Seite 1 Modularer Konnektor 2.0.0 2.1.0 Produkttypversion: 3.6.0-2 (PTV3) Firmwareversion: 3.5.2 Bedienungsanleitung Für Administratoren und Benutzer Version 2.2 Secunet Security Networks AG...
Seite 2 Copyright © 2018 ─ 2020 by secunet Security Networks AG Alle Rechte vorbehalten. Diese Bedienungsanleitung ist lediglich für die Nutzer des Modularen Konnektors bestimmt und ist urheberrechtlich geschützt. secunet Securi- ty Networks AG hat alle Anstrengungen unternommen, um sicherzustellen, dass alle Informationen in diesem Handbuch richtig und komplett sind.
Seite 3: Inhaltsverzeichnis
Inhaltsverzeichnis Inhaltsverzeichnis Abbildungsverzeichnis ......................13 Tabellenverzeichnis ........................ 15 Vorwort ........................... 16 Versionshinweise ....................... 16 Was beinhaltet dieses Dokument ..................17 An wen ist diese Dokumentation gerichtet ................. 17 Erforderliches Vorwissen ....................17 Konventionen ........................17 Sicherheitssymbole......................18 1 Informationen für Anwender und Praxispersonal ............... 19 Prüfung der Zulassung .....................
Seite 4 Inhaltsverzeichnis 2.2.11 Selbsttest ...................... 28 2.2.12 Hardwarebeschleunigung (AES-NI) .............. 29 Weitere Dienste ......................30 2.3.1 Zeitdienst ...................... 30 2.3.2 DHCP-Dienst ....................30 2.3.3 DNS-Dienst ....................30 Netzwerkschnittstellen ....................31 3 Lieferprozess ........................32 Transportverpackung prüfen ..................32 Lieferumfang ......................33 Gerät auspacken ......................
Seite 5 Inhaltsverzeichnis Sicherheitshinweise zur sicheren Administrierung ........... 49 Sicherheitshinweise zum Personal ................50 Sicherheitshinweise zu Karten ................. 50 Hinweise zur Sorgfaltspflicht der Versicherten ............50 Hinweise zur Verarbeitung von XML-Dokumenten........... 51 6 Montage ..........................52 7 Erstmalige Inbetriebnahme ....................53 Was Sie für die Inbetriebnahme benötigen .............. 53 7.1.1 Empfehlungen zur Prüfung der IT-Infrastruktur ..........
Seite 6 9.5.6 Bereich „Version“ ..................104 Das Menü „VPN“ ....................105 9.6.1 Bereich „VPN-Zugangsdienst“ ..............105 9.6.1.1 Modularen Konnektor freischalten ..........106 9.6.1.2 Freischaltung des Modularen Konnektors zurückzunehmen ..106 9.6.2 Regelwerk des Paketfilters konfigurieren ........... 107 9.6.3 Verbindungen zur TI und SIS ..............107 9.6.4 Bereich „Bestandsnetze“...
Seite 7 9.7.2 Hinweise zum Fachmodul NFDM ............... 110 9.7.3 Hinweise zum Fachmodul eMP/AMTS ............110 9.7.4 Bereich Lizenz .................... 111 10 Den Modularen Konnektor für die Einsatzumgebung konfigurieren ....... 112 10.1 Kartenterminals anbinden und benutzen ..............112 10.1.1 Kartenterminal verbinden (Pairing) ............. 112 10.1.2 Kartenterminal zuordnen ................
Seite 8 11.3.1 Import aktueller TSL nach Wechsel des TSL-Vertrauensankers ....138 11.4 TLS-Zertifikate für Clientsysteme verwalten ............139 11.4.1 TLS-Zertifikat generieren und im Browser importieren ....... 139 11.4.2 TLS-Zertifikat in den Modularen Konnektor importieren ......140 11.5 Hostname ändern ....................140 11.6 Selbst-Test durchführen ..................142 11.7 Werksreset durchführen ..................
Seite 9 Inhaltsverzeichnis 11.11.3.1 Informationen über verfügbare Updates aktualisieren ....154 11.11.3.2 Aktuelle Firmware-Version prüfen ..........154 11.11.3.3 Update durchführen ..............155 11.11.3.4 Update löschen ................156 11.11.4 Update offline durchführen ..............156 11.11.5 Hinweis zur Durchführung von Downgrades........... 157 11.11.6 Bei Anzeigefehlern nach einem Update..........158 11.12 Remote Management .....................
Seite 10 Inhaltsverzeichnis 16.4.2.1 Gerätevorderseite ............... 177 16.4.2.2 Geräterückseite ................178 16.5 Produkt- und Betriebsmerkmale ................179 16.5.1 Einboxkonnektor (Konstruktionsstand 2.0.0) ..........179 16.5.1.1 Produktmerkmale ............... 179 16.5.1.2 Betriebsmerkmale ............... 180 16.5.2 Rechenzentrumskonnektor (Konstruktionsstand 2.1.0) ......181 16.5.2.1 Produktmerkmale ............... 181 16.5.2.2 Betriebsmerkmale ............... 182 16.6 Montage .........................
Seite 11 Inhaltsverzeichnis 16.8.7 Menü „Fachmodule“ ..................203 16.8.7.1 Bereich „VSDM“ ................203 16.9 Meldungen und Protokolle ..................204 16.9.1 Übersicht der Protokolle ................204 16.9.2 Format der Protokolleinträge ..............205 16.9.3 Art der Protokolleinträge ................206 16.9.3.1 Ablaufprotokolleinträge ............... 206 16.9.3.2 Fehlerprotokolleinträge ............... 207 16.9.3.3 Eventprotokolleinträge ..............
Seite 12 Inhaltsverzeichnis 16.18.2 Signaturdirektive SignDocument ............382 16.18.2.1 Signaturtypen ................382 16.18.2.2 Signaturvarianten ............... 385 16.18.3 Siganturderiktive VerifyDocument ............396 16.19 Verschlüsselungsdirektive ..................397 16.19.1 Einleitung ....................397 16.19.2 Verschlüsselungsdirektive EncryptDocument ......... 397 16.19.2.1 Allgemein ..................399 16.19.2.2 CRYPT:RecipientKeys ............... 399 16.19.2.3 CRYPT:Element .................
Seite 13: Abbildungsverzeichnis
Inhaltsverzeichnis Abbildungsverzeichnis Abbildung 1: Netzwerkschnittstellen des Modularen Konnektors (Beispiel) ......31 Abbildung 2: Siegelband der Transportverpackung ............... 32 Abbildung 3: Sicherheitssiegel (Beispiel) ................36 Abbildung 4: Thermoreaktive Linienzüge ................36 Abbildung 5: Sicherheitssiegel unter UV-Licht ............... 36 Abbildung 6: Beschädigtes Sicherheitssiegel ................. 37 Abbildung 7: Rückstände eines abgezogenen Sicherheitssiegels .........
Seite 14 Inhaltsverzeichnis Abbildung 45: Verpackungskennzeichnung (Einboxkonnektor) ........... 169 Abbildung 46: Typenschild (Rechenzentrumskonnektor) ............. 169 Abbildung 47: Kennzeichnung Seriennummer (Rechenzentrumskonnektor) ...... 170 Abbildung 48: Verpackungskennzeichnung (Rechenzentrumskonnektor) ......170 Abbildung 49: Sicherheitssiegel (Einboxkonnektor) ............. 171 Abbildung 50: Sicherheitssiegel (Rechenzentrumskonnektor) ..........172 Abbildung 51: Gehäuseoberseite (Einboxkonnektor) ............173 Abbildung 52: Gehäuserückseite (Einboxkonnektor) ............
Seite 15: Tabellenverzeichnis
Inhaltsverzeichnis Tabellenverzeichnis Tabelle 1: Betriebsanzeigen (Kurzübersicht) ................. 21 Tabelle 2: Anzeigen im laufenden Betrieb ................40 Tabelle 3: Anzeigen bei besonderen Betriebszuständen ............40 Tabelle 4: Anzeigen beim Systemstart ................... 41 Tabelle 5: Konfigurationsänderungen, die einen Neustart erfordern ........79 Tabelle 6: Berechtigungen der Benutzerrollen ...............
Seite 16: Vorwort
Inhaltsverzeichnis Vorwort Dieses Dokument beschreibt den Modularen Konnektor, der zur sicheren Anbindung von Clientsystemen der Institutionen und Organisationen des Gesundheitswesens an die Telematikinfrastruktur dient. Der Modulare Konnektor ist einerseits verant- wortlich für den Zugriff auf die in der Einsatzumgebung befindlichen Kartenterminals sowie Karten und andererseits für die Kommunikation mit den zentralen Diensten...
Seite 17: Was Beinhaltet Dieses Dokument
Gesundheitswesens für Versicherte erbringt.  Praxispersonal Personen, die dezentrale Produkte der Telematikinfrastruktur, z.B. den Modularen Konnektor, im personalbedienten Bereich nutzen.  Administrator Der Administrator ist für die Einrichtung, Administrierung und Bedienung des Modularen Konnektors zuständig. Die Rolle des Administrators kann auch vom Leistungserbringer oder vom Dienstleister vor Ort erfüllt werden.
Seite 18: Sicherheitssymbole
Inhaltsverzeichnis  Listenabsätze mit Aufzählungszeichen werden für Informationen und Aufzählungen verwendet.  Handlungsanweisungen werden mit Pfeilen dargestellt. Sicherheitssymbole Warnung Dieses Symbol warnt vor möglichen Sachschäden. Sachschäden können verursacht werden, wenn Sie diesen Sicherheitshinweis missachten. Vorsicht Dieses Symbol warnt vor möglichen Sicherheitsrisiken, z.B. durch eine fehlerhafte Konfiguration.
Seite 19: Informationen Für Anwender Und Praxispersonal
Informationen für Anwender und Praxispersonal Informationen für Anwender und Praxispersonal Der Modulare Konnektor dient dem sicheren Betrieb der IT-Systeme in Ihrer Praxis und bindet diese bei Bedarf an die bundesweite Telematikinfrastruktur an. Prüfung der Zulassung  Informieren Sie sich vor der Nutzung eines Modularen Konnektors von secunet zunächst auf der Webseite der gematik über zugelassene secunet...
Seite 20: Was Muss Im Betrieb Beachtet Werden
Gehäuse berührt wird. Dieses gilt für den Betrieb sowohl mit wie auch ohne die optional verfügbare Wandhalterung. Was muss im Betrieb beachtet werden? Der Modulare Konnektor wurde vom Dienstleister vor Ort (DVO) für Ihre speziellen Bedürfnisse eingerichtet und benötigt im normalen Betrieb keine Bedienung. Beachten Sie: ...
Seite 21: Betriebsanzeigen (Kurzübersicht)
Ort (DVO). Die Kontaktdaten finden Sie im Sicherheitsbeiblatt Empfang und Prüfung. Beachten Sie die Hinweise zur Dauerhaften Außerbetriebnahme in Kapitel 15. Versenden Sie den Modularen Konnektor nicht selbstständig über einen Lieferdienst, sondern kontaktieren Sie für jeden Transport den DVO. Version 2.2...
Seite 22: Funktionsbeschreibung
Funktionsbeschreibung Funktionsbeschreibung Einsatzzweck Der Modulare Konnektor dient dem sicheren Betrieb der IT-Systeme einer Praxis oder Praxisgemeinschaft und der Anbindung an die Telematikinfrastruktur. Dazu stellt der Modulare Konnektor folgende Funktionen zur Verfügung:  Anbindung an die Telematikinfrastruktur Der Modulare Konnektor kann eine gesicherte VPN-Verbindung (Virtual Private Network) zur zentralen Telematikinfrastruktur herstellen.
Seite 23: Sicherheitsfunktionen
VPN-Konzentrator, der als zentraler Verbindungspunkt des VPN- Zugangsdienstes dient. Die Verbindung wird wie folgt aufgebaut: Vor dem Aufbau der VPN-Verbindung durch den Modularen Konnektor werden die beiden Kommunikationsendpunkte authentisiert.  Der VPN- Zugangsdienst überprüft durch Kontrolle des Zertifikates des Modularen Konnektors, ob dieser für die Nutzung des VPN-Zugangsdienstes...
Seite 24: Anbindung An Das Internet
Sicherheitsmaßnahmen besitzen. 2.2.4 Gültigkeitsprüfung von Zertifikaten Der Zertifikatsdienst des Modularen Konnektor überprüft die Gültigkeit von Zertifika- ten. Dazu stellt der VPN-Zugangsdienst eine Trust-Service Status List (TSL) mit den Zertifikaten von zulässigen Dienstanbietern und eine Sperrliste (Certificate Revoca- tion List, CRL) mit gesperrten Zertifikaten bereit.
Seite 25: Paketfilter
ECC-Schlüsseln eingesetzt. In der Übergangsphase, die bis Ende 2024 geht, kön- nen RSA-Schlüssel zur Authentisierung weiterverwendet werden. Der Modulare Konnektor von secunet ist auf die zukünftige Verwendung von ECC-Schlüsseln be- reits vorbereitet. So verwenden neuere Konnektoren Geräteidentitäten, welche so- wohl RSA- als auch ECC-Schlüssel beinhaltet.
Seite 26: Signaturdienst
Der Signaturdienst erlaubt es für CMS-Signaturen zusätzliche signierte und unsig- nierte Eigenschaften (Properties) bzw. Attribute in die Signatur einzubringen (CMSAttribute), siehe dazu auch Kapitel 16.18.2.1, Abschnitt „CMS-Signaturen“. Die folgenden Attribute werden dabei vom Konnektor nicht ausgewertet, sondern ignoriert:  ContentType ...
Seite 27 Ob die für die Erstellung der Signatur verwendeten kryptographischen Algorith- men und Parameter zum Zeitpunkt der Signaturprüfung geeignet sind; wenn dies nicht der Fall ist, gibt der Modulare Konnektor als Information zum vermin- derten Beweiswert der qualifizierten elektronischen Signatur zusätzlich an, bis wann ein Algorithmus gültig war...
Seite 28: Verschlüsselungsdienst
Authentisierungsschlüssel des HBAx und des SM-B verwendet werden. Die Nutzung ist auf Dokumente (Hash) von maximal 512 bit Länge beschränkt. 2.2.11 Selbsttest Der Modulare Konnektor verfügt über einen Selbsttest, der die Integrität sicherheits- relevanter Komponenten prüft. Dies geschieht bei folgenden Gelegenheiten:  Bei jedem Start ...
Seite 29: Hardwarebeschleunigung (Aes-Ni)
Funktionsbeschreibung 2.2.12 Hardwarebeschleunigung (AES-NI) Der Modulare Konnektor unterstützt Advanced Encryption Standard New Instruc- tions (AES-NI) für die Beschleunigung von AES-Verschlüsselungsverfahren.  Der Modulare Konnektor inklusive der Implementierung des Algorithmus AES in Software ist im Rahmen der Evaluierung und Zertifizierung nach Common Criteria gemäß...
Seite 30: Weitere Dienste
Weitere Dienste 2.3.1 Zeitdienst Der Modulare Konnektor stellt im lokalen Netzwerk einen NTP-Server der Stratum- Ebene 3 für Fachmodule und Clientsysteme bereit. Dieser synchronisiert sich bei Online-Betrieb in regelmäßigen Abständen mit einem NTP-Server der Stratum- Ebene 2 in der zentralen Telematikinfrastruktur. Dabei wird eine Plausibilitätskon- trolle der vom Zeitdienst übermittelten Zeitinformationen durchgeführt.
Seite 31: Netzwerkschnittstellen
Konnektor verwendet, einschließlich Firmwareversion 2.0.38, intern das Netzsegement 192.168.77.0/24. In nachfolgenden Firmwareversionen wird das Segement 169.254.77.0/24 verwendet. Um eine Kommunikation des Modularen Konnektor mit angeschlossenen Netzsegementen zu ermöglichen, darf es keine Überschneidung mit dem intern verwendeten Netzsegement geben. Version 2.2...
Seite 32: Lieferprozess
Lieferkette dafür verantwortlich, dass die im Dokument "Hinweise und Prüfpunkte für Endnutzer" beschriebenen Prüfungen durchgeführt werden. Das Dokument erhalten Sie auf der Webseite von secunet (https://www.secunet.com/konnektor). Ein Modularer Konnektor, der nicht über den Prozess der sicheren Auslieferung bezogen wurde, darf nicht in der TI in Betrieb genommen werden.
Seite 33: Lieferumfang
Lieferprozess Lieferumfang Für den Lieferumfang des Modularen Konnektors siehe:  Anhang 16.1.1 (Einboxkonnektor, Konstruktionsstand 2.0.0)  Anhang 16.1.2 (Rechenzentrumskonnektor, Konstruktionsstand 2.1.0) Die Sicherheitsbeiblätter "Empfang und Prüfung" und "Aufstellung und Inbetriebnahme" enthalten Sicherheitshinweise für den Modularen Konnektors. Diese Sicherheitsbeiblätter finden Sie auch in Anhang 16.16. Verwenden Sie entweder Ausdrucke der entsprechenden Anhänge des Handbuches oder prüfen Sie, dass die beigelegten Sicherheitsbeiblätter der Gerätelieferung mit den Inhalten von Anhang 16.16 des Handbuches...
Seite 34: Gerät Auspacken
Lieferprozess Gerät auspacken Gehen Sie wie folgt vor:  Entnehmen Sie den Modularen Konnektor und das mitgelieferte Zubehör vorsichtig aus der Verpackung.  Überprüfen Sie den Lieferumfang auf Vollständigkeit.  Beachten Sie die Sicherheitshinweise der beiden Sicherheitsbeiblätter Empfang und Prüfung und Aufstellung und Inbetriebnahme: ...
Seite 35: Gerätebeschreibung
Gerätebeschreibung Gerätebeschreibung Schnittstellen und Bedienelemente Für eine Übersicht der Schnittstellen und Bedienelemente siehe:  Anhang 16.4.1 (Einboxkonnektor, Konstruktionsstand 2.0.0)  Anhang 16.4.2 (Rechenzentrumskonnektor, Konstruktionsstand 2.1.0) Produkt- und Betriebsmerkmale Für eine Übersicht der Produkt- und Betriebsmerkmale siehe:  Anhang 16.5.1 (Einboxkonnektor, Konstruktionsstand 2.0.0) ...
Seite 36: Beschädigt Sicherheitssiegel Erkennen
Gerätebeschreibung Seriennummer Sicherheitsstanzung Klarschrift/QR-Code Abbildung 3: Sicherheitssiegel (Beispiel) Die Sicherheitssiegel besitzen folgende Sicherheitsmerkmale:  Kreuzförmige Sicherheitsstanzungen  Seriennummer (auf dem Sicherheitsbeiblatt Empfang und Prüfung notiert)  Öffnungsbotschaft „GEOEFFNET OPENED“ bei Beschädigung  Thermoreaktive Linienzüge Ab einer Temperatur von ca. 45 °C sind die roten Linien nicht mehr zu sehen. Bei Unterschreitung der angegebenen Temperatur erscheinen wieder die roten Guillochen-Linien.
Seite 37: Gehäuse
Gerätebeschreibung Abbildung 6: Beschädigtes Sicherheitssiegel Abbildung 7: Rückstände eines abgezogenen Sicherheitssiegels  Prüfen Sie, ob ein Sicherheitssiegel entlang der Gehäusekanten durchschnitten oder zerkratzt ist.  Prüfen Sie, ob ein Sicherheitssiegel eine unzureichende Verbindung zum Ge- häuse besitzt und sich abheben lässt. ...
Seite 38 Gerätebeschreibung  Prüfen Sie, ob die Betriebsanzeigen (LEDs) beschädigt sind.  Prüfen Sie, ob zusätzliche Aufkleber oder externe Anbauteile vorhanden sind. Auf dem Gehäuse kann sich der Aufdruck eines Partnerunternehmens befinden. Dies stellt keine Sicherheitseinschränkung dar. Das Gerät darf bei beschädigtem Gehäuse oder Manipulationsverdacht auf keinen Fall in Betrieb genommen werden.
Seite 39: Betriebsanzeigen
Gerätebeschreibung Betriebsanzeigen 4.4.1 Anzeigen im Normalbetrieb Der Normalbetrieb beginnt etwa drei Minuten nach dem Einschalten des Modularen Konnektors. Funktion Signal Erläuterung Eingeschaltet (Unabhängig von den weiteren Gerätefunktionen) Power Stromversorgung Ausgeschaltet Betriebsbereit Blinkt System startet System Betriebszustand Nicht betriebsbereit VPN-Verbindung zur TI* Blinkt VPN-Verbindung zur TI wird aufgebaut VPN TI...
Seite 40: Anzeigen Bei Besonderen Betriebszuständen
Gerätebeschreibung Remote Management aktiviert Remote Management Blinkt Remote Management wird durchgeführt Remote Schnittstelle Remote Management deaktiviert * Wenn eine Verbindungen zur TI besteht, ist noch nicht die Funktion der TI-Dienste gewährleistet. Siehe Kapitel 11.2 zur Prüfung der Funktion einzelner Dienste. Tabelle 2: Anzeigen im laufenden Betrieb Je nach Betriebszustand können mehrere oder alle Betriebsanzeigen zur selben Zeit leuchten.
Seite 41: Anzeigen Beim Systemstart
Gerätebeschreibung 4.4.3 Anzeigen beim Systemstart LED(s) Signal Erläuterung Alle Nacheinander kurzzeitiger Funktionstest BIOS-Update Fort- Das Update wird automatisch installiert. Anschließend Alle laufend startet das System erneut. Bei einem Fehler während des BIOS-Updates leuchten alle LEDs dauerhaft. Boot-Prozess des BIOS startet Service, Update, Bei einem Fehler während des BIOS-Starts leuchtet Remote...
Seite 42: Anzeigen Bei Fehlerzuständen
Gerätebeschreibung 4.4.4 Anzeigen bei Fehlerzuständen Fehlerzustände werden von den Betriebsanzeigen 60 Sekunden lang angezeigt, anschließend fährt das System herunter. Eine Übersicht der signalisierten Fehlerzu- stände finden Sie in Anhang 16.11.  Wenn das System aufgrund eines Fehlerzustandes heruntergefahren ist, starten sie es erneut durch kurzes Drücken des An/Aus-Tasters und beobachten Sie den Verlauf der Betriebsanzeigen.
Seite 43: Gerät Ein-/Ausschalten
Notunterbrechung:  An/Aus-Taster ca. 4 Sekunden lang gedrückt halten. Schalten Sie den Modularen Konnektor stets durch die zweimalige kurze Betätigung des An/Aus-Tasters aus. Das Trennen der Spannungsversor- gung oder die Notunterbrechung im laufenden Betrieb kann das Gerät irreparabel beschädigen.
Seite 44: Verhalten Bei Spannungsausfällen
Gerätebeschreibung Verhalten bei Spannungsausfällen Der Modulare Konnektor erkennt den letzten Betriebsstand (An/Aus) und stellt die- sen nach einem Spannungsausfall automatisch wieder her. Dadurch startet der Mo- dulare Konnektor nach einem Spanungsausfall automatisch, sofern der Modulare Konnektor zum Zeitpunkt des Spannungsausfalls eingeschaltet war.
Seite 45: Sicherheitshinweise
Sicherheitshinweise Sicherheitshinweise zu Aufbau und Betriebsumgebung Der Aufstellungsort muss folgende Anforderungen erfüllen:  Der Modulare Konnektor darf nur in einer der folgenden Umgebungen betrieben werden:  Innerhalb eines personalbedienten Bereichs, in dem sich der Leistungserbringer regelmäßig aufhält. Dritte dürfen zum Modu- laren Konnektor keinen Zugriff haben.
Seite 46: Sicherheitshinweise Zu Benutzerpasswörtern
Sicherheitshinweise Sicherheitshinweise zu Benutzerpasswörtern Ein Passwort, das für den Zugriff auf den Modularen Konnektor festgelegt wird, muss mindestens acht Zeichen lang sein und Zeichen aus drei der folgenden Zei- chenarten enthalten:  Großbuchstaben  Kleinbuchstaben  Sonderzeichen  Ziffern Ein Passwort darf nicht den zugeordneten Benutzernamen enthalten (weder vor- wärts noch rückwärts, unter Ignorieren der Groß- und Kleinschreibung).
Seite 47: Sicherheitshinweise Zur Netzwerkumgebung
überzeugen, dass der Leistungserbringer das lokale Netzwerk in sicherer Weise betreibt. Der Modulare Konnektor darf nur mit anderen von der gematik zugelassenen Kom- ponenten wie z.B. zugelassenen eHealth-Kartenterminals betrieben werden. Diese müssen den Modularen Konnektor für Dienste gemäß § 291a korrekt aufrufen. Auf- rufe von Diensten gemäß...
Seite 48 Daten umgehen. HBA-Inhaber dürfen den HBA nur in IT-Umgebungen ver- wenden, die wie in diesem Kapitel beschrieben sicher administriert werden. Die Clientsysteme, die mit dem Modularen Konnektor kommunizieren, müssen ver- trauenswürdig sein, d.h., es dürfen keine Angriffe aus den Clientsystemen erfolgen und muss sichergestellt sein, dass sie die ihnen anvertrauten Daten / Informationen nicht missbrauchen.
Seite 49: Sicherheitshinweise Zur Sicheren Administrierung
Das Clientsystem muss im Rahmen der Erzeugung und Prüfung einer QES die Do- kumente, Zertifikate, Jobnummer und Fortschrittsanzeige der Stapelsignatur korrekt und vertrauenswürdig darstellen und die Nutzung der vom Modularen Konnektor angebotenen Abbruchfunktion der Stapelsignatur ermöglichen. Sicherheitshinweise zur sicheren Administrierung Der Leistungserbringer muss sicherstellen, dass administrative Tätigkeiten in Über-...
Seite 50: Sicherheitshinweise Zum Personal
Der Inhaber der SMC-B muss sicherstellen, dass diese nur freigeschaltet ist, wenn sie und der Modulare Konnektor unter seiner Kontrolle arbeiten. Wenn der Kartenin- haber keine Kontrolle mehr über den Konnektor oder die SMC-B hat, muss er die Freischaltung der SMC-B zurücksetzen (z.B. durch Ausschalten des Kartentermi- nals oder Ziehen der Karte).
Seite 51: Hinweise Zur Verarbeitung Von Xml-Dokumenten
Konnektor schützt sich damit vor möglichen Angriffen auf die Verarbeitung von XML-Dokumenten. Externe Komponenten, die solche XML-Daten verarbeiten, müssen sich selbst vor möglichen XML-Angriffen schützen. Insbesondere werden Kommentare in den XML-Dokumenten nicht in die Signatur einbezogen oder inhaltlich durch den Konnektor bewertet. Version 2.2...
Seite 52: Montage
Belüftung und vermeiden Sie direkte Sonnenein- strahlung. Beachten Sie:  Nehmen Sie bei einer Beschädigung des Gehäuses oder des Netzteils den Modularen Konnektor bzw. das Netzteil sofort außer Betrieb.  Beachten Sie die Hinweise zur Außerbetriebnahme/Entsorgung in Kapitel 15. ...
Seite 53: Erstmalige Inbetriebnahme
Erstmalige Inbetriebnahme Erstmalige Inbetriebnahme Was Sie für die Inbetriebnahme benötigen Stellen Sie sicher, dass für die Inbetriebnahme des Modularen Konnektors folgende Bedingungen erfüllt sind:  Es besteht ein Internetanschluss und die erforderlichen Netzwerkkomponenten sind vorhanden (Switch).  Eine SMC-B mit zugehöriger PIN/PUK ist vorhanden. ...
Seite 54: Anforderungen An Die Netzwerkumgebung
Erstmalige Inbetriebnahme Anforderungen an die Netzwerkumgebung Wenn der Modulare Konnektor hinter einer Firewall betrieben wird, müssen folgende Ports und Protokolle freigegeben sein:  Ausgehend alle Ports/Protokolle  Eingehend UDP Port 500 und Port 4500 Die Freigabe der eingehenden UDP Ports kann unterbleiben, wenn die Firewall des IAG die Funktion "Connection Tracking"...
Seite 55: Übersicht Der Verwendeten Ip-Protokolle
Erstmalige Inbetriebnahme Wenn eine Verbindung nicht mit der erstgenannten Konfiguration aufgebaut werden kann, versuchen Sie den Verbindungsaufbau mit folgenden zusätzlich freigegebe- nen Protokollen aufzubauen:  ESP Eingehend  ESP Ausgehend 7.2.3 Übersicht der verwendeten IP-Protokolle IP-Protokollnummer Protokoll Anmerkungen ICMP IP-in-IP IP Tunnelung, je nach Konfiguration sowie bei Verwendung von IPComp Sofern NAT nicht verwendet wird...
Seite 56: Erstanmeldung
Erstanmeldung mittels DHCP-Server (Standardvorgehensweise)  Schließen Sie den Modularen Konnektor an die Stromversorgung an.  Schließen Sie den Modularen Konnektor über einen Switch an ein Netzwerk an, das über einen DHCP-Server verfügt. Verbinden Sie anschließend auch das Clientsystem mit dem Switch.
Seite 57: Abbildung 8: Anmeldedialog
Erstmalige Inbetriebnahme  Geben Sie am Clientsystem in der Adresszeile des Browsers unter Verwendung der dem Modularen Konnektor zugewiesenen IP-Adresse folgende Adresse ein: https://<IP-Adresse des Modularen Konnektors>:8500/management  Validieren Sie das Zertifikat des Modularen Konnektors. Exportieren Sie dazu das Zertifikat (siehe Kapitel 7.4.3) und importieren Sie es im Browser (siehe Kapitel 7.4.4).
Seite 58: Abbildung 9: Passwort Ändern
Abbildung 9: Passwort ändern Falls Sie bei der ersten Anmeldung nicht zum Passwortwechsel aufge- fordert werden, darf der Modulare Konnektor nicht in Betrieb genommen werden. Es besteht die Gefahr einer möglichen Kompromittierung. Be- achten Sie in diesem Fall die Hinweise in Kapitel 13.
Seite 59: Erstanmeldung Mit Fester Ip-Adresse
Gehen Sie in den in Kapitel 7.4 genannten Ausnamefällen wie folgt vor:  Schließen Sie den Modularen Konnektor an die Stromversorgung an.  Schließen Sie den Modularen Konnektor über einen Switch an ein Netzwerk an und verbinden Sie anschließend auch das Clientsystem mit dem Switch.
Seite 60: Tls-Zertifikat Exportieren
Konnektors ein TLS-Zertifikat verwendet, das im Modularen Konnektor hinter- legt ist. Um sicherzustellen, dass bei der initialen und allen weiteren Verbindungan- fragen zum Modularen Konnektor das korrekte Zertifikat verwendet wird, muss eine Validierung des Konnektor-Zertifikates durchgeführt werden. Erst nach der Validierung authentisiert sich der Administrator durch die Eingabe von Zugangsdaten an der Administrationsschnittstelle.
Seite 61: Abbildung 11: Informationen Zu Unsicherer Verbindung (Beispiel)
Erstmalige Inbetriebnahme  Neben der Adresszeile wird ein Warnsymbol mit dem Text Nicht sicher angezeigt. Klicken Sie darauf, um Verbindungsinformationen einzublenden. Abbildung 11: Informationen zu unsicherer Verbindung (Beispiel)  Klicken Sie unter Zertifikat auf Ungültig, um weitere Informationen anzuzeigen. Abbildung 12: Zertifikatsinformationen Version 2.2...
Seite 62: Abbildung 13: Zertifikatsdetails (Beispiel)
Erstmalige Inbetriebnahme  Öffnen Sie den Reiter Details, um weitere Informationen über das Zertifikat wie beispielsweise den Fingerprint anzuzeigen. Abbildung 13: Zertifikatsdetails (Beispiel)  Klicken Sie In Datei kopieren …, um das Zertifikat zu exportieren. Der Zertifikatexport-Assistent öffnet sich. Abbildung 14: Zertifikatexport-Assistent Version 2.2...
Seite 63: Tls-Zertifikat Importieren Und Validieren
Erstmalige Inbetriebnahme  Wählen Sie das Format DER-codiert-binär X.509 (.CER). Abbildung 15: Zertifikatsformat  Folgen Sie den Anweisungen des Zertifikatexport-Assistenten, um das Zertifikat in einer Datei abzuspeichern. 7.4.4 TLS-Zertifikat importieren und validieren Das gespeicherte Zertifikat des Modularen Konnektors muss nun in den Browsern der Clientsysteme importiert werden.
Seite 64: Abbildung 16: Browser-Einstellungen
Erstmalige Inbetriebnahme Abbildung 16: Browser-Einstellungen  Klicken Sie am unteren Bildschirmrand Erweitert, um alle Einstellungen einzublenden.  Klicken Sie Zertifikate verwalten. Abbildung 17: Zertifikate verwalten Version 2.2...
Seite 65: Abbildung 18: Importierte Zertifikate (Beispiel)
Erstmalige Inbetriebnahme Das Fenster Zertifikate öffnet sich, in dem alle bereits importierten Zertifikate angezeigt werden.  Öffnen Sie den Reiter Vertrauenswürdige Stammzertifizierungsstellen und klicken Sie Importieren … Abbildung 18: Importierte Zertifikate (Beispiel) Der Zertifikatimport-Assistent öffnet sich: Abbildung 19: Zertifikatimport-Assistent Version 2.2...
Seite 66: Abbildung 20: Zertifikatsspeicher
Erstmalige Inbetriebnahme  Folgen Sie den Anweisungen des Zertifikatimport-Assistenten und wählen Sie die abgespeicherte Datei mit dem Zertifikat des Modularen Konnektors aus.  Wählen Sie als Zertifikatsspeicher Vertrauenswürdige Stammzertifizierungs- stellen aus und schließen sie den Import ab. Abbildung 20: Zertifikatsspeicher ...
Seite 67: Abbildung 22: Importiertes Zertifikat Des Modularen Konnektors
Zertifikatsvalidierung für weitere Clientsysteme im lokalen Netzwerk anhand des exportierten Zertifikats durchführen, ohne eine direkte Verbindung zwischen dem Clientsystem und dem Modularem Konnektor aufzubauen. In diesem Fall müssen Sie sicherstellen, dass das importierte Zertifikat jeweils mit dem bereits validierten Zertifikat übereinstimmt, z.
Seite 68 Erstmalige Inbetriebnahme Falls Sie Remote Management zulassen wollen, muss das Zertifikat des Modularen Konnektors im Clientsystem des Remote-Administrators importiert werden. Führen Sie dazu die oben beschriebenen Schritte im Browser des Remote Management- Systems durch und melden Sie sich dabei mit der Adresse für Remote Management an (siehe Kapitel 8.1).
Seite 69: Vorgehensweise Bei Der Ersten Konfiguration
Legen Sie im Menü System die grundlegenden Betriebsbedingungen fest (siehe Kapitel 9.5). Legen Sie Benutzer für die Personen an, die den Modularen Konnektor über die Bedienoberfläche administrieren (siehe Kapitel 9.1). Falls die Administration mit Remote Management erfolgen soll, ist hierfür ein eigener Benutzer mit der Rolle Remote-Admin erforderlich.
Seite 70 Erstmalige Inbetriebnahme Im Menü System können Sie im Bereich Zertifikate das jeweilige Ablaufdatum anzeigen lassen sowie eine TSL oder CRL hochladen (siehe Kapitel 9.5.2). URL für den Abruf der aktuellen TSL (Achtung: Nur bei Einsatz im Online- Rollout): https://download.tsl.ti-dienste.de/TSL.xml URL für den Abruf der aktuellen CRL (Achtung: Nur bei Einsatz im Online- Rollout): http://download.crl.ti-dienste.de/crl/vpnk-ca1.crl Konfigurieren sie nach Bedarf die Verbindungen mit dem VPN-Zugangsdienst...
Seite 71: Grundlagen Zur Bedienoberfläche
Sie im Browser aufrufen können. Beachten Sie die Hinweise zu empfohlenen Browsern in Kapitel 7.1. Alternativ zur Bedienoberfläche kann der Modulare Konnektor auch über die REST-Schnittstelle administriert werden. Zur sicheren Administration des Modularen Konnektors über die REST-Schnittstelle benötigen Sie eine zuge- hörige Spezifikation.
Seite 72: Die Ansicht „Home
Grundlagen zur Bedienoberfläche Falls Sie sich nicht anmelden können, weil das Passwort nicht mehr bekannt ist, be- steht die Möglichkeit unter Weitere Optionen anzeigen … einen alternativen Login durchzuführen (siehe Kapitel 11.7.2). Abmeldung  Melden Sie sich über die Schaltfläche im linken unteren Bildschirmbereich ab.
Seite 73: Übersicht Der Menüs
In diesem Menü konfigurieren Sie die Anbindung an die TI und den SIS (siehe Kapitel 9.6). Module In diesem Menü verwalten Sie die auf dem Modularen Konnektor betriebenen Fachanwendungen (siehe Kapitel 9.7) und Lizenzen für lizenzierbare Funktionen (siehe Kapitel 11.10.1).
Seite 74: In Der Bedienoberfläche Navigieren
Grundlagen zur Bedienoberfläche In der Bedienoberfläche navigieren In den Dialogfenstern der Bedienoberfläche navigieren Sie mit folgenden Symbolen: Zurück Löschen Abbrechen (Eingabe verwerfen) Die Seite enthält ungesicherte Änderungen Bestätigen Eingabe in untergeordnetem Formular abschließen; Beachten Sie: Die Eingaben werden erst durch nochmaliges bestätigen mit gespeichert.
Seite 75: Die Prüfung Von Eingaben
Grundlagen zur Bedienoberfläche Verknüpfung zu einem Dialogfenster in einem anderen Menü … Führt zu weiteren Einstellungen Lade-/Warteanzeigen: Seite lädt Aktion wird durchgeführt 8.4.1 Die Prüfung von Eingaben Wenn in einem Dialogfenster eine konfigurierte Einstellung verändert wird, wird die Validität automatisch geprüft und über Farbbalken vor dem Eingabefeld angezeigt: Blau Eingabe gültig Eingabe nicht gültig, es wird zusätzlich ein Fehlertext angezeigt...
Seite 76: Die Suchfunktion
 Das Voranstellen eines Minuszeichens (-) schließt einen Suchbegriff aus.  Begriffe aus der Konnektor-Spezifikation der gematik erscheinen zwar nicht in der grafischen Bedienoberfläche, können jedoch trotzdem über die Suchfunk- tion gefunden werden. Beispiel: CTM_SERVICE_DISCOVERY_CYCLE findet das Dialogfenster der Terminal-Einstellungen.
Seite 77: In Den Suchergebnissen Navigieren
Grundlagen zur Bedienoberfläche 8.4.3.3 In den Suchergebnissen navigieren Neben dem manuellen Anklicken von Suchergebnissen, um die betreffenden Dia- logfenstern aufzurufen, bestehen folgende Möglichkeiten zur Auswahl:  Die Taste TAB wechselt den Fokus vom Suchfeld schrittweise zu jedem Such- ergebnis.  Die Tastenkombination SHIFT+TAB wechselt den Fokus wieder schrittweise zurück bis zum Suchfeld.
Seite 78 Grundlagen zur Bedienoberfläche Allgemeine Netzwerk- Allgemein Bandbreiten Einstellungen Erweiterte TLS- Allgemein ALLE Einstellungen WAN-Modus WAN-Schnittstelle aktiv Menü Praxis Timeout für Kartenoperatio- Karten Einstellungen Karten Einstellungen Timeout für PIN-Kommandos Karten Einstellungen Service Discovery Zyklus Karten Einstellungen Service Announcement Port Karten Einstellungen Anzahl Keep-Alive Versuche Karten Einstellungen...
Seite 79: Tabelle 5: Konfigurationsänderungen, Die Einen Neustart Erfordern
Grundlagen zur Bedienoberfläche Bestandsnetze Bestandsnetze aktivieren / deaktivieren Menü Fachmodule VSDM Einstellungen Intermediär-Servicename Tabelle 5: Konfigurationsänderungen, die einen Neustart erfordern Version 2.2...
Seite 80: Menüs Und Einstellungen
Menüs und Einstellungen Menüs und Einstellungen Nachfolgend sind die einzelnen Einstellungen zum Konfigurieren des Modularen Konnektors beschrieben. Standardwerte und Wertebereiche für die einzelnen Konfi- gurationsparameter finden sie in Kapitel 16.8. Die Konfiguration beispielhafter Netzwerkszenarien ist in Kapitel 10.2 beschrieben. Das Menü „Benutzer“ Im Menü...
Seite 81: Bereich „Benutzerverwaltung
Menüs und Einstellungen Bereich „Benutzerverwaltung“ 9.1.2 Sie haben folgende Möglichkeiten:  Unter Einstellungen ... legen Sie fest, nach welchem Zeitintervall Passwörter geändert werden müssen.  Mit Neuen Benutzer anlegen ... legen Sie ein Benutzerkonto an. Für ein neues Benutzerkonto müssen der Benutzername und das initiale Passwort eingegeben sowie eine Benutzerrolle ausgewählt werden (siehe Kapitel 9.1.3).
Seite 82: Überblick Über Benutzerrollen
Menüs und Einstellungen 9.1.3 Überblick über Benutzerrollen Die Benutzerkonten von Administratoren können folgende Rollen besitzen:  Super-Admin  Lokaler Admin  Remote-Admin Mit den Benutzerrollen sind folgende Berechtigungen verbunden: Super- Lokaler Remote- Admin Admin Admin Lokaler Administrationszugriff Nein (siehe Kapitel 8.1) Administrationszugriff über Nein Nein...
Seite 83: Passwort Eines Benutzers Zurücksetzen
Menüs und Einstellungen In Ergänzung zur vorstehenden Tabelle besitzen Benutzerkonten mit der Rolle Remote-Admin keine Berechtigung für folgende Vorgänge:  Schlüssel und X.509-Zertifikate für die Authentisierung eines Clientsystems importieren, erzeugen, löschen und exportieren  Konfiguration der Anbindung der Clientsysteme  PIN-Management der SM-Bs für den Administrator ...
Seite 84: Das Menü „Netzwerk
Netzwerk. Im unteren Fensterbereich wird eine Übersicht der aktuellen Ein- stellungen angezeigt.  Unter Leistungsumfang Online … legen Sie fest, ob der Modulare Konnektor online oder offline betrieben wird (siehe Kapitel 10.2.1.1).  Unter Allgemeine Netzwerk-Einstellungen … konfigurieren sie die grundle- gende Infrastruktur der Einsatzumgebung: ...
Seite 85: Bereich „Lan
Menüs und Einstellungen  Intranet Routen Die Routing-Tabelle, anhand derer Datenpakete zu internen Netzwerken geleitet werden  Netzwerke der Einsatzumgebung Die internen Netzwerke  Bandbreiten Bandbreitenbeschränkung des ausgehenden Datenverkehrs für die Kommunikation mit der TI  Minimale Bandbreiten Dienstklassen (DiffServ-Einstufung); diese müssen ggf. mit der Konfigura- tion der weiteren Komponenten im lokalen Netzwerk übereinstimmen.
Seite 86: Bereich „Wan
9.2.3 Im Bereich WAN konfigurieren Sie die Schnittstelle zum Internet Access Gateway (IAG) wenn der Modulare Konnektor im Anbindungsmodus In Reihe betrieben wird (siehe Kapitel 10.2.1.2). Die WAN-Schnittstelle ist im Auslieferungszustand deakti- viert und muss bei Bedarf manuell aktiviert werden.
Seite 87: Bereich „Dns
Legen Sie den DNS-Server und die DNS-Domain für den Zugangsdienst fest, um die Verbindung zur TI zu ermöglichen. Wenn der Modulare Konnektor als DHCP-Server betrieben wird, wird die Adresse des DNS-Servers automatisch den Clientsystemen mitgeteilt, sofern in den Clientgroups kein externer DNS-Server konfiguriert ist.
Seite 88: Das Menü „Praxis
Die im Konnektor verbaute gSMC-K können Sie anhand der Identifikationsnum- mer (ICCSN) ermitteln. Die ICCSN der Karte besteht aus 20 Stellen. Die elfte Stelle der ICCSN gibt dabei an, ob im Modularen Konnektor gSMC-Ks vom Typ STARCOS (Wert 0) oder TCOS (Wert 1) verbaut sind (siehe Tabelle 18 bzw.
Seite 89: Bereich „Terminals
Menüs und Einstellungen Der Inhaber der SMC-B muss sicherstellen, dass diese nur freigeschaltet ist, wenn sie und der Modulare Konnektor unter seiner Kontrolle arbeiten. Wenn der Karteninhaber keine Kontrolle mehr über den Konnektor oder die SMC-B hat, muss er die Freischaltung der SMC-B zurücksetzen (z.B.
Seite 90: Bereich „Clientsysteme
Optionen anzuzeigen:  Bearbeiten … Geben Sie ggf. Benutzername und Passwort des Administrationszugangs ein, um im Modularen Konnektor Updates für das Kartenterminal durchführen zu können (siehe Kapitel 11.11). Die Zugangsdaten werden im Terminal selbst verwaltet. ...
Seite 91 öffnet die verknüpften Einstel- lungen zur Konfiguration der Absicherungsmethode für Verbindungen zu Clientsystemen. Der Modulare Konnektor und die Clientsysteme tauschen Daten über die SOAP/HTTP-Schnittstelle aus; zudem werden optional Benachrichtigungen über Ereignisse des Systeminformationsdienstes vom Modularen Konnektor über das CETP-Protokoll an die Clientsysteme versendet (siehe Kapitel 9.4.5).
Seite 92  Legen Sie in den Einstellungen der einzelnen Clientsysteme jeweils das zu verwendende Zertifikat fest. Die Client-Authentisierung erfolgt mit einem Zertifikat, das Sie im Modularen Konnektor erzeugen und in das PVS importieren. Klicken Sie dazu Zertifikat erstellen … und geben Sie ein Passwort für die zu erzeugende P12-Datei ein.
Seite 93  Diese Methode wird verwendet, wenn die Option TLS-Pflicht deaktiviert ist. TLS mit Server-Authentisierung Wenn das PVS (TLS-Server) eine Authentisierung vom Modularen Konnektor im Rahmen des TLS-Verbindungsaufbaus anfordert, authentisiert sich der Modulare Konnektor, so dass eine beidseitig authentisierte Verbindung erreicht wird.
Seite 94: Sichere Anbindung Des Clientsystems
Menüs und Einstellungen 9.3.3.1 Sichere Anbindung des Clientsystems Das Clientsystem kommuniziert mit dem Modularen Konnektor über verschiedene Protokolle (SOAP, CETP, LDAP). Wie in Kapitel 9.3.3 beschrieben, kann die Kom- munikation dabei durch einen TLS-Kanal abgesichert werden (siehe dazu Warnhin- weis zu TLS in Kapitel 9.3.3).
Seite 95: Bereich „Arbeitsplätze
Menüs und Einstellungen TLS-Pflicht aktiviert (ANCL_TLS_MANDATORY=Enabled) Authentifizierungsmethode: Zertifikat (ANCL_CAUT_MANDATORY=Enabled, ANCL_CAUT_MODE= CERTIFICATE) SOAP CERTIFICATE CERTIFICATE CETP CERTIFICATE CERTIFICATE LDAP-Proxy CERTIFICATE CERTIFICATE TLS-Pflicht aktiviert (ANCL_TLS_MANDATORY=Enabled) Authentifizierungsmethode: Keine Authentifizierung (ANCL_CAUT_MANDATORY=Disabled) SOAP NOAUTH CERTIFICATE CETP CERTIFICATE Optional CERTIFICATE (wenn vom Clientsystem angefordert) LDAP-Proxy NOAUTH CERTIFICATE Tabelle 7: Konfigurationsmöglichkeiten für die Anbindung des Clientsystems...
Seite 96: Bereich „Mandanten
Bereich „Aufrufkontexte“ 9.3.6 Ein Aufrufkontext ist eine Kombination aus Clientsystem, Mandant und Arbeitsplatz für die Kommunikation zwischen dem PVS und dem Modularen Konnektor. Mit der Option Detaillierte Ansicht können Sie weitere Informationen zu den beste- henden Aufrufkontexten anzeigen. Mit Aufrufkontext anlegen … kann ein neuer Aufrufkontext erstellt werden. Wählen Sie dazu jeweils einen Mandanten, ein Clientsystem und ein Arbeitsplatz aus.
Seite 97: Das Menü „Diagnose
Menüs und Einstellungen Das Menü „Diagnose“ Im Menü Diagnose haben Sie Zugriff auf aktuelle Systeminformationen. Abbildung 28: Menü „Diagnose“ Bereich „Status“ 9.4.1 Im Bereich Status werden aktuelle Betriebs- und Fehlerzustände und zusätzliche Systeminformationen angezeigt. Mit Selbst-Test … können Sie eine Prüfung der Integrität sicherheitsrelevanter Komponenten durchführen (siehe Kapitel 2.2.11).
Seite 98: Bereich „Gespeicherte Suchen
Performancedaten, sofern das Performance-Protokoll aktiv ist Bereich „Abonnements“ 9.4.5 Benachrichtigungen über Ereignisse werden vom Modularen Konnektor über das CETP-Protokoll an die Clientsysteme versendet. Im Bereich Abonnements wird angezeigt, ob und mit welchen Adressen sich Clientsysteme dazu erfolgreich am Systeminformationsdienst des Modularen Konnektor registriert haben.
Seite 99: Bereich „Administration
Menüs und Einstellungen Bereich „Administration“ 9.4.6 Im Bereich Administration haben Sie folgende Möglichkeiten: Unter Protokoll-Einstellungen … können Sie für die verschiedenen Protokolle  (siehe Kapitel 16.9.1) festlegen, welche Ereignisse protokolliert werden und wie lange Protokolleinträge gespeichert bleiben.  Unter Allgemein konfigurieren Sie die Einstellungen für Einträge in das Sicherheitsprotokoll.
Seite 100: Das Menü „System
Ziffern „0 bis 9“,  Zeichen „-“ (Minus) Beachten Sie bei einer Änderung des Hostnamens die Hinweise in Kapitel 11.5. Vor der Validierung des nach der Änderung des Hostnamens neu generierten Konnektor-Zertifikates dürfen keine Zugangsdaten an der Administrationsschnittstelle eingegeben werden. Version 2.2...
Seite 101: Bereich „Zertifikate
Neustart des Modularen Konnektors erforderlich.  Remote-Management … Wenn Remote Management erlaubt und aktiviert ist, kann der Modulare Konnektor über das öffentliche Netzwerk administriert werden (siehe Kapitel 10.2.1.5). Standalone-Szenario …  Wenn aktiviert, arbeitet der Modulare Konnektor ohne angeschlossene Clientsysteme (siehe Kapitel 10.2.1).
Seite 102: Bereich „Zeit
Bei einer bestehenden Verbindung zur TI werden diese Dateien normalerweise automatisch aktualisiert. Ein manuelles hochladen ist nur möglich, wenn im Modularen Konnektor die Option Leistungsumfang Online deaktiviert ist (siehe Kapitel 9.2.1). Im Weiteren werden Informationen zu den aktuell verwendeten TSL/CRL/ BNetzA-V angezeigt;...
Seite 103: Bereich „Aktualisierungen
Im Offline-Modus muss die Uhrzeit mindestens einmal jährlich synchronisiert werden.  Im Online-Modus darf die im Konnektor eingestellte Zeit nicht mehr als 30 Sekunden von der in der TI gültigen Zeit abweichen, andernfalls ist eine Verbindung zur TI nicht möglich. Prüfen Sie die Zeit mindes- tens bei der Inbetriebnahme und passen Sie sie wenn notwendig an.
Seite 104: Bereich „Backup
Menüs und Einstellungen  Unter Mögliche Neuinstallation der bereits installierten Version wird angezeigt, ob eine Neuinstallation der aktuellen Version möglich ist. Bereich „Backup“ 9.5.5 In diesem Bereich können Sie Systemsicherungen (Backups) erstellen und importie- ren (siehe Kapitel 11.9). Bereich „Version“ 9.5.6 In diesem Bereich werden Produktdaten und Versionsangaben angezeigt.
Seite 105: Das Menü „Vpn
In diesem Bereich konfigurieren Sie die Anbindung an den VPN-Zugangsdienst. Bei Verwendung von IKE ist es möglich, dass die interne IP-Adresse des Modularen Konnektor hinter dem NAT-Gateway ermittelt werden kann. Unter Einstellungen ... können Netzwerkeinstellungen für den Zugang zu TI und SIS angepasst werden.
Seite 106: Modularen Konnektor Freischalten
Unter Netzwerk-Segmente ... werden die virtuellen privaten Netzwerke verwaltet, die über den Modularen Konnektor erreichbar sind. Die Netzwerke der TI sind vor- konfiguriert, Sie können nach Bedarf weitere Netzwerke hinzufügen. Unter Freischaltung ... können Sie den Freischaltungsstatus abfragen oder den Modularen Konnektorn am VPN-Zugangsdienst der TI freischalten.
Seite 107: Regelwerk Des Paketfilters Konfigurieren
Menüs und Einstellungen 9.6.2 Regelwerk des Paketfilters konfigurieren Der Modulare Konnektor blockiert alle Pakete, die von keiner Firewall-Regel erfasst werden. Unter SIS-Firewall-regeln … werden die vorhandenen Firewall-Regeln an- gezeigt. Sie können neue Regeln anlegen oder vorhandene durch Anklicken bear- beiten oder löschen.
Seite 108 Menüs und Einstellungen Sie haben folgende Möglichkeiten:  Durch Anklicken können Bestandsnetze angepasst werden.  Mit Bestandsnetze aktualisieren wird die Ansicht der Bestandsnetze aktualisiert.  Mit Bestandsnetze aktivieren/deaktivieren können Bestandsnetze aktiviert oder deaktiviert werden, um den Zugriff darauf zu ermöglichen oder zu unterbinden.
Seite 109: Das Menü „Module
Menüs und Einstellungen Das Menü „Module“ Im Menü Module werden Informationen über die auf dem Modularen Konnektor betriebenen FachModule angezeigt. Standardmäßig sind folgende Fachmodule in- stalliert:  Versichertenstammdatenmanagement (VSDM)  Notfalldatenmanagement (NFDM)  Elektronischer Medikationsplan/Arzneimitteltherapiesicherheit (eMP/AMTS) Abbildung 31: Menü „Module“...
Seite 110: Hinweise Zum Fachmodul Nfdm
Prüfungsnachweisen. 9.7.2 Hinweise zum Fachmodul NFDM Das Fachmodul VSDM ermöglicht es dem PS, über den Modularen Konnektor auf eine eGK zuzugreifen um Informationen für die Notfallversorgung zu speichern. Die Bedienung ist der Security Guidance Fachmodul NFDM beschrieben (siehe An- hang 16.14).
Seite 111: Bereich Lizenz
Abbildung 32: Bereich „Lizenz“  Mit Lizenz herunterladen … können Sie die aktuelle Lizenzdatei lokal spei- chern.  Mit Lizenz hochladen … können Sie eine Lizenzdatei auf den Modularen Konnektor hochladen. Änderungen der lizenzierten Funktionalitäten erfordern den Neustart des Modularen Konnektors. Version 2.2...
Seite 112: Den Modularen Konnektor Für Die Einsatzumgebung Konfigurieren
Kartenterminal auffallen, so ist ebenfalls das Gehäuse des Kartenterminals auf Unversehrtheit zu überprüfen. Das Pairing kann nur durchgeführt werden, wenn im Konnektor eine gültige TSL und CRL vorliegt. Aktualisieren Sie diese ggf. vorher (siehe Kapitel 11.2).  Schließen Sie das Kartenterminal an das Netzwerk an und nehmen Sie es in Betrieb.
Seite 113: Kartenterminal Zuordnen
Den Modularen Konnektor für die Einsatzumgebung konfigurieren Portnummer leer sein muss. Der Konnektor verwendet automatisch die spezi- fizierten Ports.  Klicken Sie das neu hinzugefügte Kartenterminal an, um weitere Optionen anzuzeigen.  Klicken Sie bei Bedarf Bearbeiten … und geben Sie Benutzername und Passwort des Administrationszugangs ein, um im Modularen Konnektor Updates für das Kartenterminal durchführen zu können (siehe Kapitel 11.11).
Seite 114: Verbindung Zu Kartenterminal Wiederherstellen
Den Modularen Konnektor für die Einsatzumgebung konfigurieren terminal. Ein entferntes Kartenterminal befindet sich an einem beliebigen Ort im lo- kalen Netzwerk, die zugehörige PIN wird vom Arbeitsplatz aus über ein lokales Kar- tenterminal eingegeben. Ein entsprechendes Einsatzszenario ist in Kapitel 10.2.7 beschrieben.
Seite 115: Kartenterminal Außer Betrieb Nehmen
10.1.5 Kartenterminal außer Betrieb nehmen Bei der Außerbetriebnahme eines Kartenterminals müssen alle Pairing-Daten im Kartenterminal gelöscht werden. Beachten Sie die Anleitung des Herstellers.  Entfernen Sie das Kartenterminal im Modularen Konnektor im Menü Praxis aus der Liste der Kartenterminals (siehe Kapitel 9.3). Version 2.2...
Seite 116: Netzwerkszenarien
Art der Administration (Lokal oder Remote, siehe Kapitel 10.2.1.5) 10.2.1.1 Online/Offline-Modus Der Modulare Konnektor ist für den Online-Betrieb mit Anbindung an die TI und op- tional SIS ausgelegt, kann jedoch auch offline betrieben werden. Es werden dann keine Verbindungen zu TI oder SIS aufgebaut; der Modulare Konnektor stellt jedoch weiterhin lokal nutzbare Funktionen zur Verfügung, wie z.B.
Seite 117: Anbindungsmodus
10.2.1.2 Anbindungsmodus Für die Einbindung des Modularen Konnektors in die lokale Netzwerktopologie be- stehen folgende Optionen:  In Reihe Der Modulare Konnektor befindet sich am Übergangspunkt zwischen dem lokalen Netzwerk und dem Internet Access Gateway (IAG). TI-Zugansdienst Anwendungs- Dienste Modularer...
Seite 118: Internetmodus
Den Modularen Konnektor für die Einsatzumgebung konfigurieren Wenn eine Infrastruktur im dezentralen Bereich bereits vorhanden ist, können die Produkte der TI, insbesondere der Konnektor, so in die Infrastruktur inte- griert werden, dass Bestandsanwendungen bereits erprobte Kommunikations- wege weiter nutzen können.
Seite 119: Standalone-Modus
Updates werden vom KSR (Konfigurations- und Software-Repository) über die WAN-Schnittstelle oder über ein Clientsystem bereitgestellt (siehe Kapitel 11.7.2). Der Modulare Konnektor überprüft die Signatur aller Updatepakete. Wenn die Sig- natur nicht korrekt ist, wird das Update nicht eingespielt und die Software verbleibt auf dem bisherigen Stand.
Seite 120: Hinweise Zur Netzsegmentierung
Den Modularen Konnektor für die Einsatzumgebung konfigurieren 10.2.2 Hinweise zur Netzsegmentierung Wenn der Modulare Konnektor im lokalen Netzwerk als Router eingesetzt wird, müssen bei Verwendung von Netzsegmenten die Netzwerkeinstellungen entspre- chend konfiguriert werden (siehe Kapitel 9.2.1):  Wählen Sie für die Einstellung Intranet Routing Modus die Option REDIRECT.
Seite 121: Voraussetzung
In diesem einfachen Netzwerkszenario wird der Modulare Konnektor als Default- Gateway für jegliche IP-Kommunikation aus dem lokalen Netzwerk eingesetzt. Da- bei übernimmt der Modulare Konnektor das Routing der Kommunikation über den IAG zum SIS und in die an die TI angeschlossenen Bestandsnetze.
Seite 122: Ergebnis
Sie die Verbindungen mit TI und SIS (siehe Kapitel 9.6.1). 10.2.3.4 Ergebnis Nach der Installation sind folgende Ergebnisse erreicht:  Die Clientsysteme können über den Modularen Konnektor Anwendungsfälle der TI initiieren.  Die Clientsysteme können über den Modularen Konnektor auf das Internet und auf Bestandsnetze zugreifen. Version 2.2...
Seite 123: Szenario 2: Mehrere Behandlungsräume
Den Modularen Konnektor für die Einsatzumgebung konfigurieren 10.2.4 Szenario 2: Mehrere Behandlungsräume 10.2.4.1 Beschreibung Dezentrale Umgebung Behandlungsraum 1 Behandlungsraum 2 (Kontrollierter Bereich) SMC-B Transportnetz (Internet) Konzentrator Client Client Client Client Konzentrator Dezentrale Umgebung (geschützt vor unbefugten physischen Zugriffen) Konnektor Anwender (Leistungserbringer, Mitarbeiter einer...
Seite 124: Voraussetzung
Bereich, der vom Praxispersonal überwacht wird. 10.2.4.3 Vorgehensweise So richten Sie dieses Szenario ein:  Konfigurieren Sie den Modularen Konnektor in den Clientsystemen als Default- Gateway.  Legen Sie die erforderlichen Mandanten, Clientsysteme und Arbeitsplätze mit zugewiesenen Kartenterminals an (siehe Kapitel 9.3). Achten Sie darauf, jedem Arbeitsplatz das entsprechende Kartenterminal zuzuweisen ...
Seite 125: Szenario 3: Bestehende Infrastruktur Ohne Netzsegmentierung
Im dargestellten Beispiel existiert bereits eine Infrastruktur, die sowohl einen Inter- netzugang für die Arbeitsplätze ermöglicht, als auch eine Nebenstelle über VPN an- bindet. In diesem Fall wird der Modulare Konnektor als zusätzliches Gerät an das bestehende Netzwerk angeschlossen und nutzt den bereits vorhandenen Internet- anschluss zur Kommunikation mit der TI.
Seite 126: Voraussetzung
IAG die eingehenden Pakete mit öffentlichen Zieladressen weiter in das Internet. Wenn ein Clientsystem über die Telematikinfrastruktur kommunizieren oder den ge- sicherten Internetzugang (SIS) nutzen soll, muss der Modulare Konnektor als default-Gateway konfiguriert werden. In diesem Fall routet der Modulare Konnektor die eingehenden Pakete, die nicht für ihn bestimmt sind, entweder durch den VPN-...
Seite 127: Vorgehensweise
Die Produkte der Telematik sind mit geringstmöglichem Änderungsaufwand in die bestehende Netzwerk-Infrastruktur integriert. Bestehende Kommunikations- wege können weiter genutzt werden.  Für Clientsysteme kann je nach individuellen Anforderungsprofil entweder der sichere Internetzugang über den Modularen Konnektor genutzt werden oder der direkte Internetzugang über den bestehenden IAG. Version 2.2...
Seite 128: Szenario 4: Bestehende Infrastruktur Mit Netzsegmentierung
Abbildung 38: Szenario einer Integration in eine bestehende Infrastruktur mit existierendem Router In diesem Szenario ist das bestehende Netzwerk, in das der Modulare Konnektor in- tegriert werden soll, segmentiert und es wird ein dedizierte Router als Default- Gateway für die Clientsysteme genutzt.
Seite 129: Voraussetzung
Routing-Einträgen eingerichtet. 10.2.6.3 Vorgehensweise So richten Sie dieses Szenario ein:  Konfigurieren Sie im bestehenden Router den Modularen Konnektor als Gateway für den Internetzugang.  Legen Sie die erforderlichen Mandanten und bestehenden Systeme des bestehenden Netzwerks an (siehe Kapitel 9.3).
Seite 130: Szenario 5: Zentrale Verwendung Des Heilberufsausweises
Den Modularen Konnektor für die Einsatzumgebung konfigurieren 10.2.7 Szenario 5: Zentrale Verwendung des Heilberufsausweises 10.2.7.1 Beschreibung Dezentrale Umgebung (Kontrollierter Bereich) Arbeitsplatz A Arbeitsplatz B KT-1 KT-2 Client Client Dezentrale Umgebung (geschützt vor unbefugten physischen Zugriffen) Transportnetz (Internet) Konnektor SMC-B Mitarbeiter einer medizinischen Institution des...
Seite 131: Vorgehensweise
So richten Sie dieses Szenario ein:  Stecken Sie HBA und SMC-B in ein Kartenterminal in der gesicherten Umge- bung und stellen Sie den Schutz vor unbefugtem Zugriff sicher.  Richten Sie den Modularen Konnektor entsprechend dem Standard-Szenario ein: ...
Seite 132: Szenario 6: Zentrales Primärsystem Als Clientsystem
Clientanteile PS Client aufgeteilt. Die Anbindung zwischen dem PS Server und den PS Clients ist herstellerspezifisch. Das System PS Server ist als einziges mit dem Modularen Konnektor und der TI verbunden (z. B. als Termi- nalserver). Die LAN-Schnittstelle des Modularen Konnektors wird ausschließlich vom PS Server genutzt.
Seite 133: Voraussetzung
Den Modularen Konnektor für die Einsatzumgebung konfigurieren 10.2.8.2 Voraussetzung Folgende Voraussetzungen müssen erfüllt sein:  SMC-B, HBA, eGK sind eingesteckt.  Die Benutzer sind an den PS Clients angemeldet. 10.2.8.3 Vorgehensweise So richten Sie dieses Szenario ein:  Binden Sie alle Systeme in das lokale Netzwerk ein, u.a.: ...
Seite 134: Szenario 7: Gemeinschaftspraxis Mit Mehreren Mandanten
Dieses Szenario zeigt eine Netzwerkkonfiguration für zwei Mandanten, wobei jedem Mandanten eine eigene SMC-B zugeordnet ist. Die SMC-Bs befinden sich zusam- men mit dem Modularen Konnektor zentral in einer gesicherten Umgebung. Alle Ar- beitsplätze, Clientsysteme und Kartenterminals besitzen eine Zuordnung zu mindestens einem Mandanten, wobei Zuordnungen zu mehreren Mandaten möglich...
Seite 135: Voraussetzung
Den Modularen Konnektor für die Einsatzumgebung konfigurieren Das Clientsystem stellt hierbei den Bezug zum jeweiligen Mandanten und die Nut- zer-Authentisierung sicher. Alternativ können auch mehrere Mandanten eine Zuordnung zu einer einzelnen SMC-B besitzen. HBAs können in diesem Szenario auch in einer gesicherten Umgebung zentral gesteckt werden.
Seite 136: Ergebnis
Den Modularen Konnektor für die Einsatzumgebung konfigurieren 10.2.9.4 Ergebnis Nach der Installation sind folgende Ergebnisse erreicht:  An den verschiedenen Arbeitsplätzen können für die Mandanten und Benutzer Anwendungsfälle der TI initiiert werden.  HBA-Inhaber müssen je nach Konfiguration entweder ihren HBA in der gesicherten Umgebung zentral einstecken und über das Remote-PIN-Verfahren...
Seite 137: Den Modularen Konnektor Administrieren
 Prüfen Sie, ob die TSL und CRL noch gültig sind (siehe Kapitel 9.5.2) und laden Sie diese ggf. manuell hoch (siehe Kapitel 11.2).  Wenn der Modulare Konnektor hinter einer Firewall betrieben wird, prüfen Sie, ob die Anforderungen an die freigegebenen Ports/Protokolle erfüllt sind (siehe Kapitel 7.2)
Seite 138: Tsl Und Crl Manuell Hochladen
 Klicken Sie im Menü System > Aktualisierungen auf Aktualisierungs- informationen aktualisieren. Wenn der Dienst für die Bereitstellung von Aktualisierungen für den Modularen Konnektor erreichbar ist und korrekt funktioniert, werden Datum und Zeit der erfolgreichen Prüfung angezeigt. Im Fehlerfall wird eine Fehlermeldung angezeigt.
Seite 139: Tls-Zertifikate Für Clientsysteme Verwalten
Für die Anbindung von Anwendungen auf Clientsystemen können TLS-Zertifikate generiert und im Browser importiert werden. 11.4.1 TLS-Zertifikat generieren und im Browser importieren Um im Modularen Konnektor ein Zertifikat für ein Clientsystem zu generieren, gehen Sie wie folgt vor:  Öffnen Sie im Menü...
Seite 140: Tls-Zertifikat In Den Modularen Konnektor Importieren
11.4.2 TLS-Zertifikat in den Modularen Konnektor importieren Diese Funktion darf nur dazu verwendet werden, um nach einem vollständigen Werksreset ein zuvor vom Modularen Konnektor generiertes Zertifikat zu importieren. Um ein Zertifikat für ein Clientsystem zu importieren, gehen Sie wie folgt vor: ...
Seite 141: Abbildung 41: Informationen Zu Unsicherer Verbindung
Den Modularen Konnektor administrieren Abbildung 42: Informationen zu unsicherer Verbindung  Klicken Sie unter Zertifikat auf Ungültig, um weitere Informationen zum neuen Zertifikat und dessen Gültigkeitszeitraum anzuzeigen. Version 2.2...
Seite 142: Selbst-Test Durchführen
Im Menü Diagnose können Sie im Bereich Status mit Selbst-Test … eine Prüfung der Integrität sicherheitsrelevanter Komponenten anstoßen (siehe Kapitel 2.2.11). Anschließend werden die Ergebnisse der einzelnen Prüfvorgänge angezeigt. Im Fal- le eines Fehlschlags fährt der Modulare Konnektor nach 60 Sekunden herunter. Version 2.2...
Seite 143: Werksreset Durchführen
Den Modularen Konnektor administrieren 11.7 Werksreset durchführen Mit den verschiedenen Arten von Werksreset können bestimmte oder alle Parame- ter des Modularen Konnektors in den Auslieferungszustand zurückversetzt werden. Konfigura- Netzwerk- Benutzerkon- tionsdaten einstellungen Vollständiger Werksreset (siehe Kapitel 11.7.1) Werksreset für Fail Safe (siehe Kapitel 11.7.2)
Seite 144: Vollständiger Werksreset Über Die Bedienoberfläche
Am Gehäuse befindet sich ein gegen unbeabsichtigte Auslösung gesicherter Reset- Taster (siehe Anhang 16.4). Verbinden sie den Modularen Konnektor direkt über die LAN-Schnittstelle mit einem Clientsystem und gehen Sie wie folgt vor:  Halten Sie den Reset-Taster mit einem geeigneten Gegenstand (z.B. Draht) 5 Sekunden lang gedrückt.
Seite 145: Werksreset Für Fail Safe (Feste Ip)
Durch Fehler in der Einsatzumgebung des Modularen Konnektors (z.B. fehlende oder fehlerhaft konfigurierte DHCP-Server) sowie durch administrative Konfigurati- onsfehler kann nicht ausgeschlossen werden, dass der Modulare Konnektor über die LAN-Schnittstelle nicht mehr erreicht werden kann. Eine Administration ist dann nicht mehr möglich.
Seite 146: Werksreset Der Benutzerkonten
 Halten Sie den Reset-Taster (siehe Anhang 16.4) mit einem geeigneten Gegenstand (z.B. Draht) gedrückt.  Schalten Sie den Modularen Konnektor ein (siehe Kapitel 4.5) während Sie den Reset-Taster weiter gedrückt halten. Sobald der Werksreset für Fail Safe (feste IP) beginnt, leuchten alle LEDs am Gerät auf.
Seite 147: Sperrung Für Den Versand
Kapitel 9.5.1). 11.8 Sperrung für den Versand Der Modulare Konnektor darf nur versendet werden, wenn zuvor sie Sperrung für den Versand erfolgreich abgeschlossen wurde. Bitte lesen Sie sich vor Durchführung der Sperrung für den Versand das Kapitel 15 (Dauerhafte Außerbetriebnahme) durch.
Seite 148: Sperrung Für Den Versand Durchführen
Den Modularen Konnektor administrieren Wenn die Sperrung für den Versand nicht erfolgreich abgeschlossen werden kann, wiederholen Sie diese. Wenn auch dann die Sperrung für den Versand nicht erfolgreich abgeschlossen werden kann, muss die dauerhafte Außerbetriebnahme des Gerätes erfolgen (siehe Kapitel 15).
Seite 149: Backup Importieren
Den Modularen Konnektor administrieren  Anwendungskonnektor Die Einstellungen sowie die angelegten Objekte und Benutzerkonten aus den Menüs Praxis, Benutzer und Fachmodule, sowie die Freischaltung des Modularen Konnektors.  Nur Infomodell Die im Menü Praxis angelegten Objekte (Kartenterminals, Clientsysteme, Mandanten etc.).
Seite 150: Lizenzen Verwalten
Konfiguration können über die grafische Bedienoberfläche erfolgen (siehe Kapitel 9). 11.10 Lizenzen verwalten Die Lizenzierung von Funktionalitäten wird mit dem eHealth Konnektor (Produkt- typversion PTV3) eingeführt. Eine Lizenzierung erfolgt individuell für einen Konnek- tor, identifiziert anhand seiner Seriennummer.
Seite 151: Lizenzierbare Funktionen
Anzahl der Kartenterminals Defaultanzahl der Kartenterminals ist 50 beim Einboxkonnektor und 100 beim Rechenzentrumskonnektor.  Fachmodule für den eHealth Konnektor (PTV3) Die Lizenzierung der nachfolgend aufgeführten Fachmodule erfolgt zusammen- hängend; eine separate Lizenzierung ist nicht möglich:  AMTS: Fachmodul eMP/AMTS ...
Seite 152: Lizenzfreie Verwendung
Komponenten der TI wie z.B. Kartenleser durchgeführt werden. Dies kann online über die TI oder offline von einem Speichermedium aus erfolgen. Mit dem Modularen Konnektor besteht die Möglichkeit sich per Event (CETP- Protokoll) über die Verfügbarkeit von Aktualisierungen für die Firmware des Modularen Konnektors informieren zu lassen.
Seite 153: Übersicht
11.11.1 Übersicht Der Konfigurationsdienst (KSR) der Telematikinfrastruktur (TI) stellt für den Modula- ren Konnektor sowie für Kartenterminals eine Schnittstelle für Softwareupdatepake- te zur Verfügung. Als Notfallmaßnahme ist auch ein Offline-Update möglich, wenn keine Verbindung zum KSR aufgebaut werden kann.
Seite 154: Die Aktualisierung Von Fachmodulen
Informationen über zugelassene Software- und Hardwareversionen erhalten Sie un- ter www.gematik.de (siehe auch die Versionshinweise auf Seite 16). Für einen von der gematik zugelassenen Modularen Konnektor können Sie die Version der instal- lierbaren Fachmodule dem Security Target des Modularen Konnektors entnehmen, das Sie auf den Webseiten des BSI unter https://www.bsi.bund.de finden.
Seite 155: Update Durchführen
Wenn ein Update für die verwendeten Komponenten vorliegt, gehen Sie wie folgt vor, um das Update durchzuführen. Der Modulare Konnektor prüft vor der Durchführung eines Updates unter ander- em, ob das Update authentisch ist. Falls nicht, führt der Modulare Konnektor das Update nicht durch.  Öffnen Sie im Menü...
Seite 156: Update Löschen
 Klicken Sie unter Geräte das gewünschte Gerät oder die Gerätegruppe an, um weitere Optionen anzuzeigen.  Klicken Sie das Update mit dem Status Heruntergeladen an.  Klicken sie Vom Konnektor löschen, um das Update zu entfernen. 11.11.4 Update offline durchführen Zur Durchführung des Offline-Updates ist eine direkte Netzwerkverbindung zwi- schen dem Modularen Konnektor und dem zu dessen Administration verwendeten Gerät erforderlich.
Seite 157: Hinweis Zur Durchführung Von Downgrades
 Melden Sie sich an der Bedienoberfläche des Modularen Konnektors an (siehe Kapitel 8.1) Der Modulare Konnektor prüft vor der Durchführung eines Updates unter ander- em, ob das Update authentisch ist. Falls nicht, führt der Modulare Konnektor das Update nicht durch.  Öffnen Sie im Menü...
Seite 158: Bei Anzeigefehlern Nach Einem Update
Hintergrundinformationen zu den Hinweisen: Ein als PTV3 (Firmware 3.5.0 oder neuer) ausgelieferter Konnektor verwendet ein neueres Konfigurationsschema im Vergleich zum PTV1 Konnektor. Wenn bei so einem Konnektor ein Downgrade auf PTV1 durchgeführt wird, verbleibt dieses neuere Konfigurationsschema als Defaultkonfiguration für den vollständigen Werksreset.
Seite 159: Remote Management
Remote-Administrator beim Aufbau einer gesicherten TLS-Verbindung zum Modula- ren Konnektor. Für die Einrichtung der Komponenten für das Remote Management wenden Sie sich an Ihren DVO. Dieser richtet den Modularen Konnektor, das Clientsystem mit Support-Tool und den Remote Management Server ein. 11.12.1 Support-Tool...
Seite 160: Betriebsmodi Für Das Remote Management
Den Modularen Konnektor administrieren 11.12.2 Betriebsmodi für das Remote Management Je nach Internetmodus und Anbindungsmodus muss für Remote Management das Support-Tool entsprechend durch den Administrator des Clientsystems konfiguriert werden. Bitte sprechen Sie sich dazu mit dem Administrator des Clientsystems ab.
Seite 161: Anbindungsmodus In Reihe
Anbindungsmodus In Reihe Für den Anbindungsmodus In Reihe muss die Remote Management Verbindung über den VPN-Konzentrator des SIS erfolgen, da der Modulare Konnektor einen Zugriff auf Systeme im Internet nur über einen VPN-Kanal zum SIS erlaubt. Es kann nicht ausgeschlossen werden, dass es technische Einschränkungen bzgl. der nutz-...
Seite 162 An der lokalen LAN-Schnittstelle des Modularen Konnektors ist das Interface für Remote Management unter folgender IP-Adresse erreichbar: https://<IP-Adresse des Modularen Konnektors>:8501/management Nach erfolgreicher Verbindung zum Modularen Konnektor erscheint der Anmel- dedialog und fordert den Remote-Administrator zur Eingabe von Benutzernamen und Passwort auf. Bei der Erstanmeldung des Remote-Administrators muss das in Schritt 3 erstellte initiale Passwort verwendet werden.
Seite 163: Wartung Und Pflege
Zeitabständen und bei Verdacht von Manipulationen (z.B. nach einem Einbruch). Informationen zum Prüfen der Sicherheitssiegel und des Gehäuses fin- den Sie in Kapitel 4. Nur Personen mit berechtigtem Zugriff zum Modularen Konnektor dürfen die Sicherheitssiegel prüfen. Das Gerät darf bei beschädigten Sicherheitssiegeln oder beschädigtem Gehäuse auf keinen Fall weiterverwendet werden.
Seite 164: Meldung Von Verlust Oder Kompromittierung
Meldung von Verlust oder Kompromittierung Meldung von Verlust oder Kompromittierung Wenn der Modulare Konnektor gestohlen wird, abhandenkommt oder in irgendeiner Form kompromittiert erscheint (z.B. nicht mehr am sicheren Aufstellungsort, Sicherheitssiegel oder Gehäuse beschädigt oder un- sachgemäß geöffnet), ist umgehend der Dienstleister vor Ort (DVO) zu informieren.
Seite 165: Meldung Von Möglichen Schwachstellen
Sie können mögliche Schwachstellen des Modularen Konnektors über den DVO an den Hersteller melden. Eine mögliche Schwachstelle liegt beispielsweise vor, wenn sich der Modulare Konnektor anders verhält, als im Handbuch beschrieben. Wenden Sie sich in diesem Fall an den DVO. Die Kontaktdaten des DVO finden Sie auf dem Sicherheitsbeiblatt „Empfang und Prüfung“.
Seite 166: Dauerhafte Außerbetriebnahme/Entsorgung
Die dauerhafte Außerbetriebnahme des Modularen Konnektors kann z.B. aufgrund eines Austausches mit einem neuen Gerät, Wechsel des Anbieters oder einem De- fekt erfolgen. Ein Modularer Konnektor, der nicht über den Prozess der sicheren Auslieferung bezogen wurde, darf nicht in der TI in Betrieb genommen werden.
Seite 167 Dauerhafte Außerbetriebnahme/Entsorgung Version 2.2...
Seite 168: Anhang
Anhang Anhang 16.1 Lieferumfang 16.1.1 Einboxkonnektor (Konstruktionsstand 2.0.0) Komponente Beschreibung Modularer Konnektor Externes Netzteil* AC Steckernetzteil 220V und Netzkabel Sicherheitsbeiblätter Empfang und Prüfung Aufstellung und Inbetriebnahme CD/DVD Bedienhandbuch als PDF * Zusätzlich als Ersatzteil bestellbar Tabelle 11: Lieferumfang und Zubehör (Einboxkonnektor) 16.1.2 Rechenzentrumskonnektor (Konstruktionsstand 2.1.0)
Seite 169: Typschild Und Verpackungskennzeichnung
Anhang 16.2 Typschild und Verpackungskennzeichnung 16.2.1 Einboxkonnektor (Konstruktionsstand 2.0.0) Abbildung 45: Typenschild Gehäuse (Einboxkonnektor) Abbildung 46: Verpackungskennzeichnung (Einboxkonnektor) 16.2.2 Rechenzentrumskonnektor (Konstruktionsstand 2.1.0) Abbildung 47: Typenschild (Rechenzentrumskonnektor) Version 2.2...
Seite 170 Anhang Abbildung 48: Kennzeichnung Seriennummer (Rechenzentrumskonnektor) Abbildung 49: Verpackungskennzeichnung (Rechenzentrumskonnektor) Version 2.2...
Seite 171: Sicherheitssiegel
Anhang 16.3 Sicherheitssiegel 16.3.1 Einboxkonnektor (Konstruktionsstand 2.0.0) Das Gerät ist mit zwei Sicherheitssiegeln ausgestattet, die in Vertiefungen an den beiden Gehäuseseiten angebracht sind. Sicherheitssiegel Abbildung 50: Sicherheitssiegel (Einboxkonnektor) Version 2.2...
Seite 172: Rechenzentrumskonnektor (Konstruktionsstand 2.1.0)
Anhang 16.3.2 Rechenzentrumskonnektor (Konstruktionsstand 2.1.0) Das Gerät ist mit einem Sicherheitssiegel ausgestattet, das an der Gerätevordersei- te angebracht ist. Sicherheitssiegel Abbildung 51: Sicherheitssiegel (Rechenzentrumskonnektor) Version 2.2...
Seite 173: Schnittstellen Und Bedienelemente
Anhang 16.4 Schnittstellen und Bedienelemente 16.4.1 Einboxkonnektor (Konstruktionsstand 2.0.0) 16.4.1.1 Geräteoberseite Betriebsanzeigen Abbildung 52: Gehäuseoberseite (Einboxkonnektor) Die roten Betriebsanzeigen (LEDs) signalisieren aktuelle Betriebszustände. Version 2.2...
Seite 174: Gehäuserückseite
Anhang 16.4.1.2 Gehäuserückseite Abbildung 53: Gehäuserückseite (Einboxkonnektor) Position Bezeichnung Schnittstelle USB 2.0 Die USB-Schnittstelle ist ohne Funktion und darf nicht verwendet werden. Netzwerkanschluss WAN Netzwerkanschluss LAN Spannungsversorgung 12 V Reset-Taster für Werksreset (siehe Kapitel 11.5) An/Aus-Taster (Beachten Sie die Hinweise in Kapitel 4.5) Tabelle 13: Bedienelemente und Schnittstellen (Einboxkonnektor) Version 2.2...
Seite 175: Gehäuseunterseite Ohne Wandhalterung
Anhang 16.4.1.3 Gehäuseunterseite ohne Wandhalterung Abbildung 54: Gehäuseunterseite ohne Wandhalterung (Einboxkonnektor) Position Bezeichnung Gummifüße Kühlplatte Tabelle 14: Gehäuseunterseite Einboxkonnektor Version 2.2...
Seite 176: Gehäuseunterseite Mit Wandhalterung (Optional)
Anhang 16.4.1.4 Gehäuseunterseite mit Wandhalterung (optional) Abbildung 55: Gehäuseunterseite mit Wandhalterung (Einboxkonnektor) Position Bezeichnung Wandhalterung Montageöffnungen Kabelfixierungen Tabelle 15: Gehäuseunterseite mit Wandhalterung (Einboxkonnektor) Version 2.2...
Seite 177: Rechenzentrumskonnektor (Konstruktionsstand 2.1.0)
Abbildung 56: Gehäusevorderseite (Rechenzentrumskonnektor) Position Bezeichnung An/Aus-Taster Konnektor Links (beachten Sie die Hinweise in Kapitel 4.5) Reset-Taster für Werksreset Konnektor Links (siehe Kapitel 11.5) Betriebsanzeigen Konnektor Links An/Aus-Taster Konnektor Rechts Reset-Taster für Werksreset Konnektor Rechts (siehe Kapitel 11.5) Betriebsanzeigen Konnektor Rechts Tabelle 16: Gehäusevorderseite (Rechenzentrumskonnektor)
Seite 178: Geräterückseite
Abbildung 57: Gehäuserückseite Rechenzentrumskonnektor (Konstruktionsstand 2.1.0) Position Bezeichnung Spannungsversorgung Konnektor Rechts Spannungsversorgung Konnektor Links Schnittstelle USB 2.0 Konnektor Rechts Netzwerkanschluss WAN Konnektor Rechts Netzwerkanschluss LAN Konnektor Rechts Schnittstelle USB 2.0 Konnektor Links Netzwerkanschluss WAN Konnektor Links Netzwerkanschluss LAN Konnektor Links Tabelle 17: Geräterückseite (Rechenzentrumskonnektor)
Seite 179: Produkt- Und Betriebsmerkmale
1 × Spannungsversorgung 12 V 1 × Werksreset 1 × Ein/Aus-Taster Schutzklasse Zertifizierungen Hiermit erklärt die secunet Security Networks AG, dass der secunet konnektor den Richtlinien 2014/30/EU, 2014/35/EG, 2009/125/EG sowie 2011/65/EU entspricht. Die ausführliche Fassung der Erklärung zur CE-Konformität finden...
Seite 180: Betriebsmerkmale
Anhang 16.5.1.2 Betriebsmerkmale Betriebsmerkmale Stromversorgung 12 V DC vom Steckernetzteil, 100 - 240 V AC 50Hz (Steckdose) Leistungsaufnahme Mittlerer Wert 7 W Betriebsumgebung Innenraum (Büroumgebung), maximale Einsatzhöhe 2000 m über NN Temperatur In Betrieb +5° C bis +40° C Lagerung/Transport -10° C bis +55° C Luftfeuchtigkeit In Betrieb 10 % bis 85 %, nicht kondensierend...
Seite 181: Rechenzentrumskonnektor (Konstruktionsstand 2.1.0)
2 × LAN 1 GB Ethernet 2 × Spannungsversorgung (Kaltgerätestecker) 2 × Werksreset 2 × Ein/Aus-Taster Schutzklasse Zertifizierungen Hiermit erklärt die secunet Security Networks AG, dass der secunet konnektor den Richtlinien 2014/30/EU, 2014/35/EG, 2009/125/EG sowie 2011/65/EU entspricht. Die ausführliche Fassung der Erklärung zur CE-Konformität finden...
Seite 182: Betriebsmerkmale
Anhang 16.5.2.2 Betriebsmerkmale Betriebsmerkmale Stromversorgung 100 - 240 V AC 50Hz (Steckdose) Leistungsaufnahme Mittlerer Wert 2 × 7 W Betriebsumgebung Innenraum (Büroumgebung), maximale Einsatzhöhe 2000 m über NN Temperatur In Betrieb +5° C bis +40° C Lagerung/Transport -10° C bis +55° C Luftfeuchtigkeit In Betrieb 10 % bis 85 %, nicht kondensierend...
Seite 183: Montage
16.6.1 Einboxkonnektor (Konstruktionsstand 2.0.0) 16.6.1.1 Ebene Montage  Stellen Sie den Modularen Konnektor an einem geeigneten Ort auf.  Stellen Sie beim Aufstellen auf einem Schreibtisch, in einem Regal oder Schrank sicher, dass das Gerät auf einer ebenen und stabilen Unterlage steht und ein Luftaustausch an der Kühlplatte unter dem Gerät möglich ist.
Seite 184 Anhang Abbildung 58: Gehäuse mit Wandhalterung (Einboxkonnektor)  Platzieren Sie die Montageöffnungen der Wandhalterung über den Schrauben und schieben Sie das Gerät nach unten, bis ein fester Sitz erreicht ist. Abbildung 59: Wandmontage (Einboxkonnektor) Version 2.2...
Seite 185: Anschluss
Anhang 16.6.1.3 Anschluss  Verbinden Sie den Modularen Konnektor mit dem Netzteil und schließen Sie dieses an die Stromversorgung an (Schutzklasse 2).  Verbinden Sie die WAN- und LAN-Anschlüsse entsprechend des geplanten Einsatzszenarios (siehe Kapitel 10.2). LAN Spannungsversorgung 12 V Abbildung 60: Gehäuserückseite (Einboxkonnektor)
Seite 186: Rechenzentrumskonnektor (Konstruktionsstand 2.1.0)
Montagematerial. Die Schrauben zur Befestigung in einem 19" Netzwerkschrank sind nicht Bestandteil des Lieferumfangs.  Verbinden Sie den Modularen Konnektor mit den beiliegenden Netzkabeln mit der Stromversorgung an (Schutzklasse 2).  Verbinden Sie die WAN- und LAN-Anschlüsse entsprechend des geplanten Einsatzszenarios (siehe Kapitel 10.2).
Seite 187 Anhang Version 2.2...
Seite 188: Unterstützte Netzwerkprotokolle
Schlüsselmaterial unter Verwendung des Internet Key Exchange (IKEv2) Proto- kolls gemäß RFC 7296 ausgetauscht. Traffic Flow Confidentiality wird vom Modula- ren Konnektor nicht unterstützt. Der Modulare Konnektor fordert das Zertifikat des VPN-Konzentrators an (siehe Ka- pitel 2.2.1) und führt folgende Prüfungen durch: ...
Seite 189: Tls
Anhang 16.7.3 TLS Der Modulare Konnektor nutzt TLS zur sicheren Kommunikation mit den Clientsys- temen, z.B. zur Administration von Terminals. Dazu wird ein TLS-Kanal gemäß RFC 5246 aufgebaut. Parameter Der Modulare Konnektor sendet folgende Parameter: Für die Nachrichten ClientHello (RFC 5246 Abschnitt 7.4.1.2) und ServerHello (RFC 5246 Abschnitt 7.4.1.3):...
Seite 190: Ntp
Verwendete Nachrichten:  ClientHello (RFC 5246 Abschnitt 7.4.1.2); für den Wert protocol version wird vom Modularen Konnektor für TLS 1.2 immer der Wert (3, 3) gesetzt.  ServerHello (RFC 5246 Abschnitt 7.4.1.3); für den Wert protocol version werden vom Modularen Konnektor die Werte (3, 3) für TLS 1.2 gesetzt.
Seite 191: Dhcp
Anhang NTP-Client Der Modulare Konnektor gleicht seine Systemzeit über eine per NTP angebundene externe Zeitquelle in der zentralen Telematikinfrastruktur ab. Bei zu großer Zeitab- weichung aktualisiert der Modulare Konnektor die Systemzeit nicht und stellt die Funktionalität ein; in diesem Fall ist eine manuelle Prüfung erforderlich.
Seite 192: Aktualisierung Von Tsl Und Crl
Anhang 16.7.7 Aktualisierung von TSL und CRL Die TSL wird vom Modularen Konnektor über die Verbindung zur TI aktualisiert. Dazu werden folgende Übertragungsprotokolle unterstützt:  HTTP nach RFC 7230  HTTP over TLS (HTTPS) nach RFC 2818 Die CRL wird beim VPN-Verbindungsaufbau aktualisiert. Dazu werden folgende Übertragungsprotokolle unterstützt:...
Seite 193 Anhang  NK_IKE_CRL_PARSE Die von dem Management-Service gelieferte CRL kann nicht eingelesen werden. TSL und CRL können bei Bedarf auch über die Managementschnittstelle importiert werden (siehe Kapitel 9.5.2). Version 2.2...
Seite 194: Standardwerte Bei Auslieferung
Anhang 16.8 Standardwerte bei Auslieferung 16.8.1 Menü „Benutzer“ Wert Standardeinstellung Wertebereich Ablaufzeit Passwörter 120 Tage 16.8.2 Menü „Netzwerk“ 16.8.2.1 Bereich „Allgemein“ Wert Standardeinstellung Wertebereich Leistungsumfang Online An/Aus Internet Modus SIS, IAG, Keiner Intranet Routing Modus Redirect Redirect, Block Service Timeout 60 Sekunden Bandbreitenbeschränkung 100 Mbit/s...
Seite 195 Anhang Clientsystem-Einstellungen Wert Standardeinstellung Wertebereich TLS-Pflicht An/Aus Authentifizierung Zertifikat Keine Authentifizierung, Zertifikat, Benutzername/Passwort Ungesicherter Zugriff auf An/Aus Dienstverzeichnisdienst Maximale Anzahl Fehlversuche Erweiterte TLS-Einstellungen Wert Standardeinstellung Wertebereich Permanente Verbindungen 0 - 100 Maximale Verbindungen 0 - 100 Lebensdauer Verbindungen 5 Minuten Mind.
Seite 196: Bereich „Lan
Anhang Wert Standardeinstellung Wertebereich Port Anzahl zusätzlicher Versuche Timeout 2000 Millisekunden 16.8.2.2 Bereich „LAN“ Wert Standardeinstellung Wertebereich DHCP-Client benutzen An/Aus LAN-Netzwerk LAN-seitige IP-Paketlänge 1400 (MTU) Weitere Parameter 16.8.2.3 Bereich „WAN“ Wert Standardeinstellung Wertebereich DHCP-Client benutzen An/Aus WAN-Netzwerk IP-Adresse des Standard- Gateway WAN-seitige IP-Paketlänge 1400...
Seite 197: Bereich „Lan Dhcp-Server
Anhang 16.8.2.4 Bereich „LAN DHCP-Server“ Wert Standardeinstellung Wertebereich DHCP-Server aktiv An/Aus IP-Netzwerk Broadcast-Adresse Addressbereich Untergrenze Addressbereich Obergrenze Standard-Clientgroup wählen ClientGroup1 Clientgroup anlegen ClientGroup1 16.8.2.5 Bereich „DNS“ Wert Standardeinstellung Wertebereich DNS-Server für das Transportnetz DNS-Server zur Namensauf- lösung von Namensräumen in der Einsatzumgebung DNS-Domain Zugangsdienst gto1-ref.service-ti.de DNS-Domain Einsatzumge-...
Seite 198: Menü „Praxis
Anhang 16.8.3 Menü „Praxis“ 16.8.3.1 Bereich „Karten“ Wert Standardeinstellung Wertebereich Timeout für 60 Sekunden Kartenoperationen Timeout für PIN-Kommandos 60 Sekunden 10 - 120 Sekunden Zertifikatsprüf-Intervall 1 Tag 0 - 365 Tage Zertifikats-Ablauf Warnung 90 Tage 0 - 180 Tage (0 = Keine Warnung) Timeout für 5 Sekunden 500 Millisekunden -...
Seite 199: Menü „Diagnose
Anhang Wert Standardeinstellung Wertebereich Timeout für Update- 60 Sekunden 10 - 600 Sekunden Kommandos 16.8.4 Menü „Diagnose“ Wert Standardeinstellung Wertebereich Vorhaltedauer 180 Tage 10 - 365 Tage Sicherheitsprotokoll Erfolgreiche Kryptooperatio- An/Aus nen protokollieren Protokollierungslevel Warnung Debug, Info, Warnung, Fehler, Fatal Vorhaltedauer 180 Tage 10 - 365 Tage...
Seite 200: Bereich „Zertifikate
Anhang Wert Standardeinstellung Wertebereich Remote-Management An/Aus erlauben Remote-Management An/Aus aktivieren Standalone-Szenario An/Aus 16.8.5.2 Bereich „Zertifikate“ Wert Standardeinstellung Wertebereich Timeout Download TSL-Datei 10 Sekunden 1 - 60 Sekunden Default Grace Period TSL 30 Tage 1 - 30 Tage Default Grace Period OCSP 10 Minuten 0 - 20 Minuten Timeout OCSP-Abfragen...
Seite 201: Bereich „Aktualisierungen
Anhang 16.8.5.4 Bereich „Aktualisierungen“ Wert Standardeinstellung Wertebereich Automatische Prüfung An/Aus Automatischer Download An/Aus Erprobung-Update-Pakete An/Aus anzeigen Neue Bestandsnetze An/Aus automatisch aktivieren 16.8.6 Menü „VPN“ 16.8.6.1 Bereich „VPN-Zugangsdienst“ Wert Standardeinstellung Wertebereich hash&URL Verfahren für An/Aus Zertifikatsaustausch Internet-Key-Exchange (IKE) Keep Alive Modus An/Aus Keep Alive Intervall 30 Sekunden...
Seite 202 Anhang Wert Standardeinstellung Wertebereich Maximale Paketgrößen (MTU) 1418 Byte 576 - 8076 Byte 1418 Byte 576 - 8076 Byte IPSec Auswertung der An/Aus Sequenznummern Fenstergröße Sequenznummern Keying Versuche 1 - 100 IKE Rekeying Zeit 84500 Sekunden 77760 - 86400 Sekunden IKE Reauthentifizierung Zeit 558720 Sekunden IKE Random Zeit zzgl.
Seite 203: Menü „Fachmodule
IKE Lebenszeit 600 - 14400 Sekunden IKE Random Zeit 600 - 14400 Sekunden IPSec Rekeying Zeit 300 - 85800 Sekunden Der Konnektor darf nicht mit Einstellungen im erweiterten Wertebereich betrieben werden. 16.8.7 Menü „Fachmodule“ 16.8.7.1 Bereich „VSDM“ Wert Standardeinstellung Wertebereich Intermediär-Servicename...
Seite 204: Meldungen Und Protokolle
Anhang 16.9 Meldungen und Protokolle Der Modulare Konnektor erzeugt im Betrieb Meldungen und protokolliert diese im Protokollspeicher. Sie können über die Bedienoberfläche ausgelesen werden (siehe Kapitel 9.4). Meldungen des Typs SECURITY mit dem Level FATAL, die seit dem letzten Einloggen des Administrators ausgegeben wurden, werden zusätzlich auf der Bedienoberfläche in der Ansicht Home angezeigt (siehe Kapitel 8.2).
Seite 205: Format Der Protokolleinträge
Anhang Welche Ereignisse protokolliert werden, können Sie im Menü Diagnose im Bereich Administration festlegen (siehe Kapitel 9.4.6). Ob Einträge einer bestimmten Severity geschrieben werden, hängt von dem eingestellten Log-Level ab. Im Auslieferungszustand ist ein Log-Level der Stufe WARNING voreingestellt und es werden zudem keine Performancemeldungen erstellt.
Seite 206: Art Der Protokolleinträge
Anhang 16.9.3 Art der Protokolleinträge Es existieren verschiedene Arten von Protokolleinträgen die auch jeweils in den ver- schiedenen Protokollen enthalten sein können. Die Protokolleinträge unterschieden sich im Wesentlichen anhand der zusätzlich enthalten Key/Value-Paaren. Folgende relevante Arten von Protokolleinträgen werden geschrieben: ...
Seite 207: Fehlerprotokolleinträge
Anhang timestamp=19.06.2018 09:44:02.214;type=op;severity=info; text=Ende des Anwendungsfalls: VSD lesen; Vorgangsnum- mer=9e49ad88-9fd2-4e4f-8c3e-a4a620480bac 16.9.3.2 Fehlerprotokolleinträge Wenn während der Verarbeitung von Anfragen Fehler auftreten, werden diese pro- tokolliert. Die Spezifikation der gematik definieren je nach Fehlerfall unterschiedliche Fehlermeldungen inkl. Fehlercodes. Darüber hinaus werden zusätzlich hersteller- spezifische Fehlermeldungen unterschieden.
Seite 208: Eventprotokolleinträge
Anhang Einträge mit Personenbezug werden vom Konnektor automatisch nach spätestens 30 Tagen gelöscht. Um nach 30 Tagen weiterhin einen Eintrag zu dem Fehler zu haben, werden die entsprechenden Einträge daher immer doppelt geschrieben, einmal mit und einmal ohne Personenbezug. 16.9.3.3 Eventprotokolleinträge Durch die Spezifikation der gematik sind verschiedene Events vorgegeben, die im Ablauf für bestimmte Ereignisse erzeugt werden müssen.
Seite 209: Konfigurationsänderungsprotokolleinträge
Anhang 16.9.3.5 Konfigurationsänderungsprotokolleinträge Die Protokollierung von Änderungen der Konfiguration erfolgt gemäß den gematik Vorgaben (Anforderung TIP1-A_5005). Jede Änderung, die ein Benutzer (Administ- rator) vornimmt, wird protokolliert. Eine Protokollierung von Passwörtern oder per- sonenbezogenen Daten erfolgt dabei nicht. Bei den Konfigurationsänderungsprotokolleinträgen handelt es sich ebenfalls um ei- ne spezielle Art von Eventprotokolleinträgen.
Seite 210: Performanceprotokolleinträge
Anhang 16.9.3.6 Performanceprotokolleinträge Entsprechend den Vorgaben der gematik muss der Konnektor für Aktionen an den Außenschnittstellen Einträge in das Performanceprotokoll erstellen. Die Einträge er- folgen jeweils nur im Performanceprotokoll. Die Severity-Stufe ist entweder „info“ oder „debug“. Die Performanceprotokollierung muss dediziert aktiviert werden (siehe Kapitel 9.4.6).
Seite 211: Abruf Der Protokolle
Für alle Protokolle kann eingestellt werden, für wie viele Tage die Protokollein- träge gespeichert bleiben. Protokolleinträge, die älter als die festgelegte Zahl an Tagen sind, werden selbständig vom Modularen Konnektor gelöscht. Dieser Me- chanismus gilt auch für Sicherheitsprotokolleinträge. Zudem werden ältere Einträge überschrieben, wenn die Anzahl der Einträge im Si- cherheitsprotokoll den konfigurierten Maximalwert übersteigt.
Seite 212: Übersicht Der Meldungen
Anhang 16.9.6 Übersicht der Meldungen Legende Code Fehler-ID (dient als Referenz der gematik) Beschreibung Kurze Zusammenfassung Art der Meldung; diese bestimmt, in welche Protokolldatei die Meldung geschrieben wird: SECURITY Sicherheitsprotokoll TECHNICAL Systemprotokoll bzw. Fachmodulprotokoll Level Einstufung nach Schwere des Vorfalls (FATAL, ERROR, WARNING, INFO, DEBUG) Gekennzeichnete Meldungen werden zusätzlich an die Praxisverwaltungssoftware gemeldet.
Seite 213 Anhang Code Beschreibung Level Fehlerbehebung/Weitere Angaben für PVS Nachrichten- TECHNICAL FATAL Beim Aufruf einer Operation ist ein Syntaxfehler aufgetreten. schema  Wiederholen Sie den Vorgang. fehlerhaft Wenn der Fehler weiterhin auftritt, wenden Sie sich an den DVO. Version 2.2...
Seite 214 Anhang Kartenfehler SECURITY FATAL Eine Karte reagiert nicht oder nicht wie vorgesehen.  Stecken Sie die Karte erneut ein und wiederholen Sie den Vorgang. Wenn das Problem nur bei einer bestimmten Karte auftritt, ist möglicherweise die Karte defekt.  Verweisen Sie den Versicherten mit den entsprechenden Fehlerinformationen an seine Krankenkasse, wenn der Fehler bei einer eGK auftritt.
Seite 215 Anhang Softwarefehler SECURITY FATAL Hardware reagiert nicht oder nicht wie vorgesehen.  Wenden Sie sich an den DVO. Fachmodul SECURITY FATAL Hardware reagiert nicht oder nicht wie vorgesehen. reagiert nicht  Wenden Sie sich an den DVO. eGK nicht SECURITY FATAL Ein technisches Problem ist beim Auslesen der eGK aufgetreten.
Seite 216 Anhang Zertifikat auf SECURITY FATAL Die eGK ist kein gültiger Leistungsanspruchsnachweis. eGK ungültig  Fragen Sie den Versicherten, ob er in der Zwischenzeit eine neuere eGK von der Krankenkasse zugeschickt bekommen hat. Wenn der Versicherte keine aktuellere eGK besitzt, ist gemäß BMV-Ä Anlage 4a Anhang 1 Kap.
Seite 217 Anhang Protokollierung TECHNICAL FATAL Ein technisches Problem ist beim Schreiben auf die eGK aufgetreten. auf eGK nicht  Stecken Sie die Karte erneut und wiederholen Sie den möglich Vorgang.  Wenn das Problem nur bei einer bestimmten Karte auftritt, ist ggf.
Seite 218 Anhang Fehler beim TECHNICAL FATAL Ein technisches Problem ist beim Lesen der eGK aufgetreten. Verarbeiten von  Stecken Sie die Karte erneut und wiederholen Sie den Befehlen auf Vorgang. der eGK  Wenn das Problem nur bei einer bestimmten Karte auftritt, ist ggf.
Seite 219 Anhang Fehler beim TECHNICAL FATAL Ein technisches Problem ist beim Schreiben auf die eGK aufgetreten. Schreiben von  Stecken Sie die Karte erneut und wiederholen Sie die Daten der eGK Freischaltung.  Wenn das Problem nur bei einer bestimmten Karte auftritt, ist ggf.
Seite 220 Anhang Gesundheits- TECHNICAL FATAL Die eGK ist kein gültiger Leistungsanspruchsnachweis. anwendung auf  Fragen Sie den Versicherten, ob er in der Zwischenzeit eine eGK gesperrt neuere eGK von der Krankenkasse zugeschickt bekommen hat. Wenn der Versicherte keine aktuellere eGK besitzt, ist gemäß BMV-Ä Anlage 4a Anhang 1 Kap.
Seite 221 Anhang 1002 Zertifikate las- TECHNICAL ERROR sen sich nicht extrahieren 1003 Mehr als ein SECURITY ERROR markierter V- Anker gefunden 1004 TSL-Signer-CA TECHNICAL ERROR lässt sich nicht extrahieren 1005 Element TECHNICAL ERROR "PointersTo OtherTSL" nicht vorhanden 1006 TSL- TECHNICAL ERROR Downloadad- ressen wieder- holt nicht...
Seite 222 Anhang 1007 Vergleich der SECURITY ERROR ID und Se- quenceNumber entspricht nicht der Vergleichs- variante 6a 1008 Die TSL ist SECURITY WARNING nicht mehr ak- tuell 1009 Überschreitung SECURITY WARNING des Elements NextUpdate um TSL-Grace- Period 1011 TSL-Datei nicht TECHNICAL ERROR wellformed 1012...
Seite 223 Anhang 1016 KeyUsage ist SECURITY ERROR nicht vorhan- den bzw. ent- spricht nicht der vorgesehenen KeyUsage 1017 ExtendedKey SECURITY ERROR Usage ent- spricht nicht der vorgesehenen ExtendedKey Usage 1018 Zertifikatstyp- SECURITY ERROR OID stimmt nicht überein 1019 Zertifikat nicht TECHNICAL ERROR lesbar 1021...
Seite 224 Anhang 1023 Authori- SECURITY ERROR tyKeyIdentifier des End-Entity- Zertifikats von SubjectKey Identifier des CA-Zertifikats unterschiedlich 1024 Zertifikats- SECURITY ERROR Signatur ist mathematisch nicht gültig. 1026 Das Element TECHNICAL ERROR „ServiceSupp- lyPoint“ konnte nicht gefunden werden. 1027 CA kann nicht TECHNICAL ERROR in den TSL- Informationen...
Seite 225 Anhang 1029 Die OCSP- TECHNICAL ERROR Prüfung konnte nicht durchge- führt werden (2) 1030 OCSP-Zertifikat SECURITY ERROR nicht in TSL Informationen enthalten 1031 Signatur der SECURITY ERROR Response ist nicht gültig. 1032 OCSP- TECHNICAL ERROR Responder nicht verfügbar 1033 Kein Element SECURITY ERROR PolicyInforma-...
Seite 226 Anhang 1036 Das Zertifikat SECURITY ERROR ist ungültig. Es wurde nach der Sperrung der ausgebenden CA ausgestellt. 1039 Warnung, dass SECURITY WARNING Offline-Modus aktiviert ist und keine OCSP- Statusabfrage durchgeführt wurde 1040 Bei der Online- SECURITY ERROR statusprüfung ist ENFORCE_ CERTHASH_ CHECK auf ´true´...
Seite 227 Anhang 1041 Der certHash in SECURITY ERROR der OCSP- Response stimmt nicht mit dem certHash des vorliegen- den Zertifikats überein. 1042 Das TSL- TECHNICAL ERROR Signer-CA- Zertifikat kann nicht aus dem sicheren Speicher des Systems gela- den werden. 1043 CRL kann aus TECHNICAL ERROR technischen...
Seite 228 Anhang 1047 Das Zertifikat SECURITY WARNING wurde vor oder zum Referenz- zeitpunkt wider- rufen. 1048 Es ist ein Feh- TECHNICAL ERROR ler bei der Prü- fung des QCStatements aufgetreten (z. B. nicht vor- handen, obwohl gefordert). 1050 Die einem TUC TECHNICAL WARNING zur Zertifikats-...
Seite 229 Anhang 1051 Die in einem SECURITY ERROR OCSP- Response zu- rückgelieferte Nonce stimmt nicht mit der Nonce des OCSP- Requests über- ein. 1052 Attribut- SECURITY ERROR Zertifikat kann dem übergebe- nen Basis- Zertifikat nicht zugeordnet werden. 1053 Die CRL kann TECHNICAL ERROR nicht herunter-...
Seite 230 Anhang 1055 CRL-Signer- SECURITY ERROR Zertifikat nicht in TSL- Informationen enthalten 1057 Signatur der SECURITY ERROR CRL ist nicht gültig. 1058 Die OCSP- TECHNICAL ERROR Response ent- hält eine Exception- Meldung. 1059 CA-Zertifikat für SECURITY ERROR QES- Zertifikatsprü- fung nicht quali- fiziert 1060 Die VL kann...
Seite 231 4002 Der Konnektor SECURITY FATAL Ein kritisches Problem des Konnektors ist aufgetreten. befindet sich in  Starten Sie den Modularen Konnektor neu. einem kriti- schen Betriebs-  Wenn der Fehler weiterhin auftritt, wenden Sie sich an den zustand DVO. Version 2.2...
Seite 232 ERROR Es liegt eine Inkonsistenz im Informationsmodell zwischen dem Modu- Mandanten-ID laren Konnektor und dem Primärsystem vor. Die Mandaten-ID aus dem Aufrufkontext ist dem Modularen Konnektor nicht bekannt. Die Konfiguration muss überprüft werden.  Wenden Sie sich an den DVO.
Seite 233 SM-B ist dem SECURITY ERROR Es liegt eine Inkonsistenz im Informationsmodell zwischen dem Modu- Konnektor nicht laren Konnektor und dem Primärsystem vor. Die SMC-B aus dem Auf- als SM- rufkontext ist dem Modularen Konnektor nicht bekannt. Die B_Verwaltet Konfiguration muss überprüft werden.
Seite 234 SM-B_Verwaltet SECURITY ERROR Es liegt eine Inkonsistenz im Informationsmodell zwischen dem Modu- ist dem Man- laren Konnektor und dem Primärsystem vor. Die SMC-B aus dem Auf- danten nicht rufkontext ist dem Mandanten nicht zugeordnet. Die Konfiguration zugeordnet muss überprüft werden.
Seite 235 SECURITY ERROR Es liegt eine Inkonsistenz im Informationsmodell zwischen dem Modu- ist weder lokal laren Konnektor und dem Primärsystem vor. Das Kartenterminal aus noch entfernt dem Aufrufkontext ist vom Arbeitsplatz nicht zugreifbar. Die Konfigura- vom Arbeits- tion muss überprüft werden.
Seite 236 Anhang 4017 Die eGK hat SECURITY ERROR Fehler beim Zugriff auf eine eGK. Die eGK wird derzeit von einem an- bereits eine deren Arbeitsplatz verwendet. Kartensitzung,  Wiederholen Sie den Vorgang. die einem an- deren Arbeits- platz zugeordnet ist. 4018 Der HBA hat SECURITY ERROR...
Seite 237 Kartenterminal SECURITY ERROR Es liegt eine Inkonsistenz im Informationsmodell zwischen Modularem ist weder lokal Konnektor und Primärsystem vor. Das Kartenterminal aus dem Auf- noch entfernt rufkontext ist vom keinem Arbeitsplatz zugreifbar. Die Konfiguration über irgendei- muss überprüft werden. nen dem Clien- ...
Seite 238 DVO. 4027 Die Endpunkt- TECHNICAL ERROR Es ist ein technischer Fehler während der Bootup-Phase aufgetreten. informationen  Starten Sie den Modularen Konnektor neu. konnten nicht übernommen  Wenn der Fehler weiterhin auftritt, wenden Sie sich an den werden. DVO. 4028...
Seite 239 Anhang 4029 Fehler bei der SECURITY ERROR Es ist ein technischer Fehler beim Pairing eines Kartenterminals KT-Authenti- aufgetreten. sierung. KT  Wenden Sie sich an den DVO. möglicherweise manipuliert 4030 Admin-Werte SECURITY ERROR Es ist ein technischer Fehler beim Aufbau einer Kartenterminal- für KT fehler- Sitzung aufgetreten.
Seite 240 Anhang 4034 Kartenterminal TECHNICAL ERROR Es ist ein technischer Fehler beim Hinzufügen eines Kartenterminals mit gleichem aufgetreten. Hostname be-  Wenden Sie sich an den DVO. reits in der Liste der Kartenter- minals vorhan- den. Bitte Hostname des Kartenterminals ändern. 4035 Angegebener TECHNICAL...
Seite 241 ERROR Es ist ein Fehler bei der Displayanzeige auf dem Kartenterminal auf- durch andere getreten. Das Kartenterminal-Display ist durch einen anderen, zeit- Nutzung aktuell gleich im Modularen Konnektor ablaufenden Vorgang reserviert. belegt  Wiederholen Sie den Vorgang. 4040 Fehler beim...
Seite 242 Anhang 4044 Fehler beim TECHNICAL ERROR Es ist ein Fehler beim Zugriff auf das Kartenterminal aufgetreten. Zugriff auf das  Wiederholen Sie den Vorgang. Kartenterminal  Wenn der Fehler erneut auftritt, wenden Sie sich an den DVO. 4045 Fehler beim TECHNICAL ERROR Es ist ein Fehler beim Zugriff auf die Karte aufgetreten.
Seite 243 Anhang 4048 Fehler bei der TECHNICAL ERROR Es ist ein Fehler bei C2C-Prüfung aufgetreten. Es sollte überprüft C2C-Authenti- werden, ob die eGK und die SMC-B bzw. der HBA korrekt gesteckt sierung sind.  Stecken Sie die Karte erneut und wiederholen Sie den Vorgang.
Seite 244 Anhang 4053 Remote-PIN SECURITY ERROR nicht möglich 4054 Fehler beim SECURITY ERROR Secure Messaging, Zielkarte 4055 Fehler beim SECURITY ERROR Secure Messaging, Quellkarte 4056 Fehler bei der TECHNICAL ERROR C2C-Authenti- sierung, Quellkarte 4057 Fehler bei der TECHNICAL ERROR C2C-Authenti- sierung, Zielkarte 4058 Aufruf nicht...
Seite 245 Anhang 4061 Falsche alte SECURITY WARNING PIN, verblei- bende Einga- beversuche <x> 4062 Falsche PIN SECURITY WARNING (hier: PUK) verbleibende Eingabeversu- che <x> 4063 PIN bereits SECURITY ERROR gesperrt (BLOCKED) 4064 Alte PIN bereits SECURITY ERROR blockiert (hier: PUK) 4065 PIN ist trans- TECHNICAL WARNING...
Seite 246 Anhang 4069 Korruptes TECHNICAL ERROR Chiffrat bei asymmetrischer Entschlüsse- lung 4070 Autorisierende TECHNICAL ERROR Karte oder Kar- tensitzung fehlt 4071 Keine Karte für TECHNICAL ERROR C2C Auth gesetzt 4072 Ungültige TECHNICAL ERROR PIN-Referenz 4073 Adressiertes TECHNICAL ERROR Passwort konn- te nicht gefun- den werden 4074 Formatfehler...
Seite 247 Anhang 4077 Setzen der SECURITY ERROR neuen PIN nicht zulässig 4078 PIN-Eingabe SECURITY ERROR über das Clien- tsystem ist nicht zugelas- 4079 Schlüsseldaten TECHNICAL ERROR fehlen 4080 Schlüssel TECHNICAL ERROR unterstützt den geforderten Al- gorithmus nicht 4081 Kein Signier- TECHNICAL ERROR schlüssel aus- gewählt...
Seite 248 Anhang 4086 Verzeichnis TECHNICAL ERROR deaktiviert 4087 Datei nicht TECHNICAL ERROR vorhanden 4088 Datensatz zu TECHNICAL ERROR groß 4089 Datei ist vom TECHNICAL ERROR falschen Typ 4090 Zugriff auf eGK SECURITY ERROR nicht gestattet 4092 Remote-PIN- TECHNICAL ERROR KT benötigt, aber für diesen Arbeitsplatz nicht definiert...
Seite 249 Anhang 4095 Fehler bei der TECHNICAL ERROR Auswertung eines XPath- Ausdrucks 4096 Ungültige Kar- TECHNICAL ERROR tenterminal-ID 4097 Ungültige Kar- TECHNICAL ERROR tenslot-ID 4098 Keine Karte im TECHNICAL ERROR angegebenen Slot gefunden 4099 Keine Karte zur TECHNICAL ERROR angegebenen Iccsn gefunden 4101 Karten-Handle TECHNICAL...
Seite 250 Anhang 4105 Hybride Ver- TECHNICAL ERROR schlüsselung konnte nicht durchgeführt werden 4106 Falscher TECHNICAL ERROR Schlüssel 4107 Hybride Ent- TECHNICAL ERROR schlüsselung konnte nicht durchgeführt werden 4108 Symmetrische TECHNICAL ERROR Verschlüsse- lung konnte nicht durchge- führt werden 4109 Symmetrische TECHNICAL ERROR Entschlüsse- lung konnte...
Seite 251 Anhang 4110 Ungültiges Do- TECHNICAL ERROR Der Aufruf der Operation ist nicht gültig in Bezug auf das verwendete kumentformat Dokument.  Wiederholen Sie den Vorgang.  Wenn der Fehler weiterhin auftritt, wenden Sie sich an den DVO. 4111 Ungültiger Sig- TECHNICAL ERROR naturyp oder...
Seite 252 Anhang 4116 Timeout TECHNICAL WARNING (Benutzer) 4118 Stapelsignatu- TECHNICAL ERROR ren werden nur für den HBA unterstützt. Mit HBA-Vorläufer- karten sind nur Einzelsignatu- ren möglich. 4120 Kartenfehler SECURITY ERROR 4123 Fehler bei Sig- SECURITY ERROR Die Signatur konnte nicht erstellet werde. naturerstellung ...
Seite 253 Anhang 4125 LU_SAK nicht SECURITY ERROR Um die Operation durchführen zu können muss LU_SAK aktiviert aktiviert sein.  Aktivieren die LU_SAK in der Administration, wenn sie diese Funktion nutzen wollen. 4126 Kartentyp nicht SECURITY ERROR zulässig für Signatur 4127 Import der TSL- SECURITY ERROR Datei fehlge-...
Seite 254 Anhang 4132 Extraktion des SECURITY ERROR Ablaufsdatums schlägt fehl 4133 Import der SECURITY ERROR BNetzA- Vertrauensliste fehlgeschlagen 4146 Kartenhandle TECHNICAL ERROR existiert nicht 4147 Zertifikat nicht TECHNICAL ERROR vorhanden (z. B. kein QES-Zertifikat in SM-B) 4148 Fehler beim TECHNICAL ERROR Extrahieren von Zertifikatsin- formationen...
Seite 255 Anhang 4151 Fehler beim TECHNICAL FATAL Schreiben eines Fachmo- dulprotokolls 4152 Fehler beim SECURITY ERROR Schreiben des Sicherheitspro- tokolls 4153 Zugriff auf Si- TECHNICAL FATAL cherheitsproto- koll nicht möglich 4154 Zugriff auf Sys- TECHNICAL FATAL temprotokoll nicht möglich 4155 Zugriff auf TECHNICAL FATAL Fachmodulpro-...
Seite 256 Anhang 4157 Clientauthenti- SECURITY ERROR sierung bei TLS-Verbin- dungsaufbau fehlgeschlagen 4158 Adressierte TECHNICAL ERROR TLS-Verbin- dung nicht vorhanden 4159 Public-IP: DNS TECHNICAL FATAL Server antwor- tet nicht 4160 Public-IP: Zu TECHNICAL FATAL einem DNS Namen konnte keine IP- Adresse gefun- den werden 4161 Public-IP: Ein...
Seite 257 Anhang 4163 Es liegt eine TECHNICAL ERROR fehlerhafte WAN IP-Konfi- guration vor. 4164 Beim Aktuali- TECHNICAL FATAL sieren oder Ak- tivieren der Firewall-Regeln ist es zu einem Fehler gekom- men. 4165 gSMC-K Konfi- TECHNICAL FATAL guration: Keine Netzwerk- Konfiguration gefunden. 4166 gSMC-K Konfi- TECHNICAL...
Seite 258 Anhang 4168 DHCP-Server TECHNICAL ERROR konnte nicht gestartet wer- 4169 Konnektor er- TECHNICAL ERROR hält keine DHCP- Informationen 4170 Konnektor be- TECHNICAL ERROR sitzt identische IP-Adressen am WAN und LAN Interface 4171 Der VPN- TECHNICAL FATAL Tunnel zur TI konnte nicht beendet wer- den.
Seite 259 Anhang 4174 TI VPN-Tunnel: TECHNICAL FATAL Die Verbindung zum VPN-Zugangsdienst konnte nicht aufgebaut Verbindung werden. konnte nicht  Überprüfen Sie den Internetzugang aufgebaut wer-  Ansonsten wenden Sie sich an den DVO. 4175 Der VPN- TECHNICAL FATAL Tunnel zum SIS konnte nicht beendet werden.
Seite 260 Anhang 4179 DNS: Anfrage TECHNICAL ERROR wurde abge- brochen, da der Timeout von ANLW_SERVI CE_TIMEOUT Sekunden überschritten wurde. 4180 DNS: Es ist ein TECHNICAL FATAL Fehler bei der Namensauflö- sung aufgetre- 4181 Integritätsprü- SECURITY ERROR fung UpdateIn- formation fehlgeschlagen. 4182 Download nicht SECURITY ERROR...
Seite 261 Anhang 4184 Anwendung der SECURITY ERROR UpdateFiles fehlgeschlagen <Details>. 4185 Fimware- SECURITY ERROR Version liegt außerhalb der gültigen Firm- ware-Gruppe 4186 Download nicht SECURITY ERROR aller Update Files möglich. 4187 KT-Update SECURITY ERROR fehlgeschlagen (<Fehlerinfo gemäß SICCT>) 4188 Konfigurations- TECHNICAL ERROR dienst nicht erreichbar,...
Seite 262 Anhang 4190 Fehler beim TECHNICAL ERROR Beziehen der Updatelisten 4192 C2C mit eGK SECURITY ERROR G1+ ab 01.01. 2019 nicht mehr gestattet 4193 Kein XML- SECURITY WARNING Schema für XML-Dokument vorhanden 4196 Fehler bei der TECHNICAL ERROR CV-Zertifikats- prüfung 4197 Parameter TECHNICAL WARNING...
Seite 263 4200 Schlüssel er- SECURITY ERROR laubt keinen zugelassenen Verschlüsse- lungsalgorith- 4201 Kryptographi- TECHNICAL ERROR scher Algorith- mus vom Konnektor nicht unterstützt 4202 Timeout. Es TECHNICAL ERROR wurde keine Karte innerhalb der angegebe- nen Zeitspanne gesteckt. 4203 Karte deakti- TECHNICAL ERROR viert, aber nicht entnommen.
Seite 264 4208 Dokument nicht TECHNICAL ERROR konform zu Profilierung der Signaturforma- 4209 Kartentyp <x> TECHNICAL ERROR wird durch die- se Operation nicht unter- stützt. 4216 Fehler beim TECHNICAL FATAL Schreiben des Konnektor- Performance- protokolls Version 2.2...
Seite 265 Anhang 4217 Fehler beim TECHNICAL FATAL Schreiben eines Fachmodul- Performance- protokolls 4218 Zugriff auf TECHNICAL FATAL Konnektor- Performance- protokoll nicht möglich 4219 Zugriff auf TECHNICAL FATAL Fachmodul- Performance- protokoll nicht möglich 4220 Rollenprüfung SECURITY ERROR bei TLS- Verbindungs- aufbau fehlge-...
Seite 266 Anhang 4228 Das benötigte TECHNICAL ERROR Cross-CV- Zertifikat ist nicht vorhan- 4232 Der Aufrufer ist TECHNICAL ERROR nicht im Besitz des Karten- Locks 4233 Ausstellungs- SECURITY ERROR datum des Zer- tifikats liegt in der Zukunft 4235 TSL-Dienst SECURITY ERROR konnte bei TLS- Verbindungs- aufbau nicht authentisiert...
Seite 267 Anhang 4252 Jobnummer TECHNICAL ERROR wurde in den letzten 1.000 Aufrufen bereits verwendet und ist nicht zuläs- 4253 Keine Signatur TECHNICAL ERROR im Aufruf Signatur um- fasst nicht das 4262 TECHNICAL ERROR gesamte Do- kument NonQES 4412 XAdES Signa- TECHNICAL ERROR tur gefunden 41000...
Seite 268 Anhang 41001 Kartenterminal TECHNICAL ERROR <x> ist unzu- lässigerweise virtuell. Diese Eigenschaft ist ausschließlich für eine zukünf- tige Nutzung vorgesehen. 41002 Es konnte kei- TECHNICAL ERROR ne SMC-KT in Kartenterminal <x> ermittelt werden. 41003 Kartensitzung TECHNICAL ERROR für Cardhandle <x> ungültig oder beendet.
Seite 269 Anhang 41005 Kartenoperati- TECHNICAL ERROR on <x> wird von Karte <x> nicht unterstützt. 41006 Lesen der TECHNICAL ERROR Datei <x> fehlgeschlagen. 41007 Lesen des TECHNICAL ERROR Zertifikats <x> fehlgeschlagen. 41008 Signaturerstel- TECHNICAL ERROR lung über eine Karte nicht möglich. 41009 Kartensitzung TECHNICAL ERROR...
Seite 270 Anhang 41011 Ungültiger Kar- TECHNICAL ERROR tentyp für TLS- Verbindung in die TI. 41012 Ungültige oder TECHNICAL ERROR fehlende Versi- cherungsnum- mer im AUT- Zertifikat. 41013 Ungültige oder TECHNICAL ERROR fehlende Versi- chertennummer im AUT- Zertifikat. 41014 Unerlaubter TECHNICAL ERROR Zugriff auf DF oder EF.
Seite 271 41016 Keine SMC-B TECHNICAL ERROR für den TLS- Verbindungs- aufbau gesteckt oder freige- schaltet. 41017 C2C-Authenti- TECHNICAL INFO sierung durch den Konnektor abgebrochen. 41018 Fehler beim TECHNICAL ERROR Schreiben des 42000 Import einer TECHNICAL ERROR Backup Datei ist fehlgeschla- gen.
Seite 272 Anhang 42002 Import einer TECHNICAL ERROR Backup Datei ist bei der Ver- sionsprüfung fehlgeschlagen. 42003 Konnektor- TECHNICAL ERROR Zertifikat (gSMC-K AUT_SAK) nicht lesbar, Export/Import nicht möglich. 42004 Ein Export kann TECHNICAL ERROR nicht erstellt werden, da die Version nicht exportiert wer- den kann.
Seite 273 Anhang 42010 Export einer TECHNICAL ERROR Backup Datei ist fehlgeschla- gen. 42011 PublicKey für TECHNICAL ERROR Backup- Erstellung nicht lesbar. 42012 Rolle stimmt TECHNICAL ERROR nicht mit der Vorgabe über- ein. 42013 Interner Fehler TECHNICAL ERROR bei der OCSP- Prüfung 42014 OCSP- TECHNICAL...
Seite 274 Anhang 42016 Zertifikats ist TECHNICAL INFO bald nicht mehr gültig. 42017 Zertifikatsprü- TECHNICAL INFO fung von Zerstifikaten mit if_QC_present wird in der Ver- sion des Konnektors nicht unter- stützt. 42018 Das Zertifikat TECHNICAL ERROR des Clientsys- tems für den TLS-Verbin- dungsaufbau ist nicht gültig.
Seite 275 Anhang 42020 Der TLS-Dienst TECHNICAL ERROR konnte mit ei- ner Gegenstelle <x> keine TLS- Verbindung aufbauen 42021 Der TLS-Dienst TECHNICAL WARNING kann die Karte <x> nicht be- nutzen um eine TLS- Verbindung aufzubauen, da diese noch nicht freige- schaltet ist. 42022 Der Name im TECHNICAL...
Seite 276 Anhang 42023 Der Vertrau- TECHNICAL ERROR ens-Anker aus der TSL konnte nicht über- nommen wer- den, da das Zertifikat noch nicht gültig ist <x>. Aktualisieren Sie den Vertrauens-Anker. 42024 Der Vertrau- TECHNICAL ERROR ens-Anker aus der TSL konnte nicht über- nommen wer- den, da das Zertifikat abge-...
Seite 277 Anhang 42026 Der Aufbau der TECHNICAL ERROR TLS- Verbindung mit der Gegenstelle <x> hat das Zeitlimit von <x>ms überschritten. 42027 Der TLS-Dienst TECHNICAL ERROR konnte mit kei- ner der <x> bekannten Zieladressen eine TLS- Verbindung aufbauen. 42028 Die TSL enthält TECHNICAL INFO keinen BNetzA-...
Seite 278 Anhang 42030 BNetzA-VL- TECHNICAL ERROR Vertrauens- Anker lässt sich nicht extrahie- 42031 BNetzA-VL- TECHNICAL ERROR Downloadad- ressen wieder- holt nicht erreichbar Aktuallisieren sie die BNetzA-VL 42032 BNetzA-VL ist TECHNICAL ERROR abgelaufen. 42033 Import der TECHNICAL ERROR BNetzA-VL- Datei fehlge- schlagen 43000 Fehler bei der TECHNICAL...
Seite 279 Update bereits TECHNICAL ERROR heruntergela- den. 43004 Ein Download TECHNICAL ERROR für ein Konnektor- update läuft be- reits. 43005 Ein Konnektor- TECHNICAL ERROR update läuft be- reits. 43006 Das Terminal TECHNICAL ERROR wird bereits ak- tualisiert. 43007 Das Update TECHNICAL...
Seite 280 Anhang 43009 Fehler beim TECHNICAL ERROR Download der Dokumentation vom KSR. 43010 Die Aktualisie- TECHNICAL ERROR rung oder das zu aktualisie- rende Terminal wurden nicht gefunden. 43011 Das zu aktuali- TECHNICAL ERROR sierende Ter- minal ist nicht mehr gepairt. 43012 Das zu aktuali- TECHNICAL INFO...
Seite 281 Fehler: <x> 43014 Fehler bei Re- TECHNICAL ERROR gistrierung des Konnektors im Konnektor. 43015 Fehler bei De- TECHNICAL ERROR registrierung des Konnektors im Registrie- rungsserver. Fehler: <x> 43016 Fehler bei TECHNICAL ERROR Deregistrierung des Konnektors im Konnektor. Version 2.2...
Seite 282 Registrie- rungsserver im Registrierungs- server. Fehler: <x> 43018 Fehler bei Sta- TECHNICAL ERROR tusabfrage beim Registrie- rungsserver im Konnektor. 43019 Beim Hochla- TECHNICAL ERROR den einer Up- date-XML-Datei ist ein Fehler aufgetreten. Datei nicht les- bar. Version 2.2...
Seite 283 43024 Die Zugangs- TECHNICAL ERROR daten für die Admin-Session am Terminals wurden noch nicht komplett hinterlegt. 43025 Der KSR steht TECHNICAL ERROR nicht zur Verfü- gung, wenn der Konnektor nicht mit der TI ver- bunden ist. Version 2.2...
Seite 284 Anhang 43026 Die URL zum TECHNICAL WARNING KSR konnte nicht aufgelöst werden. 43027 Die URL zum TECHNICAL WARNING Registrierungs- server konnte nicht aufgelöst werden. 43028 Beim Hochla- TECHNICAL ERROR den einer Firmware-Datei ist ein Fehler aufgetreten. Datei nicht in UpdateInfo.xml enthalten.
Seite 285 Anhang 43030 Eine Aktualisie- TECHNICAL ERROR rung wird gera- de installiert. Ein Zurückset- zen des Bereiches 'Aktualisierung' ist derzeit nicht möglich. 43031 Eine Aktualisie- TECHNICAL ERROR rung konnte nicht installiert werden. Signa- ture des Firm- wareupdates ungültig. 43032 Eine Aktualisie- TECHNICAL ERROR rung konnte...
Seite 286 Anhang 43033 Eine Aktualisie- TECHNICAL ERROR rung konnte nicht installiert werden. Nicht genug Speicherplatz für den AK. 43034 Eine Aktualisie- TECHNICAL ERROR rung konnte nicht installiert werden. Nicht genug Speicherplatz für den NK. 43035 Eine Aktualisie- TECHNICAL ERROR rung konnte nicht installiert werden.
Seite 287 Anhang 43036 Eine Aktualisie- TECHNICAL ERROR rung konnte nicht installiert werden. Firm- wareversion des Updates stimmt nicht mit den übergebe- nen Werten überein. 43037 Eine Aktualisie- TECHNICAL ERROR rung konnte nicht installiert werden. Firm- ware-Gruppen- Information ist kleiner oder gleich der be- reits installier- ten Firmware- gruppe.
Seite 288 Anhang 43038 Eine Aktualisie- TECHNICAL ERROR rung konnte nicht installiert werden. Signature der NK-Firmware ungültig. 43039 Eine Aktualisie- TECHNICAL ERROR rung konnte nicht installiert werden. Signature der AK-Firmware ungültig. 43040 Eine Aktualisie- TECHNICAL ERROR rung konnte nicht installiert werden. Prüfschlüssel nicht verfügbar.
Seite 289 Anhang 43041 Eine Aktualisie- TECHNICAL ERROR rung konnte nicht installiert werden. Der Fehler konnte nicht ermittelt werden. 43042 Das Internet- TECHNICAL ERROR Access- Gateway <x> der initialen Konfiguration konnte weder auf das LAN- <x>, noch WAN-Netzwerk <x> gemappt werden. Prüfen Sie die IAG- Einstellungen.
Seite 290 Anhang Fachmodul […] Fachmodul […] 43051 TECHNICAL WARNING 43051 Fachmodul […] Fachmodul […] 43052 TECHNICAL ERROR 43052 Fachmodul […] Fachmodul […] 43053 TECHNICAL FATAL 43053 43054 Die Verarbei- TECHNICAL ERROR tung der Anfrage im Netzkonnektor hat zu lange gedauert. Aktion: <x> Version 2.2...
Seite 291: Fachmodul Vsdm
Anhang 16.9.6.1 Fachmodul VSDM 3001 VSD nicht TECHNICAL ERROR Die Versichertendaten sind aufgrund eines Fehlers bei einer vorange- konsistent gangenen Aktualisierung nicht mehr konsistent und können nicht einge- lesen werden.  Versuchen Sie, die Karte erneut zu aktualisieren. Falls nach 2-3 Versuchen die Karte immer noch denselben Fehler auf- weist, ist die eGK ggf.
Seite 292 Anhang 3020 Lesen KVK TECHNICAL ERROR Beim Einlesen der Krankenversichertenkarte (KVK) ist ein Fehler auf- gescheitert getreten.  Stecken Sie die Karte erneut und wiederholen Sie den Vorgang.  Wenn das Problem nur bei einer bestimmten Karte auftritt, ist ggf. die Karte defekt. ...
Seite 293 Leistungserbringer oder entschlüsselbar Mandanten.  Wiederholen Sie die Onlineprüfung für die eGK am Online- Konnektor und lesen Sie die Karte erneut ein.  Wenn der Fehler weiterhin auftritt, wenden Sie sich an den DVO. 3040 Es ist kein Prü-...
Seite 294 Anhang 11999 Ein nicht spezi- nicht vorge- nicht vorge- Fehler bei der Onlineprüfung der eGK. Es ist ein nicht spezifizierter fizierter Fehler geben geben Fehler im Fachdienst UFS aufgetreten. Die Fehlerursache muss vom ist aufgetreten, Fachdienstbetreiber analysiert werden. zu dem weitere Details im Die eGK ist gültiger Leistungsanspruchsnachweis.
Seite 295 Anhang 12102 Für das ange- TECHNICAL FATAL Fehler bei der Onlineprüfung der eGK. Für die eGK kann durch den fragte Update Fachdienst VSDD/CMS keine Aktualisierung vorgenommen werden. ist die Durch- Die Fehlerursache muss vom Fachdienstbetreiber analysiert werden. führung eines anderen Up- Die eGK ist gültiger Leistungsanspruchsnachweis.
Seite 296 Anhang 12999 Ein nicht spezi- nicht vorge- nicht vorge- Fehler bei der Onlineprüfung der eGK. Es ist ein nicht spezifizierter fizierter Fehler geben geben Fehler im Fachdienst VSDD/CMS aufgetreten. Die Fehlerursache muss ist aufgetreten, vom Fachdienstbetreiber analysiert werden. zu dem weitere Details im Die eGK ist gültiger Leistungsanspruchsnachweis.
Seite 297: Fachmodul Nfdm
Anhang 16.9.6.2 Fachmodul NFDM Die eGK ist TECHNICAL FATAL Ein technisches Problem ist beim Nutzen der eGK aufgetreten. 5000 defekt.  Stecken Sie die Karte erneut und wiederholen sie den Vorgang.  Wenn das Problem nur bei einer bestimmten Karte auftritt, ist ggf.
Seite 298 Anhang Unbekannte TECHNICAL FATAL Ein technisches Problem ist beim Nutzen der eGK aufgetreten. 5004 Version der  Stecken Sie die Karte erneut und wiederholen sie den Vorgang. Speicherstruk-  Wenn das Problem nur bei einer bestimmten Karte auftritt, ist tur für den Not- gg.
Seite 299 Anhang Die Kodierung TECHNICAL ERROR 5009 (base64) des Notfalldatensat- zes ist geschei- tert. Die Komprimie- TECHNICAL ERROR 5010 rung des Not- falldatensatzes ist gescheitert. Es konnte keine SECURITY ERROR 5011 Berechtigungs- regel ermittelt werden. Das Löschen TECHNICAL ERROR Ein technisches Problem ist beim Nutzen der eGK aufgetreten. 5012 des Notfallda- ...
Seite 300 Anhang Der Notfallda- BUSINESS ERROR Die Notfalldaten, die auf die Karte geschrieben werden sollen, sind zu 5013 tensatz über- groß für die Karte. schreitet die  Kontrollieren sie die Daten und wiederholen sie den Vorgang. maximal zuläs-  Wenn der Fehler weiterhin auftritt, wenden Sie sich an den sige Größe.
Seite 301 Anhang Der Notfallda- SECURITY ERROR Die Notfalldaten, die auf die Karte geschrieben werden sollen, sind un- 5017 tensatz ist nicht gültig. valide.  Kontrollieren sie die Daten und wiederholen sie den Vorgang.  Wenn der Fehler weiterhin auftritt, wenden Sie sich an den DVO.
Seite 302 Anhang Es ist bereits BUSINESS ERROR 5022 ein Notfallda- tensatz auf der eGK gespei- chert. Datensatz „Per- Der Datensatz „Persönliche Erklärungen“ auf der Karte ist nicht konsis- TECHNICAL ERROR 5103 sönliche Erklä- tent geschrieben worden und können daher nicht gelesen werden. rungen“...
Seite 303 Anhang Decodierung TECHNICAL ERROR 5107 des Datensatz „Persönliche Erklärungen“ gescheitert Der Datensatz „Persönliche Erklärungen“, der auf die Karte geschrie- Die Versicher- SECURITY ERROR 5108 ten-ID des Da- ben werden sollen, passt nicht zur verwendeten Karte. tensatz  Kontrollieren sie die Daten und wiederholen sie den Vorgang. „Persönliche ...
Seite 304 Anhang 5110 Die Komprimie- TECHNICAL ERROR rung des Da- tensatz „Persönliche Erklärungen“ ist gescheitert. 5112 Das Löschen TECHNICAL ERROR Ein technisches Problem ist beim Nutzen der eGK aufgetreten. des Datensatz  Stecken Sie die Karte erneut und wiederholen sie den Vorgang. „Persönliche ...
Seite 305 Anhang Der Datensatz „Persönliche Erklärungen“ ist verborgen. 5120 Der Datensatz BUSINESS ERROR „Persönliche  Aktivieren sie mit dem Versicherten die Anwendung DPE. Erklärungen“ ist verborgen. 5121 Es ist kein Da- BUSINESS ERROR tensatz „Per- sönliche Erklärungen“ auf der eGK gespeichert. 5122 Es ist bereits BUSINESS...
Seite 306 Anhang 5504 Signatur des SECURITY ERROR Die Notfalldaten, die auf die Karte geschrieben werden sollen, sind un- Notfalldatensat- gültig. zes ungültig.  Kontrollieren sie die Daten und wiederholen sie den Vorgang. Prüfung der  Wenn der Fehler weiterhin auftritt, wenden Sie sich an den Hashwertkette DVO.
Seite 307: Fachmodul Amts
Anhang 16.9.6.3 Fachmodul AMTS 6000 Interner Fehler - TECHNICAL FATAL Die Operation konnte nicht durchgeführt werden. 6010 Einwilligung be- TECHNICAL FATAL reits vorhanden 6049 Smartcard nicht SECURITY ERROR Die verwendete SMC-B ist nicht freigeschaltet. freigeschaltet  Schalten Sie die entsprechende SMC-B frei. 6051 eGK- TECHNICAL...
Seite 308 Anhang 6054 eMP/AMTS- TECHNICAL ERROR Die eMP/AMTS-Daten auf der Karte sind nicht konsistent geschrieben Daten sind worden und können daher nicht gelesen werden. inkonsistent.  Die eMP/AMTS-Daten müssen neu geschrieben werden. Bitte Daten er- neut schreiben. 6056 Einverständnis TECHNICAL ERROR nicht erteilt 6057 Versicherten-ID...
Seite 309 Anhang 6059 Nicht genügend BUSINESS ERROR Die eMP/AMTS-Daten, die auf die Karte geschrieben werden sollen, Speicherplatz sind zu groß für die Karte. auf der eGK  Kontrollieren sie die Daten und wiederholen sie den Vorgang.  Wenn der Fehler weiterhin auftritt, wenden Sie sich an den DVO.
Seite 310 Anhang 6063 eGK gesperrt SECURITY ERROR Die eGK ist kein gültiger Leistungsanspruchsnachweis.  Fragen Sie den Versicherten, ob er in der Zwischenzeit eine neuere eGK von der Krankenkasse zugeschickt bekommen hat. Wenn der Versicherte keine aktuellere eGK besitzt, ist gemäß BMV-Ä Anlage 4a Anhang 1 Kap.
Seite 311: Weitere Meldungen Zu Verbindungsproblemen
Anhang 16.9.7 Weitere Meldungen zu Verbindungsproblemen Legende: Code Fehler-ID (dient als Referenz der gematik) Beschreibung/ Kurze Zusammenfassung Mögliche Ursache Je nach Typ werden Meldungen in verschiedene Logdateien geschrieben (SECURITY,TECHNICAL). Level Einstufung nach Schwere des Vorfalls (FATAL, ERROR, WARNING, INFO) Fehlerbehebung/ Anleitung zur Behebung, falls möglich.
Seite 312 Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben Fehler beim Verbindungsaufbau zur 45000 unspecified error Technical Error Konnektor neu starten 45001 cannot connect to VICI socket charon Dämon läuft nicht Technical Fatal Konnektor neu starten failed to create or to queue VICI 45002...
Seite 313 Manuell Verbindung zu TI starten down Wenn nicht durch Neustart zu lö- 45014 unable to activate hash&url Fehlkonfiguration Technical Fatal sen, Konnektor einschicken 45015 unable to send mosquitto event Mosquitto Service nicht erreichbar Technical Error Konnektor neu starten unable to make strongswan set- Wenn nicht durch Neustart zu lö-...
Seite 314 Error Konnektors überprüfen und kor- VICI response rigieren. Laufzeitfehler in der VICI-Bibliothek 45026 could not register callback Technical Error Konnektor neu starten aufgetreten Laufzeitfehler in der VICI-Bibliothek 45027 could not unregister callback Technical Error Konnektor neu starten aufgetreten could not set IP and/or virtual IP...
Seite 315 45032 unknown type of connection Technical Error Konnektor neu starten aufgetreten Multiple Fehlerursachen:  Korruptes Dateisystem (HW- Konnektor neu starten; wenn Fehler) sich nach dem Neustart keine  45033 failed reading from file Dateisystem voll Technical Error Veränderung ergibt, den Support ...
Seite 316 Technical Error ber des VPN-Zugangsdienstes in expired überprüfbar. Verbindung. Starten Sie den Konnektor neu (dies triggert u.a. Download- no TSL information available - cer- Dem Konnektor steht keine TSL Vorgänge). Wenn sich nach ei- 45044 tificate verification must be abort-...
Seite 317 Anhang Code Beschreibung Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben public key of concentrator's cer- Das Schlüsselmaterial des VPN- Setzen Sie sich mit dem Betrei- 45045 tifiate has a bit size of lesser than Zugangsdienstes entspricht nicht den Technical Error ber des VPN-Zugangsdienstes in 2048 Anforderungen Verbindung.
Seite 318 45053 /ConfigData/VPNClient/VPNActiva Die XML-Konfiguration ist fehlerhaft. Technical Error Konfiguration in der Benutzer- tion oberfläche. Der Konnektor kann sich nicht mit Aktivieren Sie zunächst den 45054 connector has not been activated dem VPN-Zugangsdienst verbinden, Technical Error Konnektor oder wenden Sie sich da er noch nicht aktiviert wurde an den Support.
Seite 319 Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben 45101 iproute2 utility reports error %i. Laufzeitfehler (race condition) Technical Error Konnektor neu starten 45102 MQTT: Unable to send event %s. Laufzeitfehler des MQTT-Brokers Technical Error Konnektor neu starten Unable to execute DHCP client 45193...
Seite 320 45115 Unable to send MQTT event Technical Error 45300 iptables utility reports error %i. Laufzeitfehler (race condition) Technical Error Konnektor neu starten Unable to publish topic 45301 Laufzeitfehler (race condition) Technical Error Konnektor neu starten NK/AK/STATE Error Unable to create virtual machine Log-Dateien löschen oder...
Seite 321 Fehlerhafte Konfiguration Technical Error '%s'. Unable to start DHCP (server) for 45308 Arbeitsspeicher erschöpft Technical Error Konnektor neu starten virtual machine. Unable to spawn VBOXSvc ser- 45309 Arbeitsspeicher erschöpft Technical Error Konnektor neu starten vice (1/2) Unable to spawn VBOXSvc ser- 45310 Arbeitsspeicher erschöpft...
Seite 322 Technical Error Support kontaktieren machine Unable to shutdown the VBOX vir- 45319 AK-VM hängt Technical Error Konnektor neu starten tual machine. 45320 Unable to start MQTT thread. MQTT-Broker läuft nicht Technical Error Konnektor neu starten 45321 Unable to initiate MQTT [1].
Seite 323 Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben Kommunikation mit der VBOX-API 45326 Unable to set timesync value. [3/4] Technical Error Konnektor neu starten fehlgeschlagen Kommunikation mit der VBOX-API 45327 Unable to set timesync value. [4/4] Technical Error Konnektor neu starten fehlgeschlagen Executable not defined (nick- Konfiguration prüfen, ggf.
Seite 324 Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben 45510 insufficient memory available. RAM-Speicherkapazität erschöpft Technical Error Konnektor neu starten unable to purge limit rule - rule set Konfiguration prüfen, ggf. 45511 Konfiguration fehlerhaft Technical Error tastes bad Konnektor neu starten unable to determine route to host Konfiguration prüfen und neu la-...
Seite 325 Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben unable to perform global (initial) ip 45521 Netzwerkstack-Problem im Kernel Technical Error Konnektor neu starten configuration. unable to perform global (initial) 45522 XFRM-Problem im Kernel Technical Error Konnektor neu starten xfrm configuration. unable to perform global (initial) ip-...
Seite 326 Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben Unable to establish a new default 45533 Netzwerkstack-Fehler Technical Error Konnektor neu starten gateway (LAN change) Unable to purge previous default 45534 Netzwerkstack-Fehler Technical Error Konnektor neu starten gateway (on WAN changed). Unable to establish a new default...
Seite 327 Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben 45545 Unable to flush XFRM policies Netzwerkstack-Fehler Technical Error Konnektor neu starten Unable to set host name '%s' of 45546 Netzwerkstack-Fehler Technical Error Konnektor neu starten connector. EXIT Enforcement of initial (static) rules 46000...
Seite 328 Angaben Regelsatz 'SERVICES' kann nicht Unable to enforce rule stack 'ser- 46006 eingesetzt werden (netfilter/routing- Technical Fatal Konnektor neu starten vices'. This is fatal. Problem) Regelsatz 'VPN-SIS/ONLINE' kann Unable to enforce rule stack 'vpn- 46007 nicht eingesetzt werden (netfil- Technical...
Seite 329 Angaben Unable to install new default Neues Default-Gateway ist nicht ein- 46014 gateway (exit code of ip com- Technical Fatal Konnektor neu starten setzbar (routing-Problem) mand: %i). Unable to purge old default gate- 46015 Technical Fatal way. This is fatal.
Seite 330 Regelsatz 'VPN-SIS/ONLINE' kann Unable to unwind rule stack 'vpn- 46023 nicht entfernt werden (netfil- Technical Fatal Konnektor neu starten sis (MGM ONLINE)'. This is fatal. ter/routing-Problem) Regelsatz 'VPN-SIS' kann nicht ent- Unable to unwind rule stack 'vpn- 46024 fernt werden (netfilter/routing-...
Seite 331 Level Fehlerbehebung/ Weitere Angaben Unable to apply Regelsatz SIS admin kann nicht ge- 46031 Technical Fatal Konnektor neu starten ANLW_FW_SIS_ADMIN_RULES setzt werden Unable to parse a received (WAN) Regelsatz WAN kann nicht gesetzt 46032 IPv4 address / netmask combina- Technical...
Seite 332 [ConfigChange] Could not perform Bind an UDP-Socket nicht möglich (in 46501 Technical Error Konnektor neu starten the UDP bind to socket %s. Benutzung?) [ConfigChange] Unable to make UDP-Socket (SICCT) kann nicht auf 46502 UDP socket %s (SICCT) non-...
Seite 333 Angaben Could not perform the UDP bind to 46508 bind() an UDP-Socket nicht möglich Technical Error Konnektor neu starten socket %s. UDP-Socket (SICCT) kann nicht auf non-blocking geschaltet werden (kei- Unable to make UDP socket %s 46509 ne Dublette zu 46502, da dieser...
Seite 334 Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben ERROR: Unable to set MQTT to 46516 MQTT-Broker reagiert nicht Technical Error Konnektor neu starten threaded. ERROR: Unable to connect to 46517 MQTT-Broker reagiert nicht Technical Error Konnektor neu starten MQTT broker (%s:%i). ERROR: Unable to subscribe to...
Seite 335 Verbindung neu aufzubauen Der Aufruf des syscalls epoll_create 46529 Unable to perform epoll_create. Technical Error Konnektor neu starten ist fehlgeschlagen Zugriff auf die Informationen zu den error locking system state infor- 46530 aktuellen Softwareständen nicht Technical Error...
Seite 336 46533 aktuellen Softwareständen nicht Technical Error Konnektor neu starten ID: %d möglich Konnektor neu starten und Up- dateprozess wiederholen; sollte Unable to open pipe to connector Ein Update des Konnektors ist nicht 46534 Technical Error ein Update immer noch schei- updater.
Seite 337 Download CRL : generic error. Technical Error Download der CRL aufgetreten wiederholtem Fehler: Support kontaktieren Die TSL im Konnektor ist nicht vor- Einbringen der TSL in der Download CRL : no CRL distribu- handen oder fehlerhaft (weil die CRL- MGMT-UI erneut anstoßen; bei 46541...
Seite 338 Fehler: Support nature of CRL. nicht in der TSL vorhanden oder es kontaktieren ist keine TSL im Konnektor vorrätig. Die digitale Signatur der CRL ist nicht Auto-Download der CRL in der Download CRL : CRL signer found prüfbar, da der CRL-Signer abgelau- MGMT-UI erneut anstoßen;...
Seite 339 Invalid CPU architec- kann als Fehler nur auftreten, wenn Keine Aktion, siehe Beschrei- 46550 ture detected (only 64bit support- Technical Error der Konnektor in einer 32bit- bung links. ed). Firmware betrieben wird, was nicht geplant ist. parseTSL: Invalid parameters Interner Software-Fehler (sanity...
Seite 340 Anhang Code Beschreibung Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben TSL über die MGMT-UI erneut parseTSL: Insufficient memory Nicht genügend RAM-Speicher ver- 46554 Technical Error einbringen. Bei wiederholtem available. fügbar Fehler, Support kontaktieren. TSL über die MGMT-UI erneut parseTSL: Unable to parse TSL Die TSL sind syntaktisch nicht kor- 46555 Technical...
Seite 341 Es ist nicht genug RAM-Speicher ver- 46564 Technical Error Konnektor neu starten cient memory available fügbar. Konnektor neu starten; bei er- I/O error: reading file '%s' - read Eine Datei ist nicht komplett im Hin- 46565 Technical Error neutem Auftreten: Support kon- operation aborted (in front of EOF) tergrundspeicher verfügbar.
Seite 342 Anhang Code Beschreibung Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben Auto-Download der CRL in MGMT-UI neu anstoßen. Bei Der Web-Server, der die CRL anbie- writeCRL: CRL not returned from wiederholtem Fehler: ggf. auf 46567 tet, hat einen HTTP-Fehlercodes ge- Technical Error server (error response received) manuelle CRL ausweichen.
Seite 343 Technical Error Support kontaktieren. not valid matisch nicht verifiziert werden kann. TSL prüfen (ob eine TSL im Die CRL kann vom Konnektor nicht writeCRL: CRL signer of CRL in Konnektor vorhanden ist); ggf. 46576 akzeptiert werden, da kein gültiger Technical...
Seite 344 Anhang Code Beschreibung Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben Vorgang wiederholen (CRL- writeCRL: I/O error (unable to read Zugriff auf den Hintergrundspeicher 46579 Technical Error Einbringung); bei wiederholtem or write a file) nicht möglich Fehler: Support kontaktieren writeCRL: Invalid function parame- 46580 Software-Fehler Technical...
Seite 345 Technical Error Support kontaktieren. not valid matisch nicht verifiziert werden kann. TSL prüfen (ob eine TSL im Die CRL kann vom Konnektor nicht writeCRL: CRL signer of CRL in Konnektor vorhanden ist); ggf. 46588 akzeptiert werden, da kein gültiger Technical...
Seite 346 46597 unable to stop virtual machine AK konnte nicht beendet werden Technical Error Konnektor neu starten Neustart des Konnektor kann nicht 46598 unable to reboot the konnektor Technical Error Konnektor neu starten durchgeführt werden [RESTGetCRL] : Unable to ac-...
Seite 347 Fehlerbehebung/ Weitere Angaben STARTUP] Unable to initialize 46601 TSL/CRL facility (unable to lock Interner Verarbeitungsfehler Technical Error Konnektor neu starten down TSL/CRL facility). [STARTUP] Have automatic CRL 46602 but nextUpdate cannot be con- Interner Verarbeitungsfehler Technical Error Konnektor neu starten verted to integer system time.
Seite 348 Fehlerbehebung/ Weitere Angaben [SET TSL] Unable to acquire 46609 mutex. Establishment of new TSL Interner Verarbeitungsfehler Technical Error Konnektor neu starten cannot be performed. [SET TSL] Unable to acquire 46610 global lock - unable to establish Interner Verarbeitungsfehler Technical Error Konnektor neu starten new trust store.
Seite 349 Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben 46618 [CRL logic] Unable to lock mutex Interner Verarbeitungsfehler Technical Error Konnektor neu starten [UpdateCRL REST] Unable to lock 46619 Interner Verarbeitungsfehler Technical Error Konnektor neu starten mutex [UpdateCRL REST] Unable to lock 46620...
Seite 350 Angaben [Force automatic CRL download] : CRL konnte nicht dekodiert werden 46628 Technical Error Konnektor neu starten unable to ASN.1 parse the CRL (ASN.1) [Force automatic CRL download] : Die heruntergeladenen CRL ist nicht 46629 downloaded CRL is not valid any-...
Seite 351 Code Beschreibung Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben Es wurde ein Update erfolgreich ein- gespielt, jedoch kann der Konnektor mit diesem Update nicht starten, d.h. Update failed, failover to previous 47502 die neue Softwareversion ist nicht Technical Error Konnektor neu starten system benutzbar.
Seite 352 In der MGMT-UI eine neue TSL Die TSL ist nicht lesbar oder befindet einbringen; bei wiederholtem 47710 I/O error: TSL not readable Technical Error sich keine TSL auf dem Konnektor. Fehler: TI und/oder Support kon- taktieren Version 2.2...
Seite 353 Element muss singulär sein). taktieren I/O error: configuration not reada- Die XML-Konfiguration des Konnek- 47720 Technical Error Konnektor neu starten tors ist nicht lesbar. I/O error: configuration lacks Der DNSSEC-Trust-Anchor der In- Manuellen Upload des DNSSEC- DNSSEC trust-anchor element ternet-Zone (Teil der XML-...
Seite 354 Anhang Code Beschreibung Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben TSL prüfen (für TI-Trust-Anchor) und Konfiguration (Internet- Trust-Anchor) in der MGMT-UI I/O error: trust anchor lacks di- Mindestens ein Hashwert (message 47731 Technical Error prüfen. gests digest) fehlt im Trust-Anchor. Kann der Fehler nicht beseitigt werden, Support kontaktieren.
Seite 355 Anhang Code Beschreibung Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben testing new DHCP configuration Konfiguration des DHCP-Servers 47903 Fehlkonfiguration Technical Error failed (rc=%d) prüfen und korrigieren replacing DHCP configuration 47904 Programmfehler Technical Error Operation wiederholen failed: %s local clock runs unsynchronized Keine erfolgreiche Zeitsynchronisati- Zeitsynchronisation durchführen 48100...
Seite 356 Anhang Code Beschreibung Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben 48107 error reading size of file %s Programmfehler Technical Error Operation wiederholen error shutting down NTP server 48108 Programmfehler Technical Error Operation wiederholen (rc=%d) error restarting NTP server 48109 Programmfehler Technical Error Operation wiederholen (rc=%d)
Seite 357 Anhang Code Beschreibung Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben value of DOMAIN_SRVZONE_TI 48118 Programmfehler Technical Error Operation wiederholen could not be read file modification time of %s could Programmfehler oder Hardware 48119 Technical Error Operation wiederholen not be set Schaden (vermutlich SSD) time is not in XSD-DateTime for- Konfiguration prüfen, korrigieren 48120...
Seite 358 Operation wiederholen iting Wenn nicht durch Neustart zu lö- 48300 current system is unknown Programmfehler Technical Fatal sen, Konnektor einschicken activating LVM volume group Programmfehler oder Hardware Wenn nicht durch Neustart zu lö- 48301 Technical Fatal konnektor failed (rc=%d) Schaden (vermutlich SSD)
Seite 359 CFS %s to %s failed: Programmfehler oder Hardware Wenn nicht durch Neustart zu lö- 48306 Technical Fatal Schaden (vermutlich SSD) sen, Konnektor einschicken Programmfehler oder Hardware Wenn nicht durch Neustart zu lö- 48307 bind mount %s to %s failed: %s Technical Fatal...
Seite 360 (rc=%d): %s MQTT-Broker reagiert nicht Technical Error Operation wiederholen 48407 could not allocate memory Arbeitsspeicher erschöpft Technical Error Konnektor neu starten 48408 no topic given (null) Programmfehler Technical Error Operation wiederholen 48409 no data given (null) Programmfehler...
Seite 361 Anhang Code Beschreibung Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben NK-component exceeding disc Speicherplatz für NK nicht ausrei- Softwareaktualisierung erneut 48504 Technical Error space chend ausführen Speicherplatz für Zwischenablage Update-package exceeding disc- Softwareaktualisierung erneut 48505 Technical Error space ausführen Update nicht ausreichend Firmwareversion des Updates stimmt Uploaded firmware does not cor- 48506...
Seite 362 Anhang Code Beschreibung Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben Firmwareupdate prüfen; die neue Firmware group IDs do not match: Es dürfen nur Firmware gleicher Firmware kann nicht auf dieses 48511 Technical Error installed %s, uploaded %s group IDs installiert werden. spezielle Gerät installiert werden;...
Seite 363 Anhang Code Beschreibung Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben Programmfehler, SSD-Kapazität er- 49806 unable to create directory %s: %s schöpft oder Hardware Schaden Technical Error Operation wiederholen (vermutlich SSD) Programmfehler oder Hardware 49807 unable to delete directory %s: %s Technical Error Operation wiederholen Schaden (vermutlich SSD)
Seite 364 Anhang Code Beschreibung Mögliche Ursache Level Fehlerbehebung/ Weitere Angaben reading WAN MAC address failed: Programmfehler oder Hardware 49817 Technical Error Operation wiederholen Schaden (vermutlich WAN Interface) error parsing xml configuration file Konfiguration prüfen, korrigieren 49818 Fehlkonfiguration Technical Error und Operation wiederholen parameter %s could not be read Konfiguration prüfen, korrigieren 49819...
Seite 365: Für Clientsysteme Erreichbare Dienste
Regelt die Kommunikation mit den angeschlossenen Kartenterminals, beispielsweise das Pairing (siehe Kapitel 10.1)  Kartendienst Verwaltet Informationen über die Karten, die in die vom Konnektor verwalteten Kartenterminals gesteckt sind und kapselt alle Ereignisse und Operationen, die sich auf Karten beziehen. ...
Seite 366: Anzeigen Bei Fehlerzuständen
Anhang  Fachmodul eMP/AMTS Ermöglicht es Clientsystemen, einen eMP und AMTS-relevante Daten auf der eGK zu speichern  LDAP-Proxy Ermöglicht es Clientsystemen und Fachmodulen Daten aus dem Verzeichnisdienst der TI-Plattform (VZD) abzufragen 16.11 Anzeigen bei Fehlerzuständen Folgende Fehlerzustände werden von den Betriebsanzeigen 60 Sekunden lang an- gezeigt, anschließend fährt das System herunter (siehe Kapitel 4.4.4).
Seite 367: Die Notation Von Ip-Adressen
Anhang 16.12 Die Notation von IP-Adressen In der Bedienoberfläche des Modularen Konnektors wird die Classless Inter-Domain Routing (CIDR)-Notation für die Darstellung von IP-Adressen im IPv4-Format ver- wendet. Eine CIDR-Adressangabe besteht aus zwei Teilen:  IP-Adressblock, der eine IP-Adresse in dezimaler Notation darstellt. ...
Seite 368: Lizenzinformationen
Dafür darf nur ein gültiger HBA verwendet werden, d. h. ein HBA mit abgelaufenen Zertifkat darf nicht verwendet werden.  Das Fachmodul darf nur auf einem nach PP-0098 zertifizierten Konnektor in einer sicheren Umgebung genutzt werden. Die in diesem Handbuch beschriebenen Maßnahmen müssen beachtet werden.
Seite 369 Anhang Folgende Parameter können konfiguriert werden:  Loglevel Dieser Parameter legt den Mindestschweregrad der zu protokollierenden Ereig- nisse fest. Debug ist dabei der niedrigste Level, Fatal der höchste Level. Default-Wert: Warning Mögliche Werte:  Debug  Info  Warning  Error ...
Seite 370: Versionsprüfung
Dafür darf nur ein gültiger HBA verwendet werden, d. h. ein HBA mit abgelau- fenen Zertifkat darf nicht verwendet werden.  Das Fachmodul darf nur auf einem nach PP-0098 zertifizierten Konnektor in einer sicheren Umgebung genutzt werden. Die in diesem Handbuch beschriebenen Maßnahmen müssen beachtet werden.
Seite 371 Anhang  Klicken Sie Einstellungen und passen Sie die Konfiguration im Abschnitt AMTS an. Folgende Parameter können konfiguriert werden:  Loglevel Dieser Parameter legt den Mindestschweregrad der zu protokollierenden Ereig- nisse fest. Debug ist dabei der niedrigste Level, Fatal der höchste Level. Default-Wert: Warning Mögliche Werte: ...
Seite 372: Versionsprüfung
 Klicken Sie Details, um Einzelheiten anzuzeigen. Um zu überprüfen, ob das installierte Fachmodul auch von der gematik zugelassen ist, können auf der Webseite der gematik die zugelassenen Fachmodule angezeigt werden lassen. Eine Auflistung der zugelassenen secunet Fachmodule befindet sich unter: https://fachportal.gematik.de/zulassungen Durch einen Vergleich der angezeigten Version des installierten Fachmoduls mit den bei der gematik gelisteten Versionen kann überprüft werden, ob das Fachmodul...
Seite 373: Sicherheitsbeiblätter
Anhang 16.16 Sicherheitsbeiblätter Nachfolgend finden Sie folgende Sicherheitsbeiblätter:  Annahme und Prüfung  Aufstellung und Inbetriebnahme Version 2.2...
Seite 374 Anhang zum Betriebshandbuch Modularer Konnektor www.secunet.com Konstruktionsstand 2.0.0 / 2.1.0 Bewahren Sie dieses Sicherheitsbeiblatt sicher und getrennt vom Modularen Konnektor auf. Unbefugte Personen dürfen darauf keinen Zugriff haben. Dieses Sicherheitsbeiblatt enthält Handlungsanweisungen zu Empfang und Prüfung des Modularen Konnektors. Führen Sie die Schritte vollständig wie in Kapitel 2 des Handbuches beschrieben aus.
Seite 375: Gehäuse Prüfen
Bei einem Öffnungsversuch lösen sich die Schichten des Siegelbandes und ein Schriftzug ist sichtbar. Wenn das Siegelband der Transportverpackung beschädigt ist, darf der Modulare Konnektor nicht verwendet werden. Wenden Sie sich bei einem beschädigten an den zuständigen Dienstleister vor Ort.
Seite 376: Was Sie Für Die Inbetriebnahme Benötigen
Hinweise zur Betriebsumgebung  Der Modulare Konnektor darf nur in einer der folgenden Umgebungen betrieben werden: Innerhalb eines personalbedienten Bereichs, in dem sich der Leistungserbringer regelmäßig aufhält. Dritte dürfen auf den Modularen Konnektor keinen Zugriff haben. In einem abgeschlossenen, nicht öffentlichen Betriebsraum.
Seite 377 Gehen Sie zur Inbetriebnahme des Modularen Konnektors mittels DHCP-Server wie folgt vor:  Schließen Sie den Modularen Konnektor über einen Switch an ein Netzwerk an, das über einen DHCP-Server verfügt. Beachten Sie die Hinweise im Bedienhandbuch, falls kein DHCP-Server erreichbar ist. Verbinden Sie anschließend auch das Clientsystem mit dem Switch.
Seite 378: Dokumentensicherheit
Konnektor zugelassenen Signaturvarianten bestimmt. In diesem Dokument wird die Härtung der Schnittstellen beschrieben, die den Funktionsumfang indirekt ein- schränken. Auf die Verarbeitung von nonQES XAdES Signaturen wird verzichtet. Somit wird der Konnektor auf die ausschließliche Bearbeitung von QES XML Doku- menten eingeschränkt. 16.17.2 Allgemein Zu signierende Dokumente, mit einer Größe über 25 MB werden abgelehnt...
Seite 379 Anhang documentBuilderFactory.setFeature("http://apache.org/xml/fe ature s/disallow-doctype-decl", true); documentBuilderFactory.setFeature("http://apache.org/xml/fe ature s/nonvalidating/load-external-dtd", false); Die SchemaFactory ist wie folgt konfiguriert: schemaFactory.setAttribute(XMLConstants.ACCESS_EXTERNAL_DTD ""); schemaFactory.setAttribute(XMLConstants.ACCESS_EXTERNAL_STY LESHEET, ""); Der Konnekor nutzt als XSLT-, XPath- und XQuery-Prozessor Apache java- santuario (xmlsec) und net.sf.saxon. Die TransformerFactory für saxon ist wie folgt konfiguriert: transformerFactory.setFeature(XMLConstants.FEATURE_SECURE_P ROCESSING, t rue);...
Seite 380 Anhang  Externe Referenzen werden nicht aufgelöst. Es sind nur Referenzen innerhalb des Dokumentes erlaubt.  Die XML-Struktur (Anzahl der Elemente, Tiefe, Breite) ist durch die folgenden Maximalwerte begrenzt:  Die Gesamtanzahl der Elemente im XML-Dokument: Max. 50.000  Die Tiefe eines Zweiges im XML-Dokument: Max. 500 ...
Seite 381: Pades
Anhang 16.17.4 PAdES Um gegen die in [VulnRepPDFSig] definierten Angriffstypen  Universal Signature Forgery (USF)  Incremental Saving Attack (ISA)  Signature Wrapping Attack (SWA) bei der Verifikation von Signaturen geschützt zu sein, werden vom PDF-Parser die in [VulnRepPDFSig], Kapitel 5 vorgeschlagenen Gegenmaßnahmen umgesetzt. Einschränkungen auf den Funktionsumfang sind dadurch nicht zu erwarten.
Seite 382: Signaturdirektive
16.18 Signaturdirektive 16.18.1 Einleitung Im vorliegenden Kapitel werden die SignDocument und VerifyDocument Schnittstel- len genauer beschrieben. Der Konnektor setzt verschiedene Signaturtypen und Sig- naturvarianten um und erlaubt es, optional sogenannte Signaturrichtlinien in Operationsaufruf anzugeben, die sicherstellen, dass entsprechend erzeugte Doku- menten-Siganturen einem vorgegebenen Schema folgen.
Seite 383: Tabelle 23: Signaturtypen
Anhang Der Signaturtyp wird über folgenden Parameter bestimmt: XML-Element oder –Attribut Beschreibung: Werte: (XPath): /SIG:SignDocument/ Durch dieses in [OASIS-DSS] (Ab- Siehe Tabelle 23: Signaturtypen SIG:SignRequest/ schnitt 3.5.1) beschriebene Ele- SIG:OptionalInputs/ ment kann der generelle Typ der SIG:SignatureType zu erzeugenden Signaturen spezi- fiziert werden.
Seite 384 Request für CMS-Signaturen zusätzliche signierte und unsignierte Eigenschaften (Properties) bzw. Attribute in die Signatur einzubringen (CMSAttribute), siehe [gemSpec_Kon]. Die folgenden Attribute werden dabei vom Konnektor nicht ausgewertet, sondern ig- noriert. Dabei wird keine Fehlermeldung ausgegeben, sondern die Operation ausge- führt ohne diese Attribute im SOAP-Request zu berücksichtigen.
Seite 385 Anhang 16.18.2.2 Signaturvarianten Folgende Signaturvarianten sind zulässig: Signaturvarianten Einsatzbereich Signatur- Signatur- WAS wird signiert? WO wird die Signatur ab- nonQES QES Au- verfahren variante gelegt? ßenschnitt Fachmo- stelle dulschnitt- stelle XAdES detached beliebiges (Binär)- Außerhalb des Doku- Nein Nein Nein Dokument ments in der SignRespon- XAdES...
Seite 386: Tabelle 25: Signaturvarianten
Nein: Die Signaturvariante ist für den Einsatzbereich nicht erlaubt. Nein (Bedingt aber keine Richtlinie): Die Signaturvariante ist für den Einsatzbereich nicht erlaubt denn es existiert keine im Konnektor integrierte Signaturrichtlinie die diese Variante explizit fordert. Die Spalten mit gelber Kopfzeile definieren die Signaturvarianten, die mit grauer, den Einsatzbereich.
Seite 387: Tabelle 27: Signaturvarianten Qes
Anhang Signaturvarianten QES Zusammengefasst reduziert sich die Tabelle aus Kapitel 2.2 für QES zu: Signaturvarianten QES Einsatzbereich Signatur- Signatur- WAS wird signiert? WO wird die Signatur abge- verfahren variante legt? XAdES detached Ausgewähltes nicht Innerhalb des Dokuments, Ja (NFDM) Root- Element mit aber außerhalb des signier- Subelementen im ten Subbaums...
Seite 388 Anhang Im Modularen Konnektor wird diese Signaturvariante nicht erlaubt. Enveloping XML Signature Syntax and Processing Version 1.1: The signature is over content found within an Object element of the signature itself. The Object (or its content) is identified via a Reference (via a URI fragment identifier or transform).
Seite 389 Anhang Enthält <SIG:Document> ein Attribut RefURI ungleich ““, führt dies zu einem Fehler 4000. Relevante Parameter: XML-Element oder –Attribut (XPath): Beschreibung: Werte: /SIG:SignDocument/SIG:SignRequest/ Durch dieses in [OASIS- true SIG:OptionalInputs/SIG:IncludeEContent DSS] (Abschnitt 3.5.7), de- finierte Element kann bei einer CMS-basierten Signa- tur das Einfügen des sig- nierten Dokumentes in die Signatur angefordert wer-...
Seite 390 Anhang Parallel- und Gegensignaturen XML-Element oder Beschreibung: Werte: –Attribut (XPath): /SIG:SignDocument/SIG:SignRequest/ Durch dieses in http://ws.gematik.de/ SIG:OptionalInputs/ [OASIS-DSS] (Ab- conn/sig/sigupdate/ dss:ReturnUpdatedSignature schnitt 4.5.8) defi- parallel nierte Element kann oder eine übergegebene http://ws.gematik.de/ XML- oder CMS- conn/sig/sigupdate/ Signatur mit zusätz- counter/ lichen Informationen documentexcluding und Signaturen (Pa- rallel- und Gegensig-...
Seite 391 Anhang Im EVG erlaubte Signaturvarianten sind: Signatur- Signatur- Signaturinput Signaturausgabe Einsatzbereich verfahren variante CAdES detached gesamtes Außerhalb des Doku- QES, nonQES Binärdoku- ments in der Sign- ment Response CAdES (QES, nonQES) Die Steuereung der CAdES Detached Signatur erfolgt über das Weglassen des Pa- rameters dss:IncludeEContent (siehe auch Kapitel 2.2.3.2).
Seite 392 Anhang Detached in same document XML Signature Syntax and Processing Version 1.1: The signature is over content external to the Signature element, and can be identi- fied via a URI or transform. Consequently, the signature is "detached" from the con- tent it signs.
Seite 393 Anhang Relevante Parameter XML-Element oder –Attribut (XPath): Beschreibung: Werte: /SIG:SignDocument/SIG:SignRequest/ Angabe der urn:gematik:fa:sak:nf SIG:OptionalInputs/ Signaturrichtlinie dm:r1:v1 sp:GenerateUnderSignaturePolicy/ sp:Sign aturePolicyIdentifier /SIG:SignDocument/SIG:SignRequest/ Dokumentbe- Platzhalter für Dokument- SIG:Document/@ID zeichner des zu bezeichner NFD_DOC_ID signierdenden Dokumentes /SIG:SignDocument/SIG:SignRequest/ Angabe des zu Der Wert muss überein- SIG:Document/@RefURI Signierenden stimmen mit dem Wert des...
Seite 394 Anhang OCSP-Responses OCSP-Responses müssen bei NFDM eingebettet werden. XML-Element oder –Attribut Beschreibung: Werte: (XPath): /SIG:SignDocument/ Durch diesen verpflichtenden Schalter kann true SIG:SignRequest/ der Aufrufer die Einbettung von zum Zeit- SIG:IncludeRevocationInfo punkt der Signaturerstellung vorliegenden Sperrinformationen anfordern. Es wird aus- schließlich die zu erstellende Signatur be- trachtet, d.h.
Seite 395: Wird Ein Dss:returnupdatedsignature Element Angegeben, Wird Fehler 4111 Zurückgeliefert
Anhang XML-Element oder –Attribut Beschreibung: Werte: (XPath): /SIG:SignDocument/ Durch diesen verpflichtenden Schalter kann false SIG:SignRequest/ der Aufrufer die Einbettung von zum Zeit- SIG:IncludeRevocationInfo punkt der Signaturerstellung vorliegenden Sperrinformationen anfordern. Es wird aus- schließlich die zu erstellende Signatur be- trachtet, d.h. es erfolgt keine Einbettung von Sperrinformationen für bereits enthal- tene Signaturen.
Seite 396 Anhang 16.18.3 Siganturderiktive VerifyDocument Es werden für die Verifikation von Signaturen nur Signaturen mit Signaturtypen und Signaturvarianten unterstützt, die auch vom Konnektor erstellt werden können. Ent- halten Signaturen zur Verifikation andere Signaturtypen oder Signaturvarianten, wird der Fehler 4000 zurückgeliefert. Das Einbetten von OCSP-Responses wird für nonQES Signaturen und generell für...
Seite 397 Verschlüsselungsrichtlinie als allgemeine funktionale Einschränkung der Konnektor-Schnittstelle. Eine Verschlüsselungsrichtlinie nach 1. ist in [gemSpec_Kon] nicht spezifiziert und wird von Konnektor nicht unterstützt. Es können keine solche Verschlüsselungsricht- linien im Operationsaufruf angegeben werden. Dieses Kapitel beschreibt letztere „Verschlüsselungsrichtlinie“. Zur Abgrenzung der Begrifflichkeiten wird im Folgenden von einer Verschlüsselungsdirektive gespro-...
Seite 398: Tabelle 28: Verschlüsselungsverfahren
Anhang XML-Element oder -Attribut Beschreibung Werte (XPath) /CRYPT:EncryptDocument/ Durch dieses Element kann Siehe Tabelle CRYPT:OptionalInputs/CRYPT: das Verschlüsselungsver- EncryptionType fahren der zu verschlüs- selnden Dokumente spezifiziert werden. Verschlüsselungsverfahren Wert XMLEnc http://www.w3.org/TR/xmlenc-core/ urn:ietf:rfc:5652 S/MIME urn:ietf:rfc:5751 Tabelle 28: Verschlüsselungsverfahren Andere Angaben führen zu einer Fehlermeldung 4058 (Aufruf nicht zulässig). Insgesamt werden folgende Dokumentenformate für die Verschlüsselungsverfahren unterstützt: Verschlüsselungsverfahren...
Seite 399: Allgemein
Die Operation EncryptDocument erlaubt NICHT das Verschlüsseln mit der eGK. 16.19.2.3 CRYPT:Element Dieses Element ist nur relevant für XML-Dokumente. Entsprechend gemErrata_2_Kon_PTV3 (C_6844) ist Teilbaumverschlüsselung nicht erlaubt. Für alle Dokumenttypen wird immer das gesamte Dokument verschlüsselt. Der Parameter CRYPT:Element wird daher vom Konnektor nicht ausgewertet. Version 2.2...
Seite 400 16.19.3 Verschlüsselungsdirektive DecryptDocument Es werden für die Entschlüsselung von Dokumenten nur Verfahren unterstützt, die auch vom Konnektor bei der Verschlüsselung umgesetzt werden können, siehe da- zu die Beschreibungen in Kapitel 16.19.2.1. Im Folgenden wird auf einzelne Punkte der Schnittstelle eingegangen. Dabei han- delt es sich nicht um Abweichungen zu [gemSpec_Kon], sondern um Klarstellungen zur Umsetzung.
Seite 401 Anhang Version 2.2...
Seite 402 [PP-0097] Common Criteria Schutzprofil (Protection Profile), Schutzprofil 1: Anforderungen an den Netzkonnektor, Version 1.6.4 vom 17.03.2020, Bundesamt für Sicherheit in der Informationstechnik [PP-0098] Common Criteria Schutzprofil (Protection Profile), Schutzprofil 2: Anforderungen an den Konnektor, Version 1.5.4 vom 17.03.2020, Version 2.2...
Seite 403 Anhang Bundesamt für Sicherheit in der Informationstechnik Version 2.2...
Seite 404 Softwaresystem zur Unterstützung fachlicher Prozesse. Eine Fachanwendung zeichnet sich durch die Einhaltung der Vorgaben der Telematikinfrastruktur und die entsprechende Zulassung aus. Anwendungs- Funktionaler Teil des Modularen Konnektors, der anwendungsnahe konnektor Basisdienste und Fachmodule zur Nutzung durch Clientsysteme bietet. Version 2.2...
Seite 405 Bestehende IT-Netzwerke von Leistungserbringern und Kostenträgern. Diese sind selbst kein Bestandteil der TI. Betreiber Falls der Modulare Konnektor durch eine Organisation betrieben wird, ist diese Organisation der Betreiber des Modularen Konnektors. Dies ist i. d. R. bei einem Rechenzentrumskonnektor der Fall. Der Betreiber ist in diesem Fall für die korrekte Durchführung der in diesem Handbuch...
Seite 406 Anhang CE-Kennzeich- Erklärung des Herstellers, dass das Produkt den Anforderungen nung genügt, die in den Harmonisierungsrechtsvorschriften der Europäischen Gemeinschaft niedergelegt sind. Certificate Zertifizierungsstelle der PKI, die digitale Zertifikate erstellt. Authority CETP Connector Event Transport Protocol; Netzwerkprotokoll des Systemin- formationsdienstes (siehe Kapitel 9.4.5) Clientsystem Ein dezentrales System, das mit der TI interagiert, ohne Bestandteil der TI zu sein (z.B.
Seite 407 Anhang Elektronische Gesundheitskarte; Versichertenkarte für gesetzlich Kran- kenversicherte, die als Chipkarte im Scheckkartenformat ausgeführt ist. Elektronischer Medikationsplan Encapsulating Security Payload, ein IP-Protokoll Fachanwendung Eine Anwendung der TI mit allen nötigen technischen und organisatori- schen Anteilen auf Anwendungsebene. Fachdienst Zentraler Anwendungsanteil der Fachanwendung innerhalb der TI mit Anbindung an die zentrale TI-Plattform.
Seite 408 Anhang Heilberufsausweis; Berechtigungskarte, mit der sich Angehörige der Heilberufe (z.B. Ärzte und Apotheker) gegenüber der Telematikinfra- struktur ausweisen und vertraulich (verschlüsselt) kommunizieren können. Hersteller Hersteller der TI stellen ein Produkt gemäß den Spezifikationen der gematik her. Sie übernehmen die Produkthaftung gemäß den gesetzli- chen Vorgaben und den Support gegenüber ihren Kunden.
Seite 409 Schreiben von Daten auf die eGK und die sichere Kommunikation mit der Telematikinfrastruktur ermöglicht. Kommunikation im Medizinwesen Konfigurations- und Software-Repository, Dienst für die Bereitstellung von Aktualisierungen für den Modularen Konnektor Kostenträger Im Kontext der Telematikinfrastruktur die gesetzlichen Kranken- versicherungen.
Seite 410 Modulare Konnektor den Status von Zertifikaten beim Validierungs- dienst der TI abfragt (siehe Kapitel 2.2.4). Offline-Modus Betriebsmodus des Modularen Konnektors, in dem keine Verbindungen zu TI oder SIS aufgebaut werden. Der Modulare Konnektor stellt jedoch weiterhin lokale Funktionen zur Verfügung, wie z.B. die Ausführung von Fachmodulen. Online-Modus Betriebsmodus des Modularen Konnektors, in dem versucht wird, Verbindungen zu TI und optional SIS aufzubauen.
Seite 411 Hoheit des Leistungserbringers. Protokollierung Automatische Erfassung von sicherheitsrelevanten und operativen Ereignissen durch den Modularen Konnektor (siehe Kapitel 16.9). Personal Unblocking Key; Geheimzahl mit der ein durch PIN geschütz- tes Gerät nach mehrmaliger Falscheingabe der PIN entsperrt werden und eine neue PIN zugeordnet werden kann.
Seite 412 Security Module Card Typ B; Praxisausweis (siehe Berechtigtenkarte) Sperrung für den Die Sperrung für den Versand überschreibt ein Geheimnis, das zum Versand Entschlüsseln des gesicherten Speichers notwendig ist. Der Modulare Konnektor ist danach nicht mehr funktionsfähig (siehe Kapitel 11.8). Version 2.2...
Seite 413 Secure Socket Layer; Netzwerkprotokoll für die sichere Übertragung von Daten. Standalone-Modus Betriebsmodus, in dem keine Verbindungen zwischen dem Modularen Konnektor und Clientsystemen bestehen (siehe Kapitel 10.2.1.4). Netzwerkprotokoll für die Aufteilung von Daten in Datenpakete. TCP beinhaltet Funktionen zur Empfangsquittierung, um die Übermittlung aller Datenpakete sicherzustellen.
Seite 414 Anhang VPN-Konzentrator Zentraler Verbindungspunkt der zentralen TI (siehe Kapitel 2.2.1). VPN-Zugangs- Funktion für den sicheren Zugang zur zentralen TI (siehe Kapitel 2.2.1). dienst. Version 2.2...
Seite 415 Anhang Versichertenstammdaten; Auf der eGK gespeicherte Verwaltungsdaten der Versicherten, zum Beispiel Name, Geburtsdatum und Angaben zur Krankenversicherung. VSDM Versicherten-stammdaten-management; Bereitstellung und Pflege der VSD in der Telematikinfrastruktur. Verzeichnisdienst; Funktion der zentralen TI-Plattform zur Ablage von Daten und dem Zugriff auf Daten durch berechtigte Benutzer und fach- anwendungsspezifische Dienste.
Seite 416 Anhang Zeitdienst Siehe NTP (Network Time Protocol) Zentrales Netz Das Zentrale Netz der TI ermöglicht den Transport von Daten zwischen den angeschlossenen Nutzern der TI. Es beinhaltet die Infrastruktur zur Kontrolle des Zugangs zum Zentralen Netz der TI und die eigentliche zentrale Transportplattform.

secunet konnektor Bedienungsanleitung

1 Informationen für Anwender und Praxispersonal

2 Funktionsbeschreibung

3 Lieferprozess

4 Gerätebeschreibung

5 Sicherheitshinweise

6 Montage

7 Erstmalige Inbetriebnahme

8 Grundlagen zur Bedienoberfläche

9 Menüs und Einstellungen

10 Den Modularen Konnektor für die Einsatzumgebung Konfigurieren

11 Den Modularen Konnektor Administrieren

12 Wartung und Pflege

13 Meldung von Verlust oder Kompromittierung

14 Meldung von Möglichen Schwachstellen

15 Dauerhafte Außerbetriebnahme/Entsorgung

16 Anhang

Quicklinks

Fehlerbehebung

Verwandte Anleitungen für secunet konnektor

Inhaltszusammenfassung für secunet konnektor