Ein privates Unternehmen macht dicht. Steht dadurch die GesundheitsID von Millionen Versicherten auf der Kippe? Der Fall Verimi offenbart die eigentlichen Risiken für die digitale Gesundheitsversorgung.
Deutschlands Gesundheitswesen wird digitaler. Die elektronische Patientenakte, das E-Rezept und weitere digitale Anwendungen basieren auf der Telematikinfrastruktur (TI). Eine wichtige Rolle spielt die GesundheitsID. Mit ihr können sich Versicherte per Smartphone eindeutig identifizieren. Perspektivisch soll sie auch einen kartenlosen Zugang zu Anwendungen wie ePA und E-Rezept ermöglichen.
Der Fall des Berliner Unternehmens Verimi zeigt jedoch, welche Abhängigkeiten in diesem Bereich entstanden sind. Verimi kündigte im Juli 2026 an, seinen Geschäftsbetrieb zum Jahresende einzustellen. Bestehende Leistungen für Kunden, Partner und Nutzer sollen bis dahin weiterlaufen.
Im Gesundheitswesen ist Verimi unter anderem an Identitätslösungen der Barmer und der AOK beteiligt. Dauerhaft ersatzlos auf die GesundheitsID zu verzichten, ist für gesetzliche Krankenkassen keine Option. Seit 2024 sind sie verpflichtet, ihren Versicherten auf Wunsch solche Lösungen anzubieten. Sprich: Ein privater Anbieter kann sich aus einem Geschäftsfeld zurückziehen. Die gesetzliche Verpflichtung der Krankenkassen bleibt dennoch bestehen.
Für die AOK und die Barmer dürfte der Rückzug von Verimi vergleichsweise glimpflich verlaufen. Nach Informationen von Tagesspiegel Background soll T-Systems die bisherigen Aufgaben von Verimi übernehmen. Dass ausgerechnet T-Systems einspringen kann, ist kein Zufall. Das Unternehmen ist bereits eng in beide Lösungen eingebunden. Bei der AOK ist T-Systems Vertragspartner für Bereitstellung und Verwaltung der GesundheitsID. Bei der Barmer ist das Unternehmen an Entwicklung, Infrastruktur und Betrieb der Lösung beteiligt.
Der Verimi-Fall ist deshalb kein Worst Case. Die Voraussetzungen für einen geräuschlosen Übergang gelten als vergleichsweise günstig: Ein Anbieter steigt aus, aber ein bereits beteiligter Partner verfügt über Technik, Infrastruktur und Erfahrung, um Aufgaben zu übernehmen. Wahrscheinlich werden Versicherte davon nicht viel mitbekommen.
Doch das Grundproblem bleibt: Der Gesetzgeber schreibt digitale Gesundheitsangebote vor, die Krankenkassen müssen sie bereitstellen. Entwickelt und betrieben werden zentrale technische Komponenten von privaten Unternehmen. Deren wirtschaftliche Entscheidungen können Krankenkassen und Politiker aber kaum beeinflussen.
Steigt eine Firma aus, drohen im schlimmsten Fall schwerwiegendere Folgen. Gerade ein Identity Provider im Gesundheitswesen unterliegt besonderen technischen und sicherheitsbezogenen Anforderungen. Die entsprechenden Produkte durchlaufen ein Zulassungsverfahren der gematik. Sie legt Spezifikationen fest, lässt Komponenten zu und soll dafür sorgen, dass die verschiedenen Teile der TI miteinander funktionieren. Entwickelt und betrieben werden viele dieser Komponenten von privaten Unternehmen.
Wie komplex die über mehr als 15 Jahre gewachsene Infrastruktur inzwischen ist, beschreibt die gematik selbst: mehr als 70 Produktkategorien, rund 230 aktive Produktinstanzen von 125 Anbietern und über 800 technische Abhängigkeiten. Allein für das Einstellen eines E-Rezepts seien 17 technische Operationen zwischen unterschiedlichen Diensten notwendig. Je mehr Dienste und Anbieter beteiligt sind, desto größer wird die Zahl möglicher Fehlerquellen.
Entscheidend ist deshalb nicht nur, ob es grundsätzlich einen anderen IT-Anbieter gibt. Ein Ersatz muss die regulatorischen und technischen Voraussetzungen erfüllen. Im konkreten Fall hat er zudem Millionen Versicherte zu bedienen und sich in die bestehende Infrastruktur zu integrieren. Auch deshalb ist Verimi ein vergleichsweise harmloses Szenario: Der Ausstieg erfolgt mit mehreren Monaten Vorlauf. Ein ungeplanter Ausfall eines zentralen Anbieters wäre eine deutlich härtere Belastungsprobe. Auch das ist schon passiert.
Welche praktischen Folgen technische Ausfälle bei externen Dienstleistern haben, zeigt rückblickend eine größere TI-Störung im Februar 2024. E-Rezepte, Gesundheitskarten, ePA-Zugriffe und der Kommunikationsdienst KIM konnten beeinträchtigt sein. Als Ursache nannte die gematik eine Fehlfunktion bei der Überprüfung von Gerätezertifikaten in zentralen Diensten im Verantwortungsbereich der privaten Firma Arvato Systems.
Anbieterabhängigkeit, Betriebsstabilität und IT-Sicherheit sind unterschiedliche Probleme. Sie treffen sich jedoch an einem Punkt: Die digitale Versorgung beruht auf einem komplexen Geflecht aus technischen Komponenten, Betreibern und Schnittstellen.
Doch zurück zu Verimi: Selbst im Worst-Case-Szenario – einem Ausfall der GesundheitsID für einen Teil der Versicherten – blieben die unmittelbaren Folgen derzeit überschaubar. E-Rezepte könnten Patienten beispielsweise weiterhin mit ihrer Gesundheitskarte einlösen. Allerdings wächst die Bedeutung der digitalen Identität. Künftig soll sie einen kartenlosen Zugang zur TI ermöglichen. Die gematik arbeitet etwa an Szenarien, in denen Patienten die GesundheitsID für Online-Sprechstunden nutzen. Je besser und selbstverständlicher solche digitalen Prozesse funktionieren, desto stärker wächst jedoch auch die Abhängigkeit von den Diensten, auf denen sie beruhen. Was bei einem Ausfall heute vor allem unbequem wäre, könnte künftig die Versorgung stark betreffen.
Mittlerweile hat die gematik solche Architekturprobleme selbst erkannt. Im Rahmen der TI 2.0 sollen lange Technikketten verkürzt und der Bedarf an Spezialhardware verringert werden. Zugleich soll die gematik Backend-Dienste direkter steuern können. Als Ziele nennt sie ausdrücklich weniger Komplexität und mehr Resilienz. Eine digitale Gesundheitsinfrastruktur ist erst wirklich resilient, wenn der Rückzug eines einzelnen Unternehmens ein beherrschbarer technischer und organisatorischer Vorgang bleibt – und nicht zum Risiko für die Versorgung wird.
Der Rückzug von Verimi legt vor allem drei Herausforderungen offen:
Bildquelle: Getty Images, Unsplash
