Konnektor (Informationstechnik)

Ein Konnektor ist eine spezielle Funktionseinheit in einem VPN-Router (Virtual-Private-Network-Router).

Grundlegendes

Abstrahiert betrachtet, stellt die Funktionseinheit des Konnektors einen Client mit ausgesprochen fortgeschrittenen Authentifizierungsfähigkeiten dar. Als Softwaremodul im Datenspeicher einer für den Anwendungszweck zugeschnittenen Routerhardware dient sie dem Auf- und Abbau von verschlüsselten Nachrichtenverbindungen zu Servern, welche in einem VPN-Netzwerk eingebunden sind. In der Praxis sind die endadressierten Server in vielen Fällen Cloud- oder Datenbank-Server; die Server können aber auch anderen Anwendungszwecken gewidmet sein.
VPN bildet ein eigenes logisches Netz, welches sich in ein physisches Netz (etwa in das Internet und/oder in ein privates oder öffentliches physisches Intranet) als Transportmedium einbettet und die dort üblichen Adressierungsmechanismen nutzt, datentechnisch aber eigene Netzwerk-Datenpakete transportiert und so vom Rest dieses Netzes losgelöst arbeitet. Es ermöglicht die Kommunikation der darin befindlichen VPN-Partner mit dem zugeordneten Netz, basiert auf einer VPN-Tunneltechnik, ist individuell konfigurierbar, kundenspezifisch und in sich geschlossen (daher „privat“). Aus Gründen der IT-Sicherheit arbeiten die verwendeten VPN-Router üblicherweise auf Basis von proprietärer Firmware, deren Quellcode nicht der Allgemeinheit zugänglich ist (Closed Source). Kritiker sehen in der Unzugänglichkeit des Sourcecode allerdings keinen Sicherheitsgewinn, da Sicherheitslücken in der Abgeschlossenheit lange unentdeckt bleiben können.

Der Konnektor öffnet einen virtuell abgeschotteten Übertragungskanal (einen „Tunnel“) über den Server eines vertrauenswürdigen VPN-Providers hin zum Adressaten und schickt diesem eine Verbindungsanfrage. Der adressierte Server reagiert, indem dieser an den Konnektor eine Authentifizierungsabfrage zurückschickt. Sendet der Konnektor einen zuvor vereinbarten zulässigen Authentifizierungscode an den adressierten Server zurück, so wird die Verbindung freigegeben. Eine bidirektionale Datenübertragung zum adressierten Server hin und von diesem zurück kann stattfinden. Das VPN-Netzwerk wird dadurch vorübergehend um den betreffenden Teilnehmer, der den VPN-Router inklusive Konnektor benutzt, erweitert.

→ Hauptartikel: Virtual Private Network#Funktionsweise

Während die Umlenk-Funktionseinheit des VPN-Routers die Datenpakete in die richtigen, (vor Ort befindlichen) lokalen Subnetze hinein- und aus diesen hinauslenkt, was man auch als Routing bezeichnet, öffnet und schließt der Konnektor im Zuge von Authentifizierung das Gateway, den „Torweg“, den kontrollierten Datendurchgang, für die Datenpakete, über welchen diese – durch den VPN-Tunnel hindurch – zu den Adressaten in den externen Netzwerken gelangen. Doch bevor die Datenpakete über das Gateway und den VPN-Tunnel in die Datennetz-Außenwelt gelangen, werden sie vom Konnektor entsprechend einem auf der Höhe der Zeit liegenden kryptographischen Verfahren in Datensegmente unterteilt und segmentweise verschlüsselt. Diese Schritte sind Teil des umfassenderen Prozesses der Datenkapselung, der auch mit dem unterlagerten physischen Netzwerk (etwa dem Internet und/oder einem privaten oder öffentlichen physischen Intranet), welches als Transportmedium dient, zu tun hat. Die Datenkapselung ist Teil des Prozesses des Sendens, während beim Prozess des Empfangens eine Entkapselung in entsprechend umgekehrt ablaufenden Schritten stattfindet.

→ Hauptartikel: Datenkapselung (Netzwerktechnik)

Anwendung in Industrie und Gemeinwesen

Anwendung in der Versorgungstechnik

Spezielle VPN-Router mit Konnektor für den Aufbau von Tunnelverbindungen zu Cloud-Servern können dazu verwendet werden, aus der Ferne gesteuerte Maschinen und Anlagen einer Fernwartung zu unterziehen, insoweit die Daten solcher Maschinen und Anlagen in einer Cloud untergebracht werden. So kann mittels Fernzugriff auf die Cloud via vorgenannter VPN-Router die Aufzeichnung, Visualisierung, Alarmierung und Datenvorverarbeitung vorgenannter gesteuerter Maschinen und Anlagen durchgeführt werden. Daraus lässt sich dann etwa vorausschauende Wartung der Maschinen und Anlagen betreiben. Die Technik des Steuerns von Maschinen und Anlagen via VPN über Distanzen hinweg gibt es schon länger; lediglich, die Cloud für derartige Zwecke heranzuziehen, ist eine neuere Entwicklung. Auch für die Entwicklung von Produktverbesserungen ist diese Technik nutzbringend. Ein wichtiges Anwendungsfeld der Fernwartung derartiger gesteuerter Maschinen und Anlagen ist die Versorgungstechnik.

Anwendung im Gesundheitswesen

Im medizinischen Gesundheitswesen in Deutschland sind sogenannte Konnektoren für den Datenaustausch in der Telematikinfrastruktur vorgeschrieben. Diese Konnektoren stellen ein virtuelles privates Netzwerk (VPN) zur "Telematik-Infrastruktur des Gesundheitswesens" (TI) her. Dabei müssen nicht alle Einrichtungen zeitgleich online sein. Der VPN-Router mit integriertem VSDM-Konnektor enthält das gesetzliche verpflichtende Modul für das Versichertenstammdatenmanagement (VSDM).

Der Konnektor ist mit den stationären Kartenterminals der Arztpraxis oder der Behandlungsstation sowie dem Praxisverwaltungssystem (PVS) der Praxiscomputer per Netzwerk vor Ort verbunden. Das Praxisverwaltungssystem muss angepasst werden, um eine Verbindung zum VPN-Router mit integriertem VSDM-Konnektor zu ermöglichen und die Versichertendaten der elektronischen Gesundheitskarte (eGK) importieren zu können.

Chipkartenlesegerät (neuere Generation) für eine Arztpraxis

Im E-Health-Kartenterminal werden dreierlei Chipkarten eingelesen:

• SMC-B-Karte (Security Module Card-Typ B) bestätigt der Telematikinfrastruktur, dass der Zugriff über eine berechtigte Einrichtung (Praxis, Medizinisches Versorgungszentrum, Krankenhaus) erfolgt. Die SMC-B-Karte ist ein Praxisausweis – eine Chipkarte, die die Praxis für die Teilnahme an der Telematikinfrastruktur authentifiziert. Der Praxisausweis wird bei jedem neuen Einschalten des Kartenterminals, Neustart des VPN-Routers mit integriertem VSDM-Konnektors oder z. T. bei Start des Praxisverwaltungssystems durch die Eingabe eines PIN-Codes (Persönliche Identifikationsnummer) freigeschaltet und verbleibt im Kartenterminal.
• Der elektronische Heilberufsausweis (eHBA) ist eine Chipkarte für Ärzte, Zahnärzte, Psychotherapeuten, Apotheker und künftig auch für Angehörige anderer Gesundheitsberufe, die sich damit identifizieren.
• Die elektronische Gesundheitskarte, mit der sich der jeweilige Patient ausweist.

Stationäre E-Health Kartenterminals benötigen weiterhin eine Chipkarte, die gSMC-KT (Gerätespezifische Security Module Card für stationäre eHealth Kartenterminals), um sich als Teil der TI gegenüber dem Konnektor zu identifizieren.

Für den Zugang zur Telematikinfrastruktur benötigen Praxen einen speziellen VPN-Zugangsdienst – ähnlich einem Internetprovider, der den Zugang zur TI bereitstellt.

In der Kombination Hardware-basiertes VPN mit zertifiziertem Provider werden die von der VPN-Software und gSMC-KT-Karte in der Arztpraxis bereits vorverschlüsselten Daten durch den Konnektor mittels Verwendung kryptografischer Schlüssel, unter anderem auf dem Heilberufsausweis (HBA), der SMC-B und der Gesundheitskarte (eGK) ein weiteres Mal verpackt und verschlüsselt, wobei dem inneren Datenpaket weiterführende Routing-Daten mitgegeben werden können. Der das Intranet bereit stellende Provider muss sich als besonders vertrauenswürdig qualifizieren. Dieser entschlüsselt das äußere Datenpaket und leitet das innere anhand von dessen Adressdaten an den Empfänger weiter, etwa an die Krankenversicherung, wobei er diesen Vorgang von seinen anderweitigen Dienstleistungen für das Internet strikt zu trennen hat. In der ersten Phase des Gebrauchs von VPN-Routern mit integrierten VSDM-Konnektoren besteht die Hauptaufgabe derselben im Online-Abgleich der Versichertenstammdaten (VSDM).

Durch das öffentliche Netz wird quasi ein eigener VPN-Tunnel über den Provider zum Adressaten (Server oder Client) geschaltet. Obwohl dieselben Leitungen verwendet werden und die Übertragungstechniken denen des Internets gleichen, hat der VPN-Kanal mit diesem nichts zu tun. Querverbindungen zum Internet sind ausgeschlossen. Dafür sorgt der Provider und das beim Arzt einzurichtende Gateway. Für den Endanwender läuft alles automatisch ab. Die Verschlüsselung übernimmt das Gateway bzw. der spezielle VPN-Router, so dass Bedienungsfehler, aber auch Manipulationen praktisch ausgeschlossen sind. Markant an dem im Gesundheitswesen angewendeten Verfahren ist, dass eine ergänzende Verschlüsselung erfolgt, anhand welcher der Empfänger feststellen kann, ob die erhaltenen Daten wirklich vom vorgeblichen Absender stammen.

Darüber hinaus liegt ein entscheidender Vorteil der Verwendung von Smart-Cards/Chipkarten darin, dass symmetrische und asymmetrische Verschlüsselungen vorgenommen werden können, ohne geheime Schlüssel über die Ein-/Ausgabe-Schnittstelle in die lokale und ferne Netzwerk-Außenwelt gelangen zu lassen. Verglichen mit einer Schlüsselspeicherung auf einem Rechner sind die Schlüssel auf einer Chipkarte wesentlich weniger angreifbar.

Die nächste Ausbaustufe in Sachen Konnektor ist der E-Health-Konnektor. Dieser ermöglicht neben VSDM auch die qualifizierte elektronische Signatur (QES), sowie die Module für das Notfalldatenmanagement (NFDM) und den elektronischen Medikationsplan (eMP) enthalten. Eine weitere Ausbaustufe ist der ePA-Konnektor, der Voraussetzung für die elektronische Patientenakte (ePA) ist. Alle geplanten Funktionserweiterungen erfordern kein neues Gerät, sondern sind per Software-Upgrade installierbar.

Ein Telematik-Konnektor der Firma RISE

Es sind bislang Modelle von Konnektoren von drei Herstellerfirmen verfügbar, die von der Gematik, dem Zertifizierer des Gesundheitswesens, für den TI-Betrieb zugelassen worden sind (Stand: Oktober 2022), namentlich die folgenden:

• CompuGroup/KoCo Connector KoCoBox Med+
• secunet Security Networks secunet-Konnektor
• Research Industrial Systems Engineering GmbH RISE-Konnektor.

Siehe auch

• Datenübertragungseinrichtung