Mit der Erstellung des Feinkonzept für die Telematikinfrastruktur (TI) 2.0 war ein Konsortium unter der Führung der genua GmbH beauftragt worden. Beteiligt waren außerdem die ebenfalls zur Bundesdruckerei Gruppe gehörenden Unternehmen Bundesdruckerei und D-Trust sowie von Seiten der Healthcare-IT die CompuGroup Medical Deutschland, außerdem das Fraunhofer Institut für Angewandte und Integrierte Sicherheit (AISEC).
Bei dem Feinkonzept für die TI 2.0 geht es letztlich um die künftige Basistechnologie der TI jenseits des Zeitalters der Hardware-Konnektoren und Plastikkarten. Dabei gilt es, nicht nur 200.000 Leistungserbringer, sondern auch rund 80 Millionen Versicherte nutzerfreundlich und dennoch sicher zu vernetzen. Basis sollte – das war schon länger klar – das IT-Sicherheitsparadigma „Zero Trust“ sein. Zero Trust ist eine übergeordnete Sicherheitsstrategie für insbesondere Cloud-basierte Anwendungen. Sie setzt nicht mehr nur auf Perimetersicherheit, sprich Firewalls und andere netzwerkbasierte Tools, sondern sie setzt auch innerhalb des Netzwerks an, bei allen Nutzer:innen, allen Geräte, allen Verbindungen. Nichts und niemanden wird per se getraut, daher auch der Name.
Zero-Trust Architekturen sind mittlerweile weit verbreitet, allerdings können sie unterschiedlich komplex sein. Für ein Gesundheitswesen mit seinen hohen Ansprüchen an die Datensouveränität und an den Schutz personenbezogener Daten ist das eine besondere Herausforderung. Insofern sei mit dem jetzt veröffentlichten Konzept Pionierarbeit geleistet worden, so die Konsortialpartner.
Zero-Trust-TI: Flexibler, mobiler und trotzdem sehr sicher
Was ändert sich konkret? Bei der TI 1.0 handelt es sich um ein als vertrauenswürdig eingestuftes Netzwerk mit dezentraler Datenverarbeitung. Dazu kommen zentrale Dienste, so genannte Fachdienste, sowie Fach-Clients bei den Leistungserbringern. Die letzteren beiden werden über Virtual Private Networks (VPN) angebunden. Die nötigen Sicherheitsfunktionen sind Hardware-basiert und werden mit Hilfe stationärer Konnektoren zur Verfügung gestellt.
Zu den Problemen dieser Art von Architektur zählten u.a. eine suboptimale Skalierbarkeit und auch eine suboptimale Verfügbarkeit, betonen die Konsortialpartner in einer Pressemeldung. Auch sei es schwierig, eine nutzerfreundliche Sicherheit sowie eine standortunabhängige Nutzung zu ermöglichen. Arztpraxen beispielsweise seien für die Nutzung der TI 1.0 an den Ort ihres Konnektors gebunden. Das macht u.a. Home-Office sowie Telemedizinanwendungen innerhalb der TI schwierig.
Die jetzt vorgelegte Zero-Trust-Architektur soll diese und andere Probleme lösen. Sie soll Sicherheit auch in mobilen und verteilten Umgebungen granularer und flexibler als bisher durchsetzen. Damit verknüpft ist die Möglichkeit des Zugriffs über das normale Internet und über private Endgeräte. Realisiert werde das u.a. durch eine dynamische Überprüfung aktueller Informationen zu Nutzern, Geräten und Kontexten von Anfragen: „Das Zero-Trust-Architekturkonzept erlaubt einen guten Kompromiss zwischen hohen Sicherheitsanforderungen und hoher Nutzerfreundlichkeit“, so die Konsortialpartner.
Seitens der gematik betont deren Chief Security Officer Holm Diening, dass der Zero Trust-Ansatz eine zentrale strategische Zukunftsinvestition in die Grundarchitektur der Telematikinfrastruktur und zugleich das Herzstück einer künftigen TI 2.0 sein werde: „Seine Wirkung wird sich schrittweise in den kommenden Jahren entfalten. Dabei wird es von besonderer Bedeutung sein, diese Entwicklung gezielt zu steuern und zu gestalten“.
Weitere Informationen:
Feinkonzept Zero Trust Architektur für die Telematikinfrastruktur:
https://fachportal.gematik.de/fileadmin/Fachportal/Downloadcenter/gemKPT_Zero_Trust_V1.0.0.pdf
TEXT: PHILIPP GRÄTZEL VON GRÄTZ, CHEFREDAKTEUR E-HEALTH-COM AUF BASIS EINER PRESSEMITTEILUNG DER BUNDESDRUCKEREI