine Aktualisierung von Soft- und Hardware mitunter zwingend notwendig machen.
Einige Hersteller haben Praxen diesbezüglich bereits kontaktiert. Darauf sollten sich Praxisteams aber nicht verlassen, sondern sich rechtzeitig selbst einen Überblick verschaffen, empfiehlt der Hausärztinnen- und Hausärzteverband.
Von der notwendigen Umstellung können – je nach Hersteller – sämtliche Bausteine der TI-Anbindung betroffen sein:
- Konnektoren
- Praxisverwaltungssystem (PVS) inklusive Kommunikationsdienst KIM
- Elektronischer Heilberufsausweis (eHBA)
- Praxisausweis (SMC-B)
- eHealth-Kartenterminal und -Tastatur samt gSMC-KT
Während bei einigen ein einfacher Blick reicht, um zu erkennen, ob die Komponente zum Jahresende ausgetauscht sein muss, ist dies bei anderen für Technik-Laien schwer bis gar nicht ersichtlich, wie eine umfangreiche Recherche des Teams von Hausärztliche Praxis unter den führenden Anbietern zeigt.
Zum Hintergrund: Der Verschlüsselungsalgorithmus RSA2028, der in vielen Komponenten noch zum Einsatz kommt, läuft laut Vorgaben der Bundesnetzagentur und des Bundesamts für Sicherheit in der Informationstechnik (BSI) zum Jahresende aus. Wird nicht rechtzeitig auf den neuen Algorithmus ECC256 umgestellt, droht Praxen laut Gematik, von der TI temporär abgeschnitten zu werden.
Dass für die nötigen Wechsel kein koordinierter Ablauf zur Verfügung stand, hatte der Hausärztinnen- und Hausärzteverband deutlich kritisiert und bereits im Mai einen transparenten Migrationsplan von der Gematik gefordert.
Wichtig in der Praxis: Die gesetzlich geregelten Sanktionen, die vorgesehen sind, wenn Praxen nicht an die TI angeschlossen sind, greifen bei einem solchen temporären Ausfall nicht. Das stellt das Bundesgesundheitsministerium auf Anfrage von Hausärztliche Praxis klar. Die Honorarkürzungen “betreffen in der Regel lediglich die Erstausstattung”, sagt eine Sprecherin.
Dass Lücken zwischen auslaufenden Zertifikaten und neuer Soft- und Hardware entstehen können, sah das Ministerium zuletzt eher nicht. Gemeinsam mit der Gematik wirke man darauf hin, “dass [alle notwendigen Änderungen] rechtzeitig von allen Industriepartnern umgesetzt und bei den Leistungserbringern eingespielt werden”.
Umstieg auf TI-Gateway jetzt angehen?
Die Gematik empfahl Praxen zuletzt ausdrücklich, ihren IT-Dienstleister zu kontaktieren und gemeinsam zu prüfen, welche Komponenten betroffen sind. Jedoch verbuchten diese teils bereits ein erhöhtes Aufkommen an Fragen, sodass Bearbeitungszeiten mitunter höher liegen können als ohnehin üblich. Daher kann es hilfreich sein, im Vorfeld selbst herauszufinden, welche Komponenten betroffen sind und sich beispielsweise Gedanken rund um ein sogenanntes TI-Gateway zu machen.
“Steht ein Konnektor-Wechsel an, ist es empfehlenswert, gemeinsam mit dem IT-Dienstleister zu prüfen, ob bereits jetzt ein Wechsel zum TI-Gateway zur Anbindung an die TI sinnvoll ist”, rät der Hausärztinnen- und Hausärzteverband Praxen.
Mehr als 50 Anbieter ermöglichen laut Gematik bereits die neue Form des TI-Gateways. Sie sollen die “Einbox-Konnektoren” bis Ende 2030 abgelöst haben, wie die Gematik Ende Juni beschlossen hat. Sprich: In Zukunft stehen in Praxen keine physischen Konnektoren in Form der kleinen Plastikboxen mehr, sondern die Anbindung verläuft rein digital.
Tatsächlich wollen auch die Hersteller den ohnehin nötigen Wechsel nutzen, um den Umstieg auf die sogenannten TI-Gateways zu forcieren, wie die Umfrage von Hausärztliche Praxis zeigt. So werden zwar noch “Einbox”-Nachfolgemodelle zur Verfügung gestellt, jedoch wird dieses deutlich weniger offen beworben.
Wichtig in der Praxis: Erwägen Hausärztinnen und Hausärzte den Umstieg auf das TI-Gateway, lohnt sich ein Blick in die genaue Kostenaufschlüsselung. So berechnen verschiedene Anbieter Einmalkosten wie “einmalige Umstellungskosten”. Diese sind – im Gegensatz zu den laufenden Betriebskosten – nicht über die TI-Pauschale abgedeckt.
Laut Bundesgesundheitsministerium sollen mit der Pauschale alle Kosten des Anschlusses und des Betriebes der TI erstattet werden; da die einzelnen Anbieter der verschiedenen Komponenten jedoch unterschiedliche Preisstrukturen – und auch Vertragslaufzeiten! – aufrufen, müssen Ärztinnen und Ärzte mitunter “puzzeln”, damit diese Pauschale auch wirklich kostendeckend ist. Die KBV schlüsselt die Pauschale genau auf: www.hausarzt.link/jt6A6
Alle Ergebnisse der Umfrage unter den Herstellern von TI-Komponenten im Überblick:
Konnektoren: Vor allem Secunet-Nutzer betroffen
Aktuell sind drei Hersteller für die bisher üblichen “Einbox-Konnektoren”, also die physisch in der Praxis vorhandenen Konnektoren, am Markt: Compugroup (CGM), Secunet und RISE. Zudem befinden sich noch Geräte von T-Systems im Einsatz, die jedoch nicht mehr neu produziert werden.
Ausgetauscht werden müssen die “RSA-only-Konnektoren”, also jene Konnektoren, die lediglich eine RSA-Verschlüsselung bieten. “Bereits ab Mitte 2025 laufen die ersten betroffenen Konnektoren ab”, schreibt die Gematik. Spätestens Ende 2025 ist die Nutzung dieser Konnektoren nicht mehr möglich.
Der Anteil an Konnektoren mit RSA-Verschlüsselung entfällt laut Gematik mehrheitlich auf den Anbieter Secunet (ca. 28.000) und in geringerer Anzahl auf CGM/KoCo (ca. 4.500).
Ihr Konnektor ist von CGM/KoCo? Mitte August wollte CGM alle Betroffenen schriftlich informieren und eine Handlungsempfehlung bereitstellen. Laut CGM handelt es sich sogar nur um eine “niedrige dreistellige Anzahl” betroffener Geräte. Der Großteil der Konnektoren wurde bereits in der jüngeren Vergangenheit erneuert. Diese sind nicht von der Umstellung betroffen, informiert CGM gegenüber Hausärztliche Praxis.
Ein Wechsel sei nötig bei Geräten “mit einer Seriennummer bis einschließlich 8027600364000095102”. Die Nummer kann direkt am Konnektor abgelesen werden. Auch eine Umstellung auf TI-Gateway sei möglich. Je nach Gegebenheiten werde der Wechsel so gestaltet, dass “eine nahtlose Migration zum TI-Gateway sichergestellt ist”.
Ihr Konnektor ist von Secunet? Betroffen sind alle Geräte, die vor Mitte 2020 produziert wurden. “Diese Konnektoren können anhand der Seriennummer identifiziert werden”, erklärt das Unternehmen auf Anfrage von Hausärztliche Praxis. “Betroffen sind beim Einbox-Konnektor die Seriennummern beginnend mit <301/…> bis <306/…>. Geräte, die mit einer Seriennummer gleich oder größer <307/…> (beim Rechenzentrumskonnektor ab der Seriennummer <315/…>) beginnen, können über den 31. Dezember 2025 hinaus eingesetzt und verlängert werden.”
Die Seriennummer kann dem Typenschild des Geräts oder dem “Sicherheitsbeiblatt Empfang und Prüfung” entnommen werden. Empfohlen wird ein Umstieg auf das TI-Gateway, das bereits zur Verfügung steht. Der Bezug eines Hardware-Konnektors sei zwar “grundsätzlich” noch möglich; Ärzte, die sich hierfür interessieren, sollten sich aber “umgehend mit Secunet-Vertriebspartnern in Verbindung setzen, um noch bestehende Bezugsmöglichkeiten zu klären”.
Ihr Konnektor ist von RISE? “Teilweise befinden sich Aufkleber auf den Konnektoren, die mit “ECC-Vorbereitet” gekennzeichnet sind”, erklärt das Unternehmen auf Anfrage von Hausärztliche Praxis. “Befindet sich dieser Aufkleber nicht auf dem Konnektor, kann anhand der Codierung der ICCSN der gSMC-K, die über die Managementoberfläche des Konnektors eingesehen werden kann, geprüft werden, ob das Gerät betroffen ist.
Die 13. Stelle der ICCSN gibt dabei Aufschluss darüber, ob der Konnektor dual-personalisiert wurde. 1 bedeutet dabei dual-personalisiert, 0 bedeutet RSA-only.” Laut RISE stehen sowohl “geringe Mengen” an Austausch-Konnektoren als auch das seit August 2024 zugelassene TI-Gateway zur Verfügung, das deutlich empfohlen wird.
Ihr Konnektor ist von T-Systems? Die ECC-Umstellung kann Angaben des Unternehmens zufolge einfach durch Praxisinhabende durchgeführt werden. Es sei kein Vor-Ort-Service nötig. Die Telekom stellt hierfür eine Schritt-für-Schritt-Anleitung zur Verfügung, abrufbar unter www.hausarzt.link/wzMaE. Wichtig: Vor der Umstellung muss mindestens die Firmware-Version 5.70.6 installiert sein; falls die Version veraltet ist, muss zunächst ein entsprechendes Firmware-Update gestartet werden.
Praxisverwaltungssysteme (PVS): Updates sollen pünktlich da sein
Die Hersteller der Praxisverwaltungssysteme (PVS) müssen laut Gematik ein entsprechendes Software-Update bereitstellen, das die Unterstützung der ECC-Schlüssel unterstützt. Mehr als 100 Softwaresysteme sind laut Kassenärztlicher Bundesvereinigung (KBV) am Markt. Die Umfrage von Hausärztliche Praxis stützt sich auf die fünf populärsten Anbieter, die zusammen eine Marktabdeckung von rund 70 Prozent unter den hausärztlichen Praxen erreichen.
Ihr PVS ist von CGM, also z. B. Turbomed, CGM Medistar oder Albis? Zu den einzelnen PVS hat CGM gegenüber Hausärztliche Praxis keine Angaben gemacht. Wie beim Konnektor sollten auch hier Betroffene Mitte August von der Firma informiert werden.
Praxisinhabende können im PVS oder direkt in der KIM-Konfiguration einsehen, welche KIM-Client-Version installiert ist, so die CGM. Nötig sei ein KIM-Clientmodul der Version 1.18.0. Diese sei dann mit ECC sowie dem nächsten Konnektor-Upgrade PTV6 kompatibel, das für das vierte Quartal 2025 geplant sei.
Wer ein PVS von CGM nutzt, erhalte das Update auf KIM 1.18.0 automatisch im Hintergrund mit den PVS-Updates, informiert die CGM. Wer ein anderes PVS, aber den CGM KIM-Client nutzt, könne “ab sofort” auf 1.18.0 aktualisieren. Hierzu sollten Praxen sich an ihren IT-Betreuer wenden, rät die CGM.
Ihr PVS ist von Medatixx? “Das Update befindet sich aktuell in der Entwicklung und durchläuft verschiedene Testphasen”, teilt das Unternehmen mit. “Es wird fristgerecht spätestens Ende dieses Jahres im Rahmen des Quartalsupdates 26.1 ausgeliefert.” Medatixx-Kunden würden “mit Beginn des 4. Quartals” ausführliche Informationen erhalten.
Ihr PVS ist von T2med? Dann besteht kein Handlungsbedarf. T2med ist eigenen Angaben zufolge bereits seit einem Update im Frühjahr 2025 “ECC-fähig”. “Das bedeutet, dass ein Austausch der TI-Komponenten kein T2med-Software-Update bedarf.”
Ihr PVS ist von Frey (Quincy)? Leider hat Frey auf Anfrage der Redaktion keine Rückmeldung gegeben (Stand 20. August 2025).
Ihr PVS ist von Zollsoft (Tomedo)? Tomedo-Nutzer erhielten Informationen über notwendige Aktualisierungen von Zertifikaten und Karten direkt in der Software angezeigt, heißt es. Die notwendigen Software-Anpassungen für den Umstieg auf ein TI-Gateway “sind in Vorbereitung und werden rechtzeitig zur Verfügung stehen.”
Heilberufsausweis (eHBA): Karte genau unter die Lupe nehmen
Aktuell sind vier Anbieter für den eHBA am Markt: D-Trust / Bundesdruckerei, Medisign, T-Systems und SHC.
Für alle Anbieter gilt: Auf der Rückseite des eHBA ist die Kartenversion vermerkt. Alle Karten, die nicht die Kennzeichnung G2.1 tragen (heißt: entweder “G2” oder keine Generationskennung), sind vom Austausch betroffen. Findet sich dort die Kennzeichnung “G2.1”, ist kein Tausch notwendig; der Ausweis gehört zur neuen Generation.
Zusätzlich können sich Hausärztinnen und Hausärzte im Kartenportal ihres Anbieters anmelden und dort die Zertifikatsinformationen der Karte prüfen, um die ECC-Fähigkeit zu verifizieren.
Alle Kartenanbieter geben zudem an, Betroffene zeitnah zu kontaktieren.
Institutionskarte SMC-B: Datum hat keine Aussagekraft
Für den “Praxisausweis” SMC-B sind – wie für den eHBA – vier Anbieter am Markt: D-Trust / Bundesdruckerei, Medisign, T-Systems und SHC.
Für alle Anbieter gilt: Alle SMC-B, die ausschließlich auf dem Verschlüsselungsverfahren RSA basieren (Kartengeneration 2.0), dürfen ab 1. Januar 2026 nicht mehr eingesetzt werden – unabhängig von dem auf der Karte ausgewiesenen Gültigkeitsdatum! Die Ausweise der Generation 2.0 und 2.1 unterscheiden sich optisch: Der Chip der neueren Kartengeneration ist etwas kleiner, rechteckig (statt quadratisch) und hat weniger Felder.
Praxis-Tipp: Die Gematik weist darauf hin, dass die SMC-B Folgekarte lange genug vor dem Ablauf der Vorgängerkarte freigeschaltet sein muss, um eine kontinuierliche Anwendung zu garantieren. Zum Übergang von der Erst- zur Folgekarte empfiehlt die Gematik zudem Folgendes:
- Nach der Freischaltung der Zertifikate einer Folgekarte sollte die alte Karte noch mindestens zwei Tage im Kartenleser gesteckt bleiben.
- Vor dem endgültigen Kartenwechsel sollten die KIM-Nachrichten noch einmal abgerufen werden.
E-Health-Kartenterminal: Frist verlängert
Durch die Gematik sind derzeit vier eHealth-Kartenterminals der Hersteller Ingenico, Cherry und German Telematics zugelassen. Auch das darin verbaute Schlüsselmaterial (gSMC-KT) verliert nach fünf Jahren seine Gültigkeit.
Jedoch konnten Hausärztinnen- und Hausärzteverband und KBV darauf hinwirken, dass hier noch kein Austausch bis Jahresende nötig wird, sondern die Frist durch die Gematik “in Abstimmung mit dem BSI” verlängert wurde ( www.hausarzt.link/qxkFy). Mit Blick auf rund 160.000 betroffene Gerätekarten war dies aus Sicht des Hausärztinnen- und Hausärzteverbandes zumindest ein Schritt, um den anstehenden Wechsel für Praxen handhabbarer zu machen.
Wichtig in der Praxis: Die Nutzung der gSMC-KT 2.0 ist damit über den 1. Januar 2026 hinaus noch zulässig. Allerdings empfiehlt die Gematik, unabhängig von der Gültigkeit des Zertifikats, diese gegen eine gSMC-KT 2.1 auszutauschen. Die Gematik stellt eine Handreichung zur Verfügung, auf der je nach Gerätetyp Schritt für Schritt gezeigt wird, welche Version verbaut ist: www.hausarzt.link/9AWvf
Nur bei der Cherry G87-ST1505 Tastatur sei eine Überprüfung ohne Weiteres nicht möglich. Durch eine Registrierung der gSMC-KT von Cherry würden Nutzerinnen und Nutzer vor Ablauf der Karte kontaktiert.
