Probleme mit KV Safenet bei der KV-No ?


Wie immer stand Ende März 2017 die KV-Quartalsabrechnung in unserer Praxis an, wobei wir neben der eigentlichen Abrechnungsdatei auch eine digital signierte Gesamtaufstellung (eine pdf)  erstellen und zusammen mit der eigentlichen Abrechnungsdatei als Paket mittels KV Safenet an die KV Nordrhein übermitteln.

Zur Signatur wird der HBA (Heilberufeausweis) von medisign verwendet, als Signatursoftware (noch) eine nicht mehr ganz frische Version von OPENLIMIT.

Das läuft an sich auch alles ganz gut.

Wäre nicht eine Woche vorher Sommerzeit-Umstellung gewesen.

Aber der Reihe nach.

Es muß hinzugefügt werden, dass ich zwei Wochen zuvor erfolgreich eine Testabrechnung, inkl. digital signierter Gesamtaufstellung (das ist möglich in KV Safenet 2.1) bereits erfolgreich übermittelt hatte, aber das war vor der Zeitumstellung.

Auf unserer Seite lief die Erstellung der Abrechnung für die beiden Ärzte der Praxisgemeinschaft zunächst ganz problemlos: Erstellen der Abrechnungsdatei, der Gesamtaufstellung, die Signatur mittels der jeweiligen HBA, selbst die Übermittlung zur KV Nordrhein, alles ohne Probleme.

Zurück kam eine Quittung, die besagte, dass die Signatur zwar gültig, aber nicht kontrolliert werden konnte. Nach einigen Anrufen bei der KV ergab sich folgende Situation: Die Signatur sei deswegen abgelehnt worden, weil die überprüfende Software zum Zeitpunkt des Eintreffens der Datei auf dem Server der KV eine Signatur vorfand, die eine Stunde in der Zukunft signiert worden war. Also beispielsweise ist die Abrechnung um 10.27 Uhr eingetroffen, die Signatur aber war – laut der kontrollierenden Software bei der KV – um 11.27 Uhr erfolgt, also in der Zukunft, daher habe die Software die Signatur abgelehnt. Ich müsse die Zeiteinstellung auf meinem Rechner überprüfen, so wurde mir mitgeteilt.

Nun ist es aber so: wäre ein einsendender Rechner nicht umgestellt worden, wäre er um eine Stunde in der Vergangenheit, da die Uhren in der Sommerzeitumstellung vorgestellt wurden.

Mit der Zeit wurde mir also klar, dass das Problem nicht auf unserer Seite liegen kann. Wenn der Rechner, der auf Seiten der KV die Signatur kontrolliert in der falschen Zeitzone liegt, oder die Umstellung nicht mitgemacht hat, wird er jede Signatur als aus der Zukunft kommend empfinden – und offenbar ablehnen.

Es gelang mir schließlich, der KV Nordrhein klar zu machen, dass ein solches Problem nicht auf unserer Seite liegen kann. Ein Mitarbeiter der KV hatte zunächst, um das Problem vordergründig zu lösen, die abgelehnte Abrechnung eine Stunde später wieder ins System gestellt (nun fand der kontrollierende Rechner die Uhrzeit der Signatur in Ordnung) und damit – zunächst – das Problem gelöst. Die Abrechnung war nun gültig und  passierte das System einwandfrei.

Weitere Kontrollen ergaben nach Aussagen des Mitarbeiters folgende Situation: auf ein- und demselben Rechner der KV waren 3 verschiedene Signatursoftware-Programme installiert, offenbar zu Testzwecken. Zwei davon ließen die Signatur anstandslos passieren, eine nicht, genau diese aber kontrolliert alle Abrechnungen und fand viele davon vermeintlich in der Zukunft. Die Systemzeit dieses Rechners war aber offenbar in Ordnung.

Das Problem ist zum Zeitpunkt dieser Niederschrift noch nicht abschließend gelöst, man behalf sich damit, auf Seiten der KV die abgelehnten Abrechnungen (es gab mehrere Kollegen mit dem Problem)  eine Stunde später  noch einmal einzustellen, dann jeweils mit Erfolg.

Einige Kollegen konnten das Problem offenbar vermeiden, indem sie eine signierte Abrechnung erst eine Stunde später mit KV Safenet verschickten, oder die Abrechnungssoftware tut dies von sich aus. Dann natürlich findet der KV Rechner keine Probleme.

Nun also verlangte ich eine korrigierte Quittung. Die sei erstellt und verschickt, erreichte mich aber nicht. Eine Kontrolle auf meiner Seite ergab dazu folgendes: technisch sollte die Quittung aus der pdf Datei („Empfang.pdf“), einer Datei mit der Endung „eda“ und einer „begleitdatei.xml“ bestehen. Im Falle der abgelehnten Abrechnung war das auch der Fall.

Diese Quittung war auch erfolgreich übertragen worden.

Die korrigierte Quittung aber erfolgte ohne „begleitdatei.xml“, die wird aber von Seiten der bei uns verwendeten Software (ISYNET von medatixx) zur Anzeige der mittels KV-Safenet empfangenen Daten benötigt und ist auch Teil der KV Safenet-Spezifikation.

Nach einiger Suche fand ich die (korrigierte) Quittung dann auch in den Tiefen meines Servers und konnte sie einsehen und ausdrucken. Sie war übermittelt, aber aufgrund des beschriebenen Fehlers nicht angezeigt worden.

Ein weiterer Anruf bestätigte auch diesen Fehler auf Seiten der KV No.

Aus meiner Sicht also fanden sich zwei Fehler auf Seiten der KV Nordrhein: zum einen ist die Software zur Überprüfung der Signaturen auffälligerweise eine Woche nach Sommerzeitumstellung in der falschen Zeitzone und lehnt die Signaturen daher ab, zum anderen erfolgt die Rücksendung der Quittungen nicht in jedem Falle gemäß der Spezifikationen für KV Safenet.

Wie unter diesen Umständen jemand seine Abrechnung ohne Detailkenntnisse zuzüglich 30 Telefonate machen soll, ist mir schleierhaft. Das ganze ist weit davon entfernt kundenfreundlich zu sein und natürlich höchst ärgerlich.

Ich denke, ich werde in einigen Tagen mehr zum Thema erfahren, ich werden dann erneut berichten.

Erlebnisse mit der Signatursoftware


Ärztliche Kollegen wissen, dass zumindest in Nordrhein seit längerem die Möglichkeit existiert und gezielt gefördert wird, die KV Abrechnung online zu verschicken. Dabei gab und gibt es aus grundsätzlichen Erwägungen heraus immer noch die so genannte Gesamtaufstellung, die in der Vergangenheit manuell zu unterschreiben war und per Post verschickt wurde.

Seit einiger Zeit schon gibt es nun die Möglichkeit, diese Aufstellung  elektronisch zu erstellen und elektronisch zu signieren.

In Nordrhein wird wie in den meisten anderen KVen auch dazu der elektronische Arztausweis ausgegeben (gelegentlich auch als HBA – Heilberufeausweis bezeichnet), der zur elektronischen Signatur erforderlich ist. Zusätzlich wird speziell in Nordrhein eine Signatursoftware von OPENLIMIT eingesetzt.

Und genau um die soll es hier gehen.

Seit langem schon ärgere ich mich  – wie viele meiner Kollegen auch –  mit dieser Software herum. Anlass bei mir war nun eine notwendig gewordenen Server Neuinstallation in der Praxis, die eine erneute Installation unter anderem auch dieser Software notwendig machte.

Wer sich den Installationsgang einmal ansehen möchte, findet bei GMC Systems eine schöne Anleitung hierzu.

Wie mein betreuendes Softwarehaus mir mitteilte, bin ich mit dem Ärger nicht alleine. Fast jeder Arzt, der diese Software einsetzt, kennt die Ungewissheit bei der Abrechnung, ob die Signatur nun funktioniert oder nicht. So wird der Arztausweis sehr oft von der Software nicht erkannt, oder es gibt gleich eine Fehlermeldung.

Nach langem herum telefonieren  meine ich nun herausbekommen zu haben, worin das Problem besteht: die verteilte Software war und ist NICHT serverfähig, vor allem nicht für Windows terminal Server (WTS 2003 und höher).

Das sagt einem aber niemand.

Es kommt noch besser: Bestellt man die neueste Version dieser Software, was man in Nordrhein bei medisign tun muss, so bekommt man eine WTS fähige Variante nur auf spezielle Anforderung, das heisst auf dem Bestellformular muss dieses händisch vermerkt werden (Mitteilung des telefonischen Supports von medisign). Der gewöhnliche obrigkeitshörige Arzt aber macht hier allenfalls seine Kreuze und schickt das FAX zur Bestellung ab – und bekommt wieder keine lauffähige Software für seinen Server.

Versucht man etwas neutral zu bleiben muss man sagen, dass (offenbar….) eine unter WTS  2008 lauffähige Variante existiert, aber schlicht niemand für die Kommunikation mit den Ärzten zuständig ist. Ich finde es ausserordentlich naiv vom Hersteller, eine unter den gebräuchlichen Servervarianten einer Arztpraxis nicht lauffähige Version zu verteilen und dann auch noch es dem Arzt zu überlassen sich eine lauffähige Vartiante (dann natürlich für Extrakosten) zu besorgen, ohne ihn darüber zu informieren.

Und niemand informiert ihn. Auch die Servicepartner der PVS Hersteller vor Ort wissen nichts von dieser Servervariante der Software, wenn ich nicht 15 Stellen abtelefoniert hätte, wüsste auch ich es bis heute nicht.

Man kann davon ausgehen, dass zahllose Ärzte zumindest in Nordrhein aktuell für die Signatur eine aktuell für Ihre Hardware nicht taugliche Signatursoftware einsetzen ohne dies zu wissen da die seinerzeit ausgelieferte Software NICHT SERVERFÄHIG ist.

Ich nun habe die angeblich taugliche Software bei medisign bestellt und werde nach deren Installation hier erneut berichten.

Quellen:

GMC Software

medisign

ältere Artikel zum Thema

Verschlüsselung von Dateien mit dem elektronischen Arztausweis – Hinweise zur Openlimit Software


Mittlerweile ist zumindest in Nordrhein der elektronische Arztausweis weitgehend verfügbar. Ich hatte über das Antragsverfahren und erste Erfahrungen mit dem elektronischen Arztausweis bereits vor längerer Zeit berichtet. Hier noch einmal eine Übersicht der wesentlichen Berichte:

Details zum neuen Arztausweis

Der neue Heilberufeausweis ist angekommen – 4 Monate nach dem Antrag

Das Antragsverfahren zum neuen Arztausweis – ein Erfahrungsbericht

Nachtrag zum Artikel über das Antragsverfahren zum neuen Arztausweis

Der elektronische Heilberufeausweis macht’s möglich: Online-Abrechnung digital signiert

Mit dem elektronischen Arztausweis erhielt man in Nordrhein auf Wunsch auch ein kleines Kartenlesegerät (nicht zu verwechseln mit einem eGK Lesegerät!) und eine Signatursoftware Openlimit SignCubes. Diese wird zur Signatur und /oder Verschlüsselung von Dateien verwendet. Unter anderem kann man in Nordrhein damit bereits als Kassenarzt seine Abrechnung elektronisch signieren.

Im folgenden möchte ich mich mit der Verschlüsselung (also nicht Signatur!) von Dateien mit der erwähnten Ausstattung, also Openlimit Software, Kartenlesegerät und Arztausweis, beschäftigen. Im Grundsatz werden für die Verschlüsselung zwei Schlüssel gebraucht, ein öffentlicher und ein privater, letzterer ist auf dem Ausweis selbst untergebracht. ein Beispiel: Dr. A will Dr. B einen verschlüsselten Arztbrief schicken. Dazu benötigt er dessen öffentlichen Schlüssel (aus einem Verzeichnis), verschlüsselt die Datei mit Hilfe dieses Schlüssels und der Signatursoftware Openlimit signCubes und verschickt die Datei an den Kollegen Dr. B.   Die Datei ist nun so verschlüsselt, dass sie nur vom Kollegen B mit Hilfe des privaten Schlüssels (auf dessen Arztausweis) entschlüsselt werden kann.

Ich habe erste Erfahrungen mit genau diesem Vorgang gemacht und konnte eine Datei verschlüsselt mit einem Kollegen austauschen. Zunächst benötigt man für den Verschlüsselungsvorgang den öffentlichen Schlüssel des Kollegen. Den kann man jedesmal nachschlagen (Hinweise hierzu am Ende des Artikels) oder aber man läßt die Software „automatisch“ in einem Verzeichnisdienst nachschlagen. Dazu müssen aber einige Einstellungen gemacht werden. Den entsprechenden Vorgang möchte ich unter Windows XP hier schildern.

1. Verschlüsselung einer Datei mit der  Openlimit Software

Man geht wie folgt vor: Rechtsklick auf die zu verschlüsselnde Datei aus dem Windows  Explorer, Menueauswahl „Openlimit Sign Cubes“, dann „Datei verschlüsseln“, es öffnet sich ein Fenster zur Auswahl des Zertifikates. Bereits installierte Zertifikate sind links im Fenster dargestellt, neue erhält man entweder  indem man über die Schaltfläche „aus Datei“ die Zertifikatsdatei auswählt, die man zuvor manuell geladen hat oder aber man wählt die Schaltfläche „weitere“ und kommt an den Verzeichnisdienst:

Bild 1: Auswahl des Zertifikates, für das verschlüsselt werden soll

Bild 2: Der Verzeichnis client

Genau hierum geht es im folgenden. Dort vermisst man leider in der normalen, d.h. nicht angepassten Version der Software das Verzeichnis von medisign für die öffentlichen Zertifikate der Schlüssel. Die Verzeichnisse müssen manuell eingetragen werden. Dazu ist eine Anpassung notwendig.

2. Anpassung des OPENLIMIT Signcubes Verzeichnis-clients

Dazu fügt man  in der Datei siqLDAP.ini (C:\Programme\OPENLiMiT) die nachfolgend aufgelisteten drei Einträge hinzu (nachdem man sich eine Sicherheitskopie dieser Datei irgendwohin gespeichert hat!)

——————————————————
[DGN Service/Medisign 2103]
Server=ldap.medisign.de
SearchBase=ou=Mandant2103,o=ENC,c=de
Port=389

[DGN Service/Medisign 2104]
Server=ldap.medisign.de
SearchBase=ou=Mandant2104,o=ENC,c=de
Port=389

[DGN Service/Medisign 2116]
Server=ldap.medisign.de
SearchBase=ou=Mandant2116,o=ENC,c=de
Port=389
——————————————————

Startet man nun den Verschlüsselungsvorgang wie oben beschrieben, so hat man drei neue Servereinträge, die man zur Auswahl des Namens der Reihe nach durchprobiert.

3. Hinweise zur Namenssuche im Verzeichnis-client

Gesucht werden kann nur nach Namen, nicht aber nach Email-Adressen.  Dabei gelten einige Regeln:

Über ‚Start‘ wird der Suchvorgang aktiviert. Mit * setzt man einen Platzhalter.

Suchvarianten:

mei*  –  alle, deren Nachname mit „mei“ beginnt

*mei*  –  alle, deren Nachname oder Vorname „mei“ beinhaltet

meier* – alle, deren Nachname mit „meier“ beginnt.

Die  selektierten Zertifikate werden dann direkt zum Verschlüsseln benutzen und lokal installiert. Man klickt auf ‚Übernehmen‘, ‚Installieren‘ und dann auf ‚Fertig stellen‘.

Die aufgeführte Erweiterung der INI Datei wurde auf meine Anfrage ausdrücklich vom Support von Openlimit empfohlen und frei gegeben. Auf meinem Rechner funktioniert es einwandfrei, wenn man in der Suchmaske das Sternchen  wie oben erwähnt verwendet.

4. Hinweise zur manuellen Suche nach den öffentlichen Teilnehmerzertifikaten

Will man Openlimit SignCubes nicht wie oben dargestellt anpassen, muß man den Schlüssel des Kollegen, an den man die Datei verschicken will jedesmal neu suchen und die Schlüsseldatei in dem Verzeichnis client wie oben dargestellt auswählen. Durch Doppelklick auf die Schlüsseldatei ist der Schlüssel für zukünftige Verwendung dauerhaft installiert und findet sich im dem Verzeichnis-client nun im dem linken Fenster. (Siehe Bild 1).

Manuell findet man den Schlüssel für die von medisign ausgegebenen Karten hier. Für die Namenssuche gilt das oben gesagte, also Namen werden immer mit „Sternchen“ gesucht. In dem folgenden Fenster kann man das Zertifikat anklicken und danach im DER Format laden. Seltsamerweise gelingt dies ohne Probleme nur mit dem Internet Explorer, nicht mit firefox, das mit einer Fehlermeldung abbricht. Die so geladene Datei muß nun wie oben aufgeführt ausgewählt werden.

Zuletzt erhält man die verschlüsselte Datei die man nun an den Kollegen verschicken kann. Nur er kann nun die Datei entschlüsseln, da nur er den privaten Schlüssel hierzu hat. Im Augenblick muß man die Datei wohl noch per E-Mail verschicken, in Zukunft erfolgt dies in dem geschlossenen System des online rollouts der eGK. Die Verschlüsselung wird dann überwiegend im Hintergrund erfolgen.

Der Vorgang des Entschlüsselns ist dem gegenüber einfacher. Hierüber werde ich in einem weiteren Artiel berichten.

Quellen und Infos:

Seite der ÄkNo zum Arztausweis

Öffentliche Teilnehmer Zertifikate  von Medisign