Inhalt
DiGA-Hersteller müssen die Authentifizierung über die GesundheitsID unterstützen (§ 291 Abs. 8 SGB V i. V. m. DiGAV). Ohne sie keine Listung im DiGA-Verzeichnis – und keine Erstattung. Was nach „noch ein Login-Verfahren" klingt, ist eines der aufwendigsten Integrationsprojekte auf dem Weg dorthin. Der Zweck ist nachvollziehbar: Die GesundheitsID ist die digitale Identität der Versicherten in der Telematikinfrastruktur. Sie löst unsichere Verfahren ab und ist zugleich Voraussetzung für den ePA-Export – über sie lässt sich die Krankenversichertennummer abfragen, ohne die kein Schreiben in die Akte möglich ist. Warum „OIDC kennen wir doch" nicht reicht Die GesundheitsID basiert auf OpenID Connect. Genau das führt zur Fehleinschätzung des Aufwands. Der Unterschied zu einem „Login mit Google" liegt nicht im Protokoll, sondern in der Föderation: Die gematik betreibt den Federation Master, die Krankenkassen betreiben jeweils eigene sektorale Identity Provider, die DiGA ist Relying Party. Sie spricht also nicht mit einem Anbieter, sondern muss dynamisch mit vielen umgehen – und kryptografisch nachweisen, dass sie ein legitimer Teilnehmer ist. Das ist kein Login-Feature, sondern Teilnahme an einer Vertrauensinfrastruktur. Entsprechend liegen die Hürden abseits des eigentlichen Flows: signierte Entity Statements und JWKS, erweiterte Mechanismen wie PKCE und PAR, Zertifikatsrotation, Tests in der Referenzumgebung der gematik. Dazu bewegen sich die Spezifikationen mit TI 2.0 laufend weiter. Dieser Aufwand endet nicht mit dem Go-Live – er beginnt dort. Der Nachweis Die Nachweise für das Schreiben in die ePA und für die GesundheitsID sind zusammengeführt: Das Bestätigungsverfahren der gematik nach § 327 SGB V muss durchlaufen und die Bestätigung beim BfArM eingereicht werden – Voraussetzung für die formale Vollständigkeit des Antrags. Ergänzend kommt eine Selbstauskunft im Antragsportal, in der jede Anforderung bestätigt und belegt wird. Der Nachweis wandert damit stärker zum Her…