ich rede ja immer gerne von "TLS-Zertifikate reinballern" obwohl mir dabei immer ausnahmslos die Haare zu Berge stehen. Seit einiger Zeit nehme ich mit OBS und virtueller Bitrate alles auf, um nachvollziehen zu können, welcher Hebel der Richtige war.
gehen wir von den Szenario mit "ohne Häkchen beim Kompatiblitätsmodus" aus. ich nutze den Secunet Konnektor und Windows Server 2022, nachdem ich fast den Praxisinhaber erschlagen musste (er so frech "... und dass du immernoch keine Serverhardware aufgelistet hast!", immer schön teuer von NBB, denn Wirtschaftlichkeit wird nicht bei jedem Praxisinhaber groß geschrieben, aber um alternative Händler einen großen Bogen machen bei neuer SSD, mehr RAM, etc.), um die Servermigration in Gang zu bringen.
bei mir ging nachdem ich noch auf den KIM-Servern gespeicherte KIM-Nachrichten empfangen wollte und eine KIM-Nachrichte senden die Zertifikatsabfrage von Thundebird ein. mehr Zertifikate bekam ich nicht in die Hände, aber ich weiß, dass es damals vor unserem neuen Server mehr Zertifikate gab, teils überflüssige.
Nach einem Serverneustart wurden die restl. 3 TLS-Zertifikate nach manueller Installation auch akzeptiert und führten dazu, dass SMTP funktionierte. (wir reden hier immernoch ohne Kompatibilitätsmodus).
Wie Thunderbird mit Kompatibilitätsmodus funktionieren soll (ggf. reicht es die TLS-Zertifikate vom KIM-Clientmodul neu einzupflegen) will ich garnicht wissen. Auf dem neuen Server mit 8 TB Speicherplatz nimmt Thunderbird nur einen Bruchteil aber KIM-Nachrichten sollten sehr vertraulich behandelt werden und ich will außerhalb vom PVS von 99 % der KIM-Nachrichten garnichts wissen. Manchmal steht da absoluter Schund wie "Achtung Hr. Kollege! Patient XY ist autistisch und lässt sich kaum behandeln, Problempatient". Sowas beeinflusst den Leser und dann sieht man auch noch den Namen inkl. Geburtsdatum des Patienten.
Die Zertifikatsabfrage im Thunderbird ggü. KIM-Clientmodul kommt wirklich nur beim Abruf des Postfaches (POP3S) oder dem Senden einer KIM-Nachricht (SMTPS). Thunderbird muss sich ja authentifizieren (da hat Microsoft mit MS 365 große Töne gespuckt bei der Implementierung von OAuth2 und Verzicht auf authentifiziertem SMTP, absolutes Chaos) mittels Aufrufkontext und wenn man den Aufrufkontext in Benutzername Posteingangsserver einfügt, wird er geklont in Benutzername Postausgangsserver und da passt die Portnummer nicht (Eingang 995, Ausgang 465). Verbindungssicherheit SSL/TLS (der Begriff SSL soll endlich begraben werden), Authentifizierungsmethode Passwort, normal. jetzt sehe ich auch grad, dass das RSA Zertifikat eingespielt wurde... Sicherheits-Ausnahmeregel bestätigen
SMTPS ging nicht. Im clientmodule.log fand ich unknown_ca (48). Leider wurden alle Logs durch die Neuinstallationen gelöscht. das gab es auch kurzfristig bei POP3S, bis es klappte.
ich hätte hier nach dem Neustart SMTPS testen soll, aber ich glaube das hätte nicht geholfen, man muss TLS reinballern was geht. die beiden Zertifikate aus dem T-KIM-Clientmodul exportiert (crt-Datei) und per Doppelklick in Windows installiert. hätte nach jeder Einzelinstallation neustarten sollen, besser zuwenig TLS-Zertifikate als zuviel wobei das RSA-Clientmodul in 1 Jahr ausläuft. und wo Windows seine Benutzerspezifichen TLS-Zertifikate speichert kann mir keiner so genau sagen.
Dazu das Konnektorzertifikat in ECC (RSA habe ich übersprungen) als cer-Datei (binär) und das Clientzertifikat (p12) der Doppelklick in Windows installiert, wobei man letzteres auch nach Passworteingabe direkt in Thunderbird einpflegen kann. Ich glaube das Konnektorzertifikat war unnötig. Doppelklick => für aktuellen Benutzer installieren
Das Konnektorzertifikat kann Thunderbird auch als PEM-Datei (base64 codiert) beziehen, wenn man die interne IP-Adresse des Konnektors unter Zertifikate verwalten, Zertifikatsverwaltung, Server. Habe das später entfernt.
Irgendwann wird beim Senden das Passwort für SMTPS abgefragt. Dann gings. Korrektur: Ich habe nicht den Server neugestartet sondern Thunderbird.
Auf LDAPS im Thunderbird verzichte ich.
Seit Mai 2022 endlich online! secunet konnektor World Healthcare ingenico ORGA 6141 online allUp2date
„Wir brauchen Regierungen, die sich des Schadens für Zivilpersonen bewusst sind, der aus dem Anhäufen und Ausnutzen solcher Software-Sicherheitsprobleme entsteht“– Brad Smith, Microsoft, </Ironie>
Protokolle Thunderbird und KIM-Client verglichen und es sollten ein paar passende dabei sein.
Ich biete an einen Thread auf dem Forum von thunderbird-mail.de zu öffnen. Vielleicht kommt man dann so weiter.
Seit Mai 2022 endlich online! secunet konnektor World Healthcare ingenico ORGA 6141 online allUp2date
„Wir brauchen Regierungen, die sich des Schadens für Zivilpersonen bewusst sind, der aus dem Anhäufen und Ausnutzen solcher Software-Sicherheitsprobleme entsteht“– Brad Smith, Microsoft, </Ironie>
TLS-Zertifikate können unter MS Windows u. a. in der Registry "gespeichert" werden (eher der Pfad dahin). Alles was mit der Registry zutun hat, greift erst nach einem Rechnerneustart.
Seit Mai 2022 endlich online! secunet konnektor World Healthcare ingenico ORGA 6141 online allUp2date
„Wir brauchen Regierungen, die sich des Schadens für Zivilpersonen bewusst sind, der aus dem Anhäufen und Ausnutzen solcher Software-Sicherheitsprobleme entsteht“– Brad Smith, Microsoft, </Ironie>
Zitat von rfkoem im Beitrag #43"Wenn Ihr PVS oder E-Mail-Client noch kein TLS 1.3 oder keine ECC-NIST-Verschlüsselung unterstützt, aktivieren Sie bitte den RSA-Only-Modus."
Die Telekom hat sich wegen des "oder"s zu Wort gemeldet:
ZitatGuten Morgen!
Vielen Dank für Ihre Nachricht.
Sie haben grundsätzlich Recht, der Hinweis auf ECC greift zu kurz. Allerdings ist es so, dass es hier nicht nur um TLS 1.3 geht, sondern auch um ECC-NIST-Kurven. Dies haben wir in der Kurzanleitung nun korrigiert.
„Standardmäßig unterstützt das Clientmodul TLS 1.3 und eine Verschlüsselung gem. ECC-NIST. Falls Ihr E-Mail-Client jedoch kein TLS 1.3 bzw. ECC-NIST unterstützt, haken Sie die Option "Kompatibilitätsmodus für TLS 1.2 mit RSA-Verschlüsselung" an.“
Ich hoffe, ich konnte Ihnen mit dieser zusätzlichen Information weiterhelfen.
Mit freundlichen Grüßen
Seit Mai 2022 endlich online! secunet konnektor World Healthcare ingenico ORGA 6141 online allUp2date
„Wir brauchen Regierungen, die sich des Schadens für Zivilpersonen bewusst sind, der aus dem Anhäufen und Ausnutzen solcher Software-Sicherheitsprobleme entsteht“– Brad Smith, Microsoft, </Ironie>
Seit Mai 2022 endlich online! secunet konnektor World Healthcare ingenico ORGA 6141 online allUp2date
„Wir brauchen Regierungen, die sich des Schadens für Zivilpersonen bewusst sind, der aus dem Anhäufen und Ausnutzen solcher Software-Sicherheitsprobleme entsteht“– Brad Smith, Microsoft, </Ironie>
Zitat von rfkoem im Beitrag #14KIM ist für mich nicht anderes als PGP-verschlüsseltes Mail nach dem S/MIME-Standard mit base64-codiertem Anhang und insbesondere bei Telekom T-Systems als satte Full-Flatrate-Dienstleistung angeboten und verkauft.
Da muss man sich nicht zweimal umdrehen um zu verstehen, dass man jeden Trojaner verschicken kann, vorausgesetzt, man hackt sich ins Telematik-Netz ein (deswegen ist KIM nur Approbierten und Kliniken vorbehalten).
Auf ausreichend Sicherheit zu achten, das bitte ich jede Teilnehmerin und jeden Teilnehmer ...
... gerade nachdem ich das hier lesen durfte (zwar ePA aber prinzipiell auch auf KIM übertragbar:
ZitatKönnen Viren oder Schadsoftware in die ePA gelangen? In die ePA können grundsätzlich nur Dateiformate eingestellt werden, die weniger anfällig für Viren und Schadsoftware sind. Andere Dateiformate werden von der ePA blockiert. Im Aktensystem selbst ist kein Virenscanner vorhanden. Zahnarztpraxen sind aber unabhängig von der ePA für die Sicherheit ihrer eigenen IT verantwortlich und müssen unter anderem die IT-Sicherheitsrichtlinie der KZBV umsetzen. Eine der darin festgelegten Anforderungen ist der Einsatz eines aktuellen Virenschutzprogramms. Weitere Informationen zu diesem Thema hat die KZBV hier zusammengestellt.
Seit Mai 2022 endlich online! secunet konnektor World Healthcare ingenico ORGA 6141 online allUp2date
„Wir brauchen Regierungen, die sich des Schadens für Zivilpersonen bewusst sind, der aus dem Anhäufen und Ausnutzen solcher Software-Sicherheitsprobleme entsteht“– Brad Smith, Microsoft, </Ironie>
Man darf nicht vergessen: KIM wurde lediglich als sichere Übertragungsplattform konzipiert. Der KIM-Client besitzt gem. gematik-Spezifikationen nur eine Proxy-Funktionalität. Natürlich kann Schadsoftware so "hochsicher" zwischen den KIM-Teilnehmern ausgetauscht werden. Um zumindest das Risiko etwas abzufedern gibt es beim TSI-Client die Möglichkeit, einen Virenscanner einzubinden - entweder über AMSI, ICAP oder ClamAV. Der Scanner selbst muss aber in der Praxis schon vorhanden sein!
Ob andere Hersteller ähnliche Lösungen bereitstellen, weiß ich leider nicht ...
Wie stellt man eine Verbidung zwischen dem KIM-Client über AMSI, ICAP oder ClamAV und dem MS Defender her?
Seit Mai 2022 endlich online! secunet konnektor World Healthcare ingenico ORGA 6141 online allUp2date
„Wir brauchen Regierungen, die sich des Schadens für Zivilpersonen bewusst sind, der aus dem Anhäufen und Ausnutzen solcher Software-Sicherheitsprobleme entsteht“– Brad Smith, Microsoft, </Ironie>
Guten Morgen, soweit ich aus der Dokumentation von Microsoft gesehen habe, besitzt der MS Defender eine AMSI-Schnittstelle. Da müsste man dann in die Microsoft-Doku zum Defender schauen. Am KIM-Client reicht die Konfiguration im Admin-Client (siehe hier).
Bitte daran denken, dass AMSI eine synchrone Betriebssystem-Schnittstelle von Microsoft ist, soll heißen, es wird nacheinander jeweils nur eine Mail vom Mailserver abgeholt, an die AMSI-Schnittstelle übergeben und ein Ergebnis abgewartet. Erst danach wird die Nachricht an das Clientsystem übertragen. Danach folgt die nächste Mail usw. Für kleine Mails wird das eher kein Problem sein, aber große Mails und AMSI ...
Es wurde das T-KIM-Clientmodul in der Version 3 Release 23387 released. Würde ich nicht zu voreilig installieren. Das liegt am charly Hotfix 9.36.3 (verursacht nur Probleme) und meiner Erfahrung der letzten Updates von vielen verschiedenen Programmen ("Reift beim Kunden…"). https://ti.telekom-healthcare.com/kontakt
Seit Mai 2022 endlich online! secunet konnektor World Healthcare ingenico ORGA 6141 online allUp2date
„Wir brauchen Regierungen, die sich des Schadens für Zivilpersonen bewusst sind, der aus dem Anhäufen und Ausnutzen solcher Software-Sicherheitsprobleme entsteht“– Brad Smith, Microsoft, </Ironie>
T-KIM-Clientmodul Update RELEASE 23387 eingespielt. Ging so einigermaßen durch.
Ich empfehle niemandem Ich empfehle niemandem die Konnektor PKI Keystore-Datei *.p12 aus C:\ProgramData\T-Systems\T-KIM-Client-Module\conf oder jedenfalls dort wo das T-KIM-Clientmodul eine Kopie mit identischem Dateinamen der Keystore-Datei (=Clientzertifikat vom Konnektor generiert) unter /conf zu nehmen sondern aus einem anderen Ordner bspw. /Nutzername/Downloads...
Das T-KIM-Clientmodul kopiert von wo auch immer das die Clientzertifikat.p12 in /conf und wenn da eine Datei mit identischem Namen ist, kommt man nicht weiter.
Auf das charly-Update 9.36.3 verzichte ich vorerst, der Logout-Button geht seit 9.36.2 nun wesentlich besser (charly ist noch nicht eingefroren beim Logout).
Seit Mai 2022 endlich online! secunet konnektor World Healthcare ingenico ORGA 6141 online allUp2date
„Wir brauchen Regierungen, die sich des Schadens für Zivilpersonen bewusst sind, der aus dem Anhäufen und Ausnutzen solcher Software-Sicherheitsprobleme entsteht“– Brad Smith, Microsoft, </Ironie>
Zitat von rfkoem im Beitrag #58 Auf das charly-Update 9.36.3 verzichte ich vorerst, der Logout-Button geht seit 9.36.2 nun wesentlich besser (charly ist noch nicht eingefroren beim Logout).
hierzu schick ich mal kurz was per PM :-)) beobachte das hier nämlich auch und wir haben zumindest den Trigger gefunden und mit 9.36.3. kann man das immer noch auslösen- weiteres dann per PM:-)
Zitat von rfkoem im Beitrag #58Auf das charly-Update 9.36.3 verzichte ich vorerst, der Logout-Button geht seit 9.36.2 nun wesentlich besser (charly ist noch nicht eingefroren beim Logout).
Das Pech hat mich eingeholt: charly friert beim Ausloggen sporadisch ein, aber auch bei Version 9.36.2. Insofern, es hat nicht lange gedauert, aber irgendwann fror charly auch bei 9.36.2 ein. Der Auslogbutton ist für mich zum Albtraum geworden. ggf. folgt das Log.
Seit Mai 2022 endlich online! secunet konnektor World Healthcare ingenico ORGA 6141 online allUp2date
„Wir brauchen Regierungen, die sich des Schadens für Zivilpersonen bewusst sind, der aus dem Anhäufen und Ausnutzen solcher Software-Sicherheitsprobleme entsteht“– Brad Smith, Microsoft, </Ironie>
TI-Community
»
TI-Nutzung und Nutzen aus Anwendersicht
»
sichere eMail (KIM)
»
kim-client t-systems (telekom) v3
Thema drucken
04.09.2025 14:32 (zuletzt bearbeitet: 04.09.2025 16:58)
Antworten
