ECC-Pflicht – Auf einen Blick

• Was bedeutet die ECC-Pflicht? Die ECC-Pflicht bedeutet, dass die Telematikinfrastruktur ihre Verschlüsselung von RSA auf ECC umstellt. Praxen müssen sicherstellen, dass ihre TI-Komponenten die neue ECC-Verschlüsselung unterstützen.
• Warum wird RSA durch ECC ersetzt? RSA2048 erfüllt die Anforderungen an langfristige Zukunftssicherheit nicht mehr ausreichend. ECC erreicht ein hohes Sicherheitsniveau mit kürzeren Schlüsseln, weniger Rechenaufwand und besserer Leistungsfähigkeit.
• Welche Praxen sind betroffen? Betroffen sind alle Leistungserbringer, die an die Telematikinfrastruktur angebunden sind. Ohne ECC-fähige Komponenten können Dienste wie E-Rezept, eAU, ePA, KiM und VSDM eingeschränkt sein.
• Welche TI-Komponenten müssen geprüft werden? Praxen sollten Konnektor, SMC-B, eHBA, gSMC-KT, Kartenterminals, Praxissoftware, KiM-Clientmodul und VPN-Zugangsdienst prüfen. Entscheidend ist, dass alle Komponenten zusammen ECC-fähig sind.
• Welche Fristen gelten für die ECC-Umstellung? RSA-only-Konnektoren, Primärsysteme und KiM mussten bis Ende 2025 umgestellt sein. Für SMC-B und eHBA galt der 30. Juni 2026, für gSMC-KT ist der 31. Dezember 2026 Stichtag.

Warum die TI-Umstellung ab 2026 alle Praxen betrifft

Die Telematikinfrastruktur (TI) stellt ihre Verschlüsselung von RSA auf ECC um. Damit verändert sich die technische Grundlage für den sicheren Datenaustausch im Gesundheitswesen. Betroffen sind nicht nur einzelne Geräte, sondern mehrere TI-Komponenten, die im Praxisalltag für digitale Anwendungen wie das E-Rezept oder das Versichertenstammdatenmanagement benötigt werden.

Für Praxen bedeutet das: Alle zentralen TI-Komponenten sollten rechtzeitig auf ECC-Fähigkeit geprüft werden. Besonders kritisch sind RSA-only-Konnektoren, weil sie seit 2026 nicht mehr für den TI-Zugang genutzt werden können.

Die Umstellung betrifft deshalb praktisch jede medizinische Einrichtung, die an die Telematikinfrastruktur angebunden ist: von der Einzelpraxis über Gemeinschaftspraxen bis zum MVZ. Wer die ECC-Pflicht zu spät angeht, riskiert technische Ausfälle, Verzögerungen bei TI-Anwendungen und mögliche finanzielle Nachteile. Umso wichtiger ist es, die eigene Praxis-IT frühzeitig prüfen zu lassen und notwendige Updates oder Austausche strukturiert zu planen.

Gründe für die Umstellung von RSA auf ECC

Die Telematikinfrastruktur ist das digitale Netz für zentrale Anwendungen im Gesundheitswesen. E-Rezept, eAU, ePA, KiM und das Versichertenstammdatenmanagement funktionieren nur zuverlässig, wenn die zugrunde liegende Verschlüsselung langfristig sicher und leistungsfähig bleibt. Das bisherige RSA2048-Verfahren galt viele Jahre als bewährte Verschlüsselungsmethode, erfüllt die Anforderungen an Zukunftssicherheit jedoch nicht mehr dauerhaft.

Mit der Einführung von ECC wird die TI kryptografisch modernisiert. Elliptic Curve Cryptography bietet ein hohes Sicherheitsniveau bei geringerem Rechenaufwand und kürzeren Schlüsseln. Das entlastet technische Komponenten, verbessert die Leistungsfähigkeit der Anwendungen und schützt sensible Patientendaten mit einem moderneren Verfahren. Auch die Sicherheitsvorgaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) machen moderne Verschlüsselungsverfahren für die TI notwendig.

Die wichtigsten Gründe für die RSA-zu-ECC-Migration sind:

• Höhere Sicherheit: ECC erfüllt moderne Anforderungen an Verschlüsselung und Datensicherheit.
• Mehr Effizienz: ECC erreicht ein hohes Sicherheitsniveau mit kürzeren Schlüsseln und weniger Rechenaufwand.
• Zukunftssichere TI: Anwendungen wie E-Rezept, eAU, ePA, KiM und VSDM benötigen langfristig stabile Kryptografie.

Was ist ECC (Elliptic Curve Cryptography)?

ECC steht für Elliptic Curve Cryptography und bezeichnet ein modernes kryptografisches Verfahren auf Basis elliptischer Kurven. In der Telematikinfrastruktur sorgt ECC dafür, dass digitale Kommunikation, Signaturen und Authentifizierungen sicher verschlüsselt werden können.

Für Praxen ist vor allem wichtig: ECC ist kein zusätzliches Programm, das aktiv bedient werden muss. Es arbeitet im Hintergrund. Entscheidend ist, dass Konnektor, Karten, Kartenterminals, Praxissoftware, KiM-Clientmodul und weitere TI-Komponenten ECC-fähig sind.

Unterschied zwischen RSA und ECC

RSA und ECC sichern beide digitale Kommunikation, Signaturen und Authentifizierungen ab. Der Unterschied liegt in der technischen Grundlage: Das RSA-Verfahren arbeitet mit sehr langen Schlüsseln und höherer Rechenlast, während ECC mit deutlich kürzeren Schlüsseln ein vergleichbares oder höheres Sicherheitsniveau erreicht.

Für Praxen ist dieser Unterschied im Alltag kaum sichtbar, technisch aber entscheidend. ECC ermöglicht effizientere Signaturen, stabilere Verbindungen und eine zukunftssichere Nutzung von wichtigen TI-Anwendungen.

Die wichtigsten Unterschiede im Überblick:

• RSA: bewährtes Verfahren, aber mit großen Schlüsseln und höherer Rechenlast.
• ECC: modernes Verfahren mit kürzeren Schlüsseln und hoher Sicherheit.
• Leistung: ECC kann Signaturen, Authentifizierungen und Verbindungen effizienter verarbeiten.
• Zukunftssicherheit: ECC erfüllt moderne Sicherheitsanforderungen besser als RSA2048.
• TI-Relevanz: ECC macht TI-Komponenten langfristig belastbarer.

Was müssen Praxen im Rahmen der Umstellung beachten?

Praxen sollten die ECC-Pflicht nicht nur als Austausch einzelner Geräte verstehen. In der Telematikinfrastruktur arbeiten mehrere Komponenten zusammen, die sich authentifizieren, Zertifikate nutzen, Daten verschlüsseln oder Signaturen ausführen. Wenn eine Komponente nicht ECC-fähig ist, kann es zu Problemen in der TI-Kommunikation kommen.

Deshalb sollten Praxen frühzeitig prüfen lassen, welche TI-Komponenten bereits ECC unterstützen und wo Updates, neue Zertifikate oder ein Austausch notwendig sind. Eine strukturierte Bestandsaufnahme hilft, Ausfälle zu vermeiden.

Welche TI-Komponenten sind betroffen?

Von der RSA-ECC-Umstellung sind mehrere TI-Komponenten betroffen. Praxen sollten dabei nicht nur den Konnektor prüfen, sondern die gesamte technische Umgebung betrachten. Dazu gehören Karten, Kartenterminals, Praxisverwaltungssystem, KiM-Clientmodul, VPN-Zugangsdienst und mögliche Zusatzsoftware.

Wichtige Komponenten im Überblick:

• Konnektor: RSA-only-Konnektoren müssen ersetzt oder durch eine zukunftsfähige Anschlusslösung wie ein TI-Gateway abgelöst werden.
• SMC-B: Der Praxisausweis weist die Praxis als berechtigte Institution in der TI aus und muss ECC-fähig sein.
• eHBA: Der elektronische Heilberufsausweis wird für sichere Authentifizierung und qualifizierte elektronische Signaturen benötigt.
• gSMC-KT: Die Gerätekarte des Kartenterminals muss passend zur neuen Verschlüsselung geprüft werden.
• Kartenterminals: Ältere Modelle können je nach Hersteller und Baujahr nicht vollständig ECC-fähig sein.
• Praxisverwaltungssystem: Das PVS muss ECC-Zertifikate und aktualisierte TI-Verbindungen verarbeiten können.
• KiM-Clientmodul: Für Kommunikation im Medizinwesen sind passende Updates notwendig, damit KiM-Nachrichten sicher übertragen werden.
• TI-VPN-Zugangsdienst: Der Zugangsdienst muss ECC unterstützen, damit die Verbindung zur Telematikinfrastruktur stabil bleibt.
• Middleware und Zusatzsoftware: Signatur-, Kommunikations- oder Abrechnungsprozesse können ebenfalls betroffen sein, wenn sie auf TI-Zertifikate zugreifen.

Welche Fristen gelten für die RSA-ECC-Umstellung?

Die RSA-zu-ECC-Umstellung ist nach den Vorgaben der gematik an mehrere Fristen gebunden. Welche Deadline für eine Praxis relevant ist, hängt davon ab, welche TI-Komponenten noch RSA-Zertifikate nutzen und welche Systeme bereits ECC-fähig sind. Besonders wichtig ist die Unterscheidung zwischen Konnektor, Primärsystem, KiM, SMC-B, eHBA und gSMC-KT.

Die wichtigsten Fristen im Überblick:

• 31.12.2025: RSA-only-Konnektoren, Primärsysteme, KiM-Clientmodule und Middleware: Ende 2025 war die Frist, zentrale TI-Komponenten auf ECC vorzubereiten. Seit 2026 ist kein TI-Zugang mehr mit RSA-only-Konnektoren möglich.
• 30.06.2026: SMC-B und eHBA ohne ECC: Praxisausweise und Heilberufsausweise der alten Generation müssen durch ECC-fähige Karten ersetzt werden. Praxen sollten neue SMC-B und eHBA rechtzeitig beantragen, aktivieren und mit dem TI-Anbieter abstimmen, damit Authentifizierung und qualifizierte elektronische Signaturen weiterhin funktionieren.
• 31.12.2026: gSMC-KT für Kartenterminals: Die Gerätekarte des Kartenterminals muss auf eine ECC-fähige Generation umgestellt werden. Praxen sollten prüfen lassen, ob vorhandene Kartenterminals und gSMC-KT weiter genutzt werden können oder ein Austausch notwendig ist, damit das Kartenterminal seine gültige TI-Identität behält.

Wichtig zu wissen: Kartenbestellungen, PVS-Updates, KiM-Anpassungen, Konnektorwechsel oder der Umstieg auf ein TI-Gateway benötigen Vorlauf. Wer frühzeitig prüft, welche Komponenten betroffen sind, kann Ausfälle wichtiger TI-Dienste vermeiden.

Was ist besser: Konnektor oder TI-Gateway?

Im Rahmen der ECC-Pflicht müssen viele Praxen entscheiden, ob sie ihren lokalen Konnektor austauschen oder auf ein TI-Gateway umsteigen.

Ein klassischer Konnektor wird direkt in der Praxis betrieben und muss installiert, gewartet, aktualisiert und nach Ablauf seiner Laufzeit ersetzt werden. Konnektoren haben eine Laufzeit von fünf Jahren und verursachen erneute Kosten bei jedem Austausch.

Ein TI-Gateway verlagert den Zugang zur TI dagegen in eine zentrale, zugelassene Gateway-Infrastruktur. Dadurch entfällt der eigene Hardware-Konnektor vor Ort, was Installation, Wartung und spätere Austauschprozesse deutlich reduzieren kann.

Häufige Fragen und Antworten

Was ist der Unterschied zwischen RSA und ECC?

RSA und ECC sind Verschlüsselungsverfahren, die digitale Kommunikation, Signaturen und Authentifizierungen absichern. RSA arbeitet mit längeren Schlüsseln und höherer Rechenlast, während ECC mit deutlich kürzeren Schlüsseln ein vergleichbares oder höheres Sicherheitsniveau erreicht. Deshalb gilt ECC als moderner, effizienter und zukunftssicherer für die Telematikinfrastruktur.

Was bedeutet ECC?

ECC steht für Elliptic Curve Cryptography, auf Deutsch Kryptografie auf Basis elliptischer Kurven. Das Verfahren ermöglicht sichere Verschlüsselung, Authentifizierung und digitale Signaturen mit weniger Rechenaufwand als RSA.

Welche TI-Komponenten sind von der ECC-Pflicht betroffen?

Betroffen sind unter anderem Konnektor, SMC-B, eHBA, gSMC-KT, Kartenterminals, Praxisverwaltungssystem, KiM-Clientmodul, VPN-Zugangsdienst und Zusatzsoftware. Entscheidend ist, dass alle Komponenten ECC-fähig sind und zusammenpassen.