Authentisierung in personalisierten Diensten Digitale Identitäten im Gesundheitswesen im Überblick

Ein Gastbeitrag von Nico Martens

Digitale Identitäten können verschiedenste Ausprägungen haben. Die einen sind besonders komfortabel in der Nutzung, andere sind besonders sicher, wieder andere besonders innovativ. Welche Ausprägung ist für das deutsche Gesundheitswesen die beste Wahl? Gibt es überhaupt die eine Lösung? Aktuell existieren verschiedene Ausprägungen und zukünftig kommt noch eine weitere hinzu.

In der TI 2.0 sind Smartcards wegen der elektronische Identitäten (eIDs) nicht mehr das ausschließliche Authentisierungsmittel
In der TI 2.0 sind Smartcards wegen der elektronische Identitäten (eIDs) nicht mehr das ausschließliche Authentisierungsmittel
(© Arkadiusz Wargula – Getty Images via Canva)

Digitale Identitäten sind Voraussetzung für die Nutzung digitaler personalisierter Dienste. So auch im Gesundheitswesen. Wer zum Beispiel eine elektronische Patientenakte (ePA) nutzt, möchte in dieser ausschließlich seine eigenen Gesundheitsdaten wiederfinden und nicht die Daten einer anderen Person. Zudem sollte nur der Patient selbst auf die eigene Patientenakte zugreifen können. Damit das ePA-Aktensystem den Zugriff auf die Akten korrekt steuern kann, müssen diese einer Identität zugeordnet sein: einer digitalen Identität des Versicherten.

Für die Gestaltung der digitalen Identitäten im Gesundheitswesen ist die Gematik zuständig. Ihre Aufgabe ist es, die Telematikinfrastruktur (TI) für die sichere digitale Vernetzung der Akteure des Gesundheitswesens zu etablieren.

Zurzeit existieren verschiedene Ausprägungen digitaler Identitäten in der TI. Am weitesten verbreitet ist die digitale Identität in Form eines kryptografischen Schlüssels in Verbindung mit einem Zertifikat aus der Public Key Infrastruktur (PKI) der TI. Dieser ist auf einer personenbezogenen Smartcard gespeichert.

Smartcards in der TI

Die wohl bekannteste Smartcard in diesem Kontext ist die elektronische Gesundheitskarte (eGK), die in Deutschland alle gesetzlich Versicherten von ihrer Krankenkasse bekommen. Die eGK dient dem Versicherten zum einen als Krankenversicherungsnachweis, zum anderen kann sie vom Versicherten zur Authentisierung gegenüber der Fachdienste der TI wie der ePA oder dem elektronischen Rezept (eRezept) verwendet werden.

Neben der eGK existieren in der TI noch weitere Smartcards. Der Heilberufsausweis (HBA) speichert die digitale Identität eines Leistungserbringers, wie zum Beispiel eines Arztes. Die sogenannte SMC-B, übernimmt als Institutionskarte eine ähnliche Aufgabe und hinterlegt die digitale Identität einer Leistungserbringerinstitution wie einer Arztpraxis. Außerdem gibt es gerätespezifische Smartcards für den Konnektor (gSMC-K) oder eHealth-Terminals (gSMC-KT).

Mit der ePA kam der erste Fachdienst in die TI, auf den der Versicherte von seinem eigenen Endgerät aus über das Internet zugreifen konnte. Die in der Akte gespeicherten Patientendaten gehören zu den besonders schützenswerten personenbezogenen Daten nach Artikel 9 der Datenschutzgrundverordnung (DSGVO). Da es sich hierbei um sensible Daten handelt, erfordern sie einen entsprechend hohen Zugriffsschutz. Hierzu gehört auch das Vertrauensniveau der Authentifizierung des Nutzers. Um das notwendige Vertrauensniveau bei der Authentifizierung des Versicherten zu erreichen, wurde die Authentifizierung mittels der eGK spezifiziert. Hierbei nutzt der Versicherte sein persönliches Endgerät und sein ePA Frontend des Versicherten (ePA FdV). Während der Authentifizierung sendet das Aktensystem in einem Challenge-Response-Protokoll eine Zufallszahl. Der Versicherte hält seine eGK an sein Endgerät und signiert mit dem Schlüsselmaterial auf der eGK die Zufallszahl. Die Signatur kann vom Aktensystem verifiziert werden und stellt den Nachweis der erfolgreichen Authentifizierung dar. Dieser Prozess setzt neben einem kompatiblen Endgerät eine NFC-fähige eGK und die Kenntnis der PIN voraus. Die Verwendung eines zusätzlichen Hardware-Tokens wie einer Smartcard stellt außerdem bis heute eine Hürde bei der Nutzung dar. Um dies vorzubeuegn, hat die Gematik bereits zur Einführung der ePA auch die sogenannte Alternative Versichertenidentität eingeführt.

Die Alternative Versichertenidentität

Die Alternative Versichertenidentität (al.vi) verlagert die Signatur der Zufallszahl im Challenge-Response-Verfahren zwischen Aktensystem und Frontend von der eGK zu einem Signaturdienst. Beim Signaturdienst ist für jeden Nutzer ein eigener Signaturschlüssel gespeichert, dessen Signaturen wiederum über ein Zertifikat aus dem Vertrauensraum der TI verifizierbar sind. Um den Signaturschlüssel zu verwenden, muss der Nutzer sich beim Signaturdienst authentisieren. Hierbei können beliebige Authentifizierungsverfahren verwendet werden, die ein entsprechendes Vertrauensniveau erfüllen. Somit können auch Verfahren ohne zusätzliche Hardware verwendet werden. Der Signaturdienst hat gegenüber der eGK den sicherheitstechnischen Nachteil, dass der Versicherte den Signaturschlüssel nicht mehr unmittelbar unter seiner Kontrolle hat.

Der Identity Provider-Dienst

Mit der Einführung des eRezepts setzte die Gematik erstmals auf das Modell eines Identity Provider-Dienstes (IDP-Dienst), der heute auch zentraler IDP oder Smartcard-IDP genannt wird. Die Idee dahinter ist, die Funktionalität der Nutzer-Authentifizierung vom Fachdienst zu lösen und diese vom IDP-Dienst durchführen zu lassen. Der IDP-Dienst stellt dem Fachdienst dann auf Basis von OpenID Connect eine Authentifizierungsbestätigung bereit. Auf diese Weise erfüllt jeder Dienst seinen fachlichen Zweck. Außerdem kann der IDP-Dienst zumindest in der Theorie auch die Authentifizierung der Nutzer für weitere Fachdienste, etwa für die ePA übernehmen. Die Funktionalität der Authentisierung muss somit nicht für jeden Fachdienst neu spezifiziert und implementiert werden und der Nutzer kann seine bestehende Registrierung beim IDP-Dienst wiederverwenden. Da für die Authentifizierung beim IDP-Dienst wiederum die eGK verwendet werden muss, liegt hier die gleiche digitale Identität zugrunde wie zuvor bei der ePA. Zwar kann der Nutzer, je nach Eigenschaften seines Endgeräts, nach initialer Identifizierung auch biometrische Verfahren für die Authentisierung nutzen, muss sich aber zum Erhalt des Sicherheitsniveaus regelmäßig auch mit der eGK authentisieren – Ausnahme bilden hierbei einige geeignete Endgeräte.

Jetzt Newsletter abonnieren

Wöchentlich die wichtigsten Infos zur Digitalisierung im Gesundheitswesen

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Aufklappen für Details zu Ihrer Einwilligung

Fasttrack

Um dem Versicherten einen ähnlich komfortablen Zugang zum eRezept wie zur ePA zu ermöglichen, wurde die Lösung Fasttrack entwickelt. Hierbei wird der IDP-Dienst mit dem Signaturdienst der ePA gekoppelt, sodass eine Authentifizierung über die al.vi möglich wird. Voraussetzung für die Nutzung ist aber, dass der Versicherte über eine ePA verfügt und die al.vi eingerichtet hat.

Föderiertes Identitätsmanagement

Ende 2020 veröffentlichte die Gematik das Whitepaper „Arena für digitale Medizin“ und kündigte darin unter anderem die TI 2.0 an. In diesem Zusammenhang wurde ein weiteres Modell für digitale Identität vorgestellt: das föderierte Identitätsmanagement.

Beim föderierten Identitätsmanagement gibt es nicht mehr einen zentralen IDP-Dienst, sondern eine Menge von sogenannten sektoralen Identity Providern, sogenannte sektorale IDP, die in einer Föderation organisiert sind. Mitunter wird auch von dezentralen IDPs gesprochen. Die Grundlage bildet, wie schon beim zentralen IDP, wieder OpenID Connect. Dies gilt gleichermaßen für die Föderation, welcher der OpenID Connect Federation Standard zugrunde liegt. Die sektoralen IDPs sollen von den Krankenkassen bereitgestellt werden. Die Idee: jede Krankenkasse verwaltet die digitalen Identitäten ihrer Versicherten, führt die Authentifizierung der Versicherten durch und bestätigt diese gegenüber den Fachdiensten in der TI und zukünftigen TI 2.0. Das föderierte Identitätsmanagement soll dabei die Vorgaben aus § 291 SGB V umsetzen, wonach die gesetzlichen Krankenversicherungen ihren Versicherten ab 01.01.2023 auf Rückfrage eine digitale Identität zur Verfügung stellen müssen. Da die finalen Spezifikationen zum föderierten Identitätsmanagement Mitte Dezember 2022 noch nicht veröffentlicht sind, wird die tatsächliche Einführung dieser digitalen Identitäten aber wohl noch etwas dauern.

Fazit

In der TI gibt es aktuell verschiedene Ausprägungen von digitalen Identitäten. Mit der Einführung der TI 2.0 könnte das föderierte Identitätsmanagement die anderen Ausprägungen verdrängen. Dies scheint auch der Gesetzgeber zu planen. So heißt es im Digitale-Versorgung-und-Pflege-Modernisierungs-Gesetz (DVPM), dass „die digitalen Identitäten in gleicher Weise wie die elektronische Gesundheitskarte zur Authentisierung des Versicherten im Gesundheitswesen und als Versicherungsnachweis“ dienen sollen. Nach Stand der aktuell veröffentlichten Entwürfe der Spezifikationen spielt die eGK zur Authentisierung des Versicherten aber auch im föderierten Identitätsmanagement weiterhin eine Rolle. Vorerst werden wohl alle beschriebenen Ausprägungen digitaler Identitäten ihre Relevanz für eine funktionierende TI und für ein zunehmend digitales Gesundheitswesen behalten.

Der Autor

Nico Martens, Berater SRC Security Research & Consulting GmbH

(ID:49014966)