ZETA – der neue Zugangsweg in die TI
Vertrauen wird nicht mehr vererbt
Die TI 1.0 arbeitet mit Sicherheitszonen. Für jede Zone wird ein bestimmtes Sicherheitsniveau grundsätzlich angenommen, wer sich im Netz befindet, gilt als vertrauenswürdig. ZETA löst sich von dieser Logik vollständig. Jede Verbindung, jedes Endgerät und jede Anwendung muss sich neu authentifizieren und autorisieren. Kein Zugriff gilt mehr als vertraut, nur weil er aus der richtigen Richtung kommt. Technisch setzt ZETA dabei auf etablierte Internet-Standards statt auf TI-spezifische Eigenentwicklungen.
Eine ganze Infrastrukturschicht entfällt
Ein TI-2.0-Dienst besteht aus einem ZETA Guard und mindestens einem Resource Server. Auf der Gegenseite greift ein Nutzer über ein Clientsystem mit ZETA Client zu. Entscheidend ist, was dazwischen nicht mehr steht: In dieser Kommunikation sind keine TI-Plattform-Produkttypen zwischengeschaltet. Damit fällt eine komplette Infrastrukturschicht weg, die heute eine der wesentlichen Störquellen der TI ist. Hinzu kommen Mechanismen, die es in der TI 1.0 nicht gab, darunter automatisches Failover, Lastverteilung und eine durchgängige Telemetrie, über die Störungen dienst- und betreiberübergreifend erkennbar werden.
Das SDK kapselt das Protokoll, nicht den Betrieb
Die gematik hat die ZETA-Kernkomponenten als Open Source veröffentlicht und erwartet, dass Industriepartner sie integrieren, statt eigene Zugangslogik zu bauen. Für Clientsystem-Hersteller heißt das aber nicht, ein SDK einzubinden und fertig zu sein. Guards finden und registrieren, Verbindungen verwalten, den Gerätezustand über den ganzen Lebenszyklus belegen, und das im Mehrplatzbetrieb einer Klinik: Diese Betriebsschicht bleibt Aufgabe der Hersteller. Genau hier setzt der ZETA-Client von ehex an. easyTI übernimmt diese Schicht, damit Primärsysteme sie nicht selbst bauen und dauerhaft pflegen müssen.
Wo der Zugang heute schon hardwarelos ist
Für die Authentisierung der Institution nennt die Spezifikation weiterhin kartengebundene Wege, entweder über Konnektor oder über ein TI-Gateway. Genau hier setzt HSM-B an. Über den TI-Gateway-Weg wird die Institutionsidentität nicht mehr auf einer Karte in der Einrichtung gehalten, sondern im Rechenzentrum bereitgestellt. Die geforderte authentifizierte Institutionsidentität ist damit erfüllt, ohne dass in der Praxis eine Karte gesteckt oder ein Terminal dafür betrieben werden muss. Aus Anwendersicht ist der Zugang damit bereits heute vollständig cloudbasiert und ohne lokale Hardware nutzbar. Vollständig konnektorfrei wird der Zugang erst mit den digitalen Identitäten ab 2029.
Was im Alltag ankommt, und was nicht
ZETA ist eine Architekturänderung im Hintergrund. Die Umstellung erfolgt über das Primärsystem und den Zugangsanbieter, nicht durch eigene Aktivität in der Einrichtung. Was ankommt, ist mehr Flexibilität bei der Nutzung digitaler Anwendungen, ein höheres Sicherheitsniveau und perspektivisch weniger Hardware vor Ort. Ortsunabhängiges Arbeiten und telemedizinische Szenarien werden dadurch überhaupt erst möglich. Was nicht ankommt: kein neues Gerät, keine neue Karte, kein neuer Vorgang am Empfang. VSDM 1.0 und 2.0 laufen zunächst parallel, es gibt kein Datum, an dem etwas plötzlich nicht mehr funktioniert. Die sinnvolle Frage lautet daher nicht, was jetzt zu tun ist, sondern: Ist mein Primärsystem ZETA-fähig, und wann kommt das Update?
Muss ich als Praxis oder Klinik etwas tun, damit ZETA funktioniert?
Nein. Die Umstellung erfolgt über das Primärsystem und den Zugangsanbieter, nicht durch eigene Aktivität in der Einrichtung. Sinnvoll ist lediglich eine Frage an den Softwareanbieter: Ist mein Primärsystem ZETA-fähig, und wann kommt das Update?
Fällt mit ZETA mein Konnektor weg?
Nicht sofort. ZETA ersetzt zunächst die Netzwerkebene, also den bisherigen VPN-Zugangsweg. Die Authentisierung der Einrichtung bleibt in dieser Stufe kartengebunden, wahlweise über Konnektor oder über ein TI-Gateway. Vollständig konnektorfrei wird der Zugang erst mit den digitalen Identitäten ab 2029.
Was ändert sich für Mitarbeitende im Praxisalltag?
Im täglichen Ablauf nichts: kein neues Gerät, keine neue Karte, kein zusätzlicher Vorgang am Empfang. Spürbar wird der Wandel indirekt, durch mehr Flexibilität bei digitalen Anwendungen und ein stabileres System. VSDM 1.0 und 2.0 laufen zunächst parallel, es gibt also kein Datum, an dem etwas plötzlich nicht mehr funktioniert.