Operation Edelschrott sofort stoppen!

So weit, so schlecht. Doch damit wollten sich die Spezialisten vom IT-Fachmagazin „c't“ nicht zufriedengeben und haben kürzlich – bewaffnet mit einem High-Tech-Klingenschraubendreher – die Konnektoren von CGM (KoCoBox) genauer unter die Lupe genommen (2). Zum Verständnis: Es gibt nur drei Hardware-Hersteller für Konnektoren: CompuGroup Medical (CGM), RISE und Secunet. Nach den uns vorliegenden Zahlen hat CGM die größten Marktanteile und eine installierte Basis von gut 60.000 Konnektoren. Das liegt daran, dass diese die ersten waren, die 2017 zertifiziert und in Arztpraxen installiert wurden. Deshalb darf sich CGM auch als erster Anbieter auf einen Scheck von den Krankenkassen im mittleren achtstelligen Bereich freuen – schließlich müssen die 31.000 KoCoBoxes, die zwischen 2017 und Februar 2018 installiert wurden und deren Sicherheitszertifikate in den kommenden Monaten auslaufen, binnen Fünf-Jahres-Frist (nach Produktion der Router – nicht Installation!) ausgetauscht werden (3). Komplett. Sicher ist sicher.

Trotz dieser furchteinflößenden Ansagen haben es die Tester von „c't“ gewagt, die drei gSMC-K-Karten aus der KoCoBox zu entfernen. Und es gab keine Explosion, noch nicht einmal das Licht ist ausgegangen. Danach setzten sie die Karten wieder ein und die Box bootete klaglos. Ein Wunder? Oder die Entlarvung einer plumpen Falschbehauptung, um das dreiste Ansinnen knausriger „Sicherheitsignoranten“, man könne anstelle eines kompletten Hardware-Austausches doch einfach nur die gSMC-K-Karten tauschen, im Keim zu ersticken …? Ich tippe auf letzteres. Überdies fanden die Kollegen von „c't“ keinerlei Sicherungen, die ein erneutes Koppeln der Konnektor-Hardware mit einem frischen Satz gSMC-K-Karten verhindern würde. Ihr Fazit: „Es spricht alles dafür, dass die gSMC-K-Karten zwar an die Konnektor-Hardware gebunden sind, aber nicht umgekehrt. Demnach könnte man einen neuen Kartensatz mit frischen Zertifikaten für den Konnektor erstellen und den teuren Hardware-Tausch vermeiden.“

Werfen wir nun einen genaueren Blick auf die Kostenseite: Drei neue gSMC-K-Karten würden laut „c't“ mit 30 Euro zu Buche schlagen, das ergibt eine Ersparnis von 1.556 Euro gegenüber dem (hochsicheren) Hardware-Tausch. Macht bei 31.000 KoCoBoxen in Summe knapp 50 Millionen Euro Einsparung für die Krankenkassen bzw. Mindereinnahmen für CGM. Hochgerechnet auf die installierte Basis der CompuGroup Medical von ca. 60.000 Konnektoren hierzulande kommt man auf 93 Millionen Euro. Eine Menge Geld.

Und wie sieht es bei den anderen beiden Herstellern aus? In den Konnektoren von RISE und Secunet stecken ebenfalls gSMC-K-Karten, auf denen die Sicherheitszertifikate hinterlegt sind. Im Gegensatz zu CGM müssen diese aber nicht ausgetauscht werden, weil die Konnektoren eine Zertifikatsverlängerung per Software unterstützen. Dennoch besteht die Gematik auf einem Austausch aller Konnektoren.

Daraus ergeben sich einige drängende Fragen an die Gematik bzw. deren Mehrheitsgesellschafter, das Bundesministerium für Gesundheit (BMG):

• Wieso hat die Gematik der (Falsch-)Aussage von CGM – ein Austausch der gSMC K-Karten sei „technisch nicht möglich“ – einfach blind vertraut? Und damit ihre bisherige Meinung (s.u.) einmal um 180 Grad gedreht?
• Was ist eine solche Aussage eines Herstellers, dem dadurch ein Geschäft jenseits der 100 Millionen Euro winkt, überhaupt wert?
• Wäre es nicht die Pflicht des BMG gewesen, jemanden ausfindig zu machen, der einen Klingenschraubendreher unfallfrei bedienen kann, um sich selbst ein Bild davon zu machen, was geht und was nicht?
• Welche Rolle spielt in diesem Kontext das Bundesamt für Sicherheit in der Informationstechnik (BSI)? Diese – der Name ist Programm – höchste deutsche IT-Sicherheitsinstanz sollte doch ebenso imstande sein, eine KoCoBox zu „zerlegen“ wie die Spezialisten von „c't“?
• Und wieso beharrt die Gematik auch bei RISE und Secunet, deren Konnektoren ja nach eigener Aussage eine Zertifikatsverlängerung per Software unterstützen, auf einem kompletten Hardware-Tausch? Auch da geht es wohlgemerkt um einen neunstelligen Betrag. Wenn ich zwei Häuser saniere und in dem einen die Brennerdüse, dem anderen die komplette Heizanlage erneuern muss – dann baue ich ja auch nicht bei beiden eine neue Heizanlage ein. Oder geht es gar um „Chancengleichheit“ für die drei Konnektorenhersteller beim Abschöpfen von hunderten Millionen Euro aus den „Fleischtöpfen“ der Krankenkassen – dummerweise zulasten der Beitragszahler?

Grotesk wird es, wenn man bedenkt, dass die neue Konnektoren-Generation, die jetzt nach und nach in den Arztpraxen Einzug hält, ohnehin nur eine Übergangstechnologie ist: Im Jahr 2025 soll die dann konnektorenlose TI 2.0 ausgerollt werden. Na gut, es könnte auch 2030 oder 2035 werden, bis wir eine konnektorenlose Telematik-Infrastruktur haben werden. Die TI 1.0 sollte ursprünglich ja auch bis spätestens Januar 2006 in Betrieb genommen werden. Zwölf Jahre später war es dann so weit …

Insofern wäre auch die Brückenlösung, die mehrere Anbieter propagieren – ein TI-as-a-Service-Konzept mit „Konnektor-Farmen“ im Rechenzentrum – eine überlegenswerte und vor allem budgetschonende Alternative zum dezentralen Hardware-Tausch gewesen. RED Medical zum Beispiel schreibt auf ihrer Webseite, dass durch ihre Lösung (RED telematik) „die Kosten halbiert und die Anzahl der benötigten Konnektoren gezehntelt werden könnten“.

Immerhin hat der „c't“-Artikel – wenn schon die Gematik den drängenden Fragen, die sich daraus ergeben haben, aus dem Weg ging – zumindest bei der ärztlichen Standesvertretung eine deutliche Reaktion hervorgerufen: So erklärte KBV-Vorstandsmitglied (Kassenärztliche Bundesvereinigung) Thomas Kriedel laut KBV-Mitteilung vom 21. Juli (7): „Wir werden in der Gematik auf eine neue Bewertung drängen.“ Er habe sich dazu bereits in einem Schreiben an Gematik-Chef Markus Leyck Dieken gewandt und „eine schnellstmögliche klarstellende Bewertung“ gefordert. Diese müsse in enger Abstimmung mit dem BSI erfolgen, denn – logisch – „das muss auch sicher sein“. Natürlich. Sicher ist sicher. Wie sicher das Urteilsvermögen der Experten vom BSI in diesem Kontext jedoch ist, bleibt ein Rätsel. Schließlich war dem Beschluss der Gematik Ende Februar zum kompletten Tausch der Konnektoren ja eine enge Abstimmung mit dem BSI vorausgegangen.

Traurig wird es, wenn man die 400 Millionen Euro in Relation zu den aktuellen Sparplänen des BMG im Rahmen des GKV-Finanzstabilisierungsgesetzes setzt: Bekanntlich soll der Kassenabschlag auf 2 Euro erhöht werden – allein das würde nach Berechnungen des BMG zu einer Mehrbelastung von 170 Millionen Euro für Apotheken in den kommenden beiden Jahren führen. Tatsächlich dürfte es letztlich sogar deutlich weniger sein, wie DAZ-Autor Thomas Müller-Bohn vorrechnet. 

Doch selbst die angenommenen 170 Millionen Euro sind nicht einmal die Hälfte dessen, was der GKV-Spitzenverband für den offensichtlich unnötigen Konnektorentausch veranschlagt hat. Überhaupt will Bundesgesundheitsminister Karl Lauterbach (SPD) verstärkt „Effizienzreserven bei Apotheken heben“. Budgetschonender Gegenvorschlag: Wäre es nicht (moralisch und gesundheitsökonomisch) viel dringender geboten, erst derlei Verschwendungsorgien wie diese „Operation Edelschrott“ zu stoppen, bevor man die Worte „Effizienzreserven heben“ überhaupt in den Mund nimmt? Ein solcher Stopp verdient das Prädikat „alternativlos“ viel eher als der unnötige und exorbitant teure Austausch von 130.000 Konnektoren. Ganz sicher.