Momentan beobachte ich in unserem TI Setting , dass jetzt schon zum 2. Mal eigentlich bis 31.12.2022 gesetzte Zugänge zu den Test-ePAs plötzlich nicht mehr da waren: die Einträge, die ich vorher mit eigenen Augenen in der Datenbank noch vor wenigen Wochen geprüft hatte, waren jeweils komplett weg. Somit praktisch für den Praxisalltag: zurück auf los: alle Akten erneut freischalten, Patienten wieder einbestellen usw... nicht das , was man unbedingt zum Glücklichwerden braucht;-)

Beim ersten Mal hatte ich keinen zeitlichen Zusammenhang mit irgendwas so richtig erkennen können, beim 2. Mal jetzt ließ sich das ganze etwas besser eingrenzen auf einen Zeitraum von nur 5 Tagen, seit ich das letzte Mal den epA ZUgang geprüft hatte: nach intensivem Lesen der Logs auf Ebene Konnektor und PVS gab es dann tatsächlich eine einzige Auffälligkeit, die das ggf. ausgelöst haben könnte: nämlich das Datum, an dem CGM über Nacht automatisch das 3.8.2. auf das Kartentermin draufgespielt hat. In diesem Zusammenhang gab es vermutlich Autoneustart Kartenterminal und danach wäre die PIN SMC-B benötigt worden, die wir aber erst morgens zu Praxisbeginn dann wieder eingegeben haben erstmalig = 5h ohne SMC-B.

@MLangguth Meine Frage dazu wäre allerdings:

Soll das so sein? Als Sicherheitsfeature, sowas in die RIchtung: "wenn die SMC-B time = XXXX minuten nicht zugänglich ist, stimmt was nicht und dann werden vorhandenen epA Authorization records automatisch ungültig"?

Oder sollte das eigentlich nicht so sein und eine SMC-B Zugriffsunterbrechung im Zuge eines KT Updates oder sonstiger TI unterbrechungen und - änderungen (denkbar wäre z.B. auch Wechsel der SMC-B nach Zertifikatsablauf, Konnektortausch usw.) dürfte das eigentlich nicht auslösen in der Form?

Wenn das nicht so vorgesehen sein sollte, wäre dann die Frage, warum trotzdem die Authorization REcords bei uns bereits wiederholt endgültig und unwiederbringbar aus der Datenbank verschwunden sind.

HIerzu würde ich gern nochmal genauer wissen, wie der weitere Weg eines vom Primärsystem gesetzten Authorization Records (AR) ist:
Also das AR wird ja vermute ich mal dann direkt vom PVS zur ePA Aktenanbieter-Schnittstelle geschickt- und aufgrund der Daten, die ePA bekommt, macht sie ihr Türchen auf oder eben auch nicht- - werden dann diese "Zugangsdaten" zur ePA, die primärsystemseitig gesetzt wurden, als Information auch aktiv in der epA gehalten und dort als "erlaubter Zugriff" gespeichert -und von dort aus auch bei erneuter ePA Anfrage PVS -Richtung TI ins PVS zurückgespiegelt- oder wird die "Zugriffserlaubnis" immer wieder neu vom Primärsystem losgeschickt, wenn man auf die epA zugreift? Also welche Komponente muss diese Info "Zugriff erlaubt bis..." als Information liefern, damit der weitere Zugriff auf die ePA gesichert ist?

Stop, das ist mir jetzt zu pauschal:

Ich stimme überein, dass die Zugriffsdauer ein sensibles Thema ist und man nicht ohne Not mal eben open end einen Epa Zugriff freischalten sollte, sobald der Patient epa kann und will. Aber hätten Sie erstmal einmal nachgefragt, was meine Motivation für long zugriff ist, hätten Sie von mir auch gleich die Antwort bekommen können, dass es sich hier um meine 3 Test-Epa-ianer handelt- und die haben einfach keine Lust, ständig sich alle paar Tage neu zum Freischalten hier einzufinden. Und alle 3 sind auch über Nutzen/Risiken informiert und auch darüber, wie sie auf ihrer Epa mich wieder rausschmeißen könnten,w enn sie keine Lust mehr haben sollten irgendwann zwischendrin während Laufzeit.

Aber abgesehen davon: die Spezifikation Gematik sieht es nunmal halt auch als "möglich vor" - und mir fallen schon auch Konstellationen ein, wo eine Dauerfreischaltung/möglichst lange Freischaltung ePA bei einem bestehenden Arzt-Patient-Vertrauensverhältnis anders zu werten ist, als wenn jemand im Vodaphone Shop das öffentliche Nutz zum Surfen und Einkaufen bei Ebay nutzt- der Vergleich hinkt- und somit meine ich auch: wenn sich ein patient für einen langfristigen Zugriff entscheidet, dann ist der nicht gleich automatisch super naiv oder falsch motiviert- das können Sie für sich persönlich so bewerten, aber pauschal würde ich das nicht so sehen- die Fallkonstellation "Chroniker" kann durchaus in bestimmten Konstellationen einen längeren Zugriff auf ePA sinnvoll machen- grad wenn regelmäßig von vielen Quellen Befunddaten neu eingestellt werden müssen und es für den therapueutischen Workflow für beide Seiten hilfreich erscheint.

Dass eine längere Freischaltdauer gut begründet sein sollte und auch vielleicht höherschwelliger als jetzt grad umgesetzt in der Gematik stimme ich Ihnen soweit so- ohne Grund - ich täte das auch nicht- und da sich die meisten ob es nun remote-support-Zugang in Dauerschleife oder sonstige Dauerhaft freigeschaltete Zugänge zu Online Diensten , keine Gedanken über die zwangsläufig für potentiellen Mehr an -Un-Sicherheitskonsequenzen machen, wäre auch grundsätzlich eine entsprechende Sensibilisierung der epA Kunden sinnvoll .Allerdings , um das nachhaltig und umfänglich aufzuklären, reicht dann sicher nicht die "Kauf Dir eine Kugel Eis"-Beilage von 2 Euro für epA Einträge...

Allerdings sehe ich auf der anderen Seite auch das Problem der praktischen Umsetzung, falls mal mehr als 1 von 1000 Patienten eine epA haben sollte vor meiner Rente: Nur in dem moment, wenn der Patient in der Praxis ist die ePA zu öffnen um was reinzustellen, klingt vom Sicherheitsgedanken her gut, aber in der Vielzahl der Fälle kommt der Patient live zur Untersuchung und befundung- die Auswertung der befunde, Diagnose usw. erfolgt durchaus auch zu späterem Zeitpunkt oder erst wenn weitere Laborbefunde vorliegen- das Konzept "nur Zugang zur ePA, wenn der patient live daneben steht" , würde dann nur funktionieren, wenn der Patient dann nur für die ePA-Einstellung nochmal extra vorbeikommt- in Pandemiezieten und auch aufgrund der Doppelbelastung der Praxis durch Patientenflow auch praktisch meiner Meinung nach nicht darstellbar. und schon gar nicht vorstellbar, wenn der Patient z.B. so krank ist, dass ein weiterer Praxisbesuch eine nicht zumutbare weitere Belastung für ihn wäre.

Für den Fall eines Sicherheitsvorfalles im hauseigenen IT-Systemverbund ist allerdings in jedem Fall sicher nicht erstrebenswert , wenn ich dann dem incident response team als erstes u.a. angeben muss, dass ich im Vorfallszeitraum eine Vielzahl mehrerer hundert epA Zugänge aus Routine weil es praktisch ist und ohne akute Notwendigkeit (noch) offen hatte und somit der Vorfall noch mehr Auswirkungen hat als wenn ich wüsste, dass zum Zeitpunkt incident nur wenige Patienten gültige Authr. Records gesetzt hatten.
( aber das ganze Projekt TI ist, wenn man mal von einer Man-in the-middle-VPN Attacke oder Endpunkten des VPN, wo Mist in die TI eingespielt wird vorsätzlich ausgeht, letztlich IMHO grad an jeder stelle überhaupt nicht gut geschützt- wer einmal im VPN drin ist, ist in den meisten Umsetzungen doch bislang kaum kontrolliert, sei es das Thema epA, was da hochgeladen wird oder auch die KIM Anhänge.) In dieser Hinsicht wäre auch die Frage zu stellen, ob ich nicht selbst initiativ auch als Arzt, z.B. wenn ich die Blutwerte am Folgetag in die ePA hochgeladen habe, dann auch den PVS-Zugriff selbst wieder beenden kann- und ob man hierfür im Frontend der Primärsysteme nicht auch entsprechende Möglichkeiten vielleicht noch nachrüsten sollte.

Aber das alles ist letztlich anderes Thema und nicht meine Fragestellung hier gewesen, wenn wir das weiter diskutieren wollen, wäre mir lieb, wenn wir einen eigenen Thread dafür öffnen.

Ich will jetzt nochmal zu meiner Fragestellung zurück:

Meine Fragestellung ist technischer Art und es geht darum, dass bei mir jetzt schon zum 2. Mal epA Authorization Records, die ich via PVS gesetzt hatte, noch während des Gültigkeitszeitraums spontan von jetzt auf gleich ohne so richtig erkennbaren Anlass aus der Datenbank des PVS verschwunden waren. Letztlich ist hierfür egal, ob der Zeitraum bis 31.12.2022 war wie bei den Beispielen oder ob es nur um eine Woche gegangen wäre oder 1 Monat- mir geht es darum, dass eine gesetzte Zugriffsberechtigung nicht von selbst verschwinden sollte -ich habe mich bei allen 3 Test -ePA ianern erkundigt und persönlich auf dem Smartphone überzeugt: sie haben mir die ePA Freundschaft "nicht gekündigt" vorzeitig- bei denen steht der Zugriff noch drin, aber bei mir ist er weg und wir suchen nach möglichen Ursachen/Triggern, dass die Auth records nicht mehr da sind.
Inzwischen haben weitere Tests ergeben, dass entgegen meiner ersten Vermutung auch NICHT Faktoren wie "Konnektor und /oder Kartenterminal mehrere Stunden offline" oder "SMC-B nicht mit PIN freigeschaltet über mehrere Stunden" oder Update KT einen reproduzierbaren Einfluss haben, dto hatten Serverneustart oder PVS Updates KEINE Einfluss auf das Phänomen.

Meine Frage daher weiterhin an die Community:
Wer hat dazu eine Idee und Erklärung?
Wer hat ggf. auch schon dieses Phänomen bei sich beobachtet? wenn ja, in welcher Kombination Konnektor-KT-PVS?

Um mal beim Thema zu bleiben, ich habe zwar leider keine Lösung, kann aber ein Problem eigentlich ausschließen. Da es PXen gibt die ihre SMC-B in einer Cherry-Tastatur haben und diese automatisch mit dem Computer ausgeschalten wird und somit auch die SMC-B nicht mehr greifbar ist, kann man meines Erachtens nach die Thematik "SMC-B ist xxx Minuten nicht erreichbar/nicht freigeschalten" als Fehlerquelle ausschließen.

Danke für die Rückmeldung: ja, ich denke auch inzwischen, SMC-B scheint es nicht zu sein- hatte inzwischen s.o. ja auch mal über Nacht Kartenterminal offline aktiv um zu testen =) da waren alle records weiter auch danach da- dto nach geplanter Abschaltung gesamte Anlae wegen Arbeiten am Stromverteiler. Bleibt also erstmal nur weiter beobachten... noch ist das Thema ja recht entspannt, weil fast keiner eine ePA hat und wir das produktiv noch nicht nutzen, ansonsten wäre natürlich schon schön, wenn die auth recods, wie eigentlich mal einvernehmlich zusammen mit dem Patienten gesetzt, egal wie lange dann auch drin bleiben, also dass man sich drauf verlassen kann...

Hallo, vielen Dank für die Antwort:-)

Ich hab jetzt das 3. Mal das Phänomen gehabt und nochmal Logs ausführlich durchgeschaut und mit dem Vorfall davor, den ich auch zeitlich eingrenzen konnte verglichen:
Also Tatsache ist, dass in BEIDEN Fällen im Logs Konnektor ein Konnektor+ KTUpdate/vorübergehend KT Disconnected /keine SMC_B gegen 1.00 nachts drauf war.

Habe mir dann nochmal die Listen mit den Authorized Records , was da bei mir im PVS ankommt angeschaut: und das spannende ist, dass in beiden Fällen jeweils kurz bevor die Meldung Konnektor/ KT Update+ disconnect KT kam, noch ein letzte Abfrage Auth Records rausging und als Ergebnis aber jeweils eine unvollständige Liste gesendet wurde, die aber noch successfull = true bekommen hat.

Hier mal die Chronologie:

Zeitstempel der unvollständige Auth.Recordliste an PVS: 2022-07-27T01:00:00:245-01.01:10.872 (Quelle: PVS EPA-Audit-Log)
Update Kartenterminal /KT Off Start : 2022-07-27T01:00:41.574.... (Quelle: Konnektor-Log)






Heißt für mich: das K-Autoupdate beginnt während des bereits laufenden AuthRecordsAbfrageprozesses: weil erst die SMC- B noch greifbar ist, läuft der Prozess als "successfull = true" anscheinend noch durch- später wird aber dennoch nicht mehr die vollständige Liste geliefert, weil zwischenzeitlich wegen Autoupdate des KT weggeschossen war = aus Sicht TI: "diese Praxis hat keine SMC-B also gibts keine INfos, basta!
FÜr das PVS ist diese Liste, auch wenn sie unvollständig war augenscheinlich, die Wahrheit, weil alles was als "successfull = true" den Haken gekriegt hat, wahr sein muss;-)

Bei der nächsten AuthRec. Abfrage 30min später hingegen ist die SMC-B bereits bei Start der Abfrage noch down und somit kommt hier dann der Fehler 7205 - " es konnte kein freigeschaltetes SMB gefunden werden" - was ich als reguläres Verhalten werde und dieser Fehler kam so lange, bis die SMC-PIN dann am nächsten Morgen eingegeben war wieder.



Da eigentlich lt. dem , was Sie , Herr Langguth geschrieben haben, der Prozess "Ermittlung Auth Records" von außen nach innen erfolgt, müsste das PVS eigentlich spätestens nachdem die Liste wieder vollständig gesendet wurde (und das wurde sie) , auch alle Zugriffsrechte wieder gesetzt haben neu- aber genau das ist hier nicht passiert, das Table in der Datenbank blieb leer- und die eine Zugangsberechtigung, die in der unvollständigen Liste noch ausgeliefert worden war, war lediglich die eine , wo ein Patient von mir in seiner EpA Zugang für mich freigeschaltet hat, aber unser PVS dieses Recht schon bekannterweise eben nicht von außen nach innen erkannt hat- unser PVS scheint nur die selbst gesetzten Zugriffsrechte zu kennen und zu speichern -und ist in der Lage, diese auch, wenn sie nicht mehr auf der Liste sind, zu löschen, aber wie Sie schon schreiben: eigentlich ist das nicht so nur gedacht- da besteht also pVS seitig noch Nachholbedarf mal wieder;-)

Allerdings halte ich ansonsten das Phänomen auch trotzdem nochmal für allgemein wichtig, denn eine Fallkonstellation, dass so ein unvollständiges Record als "true" durchgeht , ist nicht gut und daher nochmal @MLangguth nochmal folgende ergänzende Frage. wessen Prozessverantwortung im TI Verbund ist es, die Abfrage "successull = true" zu bewerten - ist das eigentlich (so wäre meine Meinung) eher Sache des Konnektors, also dass dieser nichts als true rausgehen lässt , was dann von unserem PVS als neue Wahrheit ankommt- oder müsste das auch unser PVS erst sekundär noch selbst filtern?