DiGA müssen in der Lage sein, Daten zur DiGA-Nutzung des Patienten über dessen elektronische Patientenakte für die Versorgung zur Verfügung zu stellen. Dieses betrifft sowohl maschinenlesbare Daten im Format des MIO-DiGA-Baukastens als auch – optional, aber zu empfehlen – Berichte zum Therapieverlauf und -ergebnis im PDF/A-Format. Hiermit steht DiGA ein standardisierter Weg zur Verfügung, Daten für Ärzte bereitzustellen und damit zu einem integrierten Bestandteil einer hybriden Versorgung zu werden.

Die seit Januar 2025 gültige ePA-Version 3 („ePA für alle“) erfordert patientenseitig keine ePA-Client-App mehr und kann durch die Krankenkasse automatisch angelegt werden. Aktuell haben bereits ca. 70 Millionen Versicherte von ihrer Kasse einer solche ePA bekommen. Zusätzlich sind Ärzte verpflichtet, wichtige Dokumente standardmäßig in die ePA für alle einzustellen (sofern der Patient diesem nicht aktiv widerspricht). Breite Verfügbarkeit und stetig wachsende Inhalte bieten eine gute Grundlage, dass die ePA für alle zu DER Datendrehscheibe im Gesundheitswesen wird. DiGA sind hier bereits von Anfang an dabei.

Die Herausforderung: Komplexe Abläufe und Schnittstellen

Die neuen Leistungsmerkmale der ePA für alle erhöhen jedoch auch die Aufwände für Hersteller, um die Anbindung an die ePA für alle in ihre DiGA zu integrieren. Insbesondere müssen kryptografisch abgesicherte Schnittstellen zu einer Vielzahl von Teil-Funktionen der ePA für alle bedient werden:

• Lokalisation der ePA-Akte: Über einen neu geschaffenen Information Service kann der aktuelle Zustand des ePA-Kontos eines Versicherten ermittelt werden. Hierzu gehört vor allem die Information, ob der Versicherte eine ePA für alle besitzt und bei welchem Aktenanbieter diese angesiedelt ist.
• VAU-gesicherte Kommunikation: Die Verarbeitung der ePA-Daten erfolgt aufseiten des Aktensystems in einer hardwareunterstützten vertrauenswürdigen Ausführungsumgebung (VAU). Um Daten in die ePA für alle einzustellen, muss aus der DiGA heraus oberhalb der TLS-Transportverschlüsselung ein weiterer verschlüsselter Kanal (VAU-Kanal) bis in die VAU hinein aufgebaut werden. Die Schlüsselvereinbarung und die Authentizität des Aktensystems werden durch kryptografische Verfahren auf Basis elliptischer Kurven abgesichert.
• Authentifizierung der DiGA und Verwaltung von Nutzersessions: Die DiGA selbst weist ihre Authentizität über ihre SMC-B nach. Während dieses bei der ePA 2.6 weitgehend durch das Fachmodul gekapselt wurde, erfordert dieses bei der ePA für alle ein auf verschiedenen Ebenen kryptografisch abgesichertes Challenge-Response-Verfahren zwischen der DiGA und einem zentralen Authentisierungsdienst der Telematikinfrastruktur.
• Gesicherte Datenübermittlung: Die in die ePA zu schreibenden Daten werden beim Austausch über den VAU-Kanal auf Request -Ebene (inkl. Method, Header und Payload) verschlüsselt und integritätsgesichert. Während auch diese Operationen bei der ePA 2.6 für die DIGA unsichtbar im Fachmodul stattfinden, muss die DiGA die entsprechenden kryptografischen Operationen bei der ePA für alle selbst implementieren.

Die Lösung: _fbeta Open Source ePA-API

Für die Anbindung von DiGA an die ePA für alle hat _fbeta eine Open-Source-Lösung entwickelt, die die oben beschriebene technische Komplexität der ePA-Anbindung für DiGA-Hersteller deutlich reduziert. Die Lösung kapselt die komplette, von DiGA benötigte ePA-Funktionalität hinter einer einfachen Schnittstelle (API):

• sichere, standardisierte Datenübertragung in die ePA über wenige, einfache Schnittstellen,
• vollständiges Verbergen aller ePA-internen Schnittstellen – VAU-Kanal, IDP-Authentifizierung, TI-Integration,
• Bereitstellung als eine Python-basierte Lösung, die aus beliebigen Programmiersprachen genutzt werden kann,
• nahtloses Zusammenspiel mit der _fbeta GesundheitsID (_fbeta eID-Service zur Anbindung von DiGA an die GesundheitsID),
• kostenfreie Bereitstellung des Quellcodes als Open Source,
• vollständige Dokumentation des Quellcodes.

Der Sourcecode und die daraus gepackte Bibliothek stehen unter der unter der Creative Commons BY-ND Lizenz (Lizenzvertrag – Namensnennung-Keine Bearbeitungen 4.0 International – Creative Commons). Aus der Lizenz leiten sich für mit der Bibliothek erstellte DiGA keine Einschränkungen in Bezug auf Nutzung und Weitergabe der DiGA ab.

Hersteller von DiGA können damit ohne tiefgehendes Know-how in Kryptografie oder TI-Mechanismen ihre DiGA direkt mit der ePA für alle verbinden und Daten zuverlässig in die ePA schreiben.