gemProdT_TI-M_Client_ePA_PTV_1.0.0-0_V1.0.0



Elektronische Gesundheitskarte und Telematikinfrastruktur




Produkttypsteckbrief

Prüfvorschrift

TI-Messenger Client ePA



    
Produkttyp Version 1.0.0-0
Produkttyp Status freigegeben

    
Version 1.0.0
Revision 959737
Stand 13.06.2024
Status freigegeben
Klassifizierung öffentlich
Referenzierung gemProdT_TI-M_Client_ePA_PTV_1.0.0-0

Historie Produkttypversion und Produkttypsteckbrief

Historie Produkttypversion

Die Produkttypversion ändert sich, wenn sich die normativen Festlegungen für den Produkttyp ändern und die Umsetzung durch Produktentwicklungen ebenfalls betroffen ist.

Produkttypversion
Beschreibung der Änderung
Referenz
1.0.0-0 Initiale Version auf Dokumentenebene [gemProdT_TIM_Client_ePA_PTV1.0.0-0]

Historie Produkttypsteckbrief

Die Dokumentenversion des Produkttypsteckbriefs ändert sich mit jeder inhaltlichen oder redaktionellen Änderung des Produkttypsteckbriefs und seinen referenzierten Dokumenten. Redaktionelle Änderungen haben keine Auswirkung auf die Produkttypversion.

Version Stand Kap. Grund der Änderung, besondere Hinweise Bearbeiter
1.0.0 13.06.2024 freigegeben gematik

Inhaltsverzeichnis

1 Einführung

1.1 Zielsetzung und Einordnung des Dokumentes

Dieser Produkttypsteckbrief verzeichnet verbindlich die normativen Festlegungen der gematik an die Herstellung des Zulassungs-/Bestätigungsobjektes TI-M Client ePA oder verweist auf Dokumente, in denen verbindliche normative Festlegungen mit ggf. anderer Notation zu finden sind. Die normativen Festlegungen bilden die Grundlage für die Erteilung von Bestätigungen durch die gematik.

Die normativen Festlegungen werden über ihren Identifier, ihren Titel sowie die Dokumentenquelle referenziert. Die normativen Festlegungen mit ihrem vollständigen, normativen Inhalt sind dem jeweils referenzierten Dokument zu entnehmen.

1.2 Zielgruppe

Der Produkttypsteckbrief für das Zulassungs-/Bestätigungsobjekt TI-Messenger Client ePA richtet sich an TI-Messenger-Client-Hersteller und -Anbieter sowie Hersteller und Anbieter von Produkttypen, die hierzu eine Schnittstelle besitzen.

Das Dokument ist außerdem zu verwenden von:

  • der gematik im Rahmen des Zulassungs-/Bestätigungsverfahrens
  • dem Bundesamt für Sicherheit in der Informationstechnik (BSI)
  • akkreditierten Materialprüflaboren
  • Auditoren

Die normativen Festlegungen beziehen sich auf den Hersteller des Zulassungs-/Bestätigungsobjektes TI-Messenger Client ePA.

1.3 Geltungsbereich

Dieses Dokument enthält normativen Festlegungen zur Telematikinfrastruktur des deutschen Gesundheitswesens. Der Gültigkeitszeitraum der vorliegenden Version und deren Anwendung in Zulassungs-/Bestätigungsverfahren werden durch die gematik GmbH in gesonderten Dokumenten (z. B. gemPTV_ATV_Festlegungen, Leistungsbeschreibung) festgelegt und bekannt gegeben.

1.4 Abgrenzung des Dokumentes

Dieses Dokument macht keine Aussagen zur Aufteilung der Produktentwicklung bzw. Produktherstellung auf verschiedene Hersteller und Anbieter.

Dokumente zu den Zulassungs-/Bestätigungsverfahren für das Bestätigungsobjekt sind nicht aufgeführt. Die geltenden Verfahren und Regelungen zur Beantragung und Durchführung von Zulassungs-/Bestätigungsverfahren können der Homepage der gematik entnommen werden.

1.5 Methodik

Die im Dokument verzeichneten normative Festlegungen werden tabellarisch dargestellt. Die Tabellenspalten haben die folgende Bedeutung:

ID: Identifiziert die normative Festlegung eindeutig im Gesamtbestand aller Festlegungen der gematik.

Bezeichnung: Gibt den Titel einer normativen Festlegung informativ wieder, um die thematische Einordnung zu erleichtern. Der vollständige Inhalt der normativen Festlegung ist dem Dokument zu entnehmen, auf das die Quellenangabe verweist.

Quelle (Referenz): Verweist auf das Dokument, das die normative Festlegung definiert.

2 Dokumente

Die nachfolgenden Dokumente enthalten für das Bestätigungsobjekt TI-Messenger Client ePA normative Festlegungen. Die für die Erlangung einer Bestätigung / Zulassung notwendigen Nachweise pro Festlegung werden in den folgenden Kapiteln aufgeführt.

Tabelle 1: Dokumente mit normativen Festlegungen

Dokumentenkürzel Bezeichnung des Dokumentes Version
gemKPT_Test Testkonzept der TI 2.9.1
gemRL_Betr_TI Übergreifende Richtlinien zum Betrieb der TI 2.13.0
gemSpec_DS_Hersteller Spezifikation Datenschutz- und Sicherheitsanforderungen der TI an Hersteller 1.5.1
gemSpec_IDP_Frontend Spezifikation Identity Provider - Frontend 1.7.1
gemSpec_Krypt Übergreifende Spezifikation Verwendung kryptographischer Algorithmen in der Telematikinfrastruktur 2.32.0
gemSpec_OM Übergreifende Spezifikation Operations und Maintenance 1.16.0
gemSpec_TI-M_Basis Spezifikation TI-Messenger (Basis) 1.0.0
gemSpec_TI-M_ePA Spezifikation TI-Messenger ePA 1.0.0
gemSpec_VZD_FHIR_Directory Spezifikation VZD FHIR-Directory 1.5.0

Weiterhin sind die in folgender Tabelle aufgeführten Dokumente und Web-Inhalte in Gänze (d.h. nicht nur die hier im Dokument aufgeführten Anwendungsfälle, Akzeptanzkriterien und Anforderungen etc.) normativ und gelten mit (vgl. Kapitel 1.5 Methodik in der jeweiligen Spezifikation).

Tabelle 2: Mitgeltende Dokumente und Web-Inhalte

Quelle Herausgeber: Bezeichnung / URL  Version 
Branch / Tag
[GITHUB-TI-MESSENGER] https://github.com/gematik/api-ti-messenger/blob/main/src/schema/permissionConfig.json  9b9f21b

Die in folgender Tabelle aufgeführten Dokumente und Web-Inhalte sind informative Beistellungen und sind nicht Gegenstand der Bestätigung / Zulassung. 

Tabelle 3: Informative Dokumente und Webinhalte

Quelle Herausgeber: Bezeichnung / URL  Version 
Branch / Tag
[GITHUB-TI-MESSENGER] https://github.com/gematik/api-ti-messenger 
[GITHUB-VZD] https://github.com/gematik/api-vzd 
[gemRL_PruefSichEig_DS] gematik: Richtlinie zur Prüfung der Sicherheitseignung 2.2.0

Hinweis:

  • Ist kein Herausgeber angegeben, wird angenommen, dass die gematik für Herausgabe und Veröffentlichung der Quelle verantwortlich ist. 
  • Ist keine Version angegeben, bezieht sich die Quellenangabe auf die aktuellste Version.
  • Bei Quellen aus gitHub werden als Version Branch und / oder Tag verwendet. 

3 normative Festlegungen

Die folgenden Abschnitte verzeichnen alle für das Zulassungs-/Bestätigungsobjekt TI-Messenger Client ePA normativen Festlegungen, die für die Entwicklung und den Betrieb von Produkten des Zulassungs-/Bestätigungsobjektes TI-Messenger Client notwendig sind. Die Festlegungen sind gruppiert nach der Art der Nachweisführung ihrer Erfüllung als Grundlage der Bestätigung.

3.1 Festlegungen zur funktionalen Eignung

3.1.1 Produkttest/Produktübergreifender Test

In diesem Abschnitt sind alle funktionalen und nichtfunktionalen Festlegungen an den technischen Teil des Zulassungs-/Bestätigungsobjektes TI-Messenger Client ePA verzeichnet, deren Umsetzung im Zuge von Bestätigungstests durch die gematik geprüft wird. 

Tabelle 4: Festlegungen zur funktionalen Eignung "Produkttest/Produktübergreifender Test"

ID Bezeichnung Quelle (Referenz)
TIP1-A_6529 Produkttypen: Mindestumfang der Interoperabilitätsprüfung gemKPT_Test
A_17124-03 TLS-Verbindungen (ECC-Migration) gemSpec_Krypt
A_18464 TLS-Verbindungen, nicht Version 1.1 gemSpec_Krypt
A_21275-01 TLS-Verbindungen, zulässige Hashfunktionen bei Signaturen im TLS-Handshake gemSpec_Krypt
GS-A_4385 TLS-Verbindungen, Version 1.2 gemSpec_Krypt
GS-A_4387 TLS-Verbindungen, nicht Version 1.0 gemSpec_Krypt
GS-A_5035 Nichtverwendung des SSL-Protokolls gemSpec_Krypt
GS-A_5322 Weitere Vorgaben für TLS-Verbindungen gemSpec_Krypt
GS-A_5526 TLS-Renegotiation-Indication-Extension gemSpec_Krypt
A_17237 Rückgabe der Selbstauskunft von Software Modulen über Benutzerschnittstelle gemSpec_OM
A_17792 Rückgabe der Selbstauskunft von Software Modulen auf Dateibasis gemSpec_OM
GS-A_3702 Inhalt der Selbstauskunft von Produkten außer Karten gemSpec_OM
GS-A_5034 Inhalte der Betriebsdokumentation der dezentralen Produkte der TI-Plattform gemSpec_OM
AF_10057-01 Anmeldung eines Akteurs am Messenger-Service gemSpec_TI-M_Basis
AF_10060-02 Bereitstellung eines Messenger-Service für eine Organisation gemSpec_TI-M_Basis
AF_10061-02 Einladung von Akteuren außerhalb einer Organisation gemSpec_TI-M_Basis
AF_10062-02 Austausch von Events zwischen Akteuren außerhalb einer Organisation gemSpec_TI-M_Basis
AF_10063-01 Austausch von Events zwischen Akteuren innerhalb einer Organisation gemSpec_TI-M_Basis
AF_10103-02 Authentisieren einer Organisation am TI-M Dienst gemSpec_TI-M_Basis
AF_10235 Einträge im VZD-FHIR-Directory suchen gemSpec_TI-M_Basis
A_25043 Berechtigungskonfiguration in Accountdaten speichern gemSpec_TI-M_Basis
A_25044 Namespace für Berechtigungskonfiguration gemSpec_TI-M_Basis
A_25045 Funktionsumfang der Berechtigungskonfiguration gemSpec_TI-M_Basis
A_25046 Durchsetzung der Berechtigungskonfiguration - Client gemSpec_TI-M_Basis
A_25258 Schema der Berechtigungskonfiguration gemSpec_TI-M_Basis
A_25323 Anlegen von Räumen gemSpec_TI-M_Basis
A_25324 Verschlüsselung von Räumen gemSpec_TI-M_Basis
A_25363 Testtreiber-Modul gemSpec_TI-M_Basis
A_25384 TI-M Client Betreibbarkeit gemSpec_TI-M_Basis
A_25394 Anforderung von refresh token durch den TI-M Client gemSpec_TI-M_Basis
A_25397 create Room gemSpec_TI-M_Basis
A_25398 QR-Code erstellen gemSpec_TI-M_Basis
A_25399 Displaynamen anpassen gemSpec_TI-M_Basis
A_25422 QR-Code verarbeiten gemSpec_TI-M_Basis
A_25426 Verwendung des Chatroom-Typen für föderierte und intersektorale Kommunikation gemSpec_TI-M_Basis
A_25428 VZD-FHIR-Directory Inhalte gemSpec_TI-M_Basis
A_25431 Eingabebenachrichtigungen gemSpec_TI-M_Basis
A_25436 Präsenzanzeige gemSpec_TI-M_Basis
A_25437 Erwähnungen gemSpec_TI-M_Basis
A_25458 Verwendung von refresh token gemSpec_TI-M_Basis
A_25472 User Sessions Anzeige gemSpec_TI-M_Basis
A_25473 User abmelden gemSpec_TI-M_Basis
A_25474 Infomeldungen gemSpec_TI-M_Basis
A_25479 Search Token gemSpec_TI-M_Basis
A_25481 Raum Historie gemSpec_TI-M_Basis
A_25483 TI-M Client User-Agent gemSpec_TI-M_Basis
A_25517 Größe versendeter Inhalte gemSpec_TI-M_Basis
A_25551 Fähigkeit zum Update im gesperrten Zustand gemSpec_TI-M_Basis
A_25556 Test des TI-M Clients gegen die Referenzimplementierung gemSpec_TI-M_Basis
A_25573 Verwendung von TLS zur Kommunikation mit dem Fachdienst und VZD-FHIR-Directory gemSpec_TI-M_Basis
A_25574 Automatische Löschfunktion gemSpec_TI-M_Basis
A_25575 Löschung von Nachrichten gemSpec_TI-M_Basis
A_25576 Lokales Löschen bei Entfernung von Nachrichten aus dem Room State gemSpec_TI-M_Basis
A_25577 Kennzeichnung gelöschter Nachrichten gemSpec_TI-M_Basis
A_25611 Durchführung der Löschung gemSpec_TI-M_Basis
A_25622 Umsetzung des Testkonzepts gemSpec_TI-M_Basis
A_25805 AF_10103 - Organisation wurde erfolgreich verifiziert gemSpec_TI-M_Basis
A_25806 AF_10103 - ID-Token wurde geprüft gemSpec_TI-M_Basis
A_25810 Endpunkt-Aufrufe in spezifischen Chatroom-Typen gemSpec_TI-M_Basis
A_25813 Pflichtparameter bei der Chatroom-Erzeugung für föderierte und intersektorale Kommunikation gemSpec_TI-M_Basis
A_25814 Verwendung des Chatroom-Typen für föderierte und intersektorale Kommunikation als Standard-Chatroom-Typ gemSpec_TI-M_Basis
A_25816 Erzeugung von spezifischen State Events für föderierte und intersektorale Kommunikation gemSpec_TI-M_Basis
A_25817 Vermeidung bestimmter State Events und Ersatznutzung für föderierte und intersektorale Kommunikation gemSpec_TI-M_Basis
A_25999 spezifische Custom State Events nur in dafür vorgesehenen Custom Room Types gemSpec_TI-M_Basis
A_26017 AF_10064 - Matrix-Domain Teil der Föderationsliste & Aktualitätscheck gemSpec_TI-M_Basis
A_26018 AF_10064 - Aktualität - Föderationsliste Messenger-Proxy gemSpec_TI-M_Basis
A_26019 AF_10104 - Matrix-Homeserver nach Akteuren durchsuchen gemSpec_TI-M_Basis
A_26024 Hinweise zu Authentisierungsarten gemSpec_TI-M_Basis
A_26077 Server-seitiges Schlüssel-Backup gemSpec_TI-M_Basis
AF_10233 AF_10233 Versicherteneinladung unterbinden gemSpec_TI-M_ePA
AF_10234 Identifikation und Login eines Benutzers gemSpec_TI-M_ePA
A_25681 VZD-FHIR-Directory Suche gemSpec_TI-M_ePA
A_26015 Anlage öffentlicher Räume nicht anbieten gemSpec_TI-M_ePA
AF_10036-01 Nutzer sucht Einträge im FHIR-Directory gemSpec_VZD_FHIR_Directory

3.1.2 Herstellererklärung funktionale Eignung

In diesem Abschnitt sind alle funktionalen und nichtfunktionalen Festlegungen an den technischen Teil des Zulassungs-/Bestätigungsobjektes TI-Messenger Client ePA verzeichnet, deren Erfüllung der Hersteller bzw. der Anbieter durch eine Herstellererklärung belegt. 

Tabelle 5: Festlegungen zur funktionalen Eignung "Herstellererklärung"

ID Bezeichnung Quelle (Referenz)
A_24726 Bereitstellung FdV der Krankenversicherungen als Remote-Test-FdV zum Zulassungstest gemKPT_Test
A_24727 Zugriff auf Remote-Test-FdV über das Internet gemKPT_Test
A_24728 Bereitstellung zusätzlicher Instanzen von Remote-Test-FdVs gemKPT_Test
A_24729 Dauerhafte Bereitstellung von Remote-Test-FdVs gemKPT_Test
A_24730 Bereitstellungsform der Remote-Test-FdVs gemKPT_Test
A_24731 Integration des Testtreibers für das Remote-Test-FdV in die Testumgebung gemKPT_Test
A_24732 Zuordnung einer Identität eines Test-Versicherten zu einem Remote-Test-FdV gemKPT_Test
A_24733 Automatisiertes Login an den TI-Modulen des Remote-Test-FdVs gemKPT_Test
A_24734 Geräteregistrierung für Remote-Test-FdVs gemKPT_Test
A_24735 Keine Fachlogik in den Testtreibern für Remote-Test-FdVs gemKPT_Test
A_24736 Version des Testtreibers passend zur Version des TI-Moduls gemKPT_Test
A_24737 Anbindung von Remote-Test-FdVs an die Fachdienste der TI gemKPT_Test
A_24739 Bereitstellung von Test-FdVs als Softwarepaket ohne Testtreiber gemKPT_Test
A_24740 Bereitstellung der FdV-Software als Whitelabel-App gemKPT_Test
A_24741 Dokumentation für Whitelabel-Apps gemKPT_Test
A_24742 Bereitstellung mobiler Geräte für den Test von Whitelabel-Apps gemKPT_Test
A_24743 Erneute Bereitstellung mobiler Geräte für den Test von Whitelabel-Apps gemKPT_Test
A_24744 Kartenlesegeräte für den Test von Desktop-FdVs gemKPT_Test
A_24747 Bereitstellung weiterer Versionen von Remote-Test-FdVs gemKPT_Test
A_24933 Testtreiber für TIM gemKPT_Test
A_24934 Bereitstellung TI-Messenger-Fachdienst bei Clientzulassung gemKPT_Test
A_24935 Bereitstellung TI-Messenger-Clients bei Fachdienstzulassung gemKPT_Test
A_24939 Präsentation der Anwendungsfälle gemKPT_Test
A_24940 Bereitstellung von TI-Messenger-Clients als Softwarepaket ohne Testtreiber gemKPT_Test
A_24941 Dokumentation für TI-Messenger-Clients gemKPT_Test
A_25145 Bereitstellung der Whitelabel-App ohne Kassen-Services gemKPT_Test
GS-A_3984 Service Request zur Bereitstellung der TI-Testumgebung (RU/TU) gemRL_Betr_TI
A_23083 Auslösung der Benutzerauthentifizierung gemSpec_IDP_Frontend
A_23086 Aufruf des Authorization-Servers gemSpec_IDP_Frontend
A_24756 Unterstützung eines SSO innerhalb eines Anwendungskontextes gemSpec_IDP_Frontend
A_24916 Annahme eines Authorization Code gemSpec_IDP_Frontend
A_17322 TLS-Verbindungen nur zulässige Ciphersuiten und TLS-Versionen (ECC-Migration) gemSpec_Krypt
A_18467 TLS-Verbindungen, Version 1.3 gemSpec_Krypt
GS-A_4359-02 X.509-Identitäten für die Durchführung einer TLS-Authentifizierung gemSpec_Krypt
A_17235 Versionierung von Software Modulen durch die Produktidentifikation gemSpec_OM
GS-A_3695 Grundlegender Aufbau Versionsnummern gemSpec_OM
GS-A_3696 Zeitpunkt der Erzeugung neuer Versionsnummern gemSpec_OM
GS-A_3697 Anlass der Erhöhung von Versionsnummern gemSpec_OM
GS-A_3806 Loglevel in der Referenz- und Testumgebung gemSpec_OM
GS-A_3813 Datenschutzvorgaben Fehlermeldungen gemSpec_OM
GS-A_4541 Nutzung der Produkttypversion zur Kompatibilitätsprüfung gemSpec_OM
GS-A_4542 Spezifikationsgrundlage für Produkte gemSpec_OM
GS-A_4864 Logging-Vorgaben nach dem Übergang zum Produktivbetrieb gemSpec_OM
GS-A_5038 Festlegungen zur Vergabe einer Produktversion gemSpec_OM
GS-A_5039-01 Änderung der Produktversion bei Änderungen der Produkttypversion gemSpec_OM
GS-A_5040-01 Änderung der Produktversion bei Produktänderungen außerhalb von Produkttypänderungen gemSpec_OM
GS-A_5054 Versionierung von Produkten durch die Produktidentifikation erweitert um Klartextnamen gemSpec_OM
A_25033 Bereitstellung Push Gateway gemSpec_TI-M_Basis
A_25286 Push-Gateway API gemSpec_TI-M_Basis
A_25345 Appendices TI-M Clients gemSpec_TI-M_Basis
A_25360 kein Testtreiber in der produktiven Anwendung gemSpec_TI-M_Basis
A_25361 keine Modifikation der Inhalte gemSpec_TI-M_Basis
A_25363 Testtreiber-Modul gemSpec_TI-M_Basis
A_25395 Matrix Module gemSpec_TI-M_Basis
A_25396 Client-Server API gemSpec_TI-M_Basis
A_25399 Displaynamen anpassen gemSpec_TI-M_Basis
A_25423 Retry and Order gemSpec_TI-M_Basis
A_25424 Archivierung in Archivsysteme gemSpec_TI-M_Basis
A_25430 Barrierefreiheit gemSpec_TI-M_Basis
A_25481 Raum Historie gemSpec_TI-M_Basis
A_25495 Anzeige von Fehlern beim Versand gemSpec_TI-M_Basis
A_25518 Beschränkung der Größe versendeter Inhalte gemSpec_TI-M_Basis
A_25556 Test des TI-M Clients gegen die Referenzimplementierung gemSpec_TI-M_Basis
A_26016 Basiseinstellung vorgeben gemSpec_TI-M_Basis
AF_10233 AF_10233 Versicherteneinladung unterbinden gemSpec_TI-M_ePA
AF_10234 Identifikation und Login eines Benutzers gemSpec_TI-M_ePA
A_25681 VZD-FHIR-Directory Suche gemSpec_TI-M_ePA

3.2 Festlegungen zur sicherheitstechnischen Eignung

3.2.1 Produktgutachten

Die in diesem Abschnitt verzeichneten Festlegungen sind Gegenstand der Prüfung der Sicherheitseignung gemäß [gemRL_PruefSichEig_DS]. Das entsprechende Produktgutachten ist der gematik vorzulegen. 

Tabelle 6: Festlegungen zur sicherheitstechnischen Eignung "Produktgutachten"

ID Bezeichnung Quelle (Referenz)
A_24738 Keine Testtreiber-Module in den produktiven FdVs gemKPT_Test
GS-A_4359-02 X.509-Identitäten für die Durchführung einer TLS-Authentifizierung gemSpec_Krypt
GS-A_4367 Zufallszahlengenerator gemSpec_Krypt
GS-A_4368 Schlüsselerzeugung gemSpec_Krypt
GS-A_4384-03 TLS-Verbindungen gemSpec_Krypt
A_25324 Verschlüsselung von Räumen gemSpec_TI-M_Basis
A_25394 Anforderung von refresh token durch den TI-M Client gemSpec_TI-M_Basis
A_25491 Bereitstellung von Datenschutzinformationen gemSpec_TI-M_Basis
A_25497 Schutz gespeicherter Daten in Desktop-Clients gemSpec_TI-M_Basis
A_25501 Sperre des TI-Messenger Clients gemSpec_TI-M_Basis
A_25502 Entsperrung per Biometrie gemSpec_TI-M_Basis
A_25503 Notwendigkeit der Entsperrung gemSpec_TI-M_Basis
A_25505 Prüfung auf konforme Gerätesperre gemSpec_TI-M_Basis
A_25512 Trennung von Mandanten gemSpec_TI-M_Basis
A_25513 Mandantentrennung nicht durch Betriebssystem gemSpec_TI-M_Basis
A_25514 Key-Sharing zwischen Geräten eines Akteurs gemSpec_TI-M_Basis
A_25520 Vorgehen bei Meldung von Schadsoftware gemSpec_TI-M_Basis
A_25522 Fehlschlag der Prüfung auf Schadsoftware gemSpec_TI-M_Basis
A_25523 Keine Ausführung aktiver Inhalte gemSpec_TI-M_Basis
A_25524 Anzeige von Metadaten gemSpec_TI-M_Basis
A_25527 Prüfung der Geräteintegrität gemSpec_TI-M_Basis
A_25535 Abschottung von Inhalten auf mobilen Plattformen gemSpec_TI-M_Basis
A_25550 Sperrung von Clients ohne Sicherheitsupdates gemSpec_TI-M_Basis
A_25561 Hinweis auf unverschlüsselte Kommunikation gemSpec_TI-M_Basis
A_25562 Hinweis auf Öffentlichkeit eines Raums gemSpec_TI-M_Basis
A_25570 Speicherung von Schlüsseln und Token gemSpec_TI-M_Basis
A_25578 Privacy by Default gemSpec_TI-M_Basis
A_25580 Sicherheitsrisiken von Software Bibliotheken minimieren gemSpec_TI-M_Basis
A_25584 Selbst-Update des TI-M Clients aus vertrauenswürdigen Quellen gemSpec_TI-M_Basis
A_25589 Einschränkung der Art übermittelter Informationen gemSpec_TI-M_Basis
A_25592 Neugenerierung zufälliger Nutzungs-Identifier gemSpec_TI-M_Basis
A_25593 Opt-In für Verknüpfung von Informationen gemSpec_TI-M_Basis
A_25595 Deaktivierbarkeit zuvor aktivierten Trackings und Reportings gemSpec_TI-M_Basis
A_25598 Einsatz auditierter Verschlüsselung gemSpec_TI-M_Basis
A_25614 Vorschlag von Passwörtern für das Schlüssel-Backup gemSpec_TI-M_Basis
A_25615 Quelle des Zufalls für Vorschläge gemSpec_TI-M_Basis
A_25616 Parameter für die passwort-basierte Schlüsselableitung gemSpec_TI-M_Basis
A_25618 Nutzung von Passphrasen gemSpec_TI-M_Basis
A_26023 Mehr-Faktor-Authentisierung für den TI-M Client zzgl. Ersatzverfahren gemSpec_TI-M_Basis

3.2.2 Sicherheitsgutachten

Die in diesem Abschnitt verzeichneten Festlegungen sind Gegenstand der Prüfung der Sicherheitseignung gemäß [gemRL_PruefSichEig_DS]. Das entsprechende Sicherheitsgutachten ist der gematik vorzulegen.

Tabelle 7: Festlegungen zur sicherheitstechnischen Eignung "Sicherheitsgutachten"

ID Bezeichnung Quelle (Referenz)
A_19147 Sicherheitstestplan gemSpec_DS_Hersteller
A_19148 Sicherheits- und Datenschutzkonzept gemSpec_DS_Hersteller
A_19150 Umsetzung Sicherheitstestplan gemSpec_DS_Hersteller
A_19151 Implementierungsspezifische Sicherheitsanforderungen gemSpec_DS_Hersteller
A_19152 Verwendung eines sicheren Produktlebenszyklus gemSpec_DS_Hersteller
A_19153 Sicherheitsrelevanter Softwarearchitektur-Review gemSpec_DS_Hersteller
A_19154 Durchführung einer Bedrohungsanalyse gemSpec_DS_Hersteller
A_19155 Durchführung sicherheitsrelevanter Quellcode-Reviews gemSpec_DS_Hersteller
A_19156 Durchführung automatisierter Sicherheitstests gemSpec_DS_Hersteller
A_19157 Dokumentierter Plan zur Sicherheitsschulung für Entwickler gemSpec_DS_Hersteller
A_19158 Sicherheitsschulung für Entwickler gemSpec_DS_Hersteller
A_19159 Dokumentation des sicheren Produktlebenszyklus gemSpec_DS_Hersteller
A_19160 Änderungs- und Konfigurationsmanagementprozess gemSpec_DS_Hersteller
A_19161 Verifizierung der Einhaltung sicherheitstechnische Eignung durch Datenschutzbeauftragten gemSpec_DS_Hersteller
A_19162 Informationspflicht bei Veröffentlichung neue Produktversion gemSpec_DS_Hersteller

3.2.3 Herstellererklärung sicherheitstechnische Eignung

In diesem Abschnitt sind alle Festlegungen an das Zulassungs-/Bestätigungsobjekt TI-Messenger Client ePA verzeichnet, deren Erfüllung der Hersteller bzw. der Anbieter zum Nachweis der sicherheitstechnischen Eignung durch eine Herstellererklärung belegt. 

Tabelle 8: Festlegungen zur sicherheitstechnischen Eignung "Herstellererklärung"

ID Bezeichnung Quelle (Referenz)
GS-A_2162 Kryptographisches Material in Entwicklungs- und Testumgebungen gemKPT_Test
TIP1-A_4191 Keine Echtdaten in RU und TU gemKPT_Test
A_17178 Produktentwicklung: Basisschutz gegen OWASP Top 10 Risiken gemSpec_DS_Hersteller
A_17179 Auslieferung aktueller zusätzlicher Softwarekomponenten gemSpec_DS_Hersteller
A_19163 Rechte der gematik zur sicherheitstechnischen Prüfung des Produktes gemSpec_DS_Hersteller
A_19164 Mitwirkungspflicht bei Sicherheitsprüfung gemSpec_DS_Hersteller
A_19165 Auditrechte der gematik zur Prüfung der Herstellerbestätigung gemSpec_DS_Hersteller
A_23445 Beteiligung der Hersteller am Coordinated Vulnerability Disclosure Programm gemSpec_DS_Hersteller
GS-A_2330-02 Hersteller: Schwachstellen-Management gemSpec_DS_Hersteller
GS-A_2350-01 Produktunterstützung der Hersteller gemSpec_DS_Hersteller
GS-A_2354-01 Produktunterstützung mit geeigneten Sicherheitstechnologien gemSpec_DS_Hersteller
GS-A_2525-01 Hersteller: Schließen von Schwachstellen gemSpec_DS_Hersteller
GS-A_4944-01 Produktentwicklung: Behebung von Sicherheitsmängeln gemSpec_DS_Hersteller
GS-A_4945-01 Produktentwicklung: Qualitätssicherung gemSpec_DS_Hersteller
GS-A_4946-01 Produktentwicklung: sichere Programmierung gemSpec_DS_Hersteller
GS-A_4947-01 Produktentwicklung: Schutz der Vertraulichkeit und Integrität gemSpec_DS_Hersteller
GS-A_5542 TLS-Verbindungen (fatal Alert bei Abbrüchen) gemSpec_Krypt
GS-A_5581 "TUC vereinfachte Zertifikatsprüfung“ (Komponenten-PKI) gemSpec_Krypt
A_25492 Löschfunktion des Clients gemSpec_TI-M_Basis
A_25496 Keine dauerhafte Standortdatenerhebung gemSpec_TI-M_Basis
A_25500 Auslösung der Standorterhebung gemSpec_TI-M_Basis
A_25519 Schnittstelle für Virenscanner gemSpec_TI-M_Basis
A_25521 Information über Vorgehen bei Meldung von Schadsoftware gemSpec_TI-M_Basis
A_25525 Information über Gefahren von Schadsoftware gemSpec_TI-M_Basis
A_25548 Information über Updates für den Client gemSpec_TI-M_Basis
A_25549 Information über Notwendigkeit von Sicherheitsupdates gemSpec_TI-M_Basis
A_25552 Information und Nachweis der Eignung gemSpec_TI-M_Basis
A_25557 Device Verification, Cross-Signing und SSSS für TI-Messenger Clients gemSpec_TI-M_Basis
A_25559 Unterstützung von Olm und Megolm gemSpec_TI-M_Basis
A_25565 Explizites Verbot von Profiling für TI-M Clients gemSpec_TI-M_Basis
A_25569 Einbringung von Schlüsseln und Token gemSpec_TI-M_Basis
A_25579 Schutz gegen OWASP Mobile Top 10 Risiken gemSpec_TI-M_Basis
A_25582 Vertrauenswürdige Bezugsquellen für den TI-M Client gemSpec_TI-M_Basis
A_25583 Möglichkeit der Authentizitätsprüfung gemSpec_TI-M_Basis
A_25585 Verbot von Werbe-Tracking gemSpec_TI-M_Basis
A_25587 Keine Auswertung durch Dritte gemSpec_TI-M_Basis
A_25590 Information über Tracking und Reporting gemSpec_TI-M_Basis
A_25591 Zufällige Nutzungs-Identifier gemSpec_TI-M_Basis
A_25594 Zweck von Tracking und Reporting gemSpec_TI-M_Basis
A_25596 Kein wiederholtes Erfragen der Einwilligung gemSpec_TI-M_Basis
A_25599 Verwendung anderer Implementierungen von Olm/Megolm gemSpec_TI-M_Basis
A_25601 Separate Benutzeroberflächen für Administration und Kommunikation gemSpec_TI-M_Basis
A_25609 Konfigurierbare Frist zur Erinnerung an Löschung gemSpec_TI-M_Basis
A_25610 Voreinstellung zur Erinnerung an Löschung gemSpec_TI-M_Basis
A_25611 Durchführung der Löschung gemSpec_TI-M_Basis
A_25613 Hinweis bei passwort-basiertem Schlüssel-Backup gemSpec_TI-M_Basis
A_25617 Möglichkeit der Verwahrung von Passwörtern gemSpec_TI-M_Basis
A_26001 Information über die Deaktivierbarkeit des Trackings gemSpec_TI-M_Basis

3.3 Festlegungen zur elektrischen, mechanischen und physikalischen Eignung

In diesem Abschnitt sind Festlegungen verzeichnet, deren Umsetzung im Zuge einer elektrischen, mechanischen und physikalischen Prüfung nachgewiesen werden muss. Der Nachweis erfolgt durch die Vorlage des Prüfberichts. 

Tabelle 9: Festlegungen zur elektrischen, mechanischen und physikalischen Eignung

ID Bezeichnung Quelle (Referenz)
Es liegen keine Festlegungen vor

4 Produkttypspezifische Merkmale

Nachfolgend werden die optionalen Ausprägungen des Produkttyps beschrieben.

5 Anhang A – Verzeichnisse

5.1 Abkürzungen

Kürzel
Erläuterung
CC Common Criteria
ID
Identifikation

5.2 Tabellenverzeichnis

ML-156349 - gemProdT_TI-M_Client_ePA_PTV_1.0.0-0

[<=]