Author: Dr. med Claudia Neumann
© 2022 Dr. Claudia Neumann

Update: 20.3.2022

Die eAU sollte bereits am 1.1.2021 eingeführt werden. Da die technischen Voraussetzungen fehlten, wurde die eAU zunächst auf den 1.10.2021 verschoben. Daraus wurde der 1.1.2022, dann der 1.7.2022. Prof. Lauterbach erklärte am 3.3.2022, dass die eAU gestoppt würde, wenn sie bis 1.7.2022 nicht 100-prozentig laufen würde. Die gematik steht auf dem Standpunkt, dass die eAU sich in der Testphase befindet und ab 1.7.2022 verpflichtend einzusetzen ist.

Zu viele Komponenten und Prozesse

Damit eine eAU ausgestellt werden kann, müssen folgende Komponenten richtig miteinander kommunizieren:

  • Praxisprogramm

  • Kartenterminal

  • eHBA

  • Konnektor

  • Telematik-Infrastruktur

  • LDAP-Suche

  • KIM-Dienst

  • Krankenkasse

  • Drucker

Bei diesen vielen Komponenten bleibt es nicht aus, dass ein Zusammenspiel schwierig wird.

Die Praxisprogramme bemühen sich redlich, die verschiedenen Komponenten auf einander abzustimmen.

Der Konnektor

Der Konnektor bietet 3 Sicherheitslevel für die Kommunikation mit dem Praxisprogramm.

  • keine verschlüsselte Kommunikation (nicht empfohlen)

  • TLS-Verschlüsselung mit Benutzer und Passwort

  • TLS-Verschlüsselung mit Server-Client-Authentisierung mittels Zertifikaten

Die Server-Authentisierung ist nur begrenzt möglich, da die Konnektoren selbst generierte Zertifkate benutzen, die nicht von vertrauenswürdigen offziellen Stellen gegengezeichnet sind. Dabei wäre die Erstellung solcher Zertifikate über Let’s Encrypt problemlos möglich.

Das Kartenterminal und der eHBA

Typischerweise hat eine Arztpraxis ein Kartenterminal für den VSDM in der Anmeldung stehen. Die augenblicklichen Probleme mit Abstürzen des Orga-Kartenterminals wird die Ärzteschaft mit Sicherheit nicht dazu bewegen, weitere Kartenterminals anzuschaffen. Für VSDM und ePA sind zwar Gelder für Kartenterminals zur Verfügung gestellt worden. Diese decken allerdings nicht die Kosten für die Kartenterminals ab. Zur Erinnerung: Ärzte sind normalerweise nicht umsatzsteuerpflichtig und müssen daher die Mehrwertsteuer voll bezahlen. Eine Erstattung, die auf den Netto-Betrag des Kartenterminals abzielt, deckt also nicht die Kosten des Arztes. Weitere Kosten entstehen durch Installationskosten durch IT-ler oder Service-Techniker.

Wenn nur ein Kartenterminal in der Praxis steht, muss der eHBA in der Anmeldung im dortigen Kartenterminal gesteckt sein. Will der Arzt nicht für jede Signatur der eAU zur Anmeldung laufen, ist die Lösung die Komfort-Signatur. Aber auch mit der Komfort-Signatur muss der Arzt am Rechner, an dem er arbeitet, eine Authentisierung meist in Form eines Passwortes eingeben, um die Komfort-Signatur auszulösen. Fingerabdruckscanner wären eine Alternative, sind aber auch nicht billig und nicht in allen Praxisprogrammen integriert.

Nach einem Absturz des Orga-Kartenterminals durch eGKs mit NFC-Zeichen muss das Kartenterminal typischerweise neu gestartet werden. Eine laufende Komfort-Signatur-Sitzung wird dabei unterbrochen. Die Komfort-Signatur muss wie auch der SMC-B nach einem Absturz erneut freigeschaltet werden.

Wenn das Praxisprogramm die Komfort-Signatur nicht implementiert hat, muss der Arzt ein Kartenterminal in jedem seiner Sprechzimmer stehen haben. Er muss für die eAU-Signatur seinen eHBA in dieses Kartenterminal stecken und die Signatur-PIN am Kartenterminal eingeben. Den eHBA darf der Arzt nicht im Kartenterminal stecken lassen, da er Kartenterminal und eHBA nicht unbeaufsichtigt lassen darf

Die Signatur der eAU dauert 5-10 Sekunden. Kassen beschweren sich darüber, dass eingehende eAUs zum Teil doppelt signiert sind. Für viele Computer-Nutzer gilt, alles, was länger als 3 Sekunden dauert, ist kaputt.

Telematik-Infrastruktur

Nach wie vor kommt es immer wieder zu Ausfällen der Telematik-Infrastruktur. Teilweise sind Krankenkassen für einen VSDM nicht erreichbar.

LDAP-Suche

Für den Versand der eAU muss die Email-Adresse der Krankenkasse in der Telematik-Infrastruktur ermittelt werden. Offensichtlich sind die Namen der Krankenkassen im LDAP-Verzeichnis der Telematik-Infrastruktur nur teilweise auffindbar. Z. B. ist die AOK Niedersachsen so nicht im LDAP-Verzeichnis eingetragen. Über die Suche nach der IKNR wird eine Kasse mit dem wohlklingenden Namen:

mail: aok-gesundheitskasse@aokniedersachsen.kim.telematik

otherName: -

displayName:: QU9LIC0gRGllIEdlc3VuZGhlaXRza2Fzc2UgZsO8ciBOaWVkZXJzYWNoc2Vu

sn:: QU9LIC0gRGllIEdlc3VuZGhlaXRza2Fzc2UgZsO8ciBOaWVkZXJzYWNoc2Vu

cn:: QU9LIC0gRGllIEdlc3VuZGhlaXRza2Fzc2UgZsO8ciBOaWVkZXJzYWNoc2Vu

organization:: QU9LIC0gRGllIEdlc3VuZGhlaXRza2Fzc2UgZsO8ciBOaWVkZXJzYWNoc2Vu

gefunden. Wie soll der Arzt erkennen, dass es sich um die richtige Email-Adresse handelt?

Wird die Email-Adresse der Krankenkasse nicht gefunden, soll der Arzt verpflichtet werden, das Krankenkassen-Exemplar der eAU an die Krankenkasse zu versenden. Man könnte meinen, dass einige Kassen im LDAP-Verzeichnis nicht gefunden werden wollen.

KIM-Dienst

Es gibt etliche KIM-Dienste, die allerdings nicht von allen Praxisprogrammen unterstützt werden.

Meine Erfahrung mit kv.dox und dem CGM-KIM-Dienst ist, dass die Einrichtung nur bei unverschlüsselter Kommunikation mit dem Konnektor funktioniert. Soll entsprechend den IT-Sicherheitsempfehlungen der KBV die Kommunikation mit dem Konnektor auf TLS eingestellt werden, ist der normale Einrichtugnsassistent nicht einsetzbar.

Ein weiterer Kritikpunkt ist, dass der KIM-Dienst von kv.dox (aqkinet) auf Linux als root-Prozess (Systemadministrator) laufen soll. Auch der CGM-KIM-Dienst will zunächst als root laufen. Wenn der CGM-KIM-Dienst allerdings keine Ports einrichten muss, kann er auch als normaler Benutzer laufen.

Einen Mail-Transfer-Agent, und das ist ein KIM-Dienst, als root (Systemadministrator) laufen zu lassen, ist eine Sicherheitslücke. Auch Mails in der Telematik-Infrastruktur können Viren enthalten. Da die Mails verschüsselt sind, können sie zunächst nicht auf Viren gescannt werden. Wenn der Mail-Transfer-Agent die Mails entschlüsselt, setzt er die Viren, Würmer, Trojaner frei und kann als root-Prozess damit das System lahmlegen.

Darüberhinaus scheint es keinen Prozess zu geben, der die Closed-Source-Software bei Sicherheitsproblemen updatet.

Ein solcher Mail-Transfer-Agent könnte in Linux allenfalls in einer Sandbox oder einer virtuellen Maschine eingesetzt werden.

Das Versenden der Email an die Krankenkasse dauert wiederum 5-7 Sekunden. Manchmal scheitert der Versand auch mit einem Timeout. Man kann dann nochmal versuchen, die Mail zu versenden oder druckt das Krankenkassen-Exemplar direkt mit aus und gibt es dem Patienten mit.

Krankenkasse

Die Krankenkassen mussten sich nicht für den eAU-Prozess zertifizieren lassen. Dementsprechend scheinen die Krankenkassen unterschiedliche Rückmeldungen zu versenden, die nicht immer richtig vom Praxisprogramm interpretiert werden können.

Drucker

Der Ausdruck der eAU für den Versicherten und den Arbeitgeber, bei nicht Erreichbarkeit der Krankenkasse auch das Krankenkassenexemplar, sollen nicht auf das rosa DIN A5-Papier ausgedruckt werden. Ärzte, die bisher die AU-Formulare über einen 24-Nadeldrucker ausgedruckt haben, müssen sich einen Laser- oder hochwertigen Tintenstrahldrucker anschaffen. Auch die Ärzte, die bereits den Blankoformulardruck durchführen, werden einen weiteren Drucker haben müssen, da die bisher verwendeten Laserdrucker keinen Platz mehr für ein Fach mit weissem DIN A5-Papier haben, ganz zu Schweigen für den Platz für den Drucker.

Investitionsbedarf

Die Ärzte müssen für die eAU, um damit im Praxisalltag einigermaßen zurecht zu kommen, Einiges investieren:

  • KIM-Dienst

  • weitere Kartenterminals und eHBAs oder

  • Fingerabdruckscanner

  • Drucker

Um das in der Praxis einzubinden, werden IT-Spezialisten benötigt. Ein mir bekannter IT-ler hatte für seinen Vater, einen Zahnarzt, die eAU in der Praxis eingerichtet und dafür 10 Arbeitsstunden benötigt.

Diese Kosten werden zur Zeit nicht abgedeckt.

Deutlich höherer Zeitaufwand für die eAU

Durch die Signatur und den Mail-Versand-Prozess dauert die Bearbeitung einer eAU wesentlich länger als bei einer bisherigen AU. Die bisherigen Erfahrungen der Krankenkassen, so sie erreichbar sind, besagt, dass zwar schon etliche Ärzte die eAU einmal versendet haben. Danach kehren die Meisten wieder zum alten Verfahren zurück.

Inakzeptable Ausweitung der Verantwortung des Arztes für den eAU-Prozess

Bisher hatte der Arzt die Verantwortung für die Richtigkeit der AU-Diagnose und für einen angemessenen Zeitraum der Krankschreibung.

Nun muss der Arzt für den gesamten eAU-Prozess geradestehen, obwohl er den größten Teil des Ablaufs nicht beeinflussen kann.

Der Ablauf des eAU-Prozesse sieht vor, dass es ab 1.4.2022 zu jeder eAU eine Rückmeldung über den Eingang der eAU beim Dienstleister der Krankenkasse geben muss (DSN: success, failure). D.h. dann noch nicht, dass die eAU bei der Krankenkasse eingegangen ist. Der Arzt muss überwachen, ob eine Rückmeldung eingegangen ist. Dazu soll das Praxisprogramm alle 10 Minuten den KIM-Dienst abfragen, ob neue Mails eingegangen sind. Ist zu einer eAU eine Mail eingegangen, muss das im Praxisprogramm entsprechend gekennzeichnet werden. Ist nach 1 Stunde keine Rückmeldung eingegangen, muss die eAU erneut versendet werden. Sollte auf eine eAU nach 3 Stunden keine Rückmeldung eingegangen sein, muss eine Meldung im Praxisprogramm aufpoppen. Die Frage ist, wo? An allen Rechnern? Nur an dem Client, der die Mail versendet hat? Das wird den Arzt erheblich stören. Die eAU muss nochmals versendet werden. Dasselbe nochmal nach 24 Stunden, wobei danach die eAU postalisch an die Krankenkasse versendet werden soll.

Zusätzlich soll eine MDN, also eine Rückmeldung der Krankenkasse über den Erhalt der eAU angefordert werden. D.h. zu einer eAU sollen zwei Rückmeldungen kommen, die die Praxis im Blick haben muss.

Ganz unabhängig davon, dass dadurch ein erheblicher, unnötiger Traffik entsteht, ist dieser Prozess für die Praxis nicht akzeptabel. Man müsste eine medizinische Fachangestellte nur dafür einstellen, die eAU-Rückläufer zu kontrollieren. Eine mittelgroße Praxis hat 30-40 AUs pro Tag, eine große Praxis in Spitzenzeiten bis 150 AUs.

Im Email-Verkehr ist es üblich, dass der Email-Transfer-Agent eine Rückmeldung (DSN: failure) zurückmeldet, wenn die Email nicht angekommen ist. Die Krankenkasse ist verpflichtet, eine fehlerhafte eAU mit eine entsprechenden Rückmail zu beantworten. Kleinere Fehler, wie die Angabe des Anfangsdatums der Arbeitsunfähigkeit bei einer Folge-AU sollten nicht dazu führen, dass die Krankenkasse die eAU als nicht versendet einstufen kann.

Typischer Fehler wäre, dass der Versicherte nicht (mehr) bei einer Krankenkasse versichert ist. Bisher war es üblich, dass die Krankenkasse die AU an die Folge-Kasse weiterleitet. Das soll jetzt nicht mehr möglich sein. Wie soll der Arzt die Folge-Kasse ermitteln, wenn der Patient die Praxis bereits verlassen hat? Der Arzt könnte das Krankenkassen-Exemplar ausdrucken und an die ihm bekannte Krankenkasse per Post versenden. Damit wäre das Problem wieder bei der Kasse.

Den Arzt für den korrekten Versand der eAU verantwortlich zu machen, ist inakzeptabel, insbesondere wenn in Zukunft das Arbeitgeber-Exemplar ebenfalls an die Krankenkasse gesendet werden soll und der Arzt damit für die korrekte Meldung an den Arbeitgeber haften müsste.