gematik Fachportal

Datenfluss beim Einsatz des gematik Authenticators

Zweck und Funktionsweise des Authenticators

Der gematik Authenticator ist eine Softwarelösung, die zur sicheren Authentifizierung von Nutzern mittels HBA (Heilberufsausweis) oder SMC-B (Sicherheitsmodul-Karte Typ B) an verschiedenen medizinischen oder gesundheitsbezogenen Web-Anwendungen dient.

Funktionsweise und technischer Ablauf

Authentifizierungsprozess: Wenn ein Nutzer sich in einer Anwendung, die den gematik Authenticator verwendet, im Browser anmeldet, startet der Authenticator den Authentifizierungsprozess. Dieser Prozess beinhaltet die Überprüfung der Identität des Nutzers, durch die Verwendung eines HBA's oder der SMC-B und der dazugehörigen persönlichen Identifikationsnummer (PIN).
Übermittlung an Identity Provider (IDP-Dienst): Für die Authentifizierung kommuniziert der Authenticator mit dem Identity Provider (IDP-Dienst von RISE - Research Industrial Systems Engineering (RISE) Forschungs-, Entwicklungs- und Großprojektberatung GmbH). Der Authenticator liest dabei das Software-Zertifikat von der SMC-B oder HBA aus und übersendet dieses verschlüsselt und transportgesichert an den IDP-Dienst zur Überprüfung. Nach erfolgreicher Überprüfung der Daten wird ein Authorization Code zur Weitergabe an den Authenticator zurückgegeben und anschließend zur weiteren Verarbeitung an die Anwendung weitergeleitet.
Übermittlung von Identity Provider (IDP-Dienst) an Anwendung: Mit dem korrekten Authorization Code kann die Anwendung einen Token mit ggf. personenbezogenen Daten zur Weiterverarbeitung vom IDP-Dienst beziehen. Hierbei ist der Authenticator nicht involviert.
Datensicherheit: Während dieses Prozesses werden die Daten verschlüsselt übertragen, um die Sicherheit und Vertraulichkeit der Nutzerinformationen zu gewährleisten.

Zweck der Datenverarbeitung

Zugriffssicherung: Die Verarbeitung dieser Daten dient dazu, den sicheren Zugriff auf Anwendungen und Dienste zu gewährleisten, die sensible Gesundheitsinformationen verarbeiten oder speichern.
Identitätsüberprüfung: Die Daten werden verwendet, um die Identität des Nutzers zu überprüfen und unbefugten Zugriff zu verhindern.

Empfänger der Daten

Identity Provider (IDP): Dienste zur Prüfung und Bestätigung der Identität verantwortlich.
Anwendungen/Dienste: Gesundheitsbezogene Anwendungen, die den Authenticator für die Nutzerauthentifizierung verwenden.

Weitere detaillierte Informationen zum Ablauf

Technische Produktdokumentation: gematik Authenticator SDK Dokumentation
Open Source Quellcode: https://github.com/gematik/app-Authenticator

Verantwortlicher für die Datenverarbeitung

Der Hersteller der Software "gematik Authenticator" (gematik) trägt keine Verantwortung für die Verarbeitung personenbezogener Daten, die mittels des Authenticators bzw. im Zusammenhang mit seiner Verwendung und ist auch nicht an den entsprechenden Verarbeitungsvorgängen beteiligt. Die gematik erhebt, übermittelt, erhält, speichert, verwendet oder verändert keine personenbezogene Daten der Nutzer des Authenticators oder weiterer in diesem Zusammenhang betroffener Personen oder führt insofern sonstige Verarbeitungstätigkeiten aus oder veranlasst diese und entscheidet auch nicht über Mittel und Zwecke etwaiger Datenverarbeitungen bei Verwendung des Authenticators. Die konkreten Verantwortlichen ergeben sich aus dem spezifischen Nutzungskontext im jeweiligen Einzelfall.