Neue Regeln für die E-Signatur

NEU-ISENBURG. Es wird ein spannendes Jahr für die elektronische Signatur (E-Signatur): Ab Juli treten die Regelungen der EU-Verordnung "über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt" - kurz eIDAS-Verordnung - in Kraft. Sie ersetzen weitestgehend das deutsche Signaturgesetz.

Nationales Recht darf die Verordnung nämlich höchstens präzisieren oder ergänzen, ihre Regeln aber nicht verletzen.

Doch da die eIDAS-Verordnung das Ziel hat, die Nutzung digitaler Dienste zu fördern und sicherer zu gestalten, damit letztlich auch der digitale Binnenmarkt der EU profitiert, ist das gar nicht unbedingt von Nachteil.

Neu ist, dass elektronische Signaturverfahren technisch so zu gestalten sind, dass sie in allen Mitgliedsstaaten auch anerkannt werden können. Das Stichwort lautet Interoperabilität: Die Signatur muss systemunabhängig gültig und vor allem lesbar sein.

Gleichzeitig bietet die Verordnung den Nutzern der E-Signatur eine europaweite beweissichere digitale Unterschrift unter Dokumenten: Ob es nun Verträge mit Dienstleistern, Behandlungsverträge, die Dokumentation der ärztlichen Behandlung oder Arztbriefe sind. Denn auch medizinische Leistungen werden immer stärker über die Landesgrenzen hinaus EU-weit in Anspruch genommen.

Haftungsrechtlich relevant

Dabei gelten für privat abgerechnete Leistungen haftungsrechtlich gesehen dieselben Dokumentationspflichten wie bei Kassenpatienten. Und: Eine privatärztliche Versorgung braucht einen offiziellen, unterzeichneten Behandlungsvertrag, sonst kann es unter Umständen schwierig werden, den anschließenden Rechnungsbetrag beim Patienten einzufordern.

Die Verordnung, die bereits im Sommer 2014 verabschiedet wurde, bietet aber noch mehr: Sie erlaubt es Unternehmen beziehungsweise Betrieben, digitale Dokumente zentral mit einem elektronischen Siegel - also einer Art digitalem Firmenstempel - zu versehen.

Damit könne der Siegelinhaber erstmals auch eine juristische Person sein, etwa eine GmbH, erklärte Tatami Michalek, Geschäftsführer der secrypt GmbH im Gespräch auf der diesjährigen Gesundheits-IT-Messe conhIT in Berlin. Secrypt ist als Anbieter von Signaturanwendungen seit 2002 im Markt tätig. Laut Michalek ist es bislang so, dass qualifizierte Signaturzertifikate grundsätzlich einer natürlichen Person zugeordnet werden müssen.

Digitaler Stempel soll Ärzte entlasten

Qualifiziert bedeutet dabei, dass die E-Signatur auf einem zum Zeitpunkt der Erzeugung gültigen Zertifikat beruht und mit einer sicheren Signaturerstellungseinheit - etwa einer Signaturkarte - erzeugt wurde.

Vor allem Krankenhäuser würden hoffen, dadurch ihre angestellten Ärzte im Alltag zu entlasten, so Michalek. Denn mit dem Siegel könnten die elektronisch archivierten Daten in der Klinik zentral signiert werden. Ebenso lassen sich elektronische Dokumente, die nach außen - zum Beispiel an Patienten gehen - durch die Verwaltung mit dem digitalen Stempel versehen.

Damit steigt der digitale Beweiswert. Das kann gerade auch für Medizinische Versorgungszentren oder große Berufsausübungsgemeinschaften interessant sein.

Das Siegel ersetzt allerdings nicht die durch das E-Health-Gesetz geforderte qualifizierte elektronische Signatur (QES) des einzelnen Arztes unter dem elektronischen Arztbrief. Diese ist zumindest dann nötig, wenn der Arzt im nächsten Jahr die Förderung von 55 Cent je signiertem E-Arztbriefes einstreichen will.

Wobei die Förderung nach dem ersten Entwurf der entsprechenden KBV-Richtlinie wohl gesplittet wird: 28 Cent soll der Sender, die übrigen 27 Cent der Empfänger des E-Arztbriefes erhalten.

Das heißt, hier muss die Signatur in der Tat weiterhin vom einzelnen Arzt mithilfe einer Signatursoftware und seines elektronischen Arztausweises gesetzt werden. Allerdings haben die Anbieter von Signatursoftware - die meist direkt ins Praxisverwaltungssystem als Button integriert wird - längst die Stapelsignatur in ihre Systeme integriert. Dass dies mit wenigen Mausklicks erledigt ist, demonstrierte auf der conhIT nicht nur Tatami Michalek. Bei der medisign GmbH konnte man verfolgen, dass sich mit einmaliger PIN-Eingabe bis zu 254 Arztbriefe rechtssicher signieren lassen.

Auch die Fernsignatur, die durch die EU-Verordnung neu eingeführt wird, wird für die Anwendungen der elektronischen Gesundheitskarte und Telematikinfrastruktur zunächst nicht zur Verfügung stehen. Spannend ist die Anwendung dennoch: "Der Endanwender braucht hier weder Signaturkarte noch ein Lesegerät", so Michalek. "Ausgelöst wird die Signatur übers Mobiltelefon".

Handy macht Ausweis überflüssig

Der private Signaturschlüssel werde hierbei zentral bei einem Vertrauensdiensteanbieter (Trust Center) und eben nicht mehr auf einer Signaturkarte gespeichert. Dabei sieht die Verordnung bislang ein sogenanntes Zwei-Faktor-Verfahren bei der Identifizierung der unterzeichnenden Person vor.

Auf die Arztpraxis heruntergebrochen bedeutet das: Ein Teammitglied öffnet wie gewohnt das zu signierende Dokument und bestätigt den "Signieren-Button". Daraufhin erhält das Trust Center eine Signaturanfrage und startet die Abfrage der Identität des Unterzeichners über das Mobiltelefon - etwa mittels Aufforderung zur TAN-, PIN- oder auch Fingerabdruckeingabe. Das Trust Center sendet wiederum einen Code zum Auslösen der Signatur ans Mobiltelefon des Anwenders. Der Praxismitarbeiter gibt diesen Code in den Computer ein und die Fernsignatur wird gesetzt. Ein Prozess, der nur wenige Sekunden dauert.