Card-Link-Verfahren kommt

Es dürfte nun recht schnell gehen. Nachdem heute die Gematik die Spezifikation für die Umsetzung eines weiteren Wegs zur E-Rezept-Einlösung veröffentlicht hat, können die Entwickler loslegen. Schätzungen zufolge könnten nach erfolgter Zulassung in acht bis zehn Wochen die ersten Apps vorliegen, mit denen Patienten über ihr NFC-fähiges Smartphone ein E-Rezept online einlösen können. Bislang ist eine Einlösung nur via Tokenausdruck, Einstecken der elektronischen Gesundheitskarte (EGK) oder per E-Rezept-App der Gematik möglich.

Wie in der Spezifikation beschrieben, soll mit dem Verfahren der Aufbau einer sicheren Verbindung von einer Smartphone-App zur TI möglich sein. »Der eHealth-Card-Link (eH-CL) verbindet sich nach innen mit einem Konnektor und nach außen mit einem Kartenlesegerät des Nutzers, der eine Karte anbinden möchte.« In beiden Richtungen komme das TLS-Protokoll (Transport Layer Security) zur Absicherung der Verbindung zum Einsatz – ein Verschlüsselungsprotokoll zur sicheren Datenübertragung im Internet.

Da sich der eH-CL gegenüber dem Konnektor wie ein E-Health-Kartenterminal (eHKT) verhalte, sollen für Card Link alle entsprechenden Anforderungen gelten. Des Weiteren sind genaue technische Vorgaben aufgeführt, die die Absicherung der Verbindung nach außen zum NFC-fähigen Smartphone (Client des Nutzers) garantieren sollen.

Das nun bald zur Verfügung stehende Card-Link-Verfahren wurde auf Druck der Versandapotheken etabliert. Sie sahen sich bei der E-Rezept-Einlösung via EGK und PIN-Eingabe außen vor. Und hatten dem Bund mit Klage gedroht, falls für sie kein adäquater Einlöseweg für das E-Rezept etabliert würde.

Das Verfahren wurde gegen den Willen der anderen Gematik-Gesellschafter vom Bundesgesundheitsministerium (BMG) durchgeboxt. Das Ministerium hält im Gematik-Gremium eine 51-Prozent-Mehrheit. Vertreter von Apotheken, Ärzten, Kliniken und Kassen hatte einstimmig dagegen gestimmt. Sie befürchten ein großes Sicherheitsrisiko bei dem Verfahren. Aus ihrer Sicht müssten beim Card-Link-Verfahren dieselben Sicherheitsanforderungen erfüllt werden, wie bei jeder anderen TI-Anwendung auch. Dies ist aus ihrer Sicht aber nicht der Fall.