Sicherheitslücke zwingt Deutschland zum Austausch tausender Gesundheitsberufsausweise
George Benthin
Sicherheitslücke zwingt Deutschland zum Austausch tausender Gesundheitsberufsausweise
Deutschland tauscht tausende elektronische Gesundheitsberufsausweise (eHBA) aufgrund von Sicherheitslücken und einer Aufrüstung der Verschlüsselungstechnik aus. Von der verpflichtenden Umstellung betroffen sind Karten der Generation 2.0 und 2.1, die vom Hersteller Idemia mit Chips von Infineon produziert wurden. Die Behörden haben als Stichtag für den vollständigen Austausch den 30. Juni 2026 festgelegt.
Ursache des Problems ist eine als EUCLEAK bekannte Schwachstelle, die im September 2024 entdeckt wurde, sowie der laufende Wechsel von RSA- zu Elliptic-Curve-Kryptographie (ECC).
Ausgelöst wurde die Situation, als Forscher die Sicherheitslücke EUCLEAK in den kryptografischen Bibliotheken von Infineon Aktie aufdeckten. Diese Schwäche betraf speziell die ECDSA-Implementierung bestimmter eHBA-Karten. Obwohl der Fehler behoben wurde, musste dennoch ein Austausch der Karten erfolgen – bedingt durch den generellen Übergang von RSA- zu ECC-Verschlüsselung.
Im Januar 2025 entzog die Gematik – die für das deutsche Telematiknetz zuständige Stelle – den betroffenen Karten per Verwaltungsakt die Zertifizierung. Die Bundesnetzagentur, in Abstimmung mit dem BSI und der Gematik, ordnete daraufhin den vollständigen Austausch aller eHBA-Karten der Generation 2.0 und 2.1 mit Idemia/Infineon Aktie-Chips an. Diese Karten werden schrittweise bis zum Stichtag 2026 deaktiviert.
Zwei große Anbieter waren von der Rücknahme betroffen: SHC+Care und D-Trust. D-Trust reagierte, indem es auf Karten des Herstellers Giesecke+Devrient (G&D) umstieg. SHC+Care hingegen focht die Entscheidung der Gematik gerichtlich an – und gewann den Prozess. Dennoch bleibt die Austauschpflicht für alle betroffenen Nutzer bestehen.
Ärzte und medizinisches Personal können prüfen, ob ihre Karte betroffen ist, indem sie auf der Rückseite nach dem Aufdruck "Idemia" suchen. Karten mit der Kennzeichnung "G&D" sind nicht betroffen. Einige Fachkräfte mit ECC-fähigen Karten könnten je nach Zertifizierungsstatus ihrer Karte einen zweiten Austausch benötigen.
Der Umstellungsprozess muss bis zum 30. Juni 2026 abgeschlossen sein, um sicherzustellen, dass alle anfälligen Karten aus dem deutschen Telematiknetz entfernt werden. Inhaber von Idemia-eHBAs werden aufgefordert, den Austausch möglichst zeitnah zu veranlassen. Ziel der Maßnahme ist es, die Sicherheit zu erhöhen und die Karten an moderne Verschlüsselungsstandards anzupassen.
