Operation Edelschrott sofort stoppen!

Wenn Entscheidungen als „alternativlos“ verkauft werden, ist erhöhte Wachsamkeit geboten: Tatsächlich sollte dieses Attribut das zweifelhafte Privileg totalitärer Systeme sein – im guten Merkel’schen Sinn ist es eher eine Chiffre für „fantasielos“. Das gilt wohl auch für den anstehenden Tausch der Konnektoren, für den die Krankenkassen 400 Mio. Euro an die niedergelassenen Ärzte und Psychotherapeuten überweisen dürfen – pauschal 2300 Euro je Praxis. Zwar waren die Ärztevertreter in den letzten Monaten Sturm gegen die „Operation Edelschrott“ gelaufen, jedoch ohne Erfolg [1]. Aus Sicht der Gematik hat sich ein kompletter Hardwaretausch der ins­gesamt 130.000 Konnektoren in den deutschen Praxen „als die insgesamt sicherste Lösung“ herausgestellt. Und für die meisten hört sich „sicherste Lösung“ ähnlich überzeugend an wie „alternativlos“. Wer will schon, dass während seiner Blinddarm-OP das Licht ausgeht, nur weil der TI-Konnektor abstürzt? Sicher ist sicher. Wir tauschen einmal komplett aus. So haben es denn auch die Gesellschafter der Gematik Ende Februar einstimmig ­beschlossen.

Analoges Klebesiegel statt digitaler Sicherheits-Technologie

So weit so schlecht. Doch damit wollten sich die Spezialisten vom IT-Fachmagazin c’t nicht zufriedengeben, und haben kürzlich – bewaffnet mit einem High-Tech-Klingenschraubendreher – die Konnektoren von CGM (KoCoBox) genauer unter die Lupe genommen [2]. Zum Verständnis: Es gibt nur drei Hardware-Hersteller für Konnektoren: CompuGroup Medical (CGM), RISE und Secunet. Nach den uns vorliegenden Zahlen hat CGM die größten Marktanteile und eine installierte Basis von gut 60.000 Konnektoren. Das liegt daran, dass diese die ersten waren, die 2017 zertifiziert und in Arztpraxen installiert wurden. Deshalb darf sich CGM auch als erster Anbieter auf einen Scheck von den Krankenkassen im mittleren achtstelligen Bereich freuen – schließlich müssen die 31.000 KoCoBoxes, die zwischen 2017 und Februar 2018 installiert wurden und deren Sicherheitszertifikate in den nächsten Monaten auslaufen, binnen Fünf-Jahres-Frist (nach Produk­tion der Router – nicht Installation!) ausgetauscht werden [3]. Komplett. Sicher ist sicher.

Zurück zu den Kollegen von c’t. Nachdem diese die sechs Sicherheitsschrauben vom Typ „Torx Plus Security“ an der KoCoBox mithilfe ihres Klingenschraubendrehers überwunden hatten, war die Überraschung groß: Angesichts des hohen Preises der Router – CGM veranschlagt für den Vor-Ort-Tausch einer KoCoBox 2161 Euro bzw. 2330 Euro netto, 1586 Euro allein für die Hardware – hatten die IT-Spezialisten mit einem regelrechten Feuerwerk an innovativen Sicherheits­features gerechnet. Tatsächlich bot sich ihnen das triste Bild technischen Mittelmaßes: keinerlei elektronischer Manipulationsschutz, nur zwei (ana­loge) Klebesiegel. Das Eindringen in die High-Level-Security-Hardware war damit gelungen. Die Gretchenfrage der Tester war jedoch eine andere: Sind die drei gSMC-K-Karten – das sind Mini-Smart-Cards mit den für die Sicherheit entscheidenden Krypto-Zertifikaten – fest mit den Konnektoren verbaut? Das hatte CGM auf der Website nämlich behauptet: „Da die Zertifikate in den Konnektoren fest verbaut sind und aus Sicherheitsgründen nicht entfernt oder ersetzt werden können, ist deren Austausch technisch nicht möglich.“

Plumpe Falschbehauptung

Trotz dieser furchteinflößenden An­sagen haben es die Tester von c’t gewagt, die drei gSMC-K-Karten aus der KoCoBox zu entfernen. Und es gab keine Explosion, noch nicht einmal das Licht ist ausgegangen. Danach setzten sie die Karten wieder ein und die Box bootete klaglos. Ein Wunder? Oder die Entlarvung einer plumpen Falschbehauptung, um das dreiste Ansinnen knausriger „Sicherheits­ignoranten“, man könne anstelle eines kompletten Hardware-Austausches doch einfach nur die gSMC-K-Karten tauschen, im Keim zu ersticken …? Ich tippe auf Letzteres. Überdies fanden die Kollegen von c’t keinerlei Sicherungen, die ein erneutes Koppeln der Konnektor-Hardware mit einem frischen Satz gSMC-K-Karten verhindern würden. Ihr Fazit: „Es spricht alles dafür, dass die gSMC-K-Karten zwar an die Konnektor-Hardware gebunden sind, aber nicht umgekehrt. Demnach könnte man einen neuen Kartensatz mit frischen Zertifikaten für den Konnektor erstellen und den teuren Hardware-Tausch vermeiden.“

Eine Menge Geld – eine Menge Fragen

Werfen wir nun einen genaueren Blick auf die Kostenseite: Drei neue gSMC-K-Karten würden laut c’t mit 30 Euro zu Buche schlagen, das ergibt eine Ersparnis von 1556 Euro gegenüber dem (hochsicheren) Hardware-Tausch. Macht bei 31.000 KoCoBoxes in Summe knapp 50 Millionen Euro Einsparung für die Krankenkassen bzw. Mindereinnahmen für CGM. Hochgerechnet auf die installierte Basis der Compu­Group Medical von ca. 60.000 Konnektoren hierzulande kommt man auf 93 Mio. Euro. Eine Menge Geld.

Und wie sieht es bei den anderen beiden Herstellern aus? In den Konnek­toren von RISE und Secunet stecken ebenfalls gSMC-K-Karten, auf denen die Sicherheitszertifikate hinterlegt sind. Im Gegensatz zu CGM müssen diese aber nicht ausgetauscht werden, weil die Konnektoren eine Zertifikatsverlängerung per Software unterstützen. Dennoch besteht die Gematik auf einem Austausch aller Konnektoren.

Daraus ergeben sich einige drängende Fragen an die Gematik bzw. deren Mehrheitsgesellschafter, das Bundesministerium für Gesundheit (BMG):

• Wieso hat die Gematik der (Falsch-)Aussage von CGM – ein Austausch der gSMC K-Karten sei „technisch nicht möglich“ – einfach blind vertraut? Und damit ihre bisherige Meinung (s. u.) einmal um 180 Grad gedreht?
• Was ist eine solche Aussage eines Herstellers, dem dadurch ein Geschäft jenseits der 100 Millionen winkt, überhaupt wert?
• Wäre es nicht die Pflicht des BMG gewesen, jemanden ausfindig zu machen, der einen Klingenschraubendreher unfallfrei bedienen kann, um sich selbst ein Bild davon zu machen, was geht und was nicht?
• Welche Rolle spielt in diesem Kontext das Bundesamt für Sicherheit in der Informationstechnik (BSI)? Diese – der Name ist Programm – höchste deutsche IT-Sicherheits­instanz sollte doch ebenso imstande sein, eine KoCoBox zu „zerlegen“ wie die Spezialisten von c’t?
• Und wieso beharrt die Gematik auch bei RISE und Secunet, deren Konnektoren ja nach eigener Aussage eine Zertifikatsverlängerung per Software unterstützen, auf einem kompletten Hardware-Tausch? Auch da geht es wohlgemerkt um einen neunstelligen Betrag. Wenn ich zwei Häuser saniere und in dem einen die Brennerdüse, dem anderen die komplette Heizanlage erneuern muss – dann baue ich ja auch nicht bei beiden eine neue Heizanlage ein. Oder geht es gar um „Chancengleichheit“ für die drei Konnektorenhersteller beim Abschöpfen von hunderten Millionen aus den „Fleischtöpfen“ der Krankenkassen – dummerweise zulasten der Beitragszahler?

Pikante Chronologie

Grotesk wird es, wenn man bedenkt, dass die neue Konnektoren-Genera­tion, die jetzt nach und nach in den Arztpraxen Einzug hält, ohnehin nur eine Übergangstechnologie ist: 2025 soll die dann konnektorenlose TI 2.0 ausgerollt werden. Na gut, es könnte auch 2030 oder 2035 werden, bis wir eine konnektorenlose Telematik-Infrastruktur haben werden: Die TI 1.0 sollte ursprünglich ja auch bis spätestens Januar 2006 in Betrieb genommen werden. Zwölf Jahre später war es dann so weit …

Insofern wäre auch die Brücken­lösung, die mehrere Anbieter propagieren – ein TI-as-a-Service-Konzept mit „Konnektor-Farmen“ im Rechenzentrum – eine überlegenswerte und vor allem budgetschonende Alternative zum dezentralen Hardware-Tausch gewesen: RED Medical zum Beispiel schreibt auf ihrer Webseite, dass durch ihre Lösung (RED telematik) „die Kosten halbiert und die Anzahl der benötigten Konnektoren gezehntelt werden könnten“.

Pikant wird es, wenn man sich die Chronologie der Gematik-Entscheidungsfindung vor Augen führt [4]: 2017 werden die ersten Konnektoren installiert – damit steht zugleich fest, dass deren Kryptozertifikate 2022 ihre Gültigkeit verlieren werden. Ende 2020 stellen die Grünen eine kleine Anfrage im Bundestag, wie das BMG dieses Problem lösen will. Die Antwort der Bundesregierung: „Die Gematik arbeitet an verschiedenen Lösungen, mit denen ein Konnektorenaustausch mit Ablauf der Zertifikate vermieden werden kann. Wahrscheinlich ist, dass die heutigen Konnektoren durch Software-basierte Lösungen ersetzt werden sollen“ [5]. Konsequenterweise forciert die Gematik daraufhin eine Laufzeitverlängerung der Zertifikate per Software und fasst am 30.6.2021 einen entsprechenden Beschluss (Gematik-Spezifikationsübersichten, Feature: Laufzeitverlängerung g-SMC-K, Version 1.0.0 vom 30.6.2021). Mit der technischen Umsetzung wird die Arvato Systems GmbH beauftragt, die im zweiten Halbjahr 2021 eine entsprechende Lösung ent­wickelt. Die beiden Hersteller Secunet und RISE integrieren dieses Feature in ihre Konnektoren – CGM nicht.

Irgendwann zwischen Spätherbst 2021 und Februar 2022 muss es dann zu einem plötzlichen Sinneswandel bei der Gematik gekommen sein: Denn in dem Beschluss von Ende Februar dieses Jahres ist keine Rede mehr von einer Software-basierten Verlängerung der Kryptozertifikate. Vielmehr wird jetzt plötzlich ein Hardwaretausch der 130.000 Konnektoren „als die insgesamt sicherste Lösung“ angepriesen. Obwohl es nach Einschätzung des langjährigen IT-Experten und c’t-Autors Thomas Maus „aus technischer Sicht keinerlei Grund für diese Behauptung gibt“. Nach seiner Einschätzung „spricht technisch betrachtet nichts gegen eine Zertifikats-Verlängerung“. Der Sinneswandel in Berlin dürfte insofern eher politischer Natur sein. Pikantes Detail am Rande: Als ob man in Koblenz diesen Sinneswandel bei der Gematik vorausgeahnt hätte, hat CGM im Jahr 2021 noch zehntausende neue Konnektoren gekauft – angesichts der damaligen Beschluss­lage, wonach ein Austausch der Hardware vermieden werden sollte, eine bemerkenswerte Entscheidung [6]. Ein Schelm, wer Böses dabei denkt.

KBV drängt in der Gematik auf „eine neue Bewertung“

Immerhin hat der c’t-Artikel – wenn schon die Gematik den drängenden Fragen, die sich daraus ergeben haben, aus dem Weg ging – zumindest bei der ärztlichen Standesvertretung eine deutliche Reaktion hervorgerufen: So erklärte KBV-Vorstandsmitglied (Kassenärztliche Bundesvereinigung) Dr. Thomas Kriedel laut Unternehmensmitteilung vom 21. Juli [7]: „Wir werden in der Gematik auf eine neue Bewertung drängen.“ Er habe sich dazu bereits in einem Schreiben an Gematik-Chef Dr. Markus Leyck Dieken gewandt und „eine schnellstmögliche klarstellende Bewertung“ gefordert. Diese müsse in enger Abstimmung mit dem BSI erfolgen, denn – ­logisch – „das muss auch sicher sein“. Natürlich. Sicher ist sicher. Wie sicher das Urteilsvermögen der Experten vom BSI in diesem Kontext jedoch ist, bleibt ein Rätsel. Schließlich war dem Beschluss der Gematik Ende Februar zum kompletten Tausch der Konnektoren ja eine enge Abstimmung mit dem BSI vorausgegangen.

Budgetschonender Gegenvorschlag

Traurig wird es, wenn man die 400 Millionen Euro in Relation zu den aktuellen Sparplänen des BMG im Rahmen des GKV-Finanzstabilisierungsgesetzes setzt: Bekanntlich soll der Kassenabschlag auf zwei Euro erhöht werden – allein das würde zu einer Mehrbelastung von 170 Millionen Euro für Apotheken in den nächsten beiden Jahren führen. Das ist nicht einmal die Hälfte dessen, was der GKV-Spitzenverband für den offensichtlich unnötigen Konnektorentausch veranschlagt hat. Überhaupt will Gesundheitsminister Karl Lauterbach verstärkt „Effizienzreserven bei Apotheken heben“. Budgetschonender Gegenvorschlag: Wäre es nicht (moralisch und gesundheitsökonomisch) viel dringender geboten, erst derlei Verschwendungsorgien wie diese „Operation Edelschrott“ zu stoppen, bevor man die Worte „Effizienzreserven heben“ überhaupt in den Mund nimmt? Ein solcher Stopp verdient das Prädikat „alternativlos“ viel eher als der unnötige und exorbitant teure Austausch von 130.000 Konnektoren. Ganz sicher. |