KW 36

„Wir werden ab Mitte Juli zunächst die SMC-B der Generation 2.0 tauschen, damit genug Zeit bleibt, um die Folgekarte (ggf. mit Hilfe des Dienstleisters vor Ort) in Betrieb zu nehmen – und somit den Zugang zur Telematikinfrastruktur und deren Anwendungen sicherzustellen. Anschließend werden bis zum Jahresende die eHBA der Generation 2.0 getauscht. Wir werden sukzessive alle betroffenen Karteninhaber:innen persönlich per E-Mail anschreiben und zum Kartentausch auffordern.“ – schreibt medisign, hier nur stellvertretend für alle Kartenhersteller genannt, auf seiner Homepage. Sind auch in Ihrer Praxis solche Mails eingegangen, bzw. sind Sie sicher, dass die persönlich betroffenen Ärzt:innen die Wichtigkeit dieser Mail zuverlässig erkennen und entsprechend reagieren?

Wie bereits berichtet und inzwischen vermutlich allgemein bekannt, sind auf Weisung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) ab 1. Januar 2026 Zertifikate in der TI-Umgebung, die nur RSA-verschlüsselt sind, nicht länger zulässig. Bis Jahresende muss daher eine vollständige Umstellung aller TI-Komponenten auf die neuere ECC-Verschlüsselung erfolgen. Das bedeutet für ältere Konnektoren und Karten den Zwangsumtausch, selbst wenn deren eigentliche Laufzeit über 2025 hinaus reichen sollte (~ 5 Komponenten sollten geprüft werden). Obwohl alle Hersteller betonen, von sich aus die betroffenen Praxen, MVZ und eHBA-Inhaber anzuschreiben, erwächst hieraus eine zusätzliche, aber essenzielle Überwachungs- und Organisationsaufgabe für die Praxisleitung. Denn, da das Problem sowohl die Hardware (Konnektoren, Terminals), als auch die Karten (SMC-B, eHBA, gSMC-KT) betreffen kann, und im Anschluss auch die Software (PVS und KIM-Modul) aktualisiert werden muss, ist die Fehleranfälligkeit des Gesamtprozesses groß.

Und es gilt:  Wurde eine Komponente in dem Update-Prozess vergessen, kann das die Funktionalität der gesamten Praxis-IT ab Januar 2026 lahmlegen. Die einzige Ausnahme, die im Juni 2025 erreicht werden konnte, betrifft die gSMC-KT. Obwohl auch hier dringend empfohlen wird, sie so schnell es geht auf die ECC-Verschlüsselung umzustellen, dürfen in den Terminals verbaute Karten (gSMC-KT) über den Jahreswechsel ausnahmsweise noch zwölf Monate weiter betrieben werden: Frist für Hardware-Tausch in Teilen verlängert. Hintergrund ist – bei 165 Tausend betroffenen Kartenterminals – die Erkenntnis, dass „ein vollständiger Kartentausch bis Jahresende voraussichtlich nicht möglich ist.“ (~ gematik | Unterpunkt: E-Health-Kartenterminal)

PRAXISTIPP: Verantwortliche in Praxis und MVZ sind ohne Frage gut beraten, sich nicht darauf zu verlassen, dass das ‚Projekt Zertifikatswechsel‘ von allein läuft. Basis ist – so noch nicht geschehen – die aktive Überprüfung von Ob und Umfang der eigenen Betroffenheit. Dabei ist zu unterscheiden zwischen den zentral von der Praxis verwalteten Komponenten und den dezentral durch die Ärzte verantworteten eHBAs. Bezüglich SMC-B, Konnektor und PVS-Update ist der PVS- oder IT-Dienstleister der zuständige Ansprechpartner, der die betroffenen Praxen im Idealfall schon von sich aus kontaktiert haben sollte. Komplexer wird es allerdings bei den eHBA, deren Antragsprozess in den Händen der einzelnen Ärzt:innen liegt, die deshalb auch Adressat der Warn-eMails sind, die die Kartenausgeber versenden. (~ KW27 | Zertifikatsende: Herausforderung für MVZ + Praxen mit angestellten (Zahn-)Ärzt:innen) Aufgabe der Praxisleitung muss es daher sein, sicherzustellen, dass gerade bei angestellten Ärzten der eHBA-Austausch rechtzeitig erfolgt und koordiniert wird. Erster Schritt ist eine vollständige Statusfeststellung aller verwendeten eHBA hinsichtlich ihrer Zertifikatsversion.

Seit dem Ausgabejahr 2021 sind viele Komponenten bereits ECC-fähig. Daher kann eine erste grobe Orientierung sein, sich zu fragen, ob in der Praxis Komponenten am Start sind, die vorher in Betrieb genommen wurden und daher RSA-only zertifiziert sind. Aus genau diesem Grund sind bei den Konnektoren überproportional Geräte von Secunet betroffen, da das Unternehmen einfach als erstes eine Zulassung hatte. Bezüglich der eHBA kann in der nächsten Teamsitzung ein einfacher Sicht-Check vorgenommen werden: Die Versionsnummer ist aufgedruckt. HBA ganz ohne Versionsangabe oder mit der Angabe G2.0 sind nur RSA-verschlüsselt und müssen daher erneuert werden. Alle eHBAs mit dem Versionskennzeichen G2.1 sind bereits ECC-fähig.

In Folge dieser Umstände kann es Praxen und MVZ geben, die von der Umtauschnotwendigkeit überhaupt nicht betroffen sind, die sich also ‚nur‘ rechtzeitig um die notwendigen Software-Updates kümmern müssen, bei denen es wiederum keine Einheitlichkeit gibt. T2Med gibt an, schon seit mehreren Monate ECC-fähig zu sein. Medatixx, als ein anderes Beispiel, arbeitet derzeit jedoch erst noch am Update und verspricht seinen PVS-Kunden, mit Beginn des vierten Quartals ausführliche Informationen. (~ Quelle)

Parallel wird es Praxen und MVZ geben, die voll oder teilweise vom Hardware- und Kartenaustauschzwang betroffen sind. Sich darüber Klarheit zu verschaffen, ist für jede Praxisleitung elementar. Die gematik bietet dafür auf ihrem frei zugänglichen gematik-wiki eine u.E. hilfreiche Anleitung: ECC-Migration: Allgemeiner + Detaillierter Blick mit konkreteren Handlungsanweisungen. Darin „wird für jede relevante Komponente dargestellt, ob ein Austausch oder Update nötig ist und wie der Ablauf gegebenenfalls aussieht.“ Nützlich sind auch die Recherchen der Redaktion von Hausärztliche Praxis, die für jede Komponente die jeweiligen Hersteller kontaktiert haben, und daher detaillierte Informationen geben, wie: „Ihr Konnektor ist von Secunet? Betroffen sind alle Geräte, die vor Mitte 2020 produziert wurden. Diese können anhand der Seriennummer identifiziert werden.” Oder „Ihr Konnektor ist von CGM/KoCo? … Ein Wechsel sei nötig bei Geräten mit einer Seriennummer bis einschließlich 8027600364000095102. Die Nummer kann direkt am Konnektor abgelesen werden.“ (~ TI-Komponenten im Check: Wer muss tauschen?)

Da wir an dieser Stelle nicht weiter in die Details gehen können, sei insgesamt noch einmal auf die Bedeutung der funktionierenden TI-Umgebung für das gesamte Praxisgeschehen verwiesen. Die Gefahr, dass zahlreiche Ärzte am Jahresanfang plötzlich weder eAU noch eRezepte ausstellen oder überhaupt auf die Systeme zugreifen können, ist real. Eine schnelle Heilung, wenn dann erst im Januar hektisch das Problem angegangen wird, dass neue Karten oder Geräte beschafft werden müssen, gibt es nicht. Eine Fristverlängerung wird es aber auch eher nicht geben. Gleichzeitig ist mit teils längeren Produktionszeiten der neuen Karten zu rechnen, auch wenn sich die Hersteller hier bisher gelassen geben. Als größte Baustelle sehen wir allerdings in dem Kontext die eHBA-Problematik, da hier jeder einzelne betroffene Arzt aktiv werden und den kompletten Antrags-, Identifikations-, und Freischaltzyklus durchlaufen muss. Das gut zu koordinieren, könnte in größeren Strukturen eine veritable Herausforderung werden.

Im Übrigen kann der aktuelle Anlass auch genutzt werden, den Kartenherausgeber zu wechseln. Bekanntermaßen weichen Zahlmodi, Laufzeiten und Servicefreundlichkeit der vier eHBA-Produzenten durchaus voneinander ab. Die Hersteller bieten alle spezifische Informationen, und teils auch vereinfachte Austauschoptionen und/oder Sonderrabatte im Kontext des Wechsels an: medisign | T-Systems (PDF) | D-Trust. Eine Ausnahme bildet SHC Stolle, die erst 2021 in den Kartenmarkt eingestiegen und daher von vornherein ausschließlich eHBAs mit der neuen Verschlüsselung ausgegeben haben. Deren Claim – das Unternehmen setzt wohl auf genervte Wechselwillige der drei Mitbewerber – prangt fett geschrieben gleich auf der Startseite: Elektronischer Arztausweis G2.1 Nur 10 Tage Produktionszeit! (~ direkt zu)

Ab dem 1. Oktober gilt für Praxen, MVZ und Apotheken die Pflicht zur ePA-Befüllung – eigentlich. Wenige Tage vor dem Start stehen aber weiterhin zahlreiche Kritikpunkte in Konflikt mit eben jener Pflicht – dazu hat die KBV aktuell eine Umfrage gestartet (~ direkt zu). Vor einem näheren Blick auf deren Hintergründe jedoch das Wichtigste vorweg: Während des vierten Quartals 2025 bleibt die ePA-Pflicht vermutlich ein weitgehend zahnloser Tiger, denn Sanktionen, so heißt es, sollen erst ab dem 1. Januar 2026 von den KVen durchgesetzt werden. Diese Aussage bezieht sich ursprünglich allein auf Sanktionen im Sinne eines Abrechnungsausschlusses nach § 372 Absatz 3 SGB V, von denen die KBV bereits kurz nach Bekanntgabe des 1. Oktober als Starttermin per Verhältnismäßigkeitsbeschluss Abstand genommen hatte. (Rechtsquelle | ~ Erläuterungen ÄZ v. 17.04.2025) Später wurde aus diesem Beschluss, der eigentlich nur besagt, dass Praxen, deren PVS in Q4/2025 technisch noch nicht konformitätsgeprüft ist, trotzdem weiter mit der KV abrechnen dürfen, durch Umdeutung die allgemeine Aussage, dass es im Q4/2025 gar keine Sanktionen bei Verstößen gegen die ePA-Pflicht geben werde.  Eine Sichtweise, die im Sommer auch die Gesundheitsministerin medienwirksam unterstrich: „Erst ab Oktober besteht für Ärzte die Pflicht, [die ePA] zu befüllen, ab Januar kann man dann auch Sanktionen verhängen.“ (Nina Warken v. 26.07.2025)

Im Ergebnis ergibt sich aus diesen Widersprüchen für Leistungserbringer eine nicht auflösbare und rechtlich fragwürdige Diskrepanz zwischen dem unbestreitbaren Beginn der Pflicht zur ePA-Befüllung ab 1. Oktober und dem (vermutlichen, bzw. vermeintlichen) Beginn der Sanktionierung der darauf bezogenen Pflichtverletzung, nicht vor 1.1.2026. Sanktionen für Praxen, die nicht ePA-ready sind, meint übrigens Honorarkürzungen gemäß § 341 Absatz 6 SGB V sowie die Kürzung der TI-Pauschale. Welche Sanktionen es dagegen dann geben kann und soll, wenn eine Praxis zwar ePA-ready ist, aber die Ärzt:innen absichtsvoll der Befüllungs- und Aufklärungspflicht gegenüber den Patienten nicht nachkommen, ist nicht eindeutig geklärt. Vermutlich würde ein solches Vorgehen einen Verstoß gegen grundlegende vertragsärztliche Pflichten darstellen, was entsprechend disziplinarisch von der KV geahndet werden könnte, bzw. müsste.

Genau dagegen verwahren sich die KVen aber fortgesetzt und aktiv: KVBW kritisiert Zwang – Pflicht ab Oktober: ePA-Sanktionen sind „eine Zumutung.“ Der KVBW-Vorsitzende Braun erklärt hier konkret: „[Wir] prüfen, ob die Praxen technisch in der Lage sind, ePA-Daten zu übermitteln. Dies erfolge automatisiert … Eine Kontrolle der tatsächlichen Befüllung finde aber nicht statt. Wir werden auch künftig niemanden beaufsichtigen, wie er die ePA nutzt. Das ist nicht unsere Aufgabe und auch nicht leistbar, stellt Braun klar.“ Dass andere KVen ähnlich handeln werden, ist zu vermuten.

Wenn selbst die Bundesärztekammer als Ergebnis des eingangs geschilderten Deutung-Durcheinanders erklärt: „Nach der zeitlichen Anpassung des Rollouts für die ePA hat das Bundesgesundheitsministerium die Sanktionen gegen Praxen allerdings bis 31.12.2025 ausgesetzt.“ (~ Quelle | Abschnitt: Sanktionen im Zusammenhang mit der ePA-Nutzung), wäre eine offensive Verfolgung etwaiger Verstöße durch die KV zumindest eine große Überraschung. Ein Fazit, das – das möchten wir an dieser Stelle ausdrücklich unterstreichen – jedoch jede Praxis, jedes MVZ für sich selbst hinterfragen sollte. Denn grundlegend bleibt es beim Kernsatz mit dem dieser Beitrag begonnen hat: Ab dem 1. Oktober gilt für Praxen, MVZ und Apotheken die Pflicht zur ePA-Befüllung. Eine rechtlich verbindliche Ausnahme gibt es nur für Praxen, deren PVS-System noch nicht ePA-ready ist. Welche Systeme das betrifft, listet die KBV in stetiger Aktualisierung in dieser Übersicht auf: Übersicht zur Auslieferung der ePA-Module.

Im KV-System bleibt das Ganze umstritten. Vermutlich deshalb hat die KBV ganz aktuell noch eine ePA-Umfrage gestartet, und fordert die Ärzt:innen auf: „Nehmen Sie teil und geben uns eine Rückmeldung zu Ihren Erfahrungen mit der ePA, oder auch falls Sie die ePA noch nicht ausprobieren konnten. So können wir am besten herausfinden, was gut läuft, was noch nicht funktioniert und welche Probleme dringend gelöst werden müssen.“ (~ zur KBV Umfrage) Die Teilnahme ist bis 18. September möglich. Wer seinen Unmut zum Ausdruck bringen will, sollte dies mittels dieser 5-minütigen Umfrage tun, denn bislang hieß es seitens des BMG und der gematik stets, dass – bis zum Einführungstermin – alle relevanten Probleme behoben sein müssen. Die KBV-Umfrage scheint vor diesem Hintergrund ein Versuch zu sein, auf dem letzten Drücker ein valides Bild aus der Praxis zu genau dieser elementaren Frage einzuholen, ob wirklich alle relevanten Probleme behoben sind, bzw. den vorherrschenden Eindruck, das dem nicht so sei, belastbar bestätigen zu können.