Wichtiges Sicherheitsupdate
Am 26.03.2026 wurde ein Sicherheitsupdate für den gematik Authenticator veröffentlicht, mit dem zwei kritische Schwachstellen behoben wurden.
Wir bitten alle Benutzer dringend darum, den Authenticator zu aktualisieren.
Stellen Sie sicher, dass die auf Ihrem Computer installierte Version 4.16.0 ist.
Bitte folgende Hinweise zum Sicherheitsupdate beachten
Wie kann die Aktualisierung durchgeführt werden?
- Falls Sie den Authenticator über den Microsoft oder Apple App Store installiert haben, so findet das Update in der Regel automatisch statt. Stellen Sie sicher, dass die automatische Aktualisierung aktiviert ist und stoßen Sie das Update, wenn nötig, manuell an (siehe Dokumentation für Windows und MacOS).
- Falls Sie den Authenticator per Download von GitHub installieren, so laden Sie bitte die aktualisierte Version herunter und installieren Sie sie.
- Falls Sie unsicher sind oder Sie Ihr System nicht selbst verwalten, so kontaktieren Sie bitte Ihren Administrator oder die gematik. Sie erreichen uns über das Anfrageportal oder per Mail (authenticator[at]gematik[dot]de).
Wie kann ich prüfen, welche Version des Authenticators installiert ist?
- Wenn Sie den Authenticator starten, so wird die aktuell installierte Version unten rechts im Anwendungsfenster angezeigt.
- Stellen Sie sicher, dass die angezeigte Version mindestens 4.16.0 ist.
Wie kann ich mich sonst vor Angreifern schützen?
- Behandeln Sie Links, die Sie bspw. per E-Mail enthalten, mit größter Vorsicht.
Starten Sie nur dann den Authenticator, wenn Sie sich auf einer bekannten, vertrauenswürdigen Webseite befinden. - Installieren Sie keine Dateien aus nicht vertrauenswürdigen Quellen und nehmen Sie keine Änderungen an der Konfiguration ihres Computers oder des Authenticators vor, wenn sie von Fremden dazu aufgefordert werden.
Halten Sie immer Rücksprache mit Ihrem Administrator oder einem technisch versierten, bekannten Ansprechpartner.
Wo finde ich technische Details zu den Schwachstellen?
Alle weiteren Informationen entnehmen Sie bitte den Security Advisories auf Github:
Was ist der Authenticator?
Der Authenticator ist eine kostenfreie Desktop-App, die eine sichere Authentisierung von Nutzern für die Anmeldung an digitalen Gesundheitsanwendungen ermöglicht. Die App identifiziert berechtigte Ärztinnen und Ärzte, medizinische Einrichtungen, Apotheken sowie weiteres medizinisches Personal – unterstützt werden dabei HBA- und SMC-B-Karten.
Direkt bei der Anmeldung aus einer webbasierten TI-Anwendung (z. B. DEMIS, Organspende) wird der Authenticator gestartet und schützt so den Zugriff auf kritische TI-Applikationen. Der Authenticator fungiert dabei als Bindeglied zwischen der klassischen TI 1.0 (via Konnektor) und der zukünftigen, föderierten Architektur der TI 2.0 – inklusive OAuth2-/OpenID-basiertem Single Sign-on.
Welche Anwendungen mit Authenticator-Einsatz sind aktuell im Einsatz?
Der Authenticator ist auch bei Anwendungen wie dem TI-Messenger oder dem Verzeichnisdienst (VZD) als Produktfeature integriert.
Alle genannten Anwendungen rufen den Authenticator über WANDA-Anbindungen zur Anmeldung auf – in der Regel über deeplinkgestützte OAuth2-Workflows in Verbindung mit dem TI-Konnektor.
| Anwendung | Betreiber | Art | Nutzerbereich | Karte |
|---|---|---|---|---|
| Zentrales Vorsorgeregister | Bundesnotarkammer | Freiwillig | Ambulant + Stationär | HBA |
| Betäubungsmittelrezept (eBTM) | BfArM | Freiwillig | Ambulant | HBA |
| DEMIS | RKI | Pflicht | Ambulant + Stationär | SMC-B |
| Organspenderegister | BfArM | Pflicht | Stationär (Entnahmekrankenhäuser) | HBA + SMC-B |
| Implatateregister | BMG | Pflicht | Stationär | SMC-B |
Was ist notwendig für die Nutzung des Authenticators?
Damit der Authenticator für entsprechende Anwendungen betrieben werden kann, ist die Installation der Software sowie die einmalige Administration der Einstellungen durch einen Dienstleister vor Ort (DVO) oder Administrator notwendig.
Voraussetzungen zur Nutzung sind:
- Installation auf einem Gerät mit mind. Windows 10 oder macOS
- Anschluss eines TI‑Konnektors (Secunet, RISE oder KoCo) oder TI-Gateway
- Verfügbare und freigeschaltete SMC‑B oder HBA aus der jeweiligen Einrichtung.
- Eindeutige Konfiguration des Authenticator zur Kommunikation mit dem Konnektor (Aufrufkontext).
- Netzwerkeinstellungen beachten:
- IP-Routing zum TI-/WANDA-Netzwerk
- Firewall-Freigaben zu den IdP Enpunkte (TI und Internet)
Wie funktioniert der Authenticator
Der Authenticator ist eine Desktop-Anwendung mit grafischer Benutzerschnittstelle, welche aktuell unter Windows lauffähig ist und aus Anwendungen (typisch: Web-Anwendungen) heraus aufgerufen wird. Der Authenticator ist somit eine Anwendung für das Authentifizierungsverfahren und muss daher als Schnittstelle fest in die Fachanwendung eingebunden werden.
-
Der Nutzer klickt (im Web) auf „Anmelden“.
-
Die Fachanwendung startet den gematik Authenticator per Deeplink.
-
Der Authenticator fordert – je nach Anwendung – die eHBA oder SMC-B über den Konnektor an.
-
Der Authenticator prüft, ob die richtige Karte eingesteckt ist, und fordert ggf. zum Einstecken auf.
-
Der Nutzer gibt seine persönliche PIN am Kartenterminal ein.
-
Die Verifikation erfolgt über den TI Identity Provider (IDP).
-
Nach erfolgreicher Authentisierung wird ein ID Token erzeugt und an die Fachanwendung übergeben.
-
Die Fachanwendung gewährt Zugang; die Zugriffsrechte basieren auf der IDP- bzw. Konnektor-Rolle.
Kurzüberblick
| Thema | Wichtigstes Merkmal |
|---|---|
| Was | Desktop-App für sichere Anmeldung via HBA/SMC‑B |
| Wofür | Authentifizierung für Anwendungen wie DEMIS, OGR, eBTM, TI‑Messenger |
| Voraussetzungen | Windows/Mac, TI‑Konnektor, konfigurierter Authenticator, Karte |
| Ablauf | Fachanwendung → Deeplink → PIN-Eingabe → ID‑Token → Zugriff |
| Installation & Updates | Download über App Stores oder Fachportal (github) |
Releasenotes
In der folgenden Tabelle können Sie die Änderungen der letzten Versionen einsehen.
Eine vollständige Übersicht über Änderungen und Versionen finden Sie unter dem folgenden Link.
Releasenotes
| Version | Änderungen | Datum |
|---|---|---|
| 4.16.1 | added
fixed
security
| 10.04.2026 |
| 4.16.0 | added
fixed
security
| 26.03.2026 |
| 4.15.2 | fixed
| 30.06.2025 |
| 4.15.1 | fixed
| 24.06.2025 |
| 4.15 | added Config Assistant Enhancements:
Configuration Updates:
fixed Configuration and Setup:
User Experience:
security
| 16.06.2025 |
Sie haben Fragen zum Authenticator?
Für die Klärung technischer Fragen ist das Expertenteam des gematik Authenticator Ihr kompetenter Ansprechpartner.
Gern beantwortet die gematik Ihre Fragen. Sie erreichen uns über das Anfrageportal oder per Mail.
Um Ihnen bei ihren Fragen oder Störungen schnellstmöglich weiterhelfen zu können, bitten wir Sie folgende Informationen anzuhängen:
- Kurze Problembeschreibung / genutzte Web-Anwendung
- Screenshots (Fehlermeldung, Funktionstest, Authenticator Einstellungen)
- Log File.