E-Rezept: Wenn Zertifikate ablaufen und Realität ignoriert wird

Warum das E-Rezept nicht an Ärzten scheitert, sondern an System-Governance

Ab dem Jahreswechsel 2025/2026 droht dem deutschen E-Rezept ein Rückfall ins Analoge. Nicht, weil E-Rezepte politisch „abgeschaltet“ würden – sondern weil ein harter technischer Stichtag in der Telematikinfrastruktur (TI) viele Praxen temporär aus dem digitalen Betrieb drängen kann: Das bisher genutzte RSA-Verfahren wird durch ECC ersetzt, dafür müssen mehrere TI-Komponenten (u. a. eHBA/SMC-B, Konnektoren) rechtzeitig erneuert oder umgestellt werden.

Was wie ein Detail wirkt („nur ein Kryptoverfahren“), ist in Wirklichkeit ein Lehrstück über Systemschwächen: Governance ohne End-to-End-Betriebsverantwortung, Rollouts ohne verlässliche Lieferfähigkeit und eine Kultur, in der gelebte IT-Praxis zu oft als nachrangiges „Umsetzungsproblem“ behandelt wird.

Das Problem ist nicht Digitalisierung – sondern Identität

Wer mit Zertifikaten, Signaturkarten und revisionssicheren Speichern gearbeitet hat, erkennt das Muster sofort:

Der kritische Pfad ist selten die Fachsoftware. Der kritische Pfad ist fast immer Identität.

Elektronische Heilberufsausweise (eHBA) und Praxisausweise (SMC-B) sind keine beliebig skalierbaren Plastikkarten. Es sind personalisierte Sicherheitsanker in einer PKI-Kette (Public Key Infrastructure), mit Identitätsprüfung, Zertifikatslaufzeiten, Sperr- und Erneuerungslogik – plus Produktion und Verteilung. Dass diese Dinge ablaufen, ist kein Betriebsunfall, sondern Sicherheitsmerkmal. Genau darum sind harte Stichtage so gefährlich, wenn Rollout, Lieferketten und Support nicht perfekt sitzen.

Warum große Organisationen eigene IT haben

In großen Firmen ist es banal: Mitarbeitende pflegen ihre IT nicht selbst. Sie haben weder das Spezialwissen noch die Zeit, kryptografische Identitäten, Hardware-Tokens, Treiber, Firmwarestände und Updateketten dauerhaft sauber zu halten. Dafür gibt es IT-Abteilungen und Dienstleister – und es gibt Prozesse, Rollout-Fenster, Testumgebungen und Notfallpfade.

Entscheidungen werden oben getroffen – aber sie funktionieren nur, wenn die operative Erfahrung der IT-Leute ernsthaft in die Entscheidung zurückgekoppelt wird. Wird diese Erfahrung ignoriert, knirscht es zuerst leise (Tickets, Workarounds, „kurz mal neu starten“), und irgendwann kracht es laut (Ausfälle, Rückfall auf Papier, Schuldzuweisungen nach unten).

Genau dieses Muster zeigt sich im Gesundheitswesen – nur mit dem Unterschied, dass hier nicht ein Unternehmen betroffen ist, sondern eine Volkswirtschafts-kritische Infrastruktur.

Verwaltungsinformatik trifft Betrieb: Formale Korrektheit, reale Fragilität

Die TI ist nicht „schlecht gemeint“. Sie ist formal reguliert, sicherheitsgetrieben, gremiumsgesteuert – und gerade dadurch anfällig für eine klassische Falle: Man verwechselt definierte Verantwortung mit getragener Verantwortung.

Wenn der Gesetzgeber Anwendungen wie E-Rezept und ePA als Pflichtsysteme vorgibt, aber bei Einführung und Betrieb die Menschen und Strukturen ignoriert, die es am Ende wirklich stabil machen müssen, entsteht eine Illusion: Digitalisierung „passiert“ dann durch Vorgaben. In Wahrheit passiert Digitalisierung durch Betrieb: durch Updates, Ersatzteile, erreichbaren Support, klare Zuständigkeiten, funktionierende Lieferketten und realistische Übergangsfristen.

Dass es aktuell überhaupt eine Debatte um Fristverlängerungen gibt, ist bereits das Eingeständnis, dass die Realwelt nicht im Takt von PowerPoint-Meilensteinen läuft. gematik und ärztliche Selbstverwaltung haben die Nutzung mancher RSA-basierter Karten bis 30. Juni 2026 verlängert – ausdrücklich mit Verweis auf Produktions- und Lieferprobleme.

Dezentrale Pflicht, keine End-to-End-Verantwortung

Besonders toxisch ist die Struktur: Die Nutzung ist verpflichtend, aber die Kette der Zuständigkeiten ist verteilt. Ministerium, gematik, Kartenhersteller, Konnektorwelt, Praxissoftware, IT-Dienstleister – und am Ende die Praxis. Wenn es knallt, landet es als „Umsetzungsproblem“ bei der letzten Meile.

Die KBV hat genau davor gewarnt: Ohne funktionsfähige Ausweise und umgestellte TI-Komponenten drohen Einschränkungen nicht nur beim E-Rezept, sondern auch bei eAU, Arztbriefen und TI-Zugängen.

Das ist der Kern: Es ist kein „Ärzte können kein IT“-Problem. Es ist ein „System hat keinen Betriebseigentümer“-Problem.

Ein sehr sichtbares Scheitern – und ein Vorbote

Wenn Praxen wieder Papierrezepte ausstellen müssen, ist das kein nostalgischer Rückschritt. Es ist der sichtbarste Beweis dafür, dass das System seine eigene Betriebsrealität unterschätzt hat.

Und es ist ein Warnsignal, weil das E-Rezept nur ein Baustein ist. Die ePA und zukünftige datengetriebene Versorgungsideen bauen auf denselben Grundpfeilern: Identität, Authentifizierung, Berechtigungen, kryptografische Ketten. Wenn diese Basis nicht robust ausgerollt und dauerhaft supportbar ist, wird jede weitere „Digitalpflicht“ teurer – in Stress, Zeitverlust und Vertrauensschaden.

Am Ende eine einfache Wahrheit

Kleine Arztpraxen sind keine IT-Betriebe. Sie haben keine IT-Abteilung, kein eigenes Rollout-Team, keine Testumgebung und oft keinen dauerhaft verfügbaren, bezahlbaren Support, der komplexe Infrastrukturen kontinuierlich betreut.

Ärztinnen, Ärzte und MFAs sind hochqualifiziert – aber nicht für PKI-Betrieb, Zertifikatsmigration, Konnektor-Lifecycle und Kryptoparameterwechsel. Und selbst wenn sie es wären: Ihnen fehlt die Zeit.

Solange der Staat digitale Pflichtsysteme einführt, ohne gleichzeitig eine realistische, finanzierte Support-Struktur und robuste Übergangsstrategien mitzuliefern, bleibt der Betrieb ein Sollbruchpunkt. Nicht wegen Widerstand, nicht wegen Rückständigkeit – sondern wegen eines Missverhältnisses zwischen Anspruch und Ressourcen.

Digitalisierung kann funktionieren. Aber sie funktioniert nur, wenn man die Menschen ernst nimmt, die sie täglich tragen sollen – und ihnen die professionelle Unterstützung gibt, die in jeder anderen komplexen Organisation selbstverständlich ist.