DiGA in der Telematikinfrastruktur
Seit 2019 haben Patient:innen Anspruch auf die Versorgung mit Digitalen Gesundheitsanwendungen (DiGA), die im Rahmen der Regelversorgung von den gesetzlichen Krankenkassen erstattet werden. Voraussetzung für die Erstattung ist die Aufnahme in das DiGA-Verzeichnis des Bundesinstituts für Arzneimittel und Medizinprodukte (BfArM). Hierfür müssen Hersteller Nachweise zu Datenschutz, Sicherheit, Interoperabilität und Qualität ihrer DiGA erbringen.
Ab Mai 2024 sind sowohl bereits gelistete als auch angehende DiGA-Hersteller verpflichtet, ihre Systeme an die Telematikinfrastruktur (TI) anzubinden und die sichere Authentifizierung der Nutzer:innen über die von den Krankenkassen bereitgestellten digitalen Identitäten (GesundheitsID) sicherzustellen.
Als Implementierungsnachweis müssen DiGA-Hersteller ein Bestätigungsverfahren der gematik erfolgreich durchlaufen und den entsprechenden Nachweis beim BfArM einreichen. BAYOOMED unterstützt Sie dabei umfassend – von der technischen Umsetzung bis zur optionalen Übernahme der Einreichung.
Herausforderung GesundheitsID
Die in § 291 Absatz 8 SGB V geregelte GesundheitsID wird seit 2024 von den gesetzlichen Krankenkassen für deren Versicherte ausgegeben. Hierzu wird üblicherweise ein Identifizierungsverfahren – z. B. mit der eGK oder dem Personalausweis – durchgeführt. Jede gesetzliche Krankenkasse muss seit Anfang 2024 einen Identity Provider und eine Authenticator-App bereitstellen, über die regulierte Anwendungen wie insbesondere der ePA-Client, die eRezept-App und DiGA eine sichere 2-Faktor-Authentifizierung des Versicherten durchführen können. Die Identity Provider der verschiedenen Kassen bilden zusammen mit den zur Nutzung zugelassenen Anwendungen den Vertrauensraum einer sog. Identity Federation.
Die Implementierung der Anbindung einer DiGA an die Dienste zur Authentifizierung mittels GesundheitsID birgt verschiedene Herausforderungen für die Hersteller: über die Kernspezifikation von OpenID Connect werden Mechanismen wie PKCE, PAR und OIDC Federation verwendet, was das Protokoll zur Interaktion der DiGA mit verschiedenen Diensten recht komplex macht. Zur Teilnahme an der Identity Federation der gematik muss jede DiGA neben einem die Schnittstellen der DiGA beschreibenden Entity Statement auch ein JSON Web Key Set mit verschiedenen Schlüsselinformationen erzeugen und bereitstellen.
GesundheitsID als „Black Box“ – Der BAYOOMED GesundheitsID-Service
BAYOOMED bietet DiGA-Hersteller:innen ein kompaktes Unterstützungspaket zur Anbindung der GesundheitsID – bereitgestellt als Entwicklerlizenz für die gematik-Referenzumgebung. Damit lassen sich die geforderten Authentifizierungs-Tests durchführen und der Nachweis für das BfArM erfolgreich erbringen.
Die Lösung kann sowohl in einer Cloud-Umgebung als auch im eigenen Rechenzentrum per Docker Compose installiert werden. Sie positioniert sich zwischen der DiGA, dem Federation Master der gematik und den Identity Providern der Krankenkassen.
Alle Interaktionen mit der gematik-Föderation und den Identity-Providern werden vom Service gekapselt – die DiGA selbst kommuniziert ausschließlich über das standardisierte OpenID-Connect-Protokoll mit dem BAYOOMED-Service.
In der Basis-Variante wird ein vorkonfigurierter Keycloak IAM Server als Schnittstelle zur DiGA bereitgestellt. Dieser kann kostenlos genutzt oder direkt mitinstalliert werden. Alternativ lässt sich auch eine bestehende Autorisierungskomponente per dokumentierter REST-API anbinden – z. B. zur Weiterverwendung bestehender Nutzerkonten.
Der flexibel einbindbare Service bietet DiGA-Hersteller:innen die Möglichkeit, aktuelle Interoperabilitätsanforderungen der Telematikinfrastruktur (TI) fristgerecht, effizient und zukunftssicher umzusetzen.
