ePA — Elektronische Patientenakte

Kontext

Die elektronische Patientenakte für gesetzlich Versicherte, entwickelt nach gematik-Spezifikationen und BSI-Vorgaben — jede sicherheitsrelevante Änderung ist prüfpflichtig. Authentifizierung ist hier der kritische Pfad: Ohne stabilen Login über den sektoralen Identity Provider der jeweiligen Krankenkasse kommt niemand an seine Akte.

Aufgabe

Integration und Weiterentwicklung der sek-IDP-Anbindung mit OpenID Connect, JWT, FIDO und mutual TLS; eGK-Kartenauslesung per NFC über ein Kotlin-Multiplatform-Modul; Absicherung über Keychain, Certificate-Pinning und Device-Hardening. Die eigentliche Schwierigkeit: Login- und Reauthentication-Strecken, die gegen die unterschiedlichen IdP-Implementierungen vieler Kassen stabil bleiben müssen — abgesichert durch Snapshot- und BDD-Tests mit Code Coverage als Qualitätsmetrik in der CI.

Ergebnis

Die Auth-Strecke läuft freigegeben im Produktivbetrieb und ist für Prüfungen dokumentiert. Im 3rd-Level-Support habe ich eskalierte Auth- und Session-Probleme direkt mit den Krankenkassen analysiert und behoben — Root-Cause-Analyse bis hinunter in die IdP-Implementierung der einzelnen Kasse.

Technologien