36C3 - 15 Jahre deutsche Telematikinfrastruktur (TI)

36C3 Vorspannmusik

Herald: Unser 3. Vortrag in diesem Block an
Tag 3 des 36. Chaos Communication

Congress. Wir erfahren über 15 Jahre
deutsche Telematikinfrastruktur.

Irgendwann wurde die elektronische
Gesundheitskarte eingeführt mit

Versprechungen und Plänen darauf, nicht
nur persönliche Daten zu speichern,

sondern auch Rezepte, Diagnosen,
möglicherweise sogar Dokumente. Wie viel

davon tatsächlich heute umgesetzt wurde,
wie sich die Technik in letzter Zeit

entwickelt hat in den letzten Jahren. Ob
die vollmundigen Versprechen eingehalten

wurden, ob die überhaupt eine gute Idee
waren? Das wird uns jetzt Christoph

erklären. Er ist Mitarbeiter an der FH
Münster und wird uns einen Überblick über

die Entwicklung der letzten Jahre der
Technologie. Herzlich willkommen,

Christoph!

Applaus

Christoph: Ja, Dankeschön und willkommen
hier. Jetzt zu der fortgeschrittenen Zeit,

möchte ich noch einmal kurz über die
Telematikinfrastruktur reden. Wir hatten

vor 2 Tagen schon einen kleinen Talk über
die EPA. Was ich heute Abend machen

möchte, ist, ein bisschen über den
technischen Spezifikationen zu reden, das

heißt ich möchte einen kleinen Überblick
euch geben. Das kann auch nur ein kleiner

sein, weil wenn man sich anschaut, wenn
man sich die Spezifikationen mal anschaut,

man kann die runterladen. Auf dem
Fachportal gematik.de findet man so ZIP-

Dateien. Es sind aktuell 97. Das sind 8000
PDF-Seiten. Dazu kommen noch ein/zwei

Tausend Seiten Konzepte und
Feldtestdokumente und ähnliches. Das

heißt, hier kann man wirklich nur einen
kleinen Überblick geben und ich möchte

anregen, zu einer informierten Diskussion
über die Telematikinfrastruktur,

allerdings auch eine objektive und eine
faktenbasierte. Und ich werde später

nochmal kurz drauf eingehen. Es gibt
relativ viele Berichte, aktuell oder in

den letzten Monaten, im letzten Jahr
vor allem, über die EPA,

Telematikinfrastruktur. Aber meines
Erachtens war nicht alles so ganz korrekt,

vom Technischen her, dass da halt einige
Halbwahrheiten teilweise herum schwirren.

Und da möchte ich ein bisschen informieren
heute. Das heißt, fangen wir an. Die

Telematikinfrastruktur: Worüber reden wir
da eigentlich? Und hier sieht man links

sind die IT-Systeme Heilberufler. Das ist
quasi die Praxis, das ist das

Praxisnetzwerk. Meistens ist es ja ein
bestehendes Netzwerk. Viele Ärzte sind ja

schon vernetzt oder haben zumindest
digitale Systeme. Und was kommt jetzt dazu

durch die TI? Wir haben die
Kartenterminals, damit die

Versichertenkarte gesteckt werden können.
Wir haben dann auch noch natürlich

verschiedene andere Karten, wie z.B. den
Heilberufsausweis und wir haben diesen

Konnektor. Dieser Konnektor verbindet das
bestehende Netz, der Ärztin oder des

Arztes, über das Internet mit dem
zentralen TI-Netzwerk. Das ist diese

zentrale Zone. Dort finden wir
verschiedene Dienste wie beispielsweise

PKI-Dienste. Wir haben da eine eigene CA
für die Telematikinfrastruktur. Wir haben

noch weitere zentrale Dienste wie
beispielsweise so ein Zeitserver, DNS

Auflösung.Wir haben auch ein
Verzeichnisdienst, also sprich einen LDAP-

Server. Und was man hier auch sieht, es
ist kein transparentes Netz. Es ist ein

bisschen abgeschottet. Also es ist kein
eigenes separates Netz hier, sondern es

ist trotzdem noch so ein bisschen getrennt
durch Sicherheitsmaßnahmen. Und dann haben

die Provider-Zone. Das ist diese Zone, wo
beispielsweise die Hersteller, wenn wir

später über die elektronische
Patientenakte reden, dort wird sie

gehostet werden, das heißt in diese Zone
kommen dann die Hersteller mit ihrem

Fachanwendungsdiensten und ganz interessant
ist noch, ganz rechts das sind, da steht

jetzt nur Bestandssystem, das ist so, die
Telematikinfrastruktur ist nicht das Erste

und auch nicht die Einzige medizinische
Vernetzung in Deutschland. Es gibt schon

weitere Netze, wie beispielsweise das
sichere Netz der KVK. Das wird aktuell

benutzt. Ich glaube seit 2015 ist es
Pflicht, wenn die Vertragsärzte abrechnen.

Das heißt ihre Honorarforderung geltend
machen. Dann rechnen Sie das durch dieses

sichere Netz der KVK ab. Das geht
beispielsweise durch einen VPN-Konnektor,

das heißt viele Praxen haben heutzutage
schon einen VPN-Konnektor und haben das

schon jahrelang in ihrem Netzwerk
drinstehen. Was man sich überlegt hat für

die TI. Nun wir wollen jetzt nicht
verschiedene Konnektoren und verschiedene

Zugänge machen, deswegen koppeln wir die
alle an die Telematikinfrastruktur, dass

wir nur noch ein Konnektor brauchen. Wenn
wir uns mal auf die Akteure, wenn wir mal

gucken, wer macht überhaupt was? Wo kommt
die Telematikinfrastruktur her? Haben wir

natürlich das Bundesministerium für
Gesundheit. Das ist mir mit dem aktuellen

Minister Jens Spahn seit dem Mai
dieses Jahres ist das BMG auch

Mehrheitsgesellschafter mit 51 Prozent an
dieser Gematik GmbH. Gleichzeitig mit dem

Gesetz zu diesen 51 Prozent wurde
verabschiedet, dass für Entscheidungen nur

noch eine einfache Mehrheit nötig ist. Das
war früher anders. Da brauchte man mehr,

das heißt früher mussten sich nicht
wirklich alle KVK Gesellschafter zusammen

setzen. Man braucht einen gemeinsamen
Konsens. Das wurde geändert, das heißt

jetzt kann das BMG, wenn es will, wirklich
bei der Gematik quasi hart durchgreifen

und Sachen voranpushen. Das hat man
gemacht und insbesondere Jens Spahn wollte

das Ganze, Telematikinfrastruktur, ein
bisschen verschnellern und hat das dadurch

gemacht. Die Gematik in der Mitte
spezifiziert die Telematikinfrastruktur an

sich, die Dienste, die Komponenten, die
Fachanwendungen. Das macht sie nicht

alleine. Das macht sie in enger
Kooperation mit dem Bundesamt für

Sicherheit in der Informationstechnik. Das
BSI überprüft die Spezifikation nochmal

oder schreibt auch technische Richtlinien,
das heißt die Gematik handelt da nicht

alleine. Das BSI macht da mit. Die Gematik
stellt allerdings keine Komponenten her,

sie betreibt auch keine Dienste oder
Server. Das wird dann durch die

Privatwirtschaft abgebildet. Und hier
sehen wir zum Beispiel die großen Player:

T-Systems, arvato Bertelsmann oder die CGM
Group sind dabei. Diese Hersteller

betreiben die Dienste, Server oder
erstellen oder produzieren die Konnektoren

zum Beispiel. Dafür brauchen Sie eine
Zulassung. Für diese Zulassung brauchen

Sie eine Zertifizierung wieder vom BSI.
Das BSI wiederum prüft allerdings auch

nicht selber, sondern hat verschiedene
Prüfstellen, wie zum Beispiel TÜViT. Und

dafür gibt es diese Evaluierung,
beispielsweise Common Criteria.

Interessant, wenn es vielleicht nur die
Dienstleister können sich normalerweise

die Prüfstellen aussuchen und müssen diese
Prüfstellen nachher auch noch zahlen. Das

muss man bei der Common Criteria
wissen. Es gibt da so ein kleines

Abhängigkeitsverhältnis zwischen den
Prüfstellen und den Dienstleistern. Um das

so ein bisschen geradezurücken, gibt es
die Auditierung und die Anerkennung des

BSIs. Die Prüfstellen müssen sich
anerkennen lassen durch so einen

Prüfungsprozess durch und sich auch wieder
reevaluieren lassen. Kommen wir zu den

Fachanwendungen, das heißt, dass sind die
Anwendungen, die später vom Patienten und

Ärzten benutzt werden sollen. Das Ding
mit dem langen Wort nennt sich

Versichertenstammdatenmanagement, kurz
VSDM. Und was wir hier haben, ist

eigentlich nur ein Online Update der
Versichertendaten, das heißt früher war es

so: "Ich bin umgezogen. Ich habe eine neue
Adresse bekommen." Ich habe der

Krankenkasse gesagt: "Ja, ich wohne jetzt
woanders. Ich brauche eine neue Karte."

Dann habe ich eine neue Karte bekommen.
Das soll wegfallen. Und zwar durch dieses

Online Update, das heißt ich sag der
Krankenkasse Bescheid. Ich kriege eine

neue Adresse und gehe dann zum Arzt hin.
Steckt die Karte rein und mit diesem

einstecken der Karte wird eine
Onlineverbindung aufgebaut zum

Krankenkassen-Server und die Daten werden
dann über das Internet geschoben und auf

der Karte aktualisiert. Bis jetzt, so nach
15 Jahren Entwicklung ist das auch quasi

die einzige produktive Anwendung in der TI
die wir soweit haben. Immerhin. Immerhin.

Applaus
Ja das dachte ich auch, da haben wir

schonmal ne Anwendung, da kann ich das mal
ausprobieren. Ich bin vor ein paar Monaten

umgezogen, dachte mir Cool, kann ich mal
gucken, was passiert. Hab meiner Kasse

geschickt: Hier ich habe eine neue
Adresse. Ich brauch eine neue Karte oder

bzw. ich brauche Online Update. Und ja
aber Pustekuchen. 3 Tage später hatte ich

die neue Karte im Briefkasten. Also es
wird aktuell noch gar nicht richtig

benutzt. Und zwar folgender Weise, und
zwar aus folgendem Grund. Es gibt noch

nicht genug Praxen, die angeschlossen
sind. Wir haben in Deutschland 177.000

Arztpraxen, davon sind aktuell, glaube
ich, angeschlossene, so ungefähr 122.000,

das heißt die Kasse kann nur sichergehen,
dass die Karte wirklich upgedatet wird.

Daher wird's aktuell noch gar nicht
benutzt. Also zumindest nicht zum Update

der Karte benutzt. Könnte dann
wahrscheinlich nächstes Jahr irgendwann

kommen. Aber jetzt habe wir hier natürlich
diese personenbezogenen Daten. Wir haben

Stammdaten. Wir haben noch ein, zwei
kritische Daten wie spezielle

Kennzeichnung für Disease-​Management-
Programme, das heißt wir haben so ein

teilweise medizinische Daten, das heißt
wir brauchen hier gute Sicherheit. Jetzt

gucken wir uns mal in der Spezifikation
um. Was haben wir da? Wie gesagt mein Talk

ist jetzt so ein bisschen technischer,
also die Spezifikation, die Prozesse

hatten wir vor zwei Tagen und da haben
gesehen, da gibts viel aufzuholen. Aber

was haben wir bei der Technik? Hier haben
wir wirklich echtes Ende zu Ende, das

heißt wir haben ganz rechts einen
Versicherungsserver VSDD hier in der

Spezifikation und ganz links ist die
Karte. In der Mitte haben wir das VPN. Das

ist hier der VPN Konnektor im Internet.
Dann haben wir noch zwischen dem

Kartenterminal und dem Krankenkassenserver
eine Eins-zu-Eins TLS-Verbindung. Und auch

das letzte Gap noch so zu schließen
zwischen dem Terminal und der eGK Karte

nutzt man hier das Secure Messaging
Verfahren. Das ist ein Verfahren aus dem

ISO-Standard aus dem ISO-Smartcard-
Standard und ist in diesem Fall wirklich

eine symmetrische Verschlüsselung mit AES
und einem anschließenden MAC. Das heißt,

sie haben wirklich echtes Ende-zu-Ende.
Zwischen den Krankenkassenserver und der

Karte, das heißt die Daten werden wirklich
erst auf der Karte auf dem Sicherheitschip

entschlüsselt. Gucken wir uns die zweite
Anwendung an: Kommunikation

Leistungserbringer, kurz KOM-LE. Und was
wir hier haben, ist eine sichere Email-

Kommunikation zwischen den
Leistungserbringern, also beispielsweise

Ärzte oder Apothekern. Das Ganze basiert
auf Zertifikaten, das heißt, ich habe

diesen Adressdienst, den LDAP-Server. Dort
sind dann die Ärzte später, also nächstes

Jahr irgendwann, das startet bald. Haben
wir diese die registrierten E-Mail-

Adressen der Ärzte samt Zertifikaten und
Public Keys, das heißt als Arzt oder

Apotheker oder Psychotherapeut kann ich
später einfach jeden Arzt suchen, den ich

anschreiben möchte und ihm dann
verschlüsselt und signiert die Daten

zukommen zu lassen, also die Email. Wenn
man sie jetzt anschaut PGP oder S/MIME ist

ein bisschen anders, weil hier hat man
sich überlegt: Okay, wir wollen im Betreff

auf jeden Fall mit sichern und wir wollen
auf jeden Fall moderne Krypto, das heißt

wir wollen wirklich auch MAC dabei und
deshalb haben sie überlegt, man macht das

Ganze noch ein bisschen anders. Man nimmt
im Betreff mit in die Krypto mit rein und

nutzt auch AES-GCM. Wenn man sich jetzt
S/MIME nochmal in Erinnerung ruft oder

PGP, dort haben wir halt kein GCM und
haben dann meistens CBC mit einem MAC oder

sowas ähnliches bei PGP. Und wenn man sich
jetzt noch 1 Jahr zurückerinnert, Efail

war ein großes Problem oder ist auch noch
ein großes Problem. Das haben wir hier gar

nicht. Das ist hier rausgenommen, weil wir
halt eine andere Krypto haben. Im Genauen

sieht so aus, wir haben hier links den
Client, dass kann der Thunderbird sein

oder Outlook oder auch das
Praxisverwaltungssystem vom Arzt, wo dann

per Klick einfach Röntgenbilder
verschicken kann beispielsweise und die

Originalnachricht. Diese sehr
schützenswerte Nachricht wird dann

verpackt in eine neue Nachricht und die
die Originalnachricht, die dann gekapselt

wird, die wir verschlüsselt und signiert
und zwar in der Praxis. Jetzt steht hier

die dezentrale Plattform. Das ist der
Konnektor, das heißt in der Praxis an sich

wird das Ganze eingepackt und dann über
den Email-Server zum Arzt hingeschickt.

Also auch hier haben wir eine echte Ende-
zu-Ende Verschlüsselung zwischen einer

Praxis und der Praxis Empfänger zwischen dem
einen Konnektor und dem anderen Konnektor.

Dann kommen wir zu dem ePA. Das ist die
elektronische Patientenakte und das soll

so das Meisterstück werden. Es soll quasi
die Killeranwendung in der TI werden. Was

haben wir hier? Wir haben eine freiwillige
patientengeführte Akte. Freiwillig heißt,

es ist ein echtes Opt-in als Patient muss
ich zu meiner Versicherung hingehen und

sagen: Ich möchte die ePA haben. Ich
möchte das Antragsformular haben und muss

anschließend nochmal zum Arzt gehen oder
eine Karte stecken, um das zu bestätigen.

Und es ist patientengeführt, das heißt
der Patient muss dem Arzt explizit

einwilligen, dass er dort Zugriff hat. Es
wird auch keine Leere ePA erstellt oder

ähnliches für die Patienten. Sie wird
wirklich erst beim Arzt erstellt und der

Zugangsschlüssel auch erst beim Arzt
freigegeben, für diesen einen Arzt. Das it

zeitlich limitiert, kann man sagen 7 Tage
bis zu 18 Monate geht's. Und weil es

patientengeführt ist, kann der Patient
selber Daten lesen. Da kann er was

schreiben. Kann beispielsweise ein
Krankheitstagebuch führen? Er kann aber

auch Sachen löschen, das heißt falls er
mal den Psychotherapeuten Zugriff gegeben

hat und er dort eine Diagnose reingestellt
hat und man möchte jetzt, ein Jahr später,

das raus haben, kann der Patient das
löschen. Das heißt natürlich auch ein Arzt

kann sich nicht darauf verlassen, dass
wirklich alle Daten drin sind. Das muss

man wissen, dass es einen
patientengeführte Akte. Ist quasi wie

heute, wo ich meine Auskünfte vom Arzt
sammeln kann, per CD, DVD oder per Brief

oder Post. Hier kann ich es digital
speichern. Die Daten liegen dann bei dem

patientengewählten Dienstleister, also
einer dieser privatwirtschaftlichen

Hersteller, nicht auf der eGK, auch nicht
bei der Krankenkasse udn sie werden beim

Arzt verschlüsselt oder im Handy. Jetzt
haben wir ein Problem. Wir haben gute

Krypto. Was passiert denn, wenn der
Schlüssel verloren geht? Die erste Idee

war, man kann den Schlüssel speichern auf
der eGK. Da er relativ fest. Da kann man

ihn nicht exportierbar markieren. Das
kriegen wir gut hin, aber wenn die Karte

verloren geht, was anscheinend relativ
häufig passiert, dann haben wir das

Problem, dass die ePA wertlos ist. Die
Daten werden weg, das selbst geschriebene

Buch wäre weg und ich müsste zu allen
Ärzten wiederum und die Daten wieder

sammeln, wenn ich diese ePA nutzen möchte.
Jetzt kommt die Lösung dieses Schlüssel-

Backup. Das haben wir vor zwei Tagen schon
mal kurz gehört, oder wer dabei war beim

Talk. Der Aktenschlüssel wird genauso
hochgeladen wie die ePA. Da denkt man

natürlich: Okay, das klingt gefährlich.
Deswegen hat man den Schlüssel noch einmal

verschlüsselt. Das sieht jetzt hier so
aus. Das kann man am besten nochmal

nachlesen. Die Spezifikation liest sich
sehr gut, es ist relativ gut erklärt. Aber

im Grunde genommen geht es so, dass der
Client, also beispielsweise die Handy-App

lädt sich dann vom
Schlüsselgenerierungsdienst 1 einen

Schlüssel und vom SGD 2 auch nochmal und
verschlüsselt diesen Masterschlüssel und

damit wird die ePA dann verschlüsselt und
mit diesem Masterschlüssel der wird auch

nochmal verschlüsselt. Und zwar zweimal
mit Key 1 und 2. Zweimal, weil wir haben

SGD 1 und 2 sind strikt getrennt,
personell, juristisch zwei Firmen, auch

nicht der gleiche Konzern, auch nicht die
gleichen Administratoren. Man möchte hier

ein bisschen so eine Art Knowledge sharing
oder das Secret sharing einführen, dass

ich nicht als einzelner Angreifer, quasi
die ePA rausholen kann, das heißt das

sieht dann so aus: Wenn wir einen
Angreifer haben, ohne Autorisierung.

Nochmal zurück, 2 Tage. Wir haben bei der
Autorisierung ein Problem. Technisch ist

es aber so, ich bräuchte jetzt ein Key-
Backup. Ich bräuchte die verschlüsselte

ePA und dann müsste ich halt die beiden
Schlüssel vom SGD 1 und 2 mir irgendwie

besorgen, das heißt hier hat man versucht,
eine nutzbare Möglichkeit zu erschaffen

vom ePA, das auch falls der Schlüssel mal
verloren geht, das sie trotzdem noch

ankommen, aber das die Sicherheit
möglichst hoch zu haben. Weiterer

Knackpunkt ist die App. Das heißt, der
Patient soll ja über sein Smartphone die

ganzen Sachen steuern können. Hier wird
der Hersteller auditiert und zugelassen,

wie wir es am Anfang gesehen haben mit
einer Common Criteria Überprüfung.

Allerdings es wird nicht jedes Update
nicht neu zertifiziert. Ist der Hersteller

einmal zertifiziert und zugelassen, kann
er weitere Updates quasi in dem Google

Play Store reinpushen, ohne dass diese neu
zertifiziert werden müssen. Die Hersteller

mussten Erklärung abgeben, er hat alles
gut getestet, aber es wird nicht von einer

unabhängigen Stelle überprüft, das heißt
hier muss noch mal nachgucken, in der

Praxis. Wie sieht das aus? Wir haben ja
letztes Jahr gesehen auf dem 35C3

Gesundheits-Apps sehen nicht immer ganz
gut aus. Da bin ich mal gespannt, wie die

Updates aussehen. Jetzt bin ich neben
meiner Arbeit an der FH Münster, betreue

ich noch eine kleine Zahnarztpraxis IT-
Technik mit, das heißt ich habe das Ganze

auch live gesehen und weiß wie es so
abläuft manchmal. Oftmals ist es wirklich

unverschlüsselt, man arbeitet viel mit
Faxen. Röntgenbilder werden meistens per

Email verschickt und das ist oft
unverschlüsselt. Seit der DSGVO Einführung

da gab es relativ viele Diskussionen: Was
kann man machen? Da gibt es ein paar

Empfehlungen, teilweise von den
Zahnärztekammer, das ist ein CryptFile

oder CryptShare, die haben aber auch so
ein paar Probleme. Bei CryptFile ist die

Usability nicht so toll. Bei CryptShare
habe ich das Problem: Ich muss meine Daten

im Klartext auf einem Server schicken,
wieder außerhalb der Praxis, das heißt

hier DSGVO auch mindestens bedenklich.
Gucken wir weiter, wenn man noch so

Empfehlung, sich heraussucht hier aus dem
Handbuch von CryptFile. Was soll man

machen? Man muss ein Passwort wählen. Dann
verschickt man die verschlüsselte Datei

per E-Mail und soll dann eine zweite Email
hinterher schicken mit dem Klartext-

Passwort. Dann kann man sich dies auch
sparen. Diese Sicherheitsmodell, dass der

Angreifer nur eine E-Mail kriegt. Ich weiß
nicht, ob das so valide ist. Was passiert,

wenn ich jetzt die Praxis anschließen
möchte? Ich brauche Kartenterminal. Dann

lese ich das Handbuch und dann sehe ich
so, dass um das Gerät im Umkreis von einem

Meter darf keine Kamera sein, kein
Festnetztelefon, auch kein Mobiltelefon.

Und da überlegt man sich jetzt. Später
soll der Patient ja auch die Pin

eintippen, das heißt er muss aufpassen,
dass das Smartphone mindestens einen Meter

weit weg ist und sich so ein bisschen
verrenkten, damit das wirklich im

zugelassenen Betrieb läuft. Weiterhin darf
ich natürlich nicht zu nah an einer Wand

das Gerät aufstellen, weil dahinter könnte
eine EM-Sonde sein und die

elektromagnetische Abstrahlung
herausfischen und durch

Seitenkanalangriffen die PIN rauskriegen.
Dann betreibe ich das Gerät. Ich habe also

meinen sicheren Standort gefunden und muss
dann vor Inbetriebnahme, das heißt morgens

und auch nach dem Mittagessen nochmal kurz
mein Gerät überprüfen, das heißt in die

Hand nehmen, schauen ob es irgendwelche
neuen Löcher drin sind, oder sowas, ob da

ein Angreifer in der Mittagspause ein Loch
reingebohrt hat und Geräte manipuliert

hat. Ich muss die Siegel überprüfen. Das
Gerät hat 3 Siegel. Ich habe mir natürlich

vorher alle Siegelnummern auf meine Liste
geschrieben und kontrolliere die.

Anschließend öffne ich dann meine
Schreibtischschublade, hole meine UV-

Schwarzlichlampe raus und überprüfe die
ganzen Siegel, ob ich diese Hologramme

auch alle sehen kann. Ich habe mal ein
bisschen rumgefragt. Ich habe einfach

keinen Arzt gefunden, der das wirklich
macht. In der Praxis wird das alles ...

funktioniert so nicht. Das sind hier diese
4 Seiten Allgemeine Regeln und

Anforderungen. Die muss man alle natürlich
gut beachten. Das ist allerdings leider

natürlich realitätsfremd. Zur
Erklärung das Ganze kommt aus diesem

Common Criteria Schutzprofil. Wir haben
hier die Stufe 5 bei dem Angriffspotenzial

und das ist auch die höchste Stufe, das
heißt sie haben ein Angreiferpotenzial,

irgendwo kurz unter Geheimdienst. Kann man
sich überlegen, ob das wirklich der

leichteste Angriff ist. Ob ich mit der EM-
Sonde durch die Wand, ein Meter weiter die

PIN abfische oder ich frag mal kurz den
Arzt oder jemand aus dem Praxis-Team, ob

das nicht schneller geht. Wahrscheinlich
nähmlich. Dann habe ich dem VPN-Konnektor,

den muss ich mir auch in meine Praxis
stellen. Da gab es dieses Jahr auch viele

Diskussionen über diesen Anschluss. Da
gibt es seriell, das heißt ich steckten

VPN-Konnektor zwischen meiner Praxis und
dem Internetanschluss. Wenn ich Internet

haben möchte, geht das auch noch über die
gestrichelte Linie hab ich so

eingezeichnet. Das geht dann über den
sicheren Internetzugang, das heißt der

VPN-Zuganganbieter bietet mir ein Internet
an. Allerdings geht das dann natürlich

durch den VPN-Dienst nochmal durch, das
heißt wenn ich das so mache, habe ich

meinen kompletten Internet-Traffic einmal
durch, beispielsweise arvato Bertelsmann,

nun mal durchgeroutet. Kann man machen,
sollte man sich mal überlegen, ob man das

wirklich machen möchte. Andere Möglichkeit
ist, ich habe das parallele

Installationsmodell. Ich habe meine
Praxisnetzwerk ganz normal wie immer,

Internet und ich habe den VPN-Konnektor
parallel angeschaltet, das heißt die TI-

Anfragen gehen durch den VPN-Konnektor.
Die normalen Anfragen ans Internet gehen

hingegen parallel. Diese beiden
Möglichkeiten gibts im Grunde genommen.

Der Anschluss selber läuft meistens durch
den sogenannten Dienstleister vor Ort. Es

gab einen vertraulichen Bericht dieses
Jahr von der Gematik. Dort wurde gesagt 90

Prozent der Praxen sind parallel
angeschlossen. Wenn man das Google 90

Prozent Telematik Gematik findet man gerne
90 Prozent der Arztpraxen sind unsicher

angeschlossen. Möchte ich auch kurz
erwähnen, weil das ist nicht automatisch

unsicher, wenn ich sowieso schon ein
Netzwerk habe, was im Internet drin ist.

Ich habe eine gute Firewall. Ich habe mir
Gedanken gemacht und ich habe ein paar

Dienste. Ich hab einen Email-Client zum
Beispiel. Dann bin ich eventuell im

Internet und dann möchte ich den Konnektor
anschließen. Dann würde ich persönlich

auch parallel machen. Ich möchte nicht
meinen kompletten Traffic einmal über

arvato routen, wenn ich eh schon Internet
habe. Problem ist allerdings, wenn ich die

Praxis noch nicht am Internet habe, dann
habe ich wirklich Probleme und wenn dann

so ein externer Dienstleister kommt und
der wird meistens pauschal bezahlt, das

heißt er möchte schnell wieder raus aus
der Praxis?. Der wird sich nicht viele

Gedanken machen. Der stöpselt das Gerät
parallel ein und verschwindet wieder und

was bleibt, ist dieses Netzwerk, das nie
im Internet war, plötzlich im Internet

drin ist, das heißt das ist wirklich
problematisch. Aber diese 90 Prozent sind

nicht per se unsicher. Aber was passiert
denn, wenn der DVO da ist? Nun der hat ein

Technikerhandbuch, dass geht er durch.
Guckt sich seine Beispielkonfiguration an

und das erste oder das elfte was er macht
ist dann TLS und Authentifizierung

ausschalten, weil das macht ja nur
Probleme. Da steht halt so live in diesen

vertraulichen Technikerhandbuch drin, ist
aber nur zur LAN-Seite, aber trotzdem

immerhin. Warum macht man es pauschal aus?
Wenn es drinsteht, wird es der Techniker

machen! Anschließend. Es gibt noch einen
akustischen Pinschutz, dass ist auch

wieder so Geheimdienstniveau. Das Gerät
rauscht wie Hulle, wenn ich es anmache,

wenn ich eine PIN eintippen muss. Das wird
erst einmal ausgemacht. In Absprache mit

dem Arzt. Der Arzt wird sagen: Ich habe
keine Ahnung! Was machst du da? Mach doch

einfach! Ist ja ganz schön laut, mach's
aus! Gucken wir wieder ins Handbuch. Ja,

das darf ich. Kann ich machen. Ich arbeite
dann gegen die Spezifikation. Noch kurz

ein, zwei Punkte zu der TI in der
Öffentlichkeit. Dieses Jahr war die

Telematikinfrastruktur relativ häufig
dort. Was haben wir gesehen? Zum Beispiel

haben wir diesen ZDF Zoom-Beitrag gesehen.
Was dort passiert ist oder was dort

gemacht wurde, das war ein Szenario. Ich
hätte einen Trojaner auf dem Praxissystem

und dann wurde gezeigt, wenn der Trojaner
auf dem Praxissystem ist, dann kann ich

die Stammdaten von der elektronischen
Gesundheitskarte mitlesen. Da frage ich

mich aber wenn nicht ein Trojaner auf dem
Rechner habe, habe ich das sowieso

eigentlich Zugriff auf das
Praxisverwaltungssystem und dann sind die

paar Stammdaten nicht mehr so richtig
relevant, meiner Meinung nach und vor

allem anschließend wurde noch behauptet,
ab 2021 werden auch noch alle Befunde

aller Ärzte auf der eGK Karte drauf und
auch das ist nicht ganz richtig. Was ich

hiermit ausdrücken möchte ist, wir sollten
eine faktenbasierte Diskussion haben. Wir

sollten das diskutieren. Wir haben
Probleme gefunden oder es wurden Probleme

aufgedeckt, keine Frage, aber es sollte
ein bisschen Korrekter laufen. Andere

Sache ist. Ich habe ja schon gesagt, es
gibt weitere Vernetzungsprojekte. Hier ist

der MEDIVERBUND genannt. Die haben auch
eine Klage am Laufen und haben relativ

viele Pressemitteilungen und Interviews
gegen die TI und sagen Vieles ist unsicher

und sprechen sich auch explizit gegen
diese zentrale Datenspeicherung aus, das

heißt diese ePA, dass das bei einem
Dienstleister ist, verschlüsselt hin oder

her. Man sollte zentrale Datenspeicherung
nicht machen, sagen sie. Das hat der

MEDIVERBUND, genau das ist auch
freiwillig, ich finde es auch gut. Ich

wünsche mir eine ePA, wo ich freiwillig
das dezentral speichern könnte, auf

meinem Gerät selber, aber okay.Der
MEDIVERBUND sagt: Zentrale

Datenspeicherung geht nicht. Hat
allerdings ein eigenes

Hausärztevernetzungsprogramm und sagt: Wir
speichern die Daten auch zentral. Hier

möchte ich sagen, dass ist ein bisschen
irreführend. Man kann nicht auf der einen

Seite sagen, man darf nicht machen,
zentral auf der anderen Seite es aber

selber machen, das heißt man muss auch
immer gucken, wenn Kritik kommt, wo kommt

die her, von welcher Seite.Vielleicht gibt
es noch andere Beweggründe. Das ist jetzt

mein Fazit zu der Telematikinfrastruktur.
Ich finde, der Anschluss, der muss

wesentlich besser spezifiziert werden. Da
gibt es Probleme. Es kann nicht sein, dass

ein Techniker eine Stunde hinfährt und
irgendwas reinstöpselt und wegfährt und

alles ist gut. Das funktioniert nicht, das
haben wir gesehen. Das muss nachgebessert

werden. Das Problem ist: Wir haben jetzt
schon 120.000 Praxen dran, das heißt wir

hätten hier einmal die super Chance
gehabt, alle deutschen Praxen auf ein

hohes Sicherheitsniveau zu heben. Wir
hätten was Verpflichtendes machen können.

Irgendwelche dokumentierten Vorabanalysen,
die einfach ausgeführt werden müssen. Das

haben wir verpasst. Es gab irgendwelche
Techniker, die haben dann 10 Stunden

Schulung bekommen. Ich habe gehört,
teilweise waren die Schulungen auch mehr

eine Verkaufsshow statt einer Schulung.
Und da steht wir nun mit teilweise

schlecht angeschlossenen Praxen oder
zumindest, wo die IT-Sicherheit verbessert

hätte werden können. Was man auch machen
muss. Man muss die Ärzte besser reinholen,

auch ins Boot. Die Spezifikationen haben
wir gesehen, dieses Kartenterminal, das

funktioniert in der Praxis nicht und wer
sowas ins Handbuch reinschreibt. Das

funktioniert nicht, das ist irreführend.
Und auch wenn man den Arzt mit ins Boot

holt und ihn überzeugt, wird er auch die
Patienten überzeugen. Daher frage ich

mich, warum man das so macht. Warum man
nicht besser mit den Ärzten das irgendwie

abspricht. Persönlich würde ich mir mehr
Transparenz wünschen. Es gibt zum Beispiel

von der Gematik so ein Sicherheitsbericht.
Wer den gelesen hat, oder wer mal rein

schaut, der ist relativ dünn. Da sind 10
PDF-Seiten. Dann kommt da noch ein

bisschen Impressum, Inhaltsverzeichnis und
effektiv kommen wir da auf 6 Seiten mit

mehr als ein bisschen: Ja, es ist alles
sicher. Wenn alles sicher ist, hätte ich

gerne, zum Beispiel die Pentest-
Ergebnisse. Die gibts. Die könnte man

nochmal veröffentlichen. Als Schlußphase
würde ich sagen: eHealth das werden wir

nicht aufhalten können. Das wird digitaler
werden, auch in einer Arztpraxis. Niemand

möchte mehr Röntgenbilder verschicken oder
zumindest wäre es leichter, wenn sie

digital verschickt werden. Ich persönlich
möchte es auch nicht, nicht überall

aufhalten. Ich möchte es aber so sicher
wie möglich machen, das heißt wir sollten

gucken wie ist der Stand der Technik, wie
ist Stand der Prozesse. Passt das so? Was

müssen wir verändern? Warum haben wir die
Zentrale ePA? Kann man das nicht

vielleicht noch freiwillig dezentral
machen? Das heißt, wir sollten als

Community die Sachen anschauen und so
sicher wie möglich machen. Damit vielen

Dank.

Applaus

H: Dankeschön, Christoph! Jetzt haben wir
viel erfahren über ein Thema, was uns alle

im Alltag betrifft. Wir haben alle so eine
Gesundheitskarte in der Tasche. Ich bin

mir sicher, es gibt einige Fragen. Bitte
wer aus dem Auditorium eine Frage stellen

möchte, stellt sich an den Saalmikrofonen
an. Ich rufe die dann auf und in der

Zwischenzeit werden wir unseren Signal
Angel nach einer Frage aus dem Internet

befragen.
Signal Angel: Gibt es bei der TI eine Art

lawful interception bzw. kommt
Sicherheitsbehörden an Patientendaten oder

die ePA ran?
C: Ich spreche immer nur über die aktuelle

Spezifikation, was in der Zukunft ist,
weiß man natürlich nicht. Gesetze können

sich ändern, keine Frage, aber aktuell ist
es nicht so. Die ePA, also ich denke, die

Frage zielt auf die ePA ab. Ist wirklich
so spezifiziert, dass nur der Patient ran

kann und nur der Patient die Freigaben
erstellen kann. Auch dieser

Schlüsselgenerierungsdienste haben
dedizierte zertifizierte HSMs drin. Der

Schlüssel ist nicht per se exportierbar,
er ist exportiertbar, damit er gebackupt

werden soll. Aber auch dieser
Schlüsselexport von diesen HSMs ist auch

noch mal gekoppelt mit Shamir Secret
Sharing Schema, das heißt es ist nicht

spezifiziert, dass es eine lawful
interception gibt.

H: Mikrofon 6, dahinten, bitte!
Mikrofon 6: Was mir dabei immer nicht so

ganz klar ist. Wird nicht der Arzt als
allererstes die Daten in sein internes

Praxissystem übernehmen? Und wie ist das
dann, wenn ich meine, wenn ich die

Zustimmung zurücknehmen, später?
C: Wenn ich die Zustimmung erteile, kann

der Arzt natürlich die Daten einsehen und
kopieren. Wenn ich die allerdings später

zurücknehme von der ePA, kann es sein,
dass die Daten noch beim Arzt sind, das

stimmt, das heißt das muss man sich vorher
bewusst machen, dass man die Daten

wirklich freigibt und der Arzt sie
kopieren kann.Selbstverständlich kann man

auch auf Grund der DSGVO mit dem Arzt
reden, dass er eventuell die Daten

korrigieren kann oder korrigieren muss,
wenn sie falsch sind. Aber ja, die Daten

können kopiert werden.
H: Dankeschön. Mikrofon 7, hier außen.

Mikrofon 7: Danke für den Talk. Eine Frage
zu den VPN-Appliances, die dann aber jedem

Arzt stehen sollen. Wie sieht das aus
bezüglich Backups und

Konfigurationsupdates und Firmware-
Updates. Also wir hatten da ja letztens

den Fall bei der Telekom, wo die paar
Ports übersehen wurden, nicht das durch

... ist da eine Spezifikation vorgegeben?
Kommt das zentral aus der

Telematikinfrastruktur die Updates und
Konfigurationsverwaltung oder wird das

Lokal von dem Dienstleister gemacht?
C: Die Updates für die Geräte wie dem

Kartenlesegerät und dem Konnektor können
zentral eingespielt werden. Es ist nicht

so, also sie können nicht verpflichtend
eingespielt werden. Die Gematik kann es

nicht pushen und der Hersteller auch
nicht. Man muss immer noch lokal vor Ort

auf Okay drücken. Das macht im Zweifel der
Arzt selber oder auch der DVO vor Ort, je

nachdem, was man für Service-Agreement-
Verträge hat, man kann die Daten

allerdings auch wirklich aus der TI
runterladen, das heißt man kann das

durchklicken auf der Konnektoroberfläche
und die kommt dann rein. Bei dem Konnektor

ist es so, dass die Updates auch
zertifiziert werden müssen. Ich hoffe,

dass beantwortet die Frage.
Mikrofon 7: Ja, danke.

H: Die nächste Frage
vom Signal Angel bitte.

S: Mit Blick auf das IT-Knowhow und der
aktuellen demographischen Situation. Wie

ist denn so die erwartete Nutzung in
Prozent, bei der elektronischen

Patientenakte?
C: Gute Frage. Persönlich denke ich, dass

natürlich eher die Jüngeren nutzen werden.
Ich weiß es allerdings. Ich kann es auch

nur schätzen. Ich weiß jetzt keine Zahlen.
Es gibt vorab mal Vorabfeldteststudien,

die hab ich jetzt aber nicht im Kopf, die
Zahlen, wie die vermutete Nutzung ist.

H: Mikrofon 8 bitte.
Mikrofon 8: Danke für den Talk. Wie sieht

es denn aus, wenn ich sagen würde: Ich
schreib mir halt meine ePA-App selbst?

Oder da gibt's ein Open-Source-Projekt. Es
kompiliere ich mir und ich übernehme

selbst Verantwortung dafür. Ist das
vorgesehen? Muss ich mich denn

zertifizieren lassen? Muss das Projekt
sich irgendwie zertifizieren lassen?

C: Das ist nicht vorgesehen, dass man es
selber machen kann. Das ist nur durch die

Herstellerzulassung, durch die Gematik und
dem BSI vorgesehen. Ich brauche diesen

Zugang zur TI und den krieg ich nicht ohne
diese Zulassung, das heißt, ich muss dann

zur Gematik hingehen und die wollen dann
natürlich die Common Criteria-Überprüfung

haben. Das wird auf jeden Fall aufwendig
und das kostet jede Menge Geld. Es ist

nicht vorgesehen, dass man
Open-Source Tools nutzen kann.

Mikrofon 8: Danke.
H: Mikrofon 3 bitte.

Mikrofon 3: Vorhin wars vorgegeben mit
besserer Krypto für E-Mail. Wer kann denn

die nutzen? Wie kann ich mit
meinem Arzt das verwenden?

C: Das ist aktuell nicht für den Patienten
vorgesehen. Ist wirklich nur eine

Kommunikation Leistungserbringer, das
heißt die Ärzte können untereinander z.B.

Arztbriefe austauschen. In einer
Zahnarztpraxis sind es häufig

Röntgenbilder. Die werden kurzfristig
telefonisch angefordert, weil der Patient

gerade als Notfall da ist oder ein Arzt
gewechselt hat. Und dann, in dem Fall,

können die Ärzte untereinander
kommunizieren. Für Patienten ist es gar

nicht vorgesehen. Das könnte vielleicht
sich irgendwann mal öffnen. Ich finde es

begrüßenswert. Allerdings ist es nicht
vorgesehen, mit dem Patienten zu

kommunizieren, über KOM-LE.
Mikrofon 3: Okay.

H: Mikrofon 1, hier vorne bitte.
Mikrofon 1: Ich habe 2 Fragen. Und zwar:

So, wie ich das verstanden habe, ist das
ja doch nicht für alle, sondern

letztendlich für die gesetzlich
Versicherten, das heißt ich habe keine

Möglichkeiten privatversicherten Daten
darüber zu schleifen. Und die zweite Frage

ist: Was passiert, wenn ich aus
irgendeinem Grund eine Verwechslung der

Karte habe? Also spricht der Klassiker
irgendwie, Oma im Demenzheim stürzt und

kommt ins Krankenhaus, ist nicht befragbar
und wird dort zugeordnet. Kriege ich dann

irgendwo einen riesen Daten Mischmasch,
den nachher keiner mehr auseinander

klamüsern kann, weil er keine
Zugriffsrechte hat?

C: Also zu Frage 1: Die privaten Kassen
sind, ich glaube es war 2009 aus dem

Projekt ausgestiegen. Am Anfang waren sie
dabei, sind dann ausgestiegen. Aktuell

gibt es so langsam wieder
Annäherungsversuche und es wird gesprochen

darüber, dass die Privaten wieder mit ins
Boot kommen. Das wird man sehen, wie es

läuft. Aktuell ist es nicht spezifiziert
oder vorgesehen. Technisch gesehen ist es

definitiv machbar, diese Karten auszugeben
für Private. Ob das kommt, muss verhandelt

werden. Zur zweiten Frage: Wenn die Karte
natürlich falsch zugeordnet wird und im

Praxisverwaltungssystem die Karte gesteckt
wird und das mit einem falschen Patienten

verknüpft wird, dann kriege ich ein Daten
Mischmasch klar, dann werden die Daten

falsch zugeordnet. Also hab ich den
Zugriff zur ePA zum Beispiel, wenn die

Frage darauf zukommt. Kann ich dort
natürlich auch fehlerhafte Berichte

hochladen oder Berichte von anderen
Leuten. Da gibt es keine Kontrolle.

Niemand kontrolliert, ob das
zusammenpasst.

Mikrofon 1: Genau kann ich es zurückholen?
C: Als Patient kann ich es, kann ich es

auf jeden Fall löschen.
Mikrofon 1: Der Patient kann das nicht,

der ist aus dem Pflegeheim.
C: Es gibt auch noch einen Vertreter, aber

wenn der Patient sich kann, muss er die
Freigabe geben, das heißt er muss ja erst

einmal aktiv drauf hingehen und sagen: Der
Arzt darf jetzt zugreifen. Es gibt da eine

Vertreterregelung, dass ich im Vorderbein
sagen kann Okay, Vertreter X, mein Sohn

zum Beispiel, meine Tochter darf darüber
verwalten und ob der Arzt jetzt seine

eigenen Sachen wieder löschen darf, müsste
ich nachgucken. Kann ich nicht auswendig

sagen.
Mikrofon 1: Okay. Danke.

H: So wir haben noch 5 Minuten Zeit. Ich
sehe 6 Leute an Mikrofonen. Also Fragen

bitte etwas kürzer diesmal.
Nummer 4 vier, hier vorne.

Mikrofon 4: Vielen Dank für den Vortrag.
Ich hätte gerne ein paar motivierende

Worte, warum man das Ganze überhaupt
weiterverfolgen soll? So vor 15 Jahren.

Ist es als Berater ... hat das schon mal
irgendwie meinen Weg gekreuzt. Ich bin

selber Patient, brauch regelmäßig
irgendwelche teuren Medikamente und

wusste, dass neulich alles wieder analog,
als ich in Berlin das Medikament brauchte

und der Arzt in Hamburg war bekommen. Und
wenn ich dann sehe wer beteiligt ist, seit

15 Jahren dadran, dann ist das Ganze doch
wirklich ein gigantisches totes Pferd, was

Milliarden verschlingt, oder? Jetzt von
deiner Seite: Vielleicht hast du noch mal

ein paar motivierende Worte. Wird dabei
irgendwas Nützliches rauskommen oder wird

es einfach vergammeln, das tote Pferd?
C: Also ja, es ist je nach Schätzung

zwischen 1,5 Milliarden und 3 Milliarden,
hat es schon so verschlungen diese 15

Jahre Projekt. Das liegt unter anderem
dadurch durch wechselhafte Anforderungen,

durch eine blockierende
Gesellschafterversammlung bei der Gematik,

aber auch durch die Politik.
Beispielsweise, ich glaube, es war unter

Rösler, gab es so 2 Jahre quasi Stopp der
Entwicklung. Danach ist er wieder

angefahren. Das verzögert sich dadurch
natürlich auch. Jens Spahn möchte es

vorantreiben. Motivierende Worte: KOM-LE.
Wie gesagt, aktuelle Kommunikation,

unverschlüsselte Emails und verschiedene
Insellösung. Das ist so das Ding, worauf

ich warte, persönlich als
Datenschutzbeauftragter, weil das klingt

gut, klingt praktisch. ePA. Ich finde es
gut, wenn die Patienten selber Einblick

kriegen in ihre Daten und auch ein
bisschen leichter. Wer es einmal probiert,

hat beim Arzt sich so Sachen rausgeben.
Ich hatte da manchmal Probleme, mit

vollständigen Daten zu kriegen, wenn das
irgendwie spezifiziert ist, finde ich es

gut. Es muss nicht von mir aus so eine ePA
sein. Wie gesagt dezentrale, leichte

Möglichkeiten wären auch möglich.
Hauptsache, es passiert irgendwie. In den

letzten Monaten oder Jahren geht es aber
schon schneller voran. Meine Sichtweise

und ich hoffe, jetzt fährt das Ganze so
richtig los und hoffentlich auch so sicher

wie möglich, da heißt da muss man auch
definitiv daran arbeiten, wir gesehen

haben.
H: Dann noch eine Frage vom Signal Angel.

Signal Angel: Die Daten liegen also
verschlüsselt bei privaten Anbietern. Für

wie viele Jahre ist die gute Krypto denn
noch als gut anzusehen? Sind Leaks der

verschlüsselten Daten auszuschließen, die
später möglicherweise entschlüsselt werden

können? Besteht nicht die Gefahr, dass mit
zunehmender Rechenpower die Krypto in

einigen Jahren geknackt werden kan?
C: Das besteht immer, also 100 Prozent

Sicherheit gibt es natürlich nicht. Wir
haben aktuell AES256. Jetzt kann man

darüber spekulieren, ob das irgendwann
gebrochen wird oder nicht. Die ePA soll

eine lebenslange Akte werden. Es wird aber
mit dem nächsten Release auch so

vorgesehen, dass die ePA regelmäßig
umgeschlüsselt wird und mit diesem

Verfahren kann man auch den Algorithmus
wechseln, das heißt man könnte in folgende

Spezifikation, wenn man sieht, hier gibt
es einige Angriffe auf AES, könnte man

umswitchen auf ein anderes
Verschlüsselungsverfahren. Das es möglich,

das wird gerade gemacht. Es wird gerade
von RSA auf ECC umgeswitcht. Klar, wenn es

einen aktuellen Sicherheits-Breakthrough
gibt, beim AES, dann sind meine Daten

natürlich dann lesbar, wenn ich jetzt
plötzlich durch einen neuartigen Angriff

AES knacken kann, komme ich ran. Ja.
H: Dann Mikrofon 3, bitte.

Mikrofon 3: Der Arzt hat die Verantwortung
für die Daten, die bei ihm anfallen, also

im Grunde die Schweigepflicht. Wie bringe
ich jetzt oder wie kann ein Arzt daran

vertrauen, dass dieses System, in der er
Daten eingibt, auch sicher ist?

C: Rechtlich ist es so, ich bin kein
Jurist, allerdings ist es ja so, dass der

Patient die Freigabe machen muss, das
heißt der Arzt kann sich darauf berufen,

dass der Patient mir die Freigabe gemacht
hat. Ich denke, von daher ist es rechtlich

dadurch sicher, aber ich bin jetzt kein
Jurist. Wie kann man sich darauf

versichern? Das ist wie bei allen Sachen.
Er kann sich natürlich nur die

Spezifikation angucken oder den
Beteuerungen Glauben schenken. Er kann es

schlecht überprüfen wo seine Daten
hingehen. Der tippt die Sachen da ein und

dann werden die hochgeladen. Es ist wie
bei allen IT-Prozessen. Was genau im

Hintergrund steht, ist natürlich schwer
nachzuprüfen von Ihnen persönlich. Dafür

ist die Forschergemeinde, Zertifizierung
zuständig und das möglichst sicher zu

machen.
H: Mikrofon 7.

Mikrofon 7: Vielen Dank für den Vortrag
und vielen Dank auch für das Aufzeigen der

Fehlern im ZDF Bericht. Meine Frage geht an
dieses Technikerhandbuch wo du gezeigt hast,

dass das TLS ausgemacht werden soll. Von
wem ist dieses Technikerhandbuch? Das ist

doch weder von der Gematik wahrscheinlich,
noch vom Hersteller? Wahrscheinlich gibt

es sehr viele Varianten. Wer hat das
geschrieben und an wen richtet sich die

Kritik?
C: Das ist ein vertrauliches

Technikerhandbuch. Ich habe es so bekommen
von jemandem. Ich möchte lieber nicht

sagen, es ist ein großer Hersteller, der
Geräte vertreibt und der hat

entsprechenden DVOs unter seinen Verträgen
hat und die DVOs arbeiten dann in seinem

Namen oder für ihn als Subunternehmer. Und
stellen das dann so ein wie es im

Technikerhandbuch im Zweifel steht. Also
es ist ein großer Hersteller, der die

Technikerhandbücher rausgebracht hat für
seine eigenen Leute.

Mikrofon 7: Also war es Eines von
mehreren.

C: Eines von mehreren. Na ja, genau. Es
gibt verschiedene Firmen, verschiedene

Schulungen verschiedener
Technikerhandbüchern. Eins von mehreren.

Mikrofon 7: Danke
H: Damit ist unsere Zeit um für diesen

Vortrag. Es sind leider nicht alle dazu
gekommen, ihre Fragen zu stellen. Kommt

dann vielleicht nochmal nach vorne.
Ansonsten danke ich für eure

Aufmerksamkeit. Danke, dass ihr gekommen
seid und wir verabschieden Christoph

nochmal mit einem Applaus zum Ende.

Applaus

Abspannmusik

Untertitel erstellt von c3subtitles.de
im Jahr 2020. Mach mit und hilf uns!