Sanitätshaus-Abrechnung nach § 302 SGB V: Übertragungswege und Zugangsdaten statt Dateiformat-Mythen prüfen
Abrechnungsdaten benötigen geregelte Schnittstellen und geschützte Zugänge. Warum eine Datei nicht allein wegen des Namens EDIFACT Ransomware ausführt.
Redaktioneller Stand:
Hintergrund & Quellenbefund
§ 302 SGB V regelt die Abrechnung sonstiger Leistungserbringer und die dafür zu übermittelnden Angaben. Der GKV-Spitzenverband stellt auf seinem Datenaustauschportal die maßgeblichen Richtlinien, technischen Anlagen und Hinweise bereit. Für einen konkreten Übertragungsweg sind deshalb die jeweils gültigen Spezifikationen und Empfänger maßgeblich. [1], [2]
Ein strukturiertes Datenformat ist nicht von sich aus ein ausführbares Schadprogramm. Ob beim Verarbeiten einer Datei ein Risiko entsteht, hängt unter anderem von Softwarefehlern, ausgeführten Anhängen und der Umgebung ab. Aus dem Namen EDIFACT lässt sich weder eine konkrete Sicherheitslücke noch ein belegter Ransomware-Fall ableiten. Der BSI-Katalog betrachtet Einfallstore und Schutzmaßnahmen im Gesamtsystem. [3]
Für die Abrechnung sind neben dem Format vor allem Integrität, korrekte Zuordnung und Verfügbarkeit wichtig. Eine verschlüsselte Übertragung schützt nicht automatisch ein zuvor kompromittiertes Endgerät oder einen gestohlenen Zugang. Deshalb sind Schnittstellenbetrieb und organisatorische Zuständigkeiten gemeinsam zu betrachten. [2], [3]
Einordnung & Grenzen
Es wird kein tatsächlicher Angriff auf ein genanntes Abrechnungszentrum behauptet. Ebenso werden nicht pauschal für jedes Verfahren dieselben Signatur-, Zertifikats- oder Hardwarepflichten unterstellt. Maßgeblich sind die konkreten technischen Anlagen und Verträge; ihre Versionsstände können sich ändern.
Einfach erklärt
Fiktives Praxisbeispiel: In einem Sanitätshaus trifft eine unerwartete Nachricht mit angeblicher Korrekturdatei ein. Die Mitarbeitenden öffnen den Anhang nicht spontan, sondern prüfen den Vorgang über den bekannten Kontakt und den freigegebenen Übertragungsweg. Das Beispiel beschreibt einen Schulungsfall, keinen dokumentierten Angriff.
Empfehlungen für die Praxis
Unsere Empfehlung: Dokumentieren Sie Leistungserbringergruppe, aktuellen Standard, Annahmestellen und genutzte Dienstleister. Klären Sie, wer Änderungen an Schnittstellen, Zertifikaten und Zugängen freigibt. Prüfen Sie Unterlagen direkt an den offiziellen Veröffentlichungsstellen.
Schützen Sie Schlüssel und Konten nach dem konkreten Verfahren und begrenzen Sie ihre Berechtigungen. Halten Sie Importsoftware aktuell; testen Sie Updates und fehlerhafte Eingaben in einer getrennten Umgebung mit künstlichen Daten. Ein Virenscanner allein prüft nicht die fachliche Richtigkeit eines Abrechnungsdatensatzes.
Vereinbaren Sie den Umgang mit Abweisungen, verdächtigen Dateien und einem Ausfall. Sichern und testen Sie Wiederherstellungsmöglichkeiten. Ziel ist eine nachvollziehbar korrekte, verfügbare Abrechnung, nicht die pauschale Gleichsetzung eines alten Datenformats mit einer Schadsoftware.