Hallo,

bin grade etwas ratlos. Unser Konnektorzertifikat (Secunet) läuft nächsten Monat ab.
Der neue Konnektor ist da und ich wollt ihn heute installieren.
Also alten Konnektor gecheckt - alles up to date. Backup gemacht, alten Konnektor deregistriert.
Neuen Konnektor wie in der E-Mail beschrieben mit der aktuellsten Firmware von Secunet offline upgedatet.
Wäre eigtl. nicht nötig gewesen - ist die gleiche Version schon drauf. Aber was solls.
Neustart, Backup eingespielt, Neustart. Dann Konnektor wieder im VPN registriert. Er sagt erfolgreich
und SIS und TI Zugang sind erlaubt. Aber er baut keine Verbindung auf.
Zeit passt, TSL ist gültig, CRL ist gültig aber er kriegt keine Verbindung.
Als Fehler kommt nur: EC_No_VPN_SIS_Connection im PVS (Charly) bzw. steht im log:
vici_callback():initiate failed: establishing CHILD_SA 'vpntichild' failed.
Bei Telekom natürlich niemand erreichbar - nur die Ansage, dass sie zwischen 8 und 17 Uhr da sind und dann wird
aufgelegt. Welche Tage? Keine Ahnung. Sagt ja keiner.
Den Verweis auf die E-Mail Adresse können sie sich auch sparen. Hat letzes Mal 3 (drei!) Wochen gedauert bis da
ne Antwort kam.

Jemand ne Idee? Bin für jeden Denkanstoß dankbar!

Gibt es aktuelle 'fatal' Error im Fehlerstatus?
Findet der Konnektor das Kartenterminal mit der SMC-B?

So... nach 6 Stunden hat mir brute force rumprobieren weitergeholfen.
Bei der Registrierung des neuen Konnektors wird als Verschlüsselung automatisch ECC ausgehandelt.
Das funktioniert nicht. Auch wenn man unter den erweiterten Einstellungen ECC forciert zur Neuregistrierung einstellt.
Stellt man bei der Registrierung manuell RSA als Schlüssel ein hat man auf einmal wieder
Verbindung zur TI. Nix davon steht in der Anleitung der Telekom oder bei Secunet.

Warum nochmal sollen die Konnektoren nach 5 Jahren getauscht werden? War das nicht um
bessere Verschlüsselung zu implementieren? Egal.
Es läuft. Ne E-Mail zur Abklärung is auch schon raus. Dauert halt wahrscheinlich wieder 3 Wochen bis
da jemand antwortet. Mann, die Scheiße nervt so unendlich.

@rfkoem: router/modem tut nix zur sache (fritzbox am dsl-anschluss, dhcp-server windows server 2016) konnektor wurde 1:1 wie der alte angeschlossen, ersteinrichtung mit dhcp, dann backup eingespielt und mit statischer IP weitergemacht
@Hui123: keine fatal errors, nur probleme beim vpn aufbau was rückblickend aufgrund der ecc/rsa problematik nicht verwundert. kommunikation zwischen neuem konnektor und kartenterminal ist einwandfrei - sonst würde ja die Freischaltung nicht funktionieren.

Wie nett von der Telekom das anzubieten. Für nur 399€. Im Nachhinein gesehen ein Schnapper. Und auch noch
mit Verweis darauf, dass man sich ja dann ganz und gar um seine Patienten kümmern kann. Wie fürsorglich.
Ja, die Mail hab ich auch schon im Dezember letzten Jahres bekommen. Die Zertifikate laufen bei uns Anfang April aus.

Effektiv ist der Aufwand beim Austausch des Konnektors 45 Minuten und ist von jedem, der sich halbwegs mit der IT auskennt
zu bewerkstelligen. Die 4 Stunden zusätzlicher Fehlersuche laste ich jetzt einfach mal der Gematik/Telekom/Secunet Mafiabande an
die es nicht gebacken kriegen (wollen) vernünftige Voraussetzungen und Anleitungen zu schaffen.
Was für ein Selbstbedienungsladen. 49€ für die Zustellung per sicherer Lieferkette.

Da liegen wir ja voll im Zeitplan wenn es ab Mitte 2025 umgestellt und dann Anfang 2026 abgestellt werden soll und 3 Monate
vorher noch nicht funktioniert. Das weckt ja Erinnerungen an die EPA. Die ist ja auch schon breit ausgerollt und flächendeckend im Einsatz, oder?

Ich bin jetzt nicht direkt von diesen News "betroffen", sondern recherchiere hier nur nebenbei.

Aber mal ganz abgesehen von der immernoch leicht bedenklichen Gesamtsituation und der Vorgeschichte (Digitalisierung, Telematik, Konnektortausch, ePA), klingen:

- Renewal für 1300€ (oder halt einfach mal ein neuer Konnektor)
- 399€ einmalig
- 49€ für eine sichere Lieferkette
- 10% Rabatt auf den Preis eines eHBA(!)

jetzt nicht so verlockend wie es sich im ersten Moment alles anhören mag.


99.000 Arztpraxen
16.000 Pflegeheime
1847 Kliniken

Ich hab da manchmal tatsächlich so ein bisschen Zero-Trust. ;)

Erstmal VIELEN DANK für diesen wirklich wertvollen Beitrag.
Habe letzte Woche - mit Umstellung der Verschlüsselung für die Rgeistrierung des Telekom-Renwal-Konektors von "Automatik" auf RSA problemlos denselben in Betrieb nehmn können ... bis ... ja ... bis ... meine Abrechnungs-Fee sich beschwerte, daß ALLE KIM-basierten Dienste (Mail, eAU, eRzept, HKP usw.) nicht mehr funktionierten.
Der Verzeichnis-Dienst für die KIM-Mail-Adressen war ebenfalls nicht mehr erreichbar.


Bei mir werkelt in der DS-WIN-Plus-Umgebung das KIM-RISE-Modul als externe Schnittstelle herum.
Das benötigt - zumindest ebenfalls bei mir als Telekom-Opfer - eine explizite Umstellung auf die RSA-Verschlüsselung.

Dafür muß nach Installation und Registrierung des Renewal(Secunet)Konnektors das Konnektor-Zertifikat dieses neuen Konnektors per Web-UI des Rise-Moduls heruntergeladen werden.

Zusätzlich muß über die Web-UI des Konnektors per

Praxis -> Clientsysteme -> Name des eigenen KLientsystemes -> Zertifikat erstellen
ein Zertifikat als p12 Keystore-Datei mit public key NUR IM RSA-FORMAT !!!! erstellt werden.

Die wir dann entsprechend Herstellervorgaben in das PVS eingelesen - und voila - auch KIM-basierte Anwendungen und KIM-Verzeichnis-Dienst sind wieder verfügbar.

Hat mich per try & error zusätzliche 3 Stunden Arbeitszeit gekostet - mal sehen, ob ich das der Telekom als Gegenrechnung "auf's Auge drücken kann" ...

Viele Grüsse an alle ähnlich Leidgeplagten

@404_sinn
Hatte gestern den ersten unserer Secunet-Einboxkonnektoren mit RSA-SMC-K durch einen neuen mit ECC-RSA-SMC-K ersetzt.
Bin auf die gleiche Problematik gestoßen und mittels "Automatisch" o. "ECC" ließ sich der Konnektor nicht beim VPN-ZugD der Telekom/T-Systems registrieren.
Nur per RSA.
Gab es hier inzwischen ein gehaltvolles Feedback seitens Hersteller/ Support? Ansonsten würde ich mal bei Gelegenheit eine Anfrage mit Bitte um offizielle Stellungnahme platzieren.
Ein paar Infobrocken lassen sich u.a. hier finden:
https://wiki.gematik.de/spaces/RUAAS/pag.../ECC-Testwochen

Nicht wirklich.
Unsere laufzeitverlängerten Secunet-Konnektoren agieren ausschließlich mit RSA-SMC-Ks:



Zum Vergleich eine RSA-ECC-SMC-K:

@backtotopic

Meine E-Mail-Anfrage bei der Telekom von Mitte März zu dem Thema ist bis heute nicht beantwortet...