Fraunhofer-Institut für Offene Kommunikationssysteme
Fraunhofer-Institut für Offene Kommunikationssysteme

IT-Sicherheitskonzept für das Fachverfahren eGesundheitsamt in Thüringen

© iStock / sanjeri
Scientists walking in the corridor / DPS-Projekt eGat Thüringen

Ausgangslage und Problemstellung

Die Verwaltung in Thüringen bietet mit der Plattform eGesundheitsamt Thüringen einen zentralen Ort für Zusammenarbeit, Fallbearbeitung, Statistik, Informationen, Angebote und Online-Dienste der 22 kommunalen Gesundheitsämter. Das Fachverfahren eGesundheitsamt ist eine Komponente der Plattform und bietet Bürgerinnen und Bürgern sowie Einrichtungen wie Schulen, Kliniken oder Praxen einen einheitlichen, webbasierten Zugang zu den Leistungen der unteren Gesundheitsbehörden (Gesundheitsämter). Damit das Fachverfahren einwandfrei läuft und Daten sicher gespeichert werden, sind IT-Sicherheitsmaßnahmen notwendig. Die IT-Sicherheitsrichtlinie des Freistaats Thüringen und der BSI IT-Grundschutz bilden dafür die Grundlage.

Lösungsansatz und technische Umsetzung

Die Verwaltung des Freistaats Thüringen hat sich für die Anwendung des IT-Grundschutzes des Bundesamtes für Sicherheit in der Informationstechnik entschieden und setzt damit anerkannte Standards um. Im Auftrag des Thüringer Ministeriums für Soziales, Gesundheit, Arbeit und Familie (TMSGAF) hat das Team der Digital Public Services am Fraunhofer FOKUS den Schutzbedarf geprüft und ein Sicherheitskonzept erstellt. 

Unsere Leistung bezog sich auf eine mandantenfähige Web-Anwendung, die im virtuellen Rechenzentrum des Thüringer Landesrechenzentrums betrieben wird. Die Lösung basiert auf der Plattform „Nomic“ der InnoCon Systems GmbH und umfasst in der Zielarchitektur Schnittstellen zu verschiedenen Umsystemen wie E-Aktensysteme, Fit Connect, Statistisches Landesamt Thüringen, Thüringer Krebsregister sowie Drittsystemen des Bundes. Zudem ist eine Single-Sign-on-Lösung auf Basis von Keycloak integriert.

Unser Vorgehen richtete sich nach dem aktuellen BSI-Standard 200-2, der die Standardabsicherung – unter anderem für Geschäftsprozesse, Anwendungen, IT-Systeme – bezüglich der Vertraulichkeit, Integrität und Verfügbarkeit definiert. Für das Sicherheitskonzept übernahmen wir die Strukturanalyse mit Netzplanerhebung, die „Modellierung eines Informationsverbunds“, den Grundschutz-Check zur Identifikation der Anforderungen und die Umsetzung der Sicherheitskonzeption mit der Definition von Sicherheitsmaßnahmen, die dem erforderlichen/identifizierten Schutzbedarf entsprechen.