Die Telematikinfrastruktur (TI) verbindet Apotheken mit E-Rezept, Kassenabrechnung und weiteren digitalen Diensten des Gesundheitswesens. Sie ist damit auch ein eigener Teil der IT-Angriffsfläche, den Cyber-Versicherungsbedingungen explizit mitdenken.
Die drei Kernkomponenten
- Konnektor: von der gematik zugelassen und vom BSI zertifiziert, enthält neben der TI-Anbindung eigene Sicherheitsfunktionen wie eine Firewall.
- Kartenterminal: liest die verwendeten Ausweise und Karten am Arbeitsplatz.
- SMC-B: der Institutionsausweis der Apotheke, vergleichbar einem digitalen Praxisausweis, wird nur nach Prüfung durch die zuständige Apothekerkammer ausgegeben und per separat versendeter PIN aktiviert.
Nach bisheriger Recherche haben alle drei Komponenten eine begrenzte Lebensdauer von rund fünf Jahren und müssen danach erneuert werden. gematik arbeitet außerdem an Konnektor-freien Anschlussvarianten, bei denen die Funktion softwarebasiert bereitgestellt wird, der aktuelle Umsetzungsstand sollte vor einer Umstellung gesondert geprüft werden.
Quelle: gematik-Fachportal, Informationsblätter zur technischen Ausstattung; Pharmazeutische Zeitung zu Konnektor-freien Spezifikationen.
Warum das bei der Cyberversicherung relevant ist
Die Cyber-Bedingungen verlangen unter anderem aktuelle Schutzmaßnahmen wie Firewall, Virenschutz, zeitnahe Updates und Patches, sowie dass Systeme ohne Herstellersupport separiert oder zusätzlich abgesichert werden. Der Konnektor ist dabei Teil der technischen Umgebung, nicht automatisch davon ausgenommen. Läuft eine Komponente aus dem Support oder wird eine fällige Erneuerung verschleppt, kann das im Schadensfall als Obliegenheitsfrage relevant werden, insbesondere wenn der IT-Dienstleister vertraglich zur Pflege verpflichtet war oder hätte sein sollen.
Ein TI-Ausfall durch einen Cyberangriff ist grundsätzlich ein Betriebsunterbrechungsfall im Sinne des Cyber-Bausteins. Ein reiner technischer Defekt oder eine abgelaufene Komponente ohne Angriffsgeschehen ist eine andere Fallgruppe, die im Einzelfall mit dem Versicherer zu klären ist. Dieser Hinweis ist keine Deckungszusage.
Praktische Punkte für den IT-Dienstleistervertrag
- Wer ist für den fristgerechten Austausch von Konnektor, Kartenterminal und SMC-B zuständig, die Apotheke selbst oder der IT-Dienstleister?
- Werden Sicherheitsupdates für die TI-Komponenten automatisch oder nur auf Anfrage eingespielt?
- Besteht ein Auftragsverarbeitungsvertrag mit dem IT-Dienstleister, soweit dieser Zugriff auf Patientendaten hat?
- Gibt es einen dokumentierten Ansprechpartner für den Ausfallfall, auch außerhalb der Geschäftszeiten?
Wie steht Ihre IT-Grundabsicherung da?
Der kostenlose Cyber-Selbstcheck geht in zehn Fragen durch, ob Firewall, Updates, Backups und Zugriffsschutz den Grundanforderungen entsprechen.
Cyber-Selbstcheck starten →