// HEISE ONLINE — CYBERSECURITY
DNSSEC-Schlüsseltausch: Secunet- und RISE-Konnektoren verlieren TI-Verbindung
Secunet- und RISE-Konnektoren verlieren nach einem DNSSEC-Schlüsselwechsel die Verbindung zur Telematikinfrastruktur. Viele Praxen sind betroffen.
Medizinische Einrichtungen sollten ihren Konnektor, sofern sie einen haben, jetzt nicht neu starten.
Seit Montag haben etliche Arztpraxen, Apotheken und Kliniken Probleme mit der Telematikinfrastruktur (TI). Nach bisherigem Stand betrifft das Einrichtungen, die mit einem Konnektor von Secunet oder RISE angebunden sind. Die Gematik meldet Störungen bei der Verbindung zur TI. Das gilt für Leistungserbringer, die über die VPN-Zugangsdienste von Arvato und T-Systems angeschlossen sind. Bei ihnen funktionieren diese Dienste derzeit nicht oder nur eingeschränkt: das Versichertenstammdatenmanagement (VSDM), KIM (Kommunikation im Medizinwesen), das E-Rezept, die elektronische Patientenakte (ePA) und die elektronische Arbeitsunfähigkeitsbescheinigung (eAU).
Ohne Korrektur dürften nach aktuellem Kenntnisstand im Laufe der Woche alle Secunet- und RISE-Konnektoren im Feld betroffen sein. Konnektoren anderer Hersteller nennt die Gematik bisher nicht. Die Störung könnte aber auch Einrichtungen ohne eigenen Konnektor treffen, etwa wenn sie über einen Konnektor im Rechenzentrum angebunden sind.
Auslöser ist der angekündigte Wechsel des obersten Schlüssels der DNSSEC-Vertrauenskette, des sogenannten Root-KSK (Key Signing Key). Laut Zeitplan der IANA signiert seit dem 11. Oktober 2026 der neue Root-Schlüssel KSK-2024 mit dem Key Tag 38696 den DNSKEY-Datensatz der Root. Der bisherige Schlüssel KSK-2017 (Key Tag 20326) tut das nicht mehr. Verisign hatte darauf hingewiesen, dass DNSSEC-validierende Resolver ohne KSK-2024 als Trust Anchor ab diesem Datum keine Namen mehr auflösen können. Bei den betroffenen Konnektoren fehlt anscheinend dieser neue Internet-Root-Vertrauensanker. Sie können deshalb die Adressen der VPN-Zugangsdienste nicht auflösen und bauen keinen neuen Tunnel zur TI auf.
Einrichtungen mit Secunet- oder RISE-Konnektoren sollten auf einen Neustart verzichten.
Dass nicht alle Geräte sofort ausgefallen sind, hat zwei Gründe. Bestehende VPN-Tunnel brauchen keine neue Namensauflösung. Konnektoren mit aktiver Verbindung arbeiten also vorerst weiter. Außerdem hilft das Caching. Die DNSKEY-Einträge der Root haben eine TTL von 48 Stunden. Solange ein Resolver die alten, schon geprüften Schlüssel im Cache hat, funktioniert die Namensauflösung weiter. Nach einem Neustart ist der Cache leer, bei einer regulären Neuverbindung kann er abgelaufen sein. In beiden Fällen kann der Konnektor keinen Tunnel mehr aufbauen.
Betroffene Konnektoren sollen deshalb nicht einfach neu gestartet werden. Ohne vorherige Korrektur führt ein Neustart wahrscheinlich zum Verlust der TI-Verbindung. Laut Gematik gibt es einen Workaround. Den muss der jeweilige Dienstleister vor Ort (DvO), also der technische Support der Einrichtung, von Hand einspielen.
Für Secunet-Konnektoren steht im Fachportal der Gematik eine Anleitung.
Auszug aus der Anleitung für den Workaround beim Secunet-Konnektor.