Zertifikat Tausch zum 1.1.26 - ECC - betrifft das HBA / SMC-B / SMC-KT (Karten-Terminal) und SMC-K

Stefan Enzensberger

Hallo Tomedo-Mitarbeiter und "Tomedo-Freaks",

die gematik / BSI verabschiedet zum 1.1.26 die RSA-basierten Zertifikate.

Dies betriff ja alle Zertifikate, die in der TI so eingesetzt werden?

Also den

Heilberufeausweis
die SMC-B
SMC-KT in den Kartenterminals
SMC-K in den Konnektoren

Nun zu den Fragen:

- Der Konnektor soll durch die TI-Gateways ersetzt werden. Wird das bereits zum 1.1.26 geschehen? Oder benutzen secunet Konnektor Kunden diesen bis zum SMC-K Ablauf weiter? Bei uns erst 2027. (Kosten secunet Konnektor Wartung vs. Kosten TI-Gateway?)

- Die SMC-KT sind bei uns wohl rein RSA basiert und laufen eigentlich erst 2027 (ST1506) und 2028 (Orga 6100) aus. Diese müssen wohl auch zum 1.1.26 getauscht werden. Die Zertifikate bekomme ich über die Hersteller?

- HBA lauft erst Mitte 2026 aus. Ist rein RSA basiert. Diesen muss ich wohl auch neu bestellen bei D-Trust und Alternativen?

- SMC-B ist bereits auch ECC basiert bis 2029. Muss ich hier zum 1.1.26 etwas tun?

Vielen Dank und viele Grüße

Stefan Enzensberger

Kinder- und Jugendarztpraxis Dr. Uta Enzensberger - Mering

Enzensberger Cybersecurity und IT - Mering

Rico Becker

Sorry, falsche Antwort...

Christian Klaproth

Dann bitte als Kommentar umändern sonst denkt jeder es gibt eine fundierte Antwort

Johannes Müller

Soweit ich weiss werden ECC-Zertifikate auf MacOs garnicht unterstützt, daher sind solche Zertifikate zwar auf dem Konnektor interessant, die Clientverbindungen zu tomedo liefen bis jetzt aber noch über ganz normal erstellte TLS-Zertifikate.

Die Zertifikate auf dem Konnektor weden ja automatisch upgedatet....und dass Jeder (wieder per Einschreiben) zum Jahreswechsel neue Kärtchen bekommt ist logistisch von der Gematik eher weniger zu erwarten. Wahrscheinlicher ist eine Übergangszeit im Zertifikatschaos in dem die alten Kärtchen auslaufen und dann sukzessive durch Neue ersetzt werden.

Und falls alle Stricke reissen ist es ja nicht so, dass man so eine Laufzeit für hunderttausende Karten nicht auch ruckizucki pauschal mal verlängern könnte wenn man auf den Zertifikatsservern hockt :)

VG

JM

Tilman Hesse

Sehr geehrter Herr Enzensberger,

Sie stellen sehr gute Fragen. Übersichtsartig ist das im Handbuch dargestellt:

https://support.tomedo.de/handbuch/tomedo/telematikinfrastruktur-ti/ecc-umstellung/

Ich möchte zusätzlich hier für Sie eine ausführliche Antwort zur ECC Umstellung geben.

Grundsätzlich betrifft die Umstellung alle verwendeten Zertifikate in der TI: Konnektor-Hardware Zertifikat, Konnektor-Server Zertifikat, Konnektor TI Freischaltung, HBA, SMC-B, gSMC-KT, Clientsystemzertifikat tomedo.p12

TI-Karten und Software-Zertifikate können als Nur-RSA, RSA und ECC, Nur-ECC vorliegen. Das ist vor allem abhängig vom Herstellungszeitpunkt. Bis ca. 2020/2021 wurden Karten und Konnektoren mit Nur-RSA hergestellt. Ab dann wurden Karten mit RSA und ECC Identitäten produziert. (Ich kann hier für die Vielzahl der Hersteller keine konkrete Aussage treffen)

D.h. die übliche Laufzeit der Karten von 5 Jahren führt dazu, dass die meisten Karten mit Nur-RSA 2025 oder spätestens Anfang/Mitte 2026 ablaufen werden.

Die gematik unterscheidet zwischen QES und dem Nicht-QES Strang. Der Stichtag 1.1.2026 ist für den QES-Strang absolut gültig, für die Nicht-QES gibt es Übergangsfristen.

D.h. HBA mit Nur-RSA müssen 2025 getauscht werden. Für die anderen Zertifikate wird es Übergangsfristen geben. Im Handbuch habe ich eine Quelle der gematik dazu verlinkt. Die Übergangsfristen sollten nicht dem Aufschieben dienen, im Grunde empfiehlt die gematik für jedes Zertifikat einen möglich zeitnahen Tausch. Wir haben das in der Zertifikate-Übersicht in tomedo gemäß der gematik-Empfehlungen abgebildet.

Zu Ihren konkreten Fragen:

Konnektoren mit Ablauf 2027 enthalten Hardware-ECC Zertifikate und können weiter genutzt werden. Konnektoren mit Herstellungsjahr 2019/2020 haben kein ECC in der Hardware und werden mit dem TI Gateway ersetzt.

In manchen Fällen zeigt der Konnektor (und damit tomedo) für die gSMC-KT "nur RSA " an, auch wenn auf den Karten ECC vorhanden ist. Bei gSMC-KT mit Ablaufdatum 2027 würde ich empfehlen, dass Sie über die Status-Funktion des Kartenlesegeräts prüfen, ob ein AUT2 (ECC) vorhanden ist. Wir passen die TI Zertifikate-Übersicht in tomedo an und versuchen das zu berücksichtigen

HBA mit Ablaufdatum Anfang/Mitte 2026 ohne ECC sind die wichtigsten Karten für einen Tausch bis zum Jahreswechsel. Die Qualifizierte Elektronische Signatur über RSA wird definitiv ab dem 1.1.2026 nicht mehr funktionieren.

Aufgrund der Übergangsfristen besonders spannend sind die SMC-B . Da hängt viel dran, z.b. die Konnektor-Freischaltung und das VPN TI. Das wird auch nach dem 1.1.2026 theoretisch weiter mit RSA funktionieren bzw. wird vom Konnektor automatisch auf ECC angehoben. Sie (oder der Support) können das auch jetzt schon durchführen. Wir erneuern (i.d.R. beim TI Support anläßlich Wechsel der SMC-B) auch das Clientsystemzertifikat tomedo.p12 und aktivieren im Konnektor ein Software-Server-Zertifikat.

Als letztes Detail: zwischen Konnektor und tomedo müssen es Zertifikate vom Typ ECC Nist-256 sein. Das kann auch MacOS verarbeiten. Die in der Konnektor-Hardware verbauten ECC Brainpool-Zertifikate werden von Apple in der Form nicht unterstützt. Darauf hat die gematik entsprechend reagiert.

Sebastian Berndt

Lieber Herr Hesse,

danke für Ihre ausführliche Antwort (auch wenn ich als Arzt knapp die Hälfte davon verstehe). Ich muss trotzdem noch einmal etwas. konkreter Fragen.

Letzte Woche habe ich von medisign eine Mail bekommen, in der ich aufgfordert werde, eine neue SMC-B zu bstellen. Nach dem Blick in die Übersicht der TI-Zertifikate in tomedo wird mir das auch von tomedo so gesagt. Diese Übersicht sagt mir auch, dass die SMC-KT getauscht werden müssen (Ablaufdatum 06/27). Nach einem Blick auf die Informationen direkt im Lesegerät (Einstellungen/Status/gSMC-KT Informationen) wird dort "Ablaufdatum AUT2" mit 06/27 aufgeführt.

Nun die Fragen: DIe SMC-B ist ab sofort neu zu bestellen und nach dem Erhalt über den Support zu tauschen? Wie muss ich im konkreten Fall mit den SMC-KTs verfahren?

Herzliche Grüße und danke für die Antwort

Tilman Hesse

Sehr geehrter Herr Berndt,

für den Tausch des SMC-B kontaktieren Sie bitte nach Erhalt und Freischaltung der Karte den Support. Sie können z.b. hier einen Termin buchen:

https://app.arzt-direkt.de/tomedo-support/booking?lang=de&katid=6596c71b80039ff322e57c34

gSMC-KT mit Ablaufdatum 2027 oder höher und AUT2 müssen nicht getauscht werden.

Katharina Wieder

Hallo Herr Hesse,

wir haben bereits im Januar 2024 eine gSMC-KT 2.1 getauscht und diese ist auch ECC fähig (Einzeltest am Lesegerät durchgeführt), Ablauf Jan 2029, wird jedoch unter TI Zertifikate in tomedo nur mit RSA angezeigt. Muss hier irgendwo, evtl. im Konnektor noch was eingestellt werden, dass das korrekt angezeigt wird?

Katharina Wieder

Hat sich erledigt, Lösung stand im letzten Newsletter vom 14.10..