#nect wallet

Der Fluch des frühen Vogels

Heute haben die meisten gesetzlich Krankenversicherten in Deutschland eine elektronische Patientenakte (ePA), aber vor drei Jahren waren ePAs nur etwas für Fachleute und sehr interessierte Versicherte (wie mich). “Die persönliche Registrierung und Identifikation für die ePA-App” ist dagegen damals wie heute “für den Schutz Ihrer Daten etwas aufwändiger – aber es lohnt sich, für Ihre Sicherheit!”

Das Verfahren besteht aus drei Schritten: Zunächst wird innerhalb der ePA-App ein ePA-Benutzerkonto erstellt, das nicht identisch ist mit dem Benutzerkonto für die Website der Krankenkasse, aber mit diesem Konto den Benutzernamen (= die Versichertennummer) teilt. Der zweite Schritt ist 2022 die Identifizierung per POSTIDENT. Im dritten Schritt wird man aufgefordert, das Smartphone mittels Registrierungscode (zugestellt per E-Mail) mit der ePA zu verknüpfen. Um den Prozess etwas unübersichtlicher zu gestalten, muss nach der Registrierung ein App-Code gewählt werden, während die Verknüpfung der ePA mit dem Smartphone einen Registrierungscode erfordert. Das Verfahren habe ich jedenfalls 2022 erfolgreich durchlaufen, um meine völlig leere Patientenakte einsehen zu können.

Anlässlich der flächendeckenden Einführung der ePA im Oktober 2025 möchte ich noch einmal einen Blick in die Akte werfen. Für die Anmeldung in der ePA-App stehen mittlerweile drei Möglichkeiten zur Verfügung: Das ePA-Benutzerkonto (das noch funktioniert), der elektronische Personalausweis und die Gesundheitskarte (für die ich aber keine PIN habe). Nach der erfolgreichen Anmeldung muss ich mich erneut identifizieren: Per POSTIDENT, mit einem Aktivierungscode (der in einem Kundencenter ausgegeben wird), mit der Gesundheitskarte oder mit dem elektronischen Personalausweis. Auch hier wurde die Unübersichtlichkeit geschickt erhöht: Während die Anmeldung mit dem Personalausweis innerhalb der ePA-App erfolgt, wird für die Identifikation mit dem Personalausweis die Nect Wallet eingebunden.

Allerdings scheitere ich nicht an dieser Inkonsistenz, sondern am fehlenden Registrierungscode, der laut App an die 2022 hinterlegte E-Mail-Adresse verschickt wurde. Die Krankenkasse schlägt vor, mein ePA-Benutzerkonto zu löschen, die ePA-App neu zu installieren und die Registrierung / Identifikation / Verknüpfung erneut durchzuführen. Leider lande ich in derselben Sackgasse, ein Registrierungscode wurde (angeblich) wieder an die alte E-Mail-Adresse verschickt, die offenbar die Löschung des Benutzerkontos überlebt hat.

Eine Mitarbeiterin der Krankenkasse bestätigt am Telefon, dass ein 6 Stunden gültiger Registrierungscode generiert wurde und liest ihn mir vor. Damit ist der Bann gebrochen und der Weg in meine (immer noch leere) ePA ist frei. Weil die Mitarbeiterin und ich experimentierfreudig sind, löscht sie die Geräteverknüpfung wieder aus dem System und hinterlegt testweise eine andere E-Mail-Adresse. Ich identifiziere mich wieder, wähle erneut einen App-Code und – bin in meiner ePA. Es wird kein Registrierungscode mehr gefordert. Ob mir jemals wieder ein Registrierungscode zugeschickt wird, ob ich mir Codes in Zukunft immer vorlesen lassen muss, oder ob ich ab sofort von der Eingabe eines Registrierungscodes freigestellt bin, bleibt ungeklärt.

Bei aller Kritik des Chaos Computer Clubs an der Sicherheit der ePA-Implementierung – die radikale Neuinterpretation von “Security through Obscurity” ist sehr beeindruckend.