latest

Elektronische Gesundheitskarte und Telematikinfrastruktur

Spezifikation

Signaturdienst

    

     

      
Version
      
1.6.0
     
     

      
Revision
      
829916
     
     

      
Stand
      
Wert nicht konfiguriert
     
     

      
Status
      
freigegeben
     
     

      
Klassifizierung
      
öffentlich
     
     

      
Referenzierung
      
gemSpec_SigD
     
    

Dokumentinformationen

Änderungen zur Vorversion

Anpassungen des vorliegenden Dokumentes im Vergleich zur Vorversion können Sie der nachfolgenden Tabelle entnehmen.

Dokumentenhistorie

Inhaltsverzeichnis

1 Einordnung des Dokuments

1.1 Zielsetzung

Die vorliegende Spezifikation definiert die Anforderungen an den Produkttyp Signaturdienst einschließlich der durch ihn bereitgestellten Schnittstellen.

1.2 Zielgruppe

Das Dokument richtet sich an Hersteller des Signaturdienstes und Anbieter von Signaturdiensten.

1.3 Geltungsbereich

Dieses Dokument enthält normative Festlegungen zur Telematikinfrastruktur des deutschen Gesundheitswesens für den Online-Produktivbetrieb. Der Gültigkeitszeitraum der vorliegenden Version und deren Anwendung in Zulassungs- oder Abnahmeverfahren wird durch die gematik GmbH in gesonderten Do­kumenten (z.B. Dokumentenlandkarte, Produkttypsteckbrief, Leistungsbeschreibung) festgelegt und bekannt gegeben.

Wichtiger Schutzrechts-/Patentrechtshinweis

Die nachfolgende Spezifikation ist von der gematik allein unter technischen Gesichtspunkten erstellt worden. Im Einzelfall kann nicht ausgeschlossen werden, dass die Implementierung der Spezifikation in technische Schutzrechte Dritter eingreift. Es ist allein Sache des Anbieters oder Herstellers, durch geeignete Maßnahmen dafür Sorge zu tragen, dass von ihm aufgrund der Spezifikation angebotene Produkte und/oder Leistungen nicht gegen Schutzrechte Dritter verstoßen und sich ggf. die erforderlichen Erlaubnisse/Lizenzen von den betroffenen Schutzrechtsinhabern einzuholen. Die gematik GmbH übernimmt insofern keinerlei Gewährleistungen.

1.4 Abgrenzungen

Spezifiziert werden in diesem Dokument die vom Signaturdienst bereitgestellten (angebotenen) Schnittstellen. Benutzte Schnittstellen werden in der Spezifikation desjenigen Produkttypen beschrieben, der diese Schnittstelle bereitstellt. Auf die entsprechenden Dokumente wird referenziert (siehe auch Anhang, Kap. 7.5 Referenzierte Dokumente).

Die vollständige Anforderungslage für den Produkttyp ergibt sich aus weiteren Konzept- und Spezifikationsdokumenten. Diese sind in dem Produkttypsteckbrief des Signaturdienstes verzeichnet.

Nicht Bestandteil des vorliegenden Dokumentes sind die Festlegungen zum Themenbereich Betrieb. Die betrieblichen Anforderungen sind im Anbietertypsteckbrief zum TSP X.509 nonQES eGK mit Option Signaturdienst verzeichnet.

1.5 Methodik

Anforderungen als Ausdruck normativer Festlegungen werden durch eine eindeutige ID sowie die dem RFC 2119 [RFC2119] entsprechenden, in Großbuchstaben geschriebenen deutschen Schlüsselworte MUSS, DARF NICHT, SOLL, SOLL NICHT, KANN gekennzeichnet.

Sie werden im Dokument wie folgt dargestellt:
<AFO-ID> - <Titel der Afo>
Text / Beschreibung
[<=]

Dabei umfasst die Anforderung sämtliche zwischen Afo-ID und der Textmarke [<=] angeführten Inhalte.

2 Systemüberblick

Der Signaturdienst erzeugt elektronische Signaturen für Versicherte in der Umgebung des Anbieters des Signaturdienstes. Der Anbieter des Signaturdienstes wird hierbei nicht als Vertrauensdiensteanbieter gemäß Verordnung (EU) Nr. 910/2014 [eIDAS] behandelt, da er lediglich im Kontext von Anwendungen der Telematikinfrastruktur agiert und keine beliebigen und übergreifend validierbaren Signaturen erzeugt. Die vom Signaturdienst ausgestellten elektronischen Signaturen sind kryptographische Bestätigungen basierend auf asymmetrischer Kryptographie und Teil des Vertrauensraums für X.509 nonQES-Identitäten der Telematikinfrastruktur.

Die vom Signaturdienst erstellten elektronischen Signaturen nutzen Versicherte ( „Online-Nutzer“) für die nachweisbare Bestätigung von Befugnissen im Kontext der elektronischen Patientenakte. Bei Befugnis-Erteilung mittels eGK in der LEI ist der Signaturdienst hingegen nicht erforderlich.

Versicherte können elektronische Signaturen, mittels Authentisierung durch einen sektoralen Identity Provider, in der vom Anbieter des Signaturdienstes geführten Umgebung erstellen lassen. Die elektronischen Signaturen des Signaturdienstes werden mittels der Identität ID.CH.AUT_ALT oder ID.CH.SIG eines Trust Service Provider X.509 nonQES-eGK erzeugt, welche nicht auf der elektronischen Gesundheitskarte verfügbar ist.

Der Signaturdienst erstellt elektronische Signaturen für Versicherte ausschließlich über korrespondierende Identitäten bzw. Personenidentifizierungsdaten eines sektoralen Identity Provider gemäß [gemSpec_IDP_Sek] im Auftrag des Kartenherausgebers der eGK des Versicherten. Die Ausstellung der Zertifikate im Signaturdienst kann asynchron zur Ausstellung der Zertifikate der eGK und bedarfsgerecht erfolgen. Die Laufzeit der Zertifikate C.CH.AUT_ALT und C.CH.SIG des Signaturdienstes ist unabhängig von den Laufzeiten der Zertifikate der eGK, eine Synchronisation der Restlaufzeiten ist dabei nicht erforderlich. Gleiches gilt für die Zertifikatssperrung. 

Personenidentifizierungsdaten sind ein Datensatz, der es ermöglicht, die Identität des Versicherten abzubilden. Die von einem sektoralen Identity Provider bereitgestellten Personenidentifizierungsdaten entsprechen den Personenidentifizierungsdaten im Zertifikat C.CH.AUT der eGK des Versicherten. Die Zertifikatsprofile C.CH.AUT_ALT und C.CH.SIG für die vom Signaturdienst ausgestellten elektronischen Signaturen sind in [gemSpec_PKI] festgelegt.

Der Betreiber des TSP  X.509 eGK für die Zertifikate auf der eGK und der TSP nonQES-eGK für die C.CH.SIG des Signaturdienstes können unterschiedlich sein.

3 Systemkontext

3.1 Akteure und Rollen

Im Kontext des Signaturdienstes treten folgende Akteure auf:

Anbieter des Signaturdienstes:
Anbieter eines Signaturdienstes setzen die in dieser Spezifikation beschriebenen Aufgaben des Signaturdienstes um.

Kartenherausgeber eGK
Kartenherausgeber der eGK beauftragen den Anbieter eines Signaturdienstes, um für ihre Versicherten elektronische Signaturen ausstellen zu lassen. Dazu beauftragt der Kartenherausgeber eGK für jeden Versicherten beim Anbieter des Signaturdienstes das Signaturzertifikat. Der Kartenherausgeber eGK übermittelt hierzu die für das elektronische Identifizierungsmittel notwendigen Personenidentifikationsdaten des Versicherten (u.a. Name, KVNR) an den Anbieter des Signaturdienstes.
Der Kartenherausgeber eGK veranlasst die Sperrung von Signaturzertifikaten bzgl. seiner Versicherten beim TSP X.509 nonQES-eGK, der das Zertifikat erstellt hat.

Versicherte

Versicherte nutzen mittels eigener Client-Systeme den Signaturdienst, um mittels der elektronischen Signatur anderen Diensten Aktivitäten, wie das Ausstellen von Befugnissen, nachweisbar zu bestätigen.
Versicherte richten sich an den Kartenherausgeber ihrer eGK, falls sie ihr Signaturzertifikat sperren lassen möchten.

Sektoraler Identity Provider

Ein sektoraler Identity Provider einer autoritativen Stelle (z. B. eine Krankenversicherung) gibt für ihre Versicherten eine digitale Identität aus. Diese Versicherten-ID wird über Standards der OpenID Foundation Anwendungen der TI zur Verfügung gestellt. Zu den Aufgaben einer autoritativen Stelle gehören:

• die Feststellung der Versichertenidentität auf geeigneter Basis (Identity Proofing),
• die Authentifizierung den Versicherten vor Zusicherung der Versicherten-ID,
• geben diese Versicherten-ID für digitale Anwendungen und Dienste heraus,
• und stellen die Verwaltung sicher.

Der sektorale Identity Provider übernimmt aus diesen Aufgaben die Identitätsfeststellung und Authentifizierung von Versicherten sowie die Bestätigung ihrer Attribute. Die verschiedenen Dienste und sektoralen Identity Provider sind über den Federation Master [gemSpec_IDP_FedMaster] in einem Vertrauensraum organisiert. Jedoch ist es aufgrund der direkten Beziehungen zwischen Karteherausgeber der eGK, sektoralem Identity Provider, Signaturdienst und ePA-FdV nicht notwendig, dass der Signaturdienst die Funktionen der Föderation verwendet. Es besteht im Fall einer Anmeldung für den Zugriff auf eine elektronische Patientenakte eine klare Verbindung zwischen ePA-FdV, Signaturdienst und sektoralem Identity Provider, sodass die Vertrauensbeziehungen hier nicht über die Mechanismen der Föderation aufgebaut werden müssen.

3.2 Nachbarsysteme

Die folgende Abbildung zeigt die Beziehung zu benachbarten Systemen mit den vom Signaturdienst bereitgestellten und genutzten Schnittstellen.

Abbildung 1 Benachbarte Systeme des Signaturdienstes mit bereitgestellten und genutzten Schnittstellen

Der Signaturdienst wird als Provider einer technischen Schnittstelle zum Erstellen elektronischer Signaturen für Clients und einer Prozessschnittstelle für Kartenherausgeber eGK zum Beauftragen und Löschen von Signaturzertifikaten aufgerufen.

Der Signaturdienst nutzt die Schnittstellen des TSP X.509 nonQES - eGK zum Erstellen von Zertifikaten.

3.3 Sicherheitsanforderungen für den operativen Betrieb

Der Anbieter Signaturdienst muss die folgenden Anforderungen erfüllen:

4 Zerlegung des Signaturdienstes

Eine Zerlegung des Produkttyps Signaturdienst wird nicht vorgegeben.

5 Übergreifende Festlegungen

Der Signaturdienst muss die folgenden übergreifenden Anforderungen erfüllen.

Die Anmeldung des Signaturzertifikates inklusive Identitätsnachweis und -überprüfung des Versicherten erfolgt durch den Kartenherausgeber eGK auf Grundlage der GKV-SV Richtlinie "Kontakt mit Versicherten" nach § 217f Abs. 4b SGB V.

Die Identifizierung der Versicherten im Rahmen der Einrichtung der Gesundheits-ID ist hinreichend. Ein zusätzliches Ident-Verfahren der Versicherten ist in diesem Fall nicht erforderlich.

Eine Notifizierung des Signaturdienstes, ist nicht gefordert. Ebenso ist nicht gefordert, dass der Anbieter ein qualifizierter oder nichtqualifizierter Vertrauensdiensteanbieter gemäß Verordnung (EU) Nr. 910/2014 ist.

Zur Erstellung der Signatur kann eine nach eIDAS zertifizierte qualifizierte Signatur/Siegelerstellungseinheit (QSEE) eingesetzt werden.

Für die Erzeugung von ECC-Schlüsseln sind die Vorgaben in [gemSpec_Krypt] einzuhalten.

Hinweis: Die Auskunft des Versicherten kann auch über den Kartenherausgeber erfolgen, der den Anbieter des Signaturdienstes mit der Erstellung des Signaturzertifikats beauftragt hat.

Hinweis: Die Anforderung schließt nicht aus, dass die Anbieter verbundene Unternehmen im Sinne des § 15 AktG sind.

6 Funktionsmerkmale

Der Signaturdienst realisiert die Funktionsmerkmale zur Erstellung elektronischer Signaturen. Das Funktionsmerkmal wird über die Implementierung der Schnittstellen I_Remote_Sign_Operation, I_Remote_Get_Certificate, P_Create_Identity und P_Delete_Identity realisiert.

6.1 Schnittstellen I_Remote_Sign_Operations und I_Remote_Get_Certificate

Die in diesem Abschnitt beschriebenen logischen Schnittstellen des Signaturdienstes werden durch das ePA Frontend des Versicherten und potentiell weitere Anwendungen verwendet, um Signaturen im Namen eines Versicherten zu erstellen ohne auf kryptographisches Material einer Smartcard zurückzugreifen. Die Freischaltung dieser Fernsignaturfunktion erfolgt nach Authentisierung gegenüber einem sektoralen Identity Provider.

Hinweis: Die Nichtanwendbarkeit eines OWASP Top 10-Risikos ist zu begründen. Für Informationen zum Umgang mit den OWASP Top 10-Risiken wird auf den aktuellen [OWASP Top 10 Report] und die darin enthaltenen Vorgehensweisen für z. B. Entwickler und Tester verwiesen.

6.1.1 Operationsdefinition I_Remote_Sign_Operations::sign_Data

Hinweis: Wird die Schnittstelle ohne privacy_mode Parameter aufgerufen, wird eine Signatur mittels ID.CH.AUT_ALT durchgeführt, analog zur bisherigen Implementierung.

Hinweis 1: Für die Signatur eines Datensatzes mit C.CH.SIG wurde keine neue Schnittstelle eingeführt. Es wird die Schnittstelle wiederverwendet, welche in Vergängerversionen zur Signatur eines Datensatzes mit C.CH.AUT_ALT (al.vi) verwendet wurde. Der Signaturdienst wird innerhalb eines ePA-FdV angesprochen, die ePA-FdVs sind in der Lage die unterschiedlichen Signaturdienst Versionen zu erkennen und damit die richtige Ausführung von sign_data sicherzustellen.

Hinweis 2: Zur Anzahl der hinterlegten Zertifikate für Versicherte gibt es keine normativen Vorgaben. Die Anbieter von Signaturdiensten können das Management der Identitätsverwaltung frei im Rahmen der Spezifikation gestalten.

6.1.2 Operationsdefinition I_Remote_Get_Certificate

6.1.3 Umsetzung I_Remote_Sign_Operations::sign_Data und I_Remote_Get_Certificate

Die folgenden Anforderungen beschreiben die Umsetzung der Operation I_Remote_Sign_Operations::sign_Data.

6.2 Schnittstelle P_Create_Identity

Hinweis: Für jeden Versicherten, der eine elektronische Patientenakte besitzt, muss auch ein entsprechendes Signaturzertifikat beim Signaturdienst beantragt werden.

6.3 Schnittstelle P_Delete_Identity

7 Anhang – Verzeichnisse

7.1 Abkürzungen

7.2 Glossar

Das Glossar wird als eigenständiges Dokument, vgl. [gemGlossar] zur Verfügung gestellt.

7.3 Abbildungsverzeichnis

7.4 Tabellenverzeichnis

7.5 Referenzierte Dokumente

7.5.1 – Dokumente der gematik

Die nachfolgende Tabelle enthält die Bezeichnung der in dem vorliegenden Dokument referenzierten Dokumente der gematik zur Telematikinfrastruktur. Der mit der vorliegenden Version korrelierende Entwicklungsstand dieser Konzepte und Spezifikationen wird pro Release in einer Dokumentenlandkarte definiert; Version und Stand der referenzierten Dokumente sind daher in der nachfolgenden Tabelle nicht aufgeführt. Deren zu diesem Dokument jeweils gültige Versionsnummern sind in der aktuellen, von der gematik veröffentlichten Dokumentenlandkarte enthalten, in der die vorliegende Version aufgeführt wird.

7.5.2 – Weitere Dokumente