DE102008000348A1

DE102008000348A1 - Verfahren zur Signierung eines medizinischen Datenobjekts

Info

Publication number: DE102008000348A1
Application number: DE102008000348A
Authority: DE
Inventors: Frank Gotthardt
Original assignee: Compugroup Holding AG
Current assignee: Compugroup Medical SE and Co KGaA
Priority date: 2008-02-19
Filing date: 2008-02-19
Publication date: 2009-08-20
Anticipated expiration: 2028-02-20
Also published as: DE102008000348B4

Abstract

Die Erfindung betrifft ein Verfahren zur Signierung eines medizinischen Datenobjekts, wobei das medizinische Datenobjekt durch eine Funkerkennungsvorrichtung (140) signiert wird.

Description

Die Erfindung betrifft ein Verfahren zur Signierung eines medizinischen Datenobjekts, eine Funkerkennungsvorrichtung, ein Verfahren zum Anfordern und Empfangen einer Signatur eines medizinischen Datenobjekts, eine Datenverarbeitungseinrichtung sowie entsprechende Computerprogrammprodukte.
Aus dem Stand der Technik sind verschiedene Arten von Chipkarten bekannt. Einen allgemeinen Überblick über Chipkarten gibt dabei das „Handbuch der Chipkarten", Wolfgang Rankl, Wolfgang Effing, Carl Hanser Verlag, 1999.
Ein Anwendungsbereich von Chipkarten ist die Verwendung als elektronische Gesundheitskarte, welche in Zukunft die Krankenversichertenkarte in Deutschland ersetzen soll. Dabei ist eine der wichtigsten Pflichtanwendungen für die neue elektronische Gesundheitskarte das elektronische Rezept, das Ärzte in Zukunft über ihre EDV erstellen und Apotheker über ihren PC einlösen.
Um zum Beispiel ein elektronisches Rezept auszustellen und elektronisch zu signieren, ist die Verwendung eines elektronischen Heilberufsausweises (HBA) vorgesehen, welcher ein personenbezogener Sichtausweis im Checkkartenformat ist. Der HBA ist als Ausweis für die Gesundheitsberufe spezifiziert und ist Grundlage von elektronischen Ausweisen im Arzt-, Apotheken- und Zahnarztbereich. Analog zur elektronischen Gesundheitskarte enthält der HBA einen Mikrochip, der die Dienste der Authentifizierung, Verschlüsselung und elektronischen Signatur anbietet. Um ein elektronisches Rezept auszustellen und elektronisch zu signieren, muss ein Arzt seinen HBA in einen Kartenleser stecken und seine eigene PIN eingeben. Mit Hilfe eines Konnektors, einer kleinen Box zwischen Telefonbuchse und Praxis-PC, wird die Verordnung online an einen zentralen Server außerhalb der Arztpraxis übertragen und dort gespeichert. Für den Versand werden die Daten verschlüsselt, um sie vor Fremdzugriffen zu schützen. Möchte der Patient sein Rezept einlösen, zeigt er in der Apotheke seine elektronische Gesundheitskarte vor. Der Apotheker steckt die Karte in sein Lesegerät und erhält vom externen elektronischen Rezept-Server eine Übersicht über die Verordnungen, die der Patient einlösen kann. Nachdem er sich, ähnlich wie der Arzt, durch seine HBA ausgewiesen hat, kann der Apotheker das ausgewählte Rezept entschlüsseln. Nach der Ausgabe des Medikaments markiert er das Rezept als eingelöst und überführt es in die Liste der bereits ausgestellten Rezepte, d. h. in die Arzneimitteldokumentation des Patienten.
Problematisch bei der Verwendung des HBA ist, dass für jede zu signierende Überweisung der HBA des Arztes in einem entsprechenden Kartenleser stecken muss und er zur Signatur seine eigene PIN eingeben muss. Bei einer Vielzahl von täglich auszustellenden und zu signierenden Rezepten ergibt dies einen Arbeitsaufwand für einen behandelnden Arzt, welcher die Verwendung einer HBA zur Ausstellung eines elektronischen Rezepts als unpraktikabel erscheinen lässt, da der Arzt in erhebli chem Maße damit beschäftigt ist, ständig für jedes Rezept seine PIN neu einzugeben.
Im Übrigen muss, da eine Chipkarte verwendet wird, diese für jeden Signierungsvorgang aus Sicherheitsgründen erneut in den Chipkarten-Leser eingeführt werden, um beispielsweise eine Signierung durchzuführen. Ein Belassen der Chipkarte im Chipkarten-Leser stellt ein erhöhtes Sicherheitsrisiko dar, da somit eine unbefugte Person in einem unbeobachteten Augenblick die Chipkarte entwenden könnte. Außerdem haben kontaktbehaftete Karten den Nachteil, dass diese mechanisch aufwendige Kartenterminals erfordern, was bei einer häufigen Benutzung derselben zu hohem Verschleiß und damit zu entsprechend hohen Instandhaltungskosten für zum Beispiel eine Arztpraxis führt.
Der Erfindung liegt demgegenüber die Aufgabe zugrunde, ein verbessertes Verfahren zur Signierung eines medizinischen Datenobjektes, eine Funkerkennungsvorrichtung, ein verbessertes Verfahren zum Anfordern und Empfangen einer Signatur eines medizinischen Datenobjekts sowie eine verbesserte Datenverarbeitungseinrichtung und entsprechende Computerprogrammprodukte zu schaffen.
Die der Erfindung zugrunde liegenden Aufgaben werden jeweils mit den Merkmalen der unabhängigen Patentansprüche gelöst. Bevorzugte Ausführungsformen der Erfindung sind in den abhängigen Patentansprüchen angegeben.
Erfindungsgemäß wird ein Verfahren zur Signierung eines medizinischen Datenobjekts geschaffen, wobei das medizinische Datenobjekt durch eine Funkerkennungsvorrichtung signiert wird. Beispielsweise handelt es sich bei dieser Funkerkennungsvorrichtung um ein RFID-System, welches sich auf einer Chipkarte implementiert findet. Die erfindungsgemäße Funkerkennungsvorrichtung kann beispielsweise in Form eines elektronischen Heilberufsausweises zur berührungslosen Verwendung zum Zwecke der Authentifizierung, Signieren und Speichern personenbezogener Daten ausgebildet sein.
Aufgrund einer drahtlosen Telekommunikation der Funkerkennungsvorrichtung mit einem entsprechenden Lesegerät wird beispielsweise ein behandelnder Arzt dazu in die Lage versetzt, ständig im Besitz der Funkerkennungsvorrichtung, wie zum Beispiel des HBA, zu sein, da die Funkerkennungsvorrichtung in diesem Fall nicht mehr zur Verwendung in ein entsprechendes Lesegerät eingesteckt werden muss. Insbesondere in Krankenhäusern, wo Ärzte typischerweise ohnehin entsprechende Zugangskarten, Namensschilder usw. im Checkkartenformat bei sich tragen, bietet sich an, den HBA in diese entsprechenden, bereits vorhandenen checkkartenförmigen Authentifikationskarten zu integrieren. Das Risiko eines unbefugten Entwendens der Funkerkennungsvorrichtung wird minimiert, wohingegen der Komfort der Verwendung als HBA zur Signierung eines medizinischen Datenobjekts aufgrund der nicht notwendigen Einführung in ein entsprechendes Lesegerät gesteigert wird.
Nach einer Ausführungsform der Erfindung erfolgt eine Signierung nur dann, wenn eine Freischaltungsbedingung der Signierung des medizinischen Datenobjekts erfüllt ist. Beispielsweise handelt es sich bei der Freischaltungsbedingung um eine vorgegebene Zeitdauer und/oder eine vorgegebene Anzahl an Signierungsvorgängen. Um dies zu realisieren, wird beispielsweise beim Anmelden der Funkerkennungsvorrichtung an einem Lesegerät die Freischaltungsbedingung auf der Funkerkennungsvorrichtung initialisiert.
Der Begriff „Lesegerät" ist hier allgemein als „Leseeinheit" zu verstehen, die sowohl eine eingeständige Hardwareeinheit bilden kann, oder auch lediglich ein integrierter Teil z. B. eines Arztinformationssystems sein kann.
Beispielsweise wird bei der Initialisierung eine entsprechende Zeitdauer auf der Funkerkennungsvorrichtung gespeichert, wobei für die Signierung eine aktuelle Zeit gelesen wird, wobei die Freischaltungsbedingung der Signierung erfüllt ist, wenn die aktuelle Zeit die vorgegebene Zeitdauer nicht überschreitet. Alternativ oder zusätzlich dazu ist es möglich, bei der Initialisierung einen Zähler für eine Signierungsanzahl auf der Funkerkennungsvorrichtung zurückzusetzen, wobei bei jedem Signierungsvorgang die Signierungsanzahl erhöht wird, und die Freischaltungsbedingung der Signierung erfüllt ist, wenn die aktuelle Signierungsanzahl die vorgegebene Anzahl an Signierungsvorgängen nicht überschreitet.
Die Verwendung einer solchen „Komfortsignatur" hat den Vorteil, dass zum Beispiel bei der Verwendung einer vorgegebenen Zeitdauer der Arzt lediglich einmal seine PIN zur Signierung eines medizinischen Datenobjekts in ein entsprechendes Lesegerät eingeben muss, um daraufhin für jeden weiteren folgenden Signierungsvorgang von medizinischen Datenobjekten lediglich eine solche Signierung durch zum Beispiel einen einfachen Tastendruck am Lesegerät oder seines Bürocomputers zu bestätigen. Aus Sicherheitsgründen muss schließlich der Arzt nach Ablauf einer vorgegebenen Zeitdauer bzw. nach einer vorgegebenen maximalen Anzahl von Signierungsvorgängen seine PIN erneut eingeben. In allen Fällen trägt der behandelnde Arzt die Funkerkennungsvorrichtung zum Beispiel in Form des HBA ständig bei sich, ein Einführen der HBA in ein entsprechendes Kartenterminal entfällt wie obig beschrieben durch die Verwendung eines berührungslosen Datenübertragungsvorgangs, zum Beispiel in Form der Verwendung eines RFID-Systems.
Nach einer Ausführungsform der Erfindung handelt es sich bei der Freischaltungsbedingung um ein biometrisches Merkmal, wobei das Verfahren ferner die Schritte des Empfangens und Verifizieren des biometrischen Merkmals umfasst, wobei die Freischaltungsbedingung erfüllt ist, wenn das gelesene biometrische Merkmal durch die Funkerkennungsvorrichtung verifiziert wurde. Beispielsweise kann hier ein Fingerabdruckscan verwendet werden, um entweder zusammen mit der Eingabe der PIN oder alternativ dazu die Verwendung der Funkerkennungsvorrichtung zu autorisieren, oder es ist möglich, anstatt des Drückens einer Bestätigungstaste zum Durchführen des Signierungsvorgangs, jedes Mal einen Fingerabdruckscan durchzuführen. Dieser muss allerdings rasch genug durchgeführt werden können, sodass hier keine Verzögerungen im Arbeitsfluss eines signierenden Arztes entstehen.
Nach einer Ausführungsform der Erfindung umfasst das Verfahren ferner die Schritte des Empfangens einer eindeutigen Identifikation des medizinischen Datenobjekts oder des medizinischen Datenobjektes selbst von dem Lesegerät, wobei der Empfang über eine Funkverbindung erfolgt, der Verschlüsselung der eindeutigen Identifikation des medizinischen Datenobjekts mit einem Schlüssel und damit Erzeugung der Signatur, wobei der erste Schlüssel nicht auslesbar auf dem tragbaren Datenträger gespeichert ist und dem Senden der Signatur an das Lesegerät. Hierbei handelt es sich bei der Vorgehensweise zur Erzeugung der Signatur lediglich um eine beispielhafte Vorgehensweise, wobei weitere gängige Verfahren zum Erzeugen einer Signatur, wie sie nach dem Stand der Technik bekannt sind, verwendet werden können. Beispielsweise handelt es sich bei der eindeutigen Identifikation des medizinischen Datenobjekts um einen Hash-Wert des medizinischen Datenobjektes.
Nach einer weiteren Ausführungsform der Erfindung wird beim Anmelden der Funkerkennungsvorrichtung an dem Lesegerät eine Benutzeridentifikation für die Funkerkennungsvorrichtung durch eine gesicherte Datenübertragung von dem Lesegerät empfangen. Eine Signierung erfolgt nur dann, wenn die Benutzeridentifikation durch die Funkerkennungsvorrichtung verifiziert wurde. Hierbei kann es sich beispielsweise um die Eingabe einer PIN oder auch um die Übertragung eines aufgenommenen biometrischen Merkmals handeln, wobei die PIN bzw. das biometrische Merkmal verschlüsselt von dem Lesegerät an die Funkerkennungsvorrichtung übertragen wird. Die Funkerkennungsvorrichtung kann eine Benutzerverifikation beispielsweise durchführen, indem im Falle der Verwendung einer verschlüsselten Datenübertragung die Datenübertragung entschlüsselt wird und die somit entschlüsselte Benutzeridentifikation mit einer Benutzeridentifikation verglichen wird, welche in einem Speicher der Funkerkennungsvorrichtung enthalten ist. Alternativ kann die Funkerkennungsvorrichtung die auch in ihrem Speicher gespeicherte Benutzeridentifikation mit demselben Algorithmus verschlüsseln, welcher auch für die gesicherte Datenübertragung verwendet wird, um somit verschlüsselte Werte der Benutzeridentifikation zur Verifizierung zu vergleichen.
Es sei noch darauf hingewiesen, dass eine gesicherte Datenübertragung über die Funkverbindung für alle Telekommunikationen zwischen dem Lesegerät und der Funkerkennungsvorrichtung bevorzugt ist. Dies verhindert effizient ein unbefugtes Ausspähen von Daten.
Nach einer Ausführungsform der Erfindung werden beim Anmelden der Funkerkennungsvorrichtung an dem Lesegerät ferner die Schritte ausgeführt des Sendens einer eindeutigen Kennung der Funkerkennungsvorrichtung an das Lesegerät, wobei der eindeutigen Kennung der Funkerkennungsvorrichtung ein zweiter Schlüssel zugeordnet ist. In einem weiteren Schritt erfolgt das Empfangen der Benutzeridentifikation für die Funkerkennungsvorrichtung von dem Lesegerät, wobei diese Benut zeridentifikation mit dem zweiten Schlüssel verschlüsselt ist und in einem letzten Schritt erfolgt schließlich das Entschlüsseln der Benutzeridentifikation zum Zwecke der Verifikation in der Funkerkennungsvorrichtung selbst.
Vorzugsweise bilden der erste Schlüssel und der zweite Schlüssel ein asymmetrisches kryptographisches Schlüsselpaar, wobei die Entschlüsselung der Benutzeridentifikation unter Verwendung des ersten Schlüssels erfolgt. In diesem Fall kann beispielsweise eine externe Datenbank, welche zu einem Trust-Center gehört, zum Einsatz kommen, der für eine beliebige Anzahl von Funkerkennungsvorrichtungen entsprechende öffentliche Schlüssel bereithält. Ein solch zertifiziertes Unternehmen dient als Zertifizierungsstelle, welche digitale Zertifikate herausgibt. Ein solches Zertifikat enthält dann schließlich den besagten zweiten Schlüssel, welcher der jeweiligen Funkerkennungsvorrichtung zugeordnet ist. Durch die Verwendung des asymmetrischen Schlüsselpaars ist es möglich, die Eingabe einer PIN bzw. beliebiger Daten durch das Lesegerät mit dem zweiten Schlüssel zu verschlüsseln, was ausschließlich die Funkerkennungsvorrichtung, welche den zugehörigen ersten privaten Schlüssel besitzt, in die Lage versetzt, die empfangenen Daten zum Beispiel in Form einer PIN oder in Form von Patientendaten zu entschlüsseln.
Eine sichere Datenübertragung zwischen dem Lesegerät und der Funkerkennungsvorrichtung kann allgemein unter Verwendung bekannter Trusted-Channel-Verfahren erfolgen, wie sie auch bei der Verwendung klassischer Smartcards zum Einsatz kommen. Diese Verfahren sind wichtig, um die Luftschnittstelle zwischen Funkerkennungsvorrichtung und Lesegerät gegen unbefugte externe Angriffe zu sichern.
Beispielsweise können zur Überprüfung einer Kennung verschiedene Techniken zum Einsatz kommen, wie der Strong Password Only Authentication Key Exchange (SPAKE), dem Bellovin-Merritt Protocol, dem Password Authenticated Connection Establishment (PACE) oder dem Diffie-Hellman Encrypted Key Exchange (DH-EKE). Solche Protokolle sind beispielsweise in der US 6,792,533 B2 und US 7,139,917 B2 sowie der US 5,241,599 offenbart.
Nach einer Ausführungsform der Erfindung wird beim Empfang der eindeutigen Identifikation des medizinischen Datenobjekts oder des medizinischen Datenobjekts selbst von dem Lesegerät zusätzlich eine Funkerkennungsvorrichtungs-Kennung von dem Lesegerät empfangen, wobei eine Signierung nur dann erfolgt, wenn die empfangene Funkerkennungsvorrichtungs-Kennung einer Funkerkennungsvorrichtungs-Kennung der Funkerkennungsvorrichtung entspricht. Eine solche zusätzliche Übertragung einer Funkerkennungsvorrichtungs-Kennung hat den Vorteil, dass insbesondere in Krankenhäusern, wo mehrere Funkerkennungsvorrichtungen parallel zum Einsatz kommen, medizinische Datenobjekte speziell zur Signierung an einen bestimmten Arzt gerichtet werden können, welche eine entsprechende Funkerkennungsvorrichtung besitzt. Damit können mehrere Funkerkennungsvorrichtungen mit einem Lesegerät gleichzeitig verbunden sein, wobei eindeutig eine Signierungsanfrage eines medizinischen Datenobjekts an explizit eine der Funkerkennungsvorrichtungen gerichtet wird, indem die Kennung der Funkerkennungsvorrichtung zusammen mit der eindeutigen Identifikation des medizinischen Datenobjekts oder des medizinischen Datenobjekts selbst von dem Lesegerät empfangen wird.
Nach einer Ausführungsform der Erfindung wird beim Anmelden der Funkerkennungsvorrichtung an dem Lesegerät ferner ein Code von dem Lesegerät empfangen, der Code mit dem ersten Schlüssel verschlüsselt und von der Funkerkennungsvorrichtung zurück an das Lesegerät übertragen. Das Lesegerät ist daraufhin in der Lage, mit dem öffentlichen zweiten Schlüssel, welcher zuvor von beispielsweise einem Trust-Center abgerufen wurde, die Echtheit der Funkerkennungsvorrichtung zu verifizieren, um somit weitere Kommunikationen mit der Funkerkennungsvorrichtung fortzusetzen. Allgemein können hier jedoch alle Arten von bekannten und vorhandenen Challenge-Response-Verfahren eingesetzt werden.
Der obig beschriebene Code, welcher von dem Lesegerät empfangen wird, ist vorzugsweise eine Zufallszahl bzw. eine zufällige Zeichenkombination, sodass auch ein Ausspähen des Codes, welcher im Klartext vom Lesegerät an die Funkerkennungsvorrichtung keine Rückschlüsse auf den verwendeten ersten Schlüssel der Funkerkennungsvorrichtung zulässt.
Nach einer Ausführungsform der Erfindung umfasst das Verfahren ferner den Schritt des Deaktivierens der Funkerkennungsvorrichtung, wobei im Falle des Empfangens eines Deaktivierungsbefehls von dem Lesegerät eine dauerhafte Deaktivierung der Funkerkennungsvorrichtung erfolgt. Eine solche elektronische Zerstörung oder Deaktivierung der Funkerkennungsvorrichtung kann beispielsweise sinnvoll sein, wenn ungültig gewordene Funkerkennungsvorrichtungen, wie zum Beispiel bei Verlust oder Diebstahl, aus Sicherheitsgründen dauerhaft aktiviert werden müssen. Dabei kann die Information, ob eine Funkerkennungsvorrichtung gültig oder ungültig ist beispielsweise ebenfalls von dem Trust-Center abgerufen werden, beispielsweise beim Übermitteln der Kennung der Funkerkennungsvorrichtung zum Empfang des zweiten Schlüssels der Funkerkennungsvorrichtung.
In einem weiteren Aspekt betrifft die Erfindung ein Computerprogrammprodukt mit von einem Computer ausführbaren Instruktionen zur Durchführung des erfindungsgemäßen Verfahrens zur Signierung eines medizinischen Datenobjekts.
In einem weiteren Aspekt betrifft die Erfindung eine Funkerkennungsvorrichtung, wobei die Funkerkennungsvorrichtung zur Signierung eines medizinischen Datenobjektes ausgebildet ist. Dabei erfolgt die Signierung des medizinischen Datenobjekts durch die obig beschriebene sichere verschlüsselte Datenübertragung zwischen dem Lesegerät und der Funkerkennungsvorrichtung auf drahtlosem Wege. Es sei angemerkt, dass kurze Reichweiten der Verbindung zwischen dem Lesegerät und der Funkerkennungsvorrichtung bevorzugt werden, um damit das Aufzeichnen von Kommunikationsprotokollen durch Dritte zu erschweren.
In einem weiteren Aspekt betrifft die Erfindung ein Verfahren zum Anfordern und Empfangen einer Signatur eines medizinischen Datenobjekts durch eine Datenverarbeitungseinrichtung, wobei die Signatur von einer Funkerkennungsvorrichtung angefordert und empfangen wird.
In einem weiteren Aspekt betrifft die Erfindung betrifft die Erfindung ein Computerprogrammprodukt mit von einem Computer ausführbaren Instruktionen zur Durchführung des erfindungsgemäßen Verfahrens zum Anfordern und Empfangen einer Signatur eines medizinischen Datenobjekts durch eine Datenverarbeitungsvorrich tung. In einem noch weiteren Aspekt betrifft die Erfindung eine Datenverarbeitungseinrichtung, wobei die Datenverarbeitungseinrichtung Mitteln zum Anfordern und Empfangen einer Signatur eines medizinischen Datenobjekts aufweist, wobei die Mittel zum Anfordern der Signatur von einer Funkerkennungsvorrichtung ausgebildet sind.
Im Folgenden werden Ausführungsformen der Erfindung anhand der Zeichnungen näher erläutert. Es zeigen:
1: ein Blockdiagramm einer Ausführungsform eines Datenverarbeitungssystems und einer RFID-Chipkarte,
2: ein Flussdiagramm einer Ausführungsform eines Verfahrens zur Signierung von medizinischen Datenobjekten,
3: ein Flussdiagramm einer Ausführungsform einer Signatur-Gültigkeitsüberprüfung.
Im Folgenden sind einander ähnliche Elemente mit denselben Bezugszeichen gekennzeichnet.
Die 1 zeigt ein Blockdiagramm einer Ausführungsform eines Datenverarbeitungssystems 100 und einer RFID-Chipkarte 140. Das Datenverarbeitungssystem 100 kann beispielsweise ein Arztinformationssystem, Apothekeninformationssystem oder Krankenhausinformationssystem sein. Das Datenverarbeitungssystem 100 kann beispielsweise als Computer ausgebildet sein, wobei der Computer üblicherweise einen Bildschirm 106 und Eingabemittel, in Form beispielsweise einer Tastatur oder einer Maus, 108 aufweist, um damit entsprechende Rezeptdaten, Patientendaten usw. in einem Speicher 102 des Computers einzugeben. Wie in der 1 gezeigt, sind bereits Daten 110 in dem Speicher 102 enthalten. Hierbei handelt es sich in allgemeiner Weise um medizinische Daten, wie zum Beispiel Name und Anschrift von Patienten, Verordnungen, Diagnosen, medizinische Bilddaten usw. Der Speicher 102 beinhaltet ferner diverse Softwaremodule 112, welche zur Ver- und Entschlüsselung von Daten, Erzeugung von Hash-Werten und beliebigen Datenverarbeitungsoperationen verwendet werden können.
Über eine Schnittstelle 116 sind an das Datenverarbeitungssystem 100 ferner ein Lesegerät 120 und eine Funkschnittstelle 118 angeschlossen. Das Lesegerät 120 dient dabei zum Lesen einer Chipkarte, zum Beispiel eine Gesundheitskarte 124.
Die Gesundheitskarte 124 weist einen Speicher 126 und eine Prozessor 134 auf. Über seine Schnittstelle 136 kann die Chipkarte 124 mit dem Lesegerät 120 in kontaktbehafteter Weise kommunizieren. Die Chipkarte 124 beispielsweise in Form einer personalisierter Gesundheitskarte eines Patienten weist in deren Speicher einen privaten Schlüssel 128 auf, eine eindeutige Patientenkennung (GUID = Global Unique Identifier) 130 sowie verschiedene Softwaremodule 132. Die Softwaremodule 132 dienen dabei in bekannter Weise nach dem Stand der Technik dazu, um verschiedene Ver- und Entschlüsselungsoperationen beispielsweise unter Verwendung des privaten Schlüssels 128 durchzuführen.
Über die Funkschnittstelle 118 kommuniziert das Datenverarbeitungssystem 100 mit einer Funkschnittstelle 138 einer RFID-Chipkarte 140. Bei der RFID-Chipkarte 140 handelt es sich beispielsweise um einen Heilberufsausweis eines Arztes in Chipkartenform. Die RFID-Chipkarte 140 weist in ähnlicher Weise wie die Gesundheitskarte 124 einen Speicher 142 auf, welcher unter anderem einen privaten Schlüssel 144 der RFID-Chipkarte, eine GUID 146 der RFID-Chipkarte und entsprechende Softwaremodule 148 enthält. Zur Durchführung von Softwareoperationen auf der RFID-Chipkarte 140 ist ferner ein Prozessor 150 vorgesehen sowie eine Schnittstelle 152, über welche eine Kommunikation über die Funkschnittstelle 138 mit dem Computer 100 möglich ist.
Die Schnittstelle 116 des Datenverarbeitungssystems 100 dient ferner dazu, um eine Kommunikation des Datenverarbeitungssystems 100 über ein Netzwerk 154, zum Beispiel das Internet, ein Funknetzwerk, wie zum Beispiel ein profiles Telekommunikations-Netzwerk oder Ähnliches, zu ermöglichen. Letzteres ist insbesondere dann von Vorteil, wenn ein entsprechendes Datenverarbeitungssystem 100 in einer vereinfachten Form, beispielsweise in einem Krankenwagen, zum Einsatz kommt: In diesem Fall kann die RFID-Chipkarte 140 eines Arztes allgemein dazu verwendet werden, um beliebige Kommunikationen des Computersystems 100 mit einem externen Computersystem über ein drahtloses Netzwerk 154, wie zum Beispiel ein mobiles Telekommunikations-Netzwerk zu ermöglichen.
An das Netzwerk 154 ist beispielsweise ein Trust-Center 156 angeschlossen, wobei es sich bei diesem Trust-Center um eine Zertifizierungsstelle handelt, welche Zertifikate beispielsweise zusammen mit entsprechenden Schlüsseln für die RFID-Chipkarte 140 bzw. die Gesundheitskarte 124 ausgeben kann. Allgemein ist unter dem Trust-Center 156 eine so genannte Public Key Infrastruktur zu verstehen. Wie in der 1 gezeigt, speichert der Trust-Center 156 beispielsweise einen öffentlichen Schlüssel 158, welcher der Chipkarte 140 zugeordnet ist, sowie einen öffentlichen Schlüssel 160, welcher der Gesundheitskarte 124 zugeordnet ist.
Ferner ist an das Datenverarbeitungssystem 100 eine Datenbank 162 angeschlossen, auf welcher beispielsweise in verschlüsselter Form Rezeptdaten 164 gespeichert sind. Diese Rezeptdaten können beispielsweise von einem Apothekensystem abgerufen werden, sodass ein Patient in der Lage ist, entsprechende elektronische Rezepte einzulösen.
Im Folgenden sei in grober Weise die Vorgehensweise zur Signierung eines medizinischen Datenobjektes skizziert. So nimmt beispielsweise ein behandelnder Arzt, welcher in Besitz einer RFID-Chipkarte 140 in Form eines Heilberufsausweises ist, Patientendaten mit dem Computersystem 100 auf. Der Arzt gibt die Patientendaten unter Verwendung der Tastatur 108 ein, woraufhin diese Daten im Speicher 102 in Form von Daten 110 gespeichert werden. Beispielsweise wird hierzu die Gesundheitskarte 124 des Patienten in das Lesegerät 120 gesteckt, wodurch sich Informationen, wie zum Beispiel Versicherungsstammdaten, schnell und einfach in das Computersystem 100 einlesen lassen. Das PIN-Pad 114 zur Eingabe einer Kennung dient beispielsweise dazu, um es einem Patienten zu ermöglichen, den Arzt zu autorisieren, beispielsweise die Medikamentenhistorie des Patienten von einer externen Datenbank, zum Beispiel der Datenbank 162, abzufragen, um zu überprüfen, ob dem Patienten in der Vergangenheit Arzneimittel verschrieben wurden, die sich nicht mit einem aktuellen Medikament vertragen. Die Eingabe der Kennung mittels des PIN-Pads 114 ist deshalb notwendig, da zur Abfrage von solchen Daten das Einverständnis des Patienten erforderlich ist. Der private Schlüssel 128, welcher auf der Gesundheitskarte 124 gespeichert ist, sowie der öffentliche Schlüssel 160 der Gesundheitskarte 124 dienen dabei dazu, um auf gesicherte Art und Weise Daten auszutauschen, zu speichern usw.
Nun sei angenommen, dass der behandelnde Arzt ein entsprechendes Rezept ausstellen will. Der Arzt gibt die Rezeptdaten in das Datenverarbeitungssystem 100 ein, und ruft nun ein entsprechendes Modul 112 des Datenverarbeitungssystems 100 auf, um hieraus ein elektronisches Rezept zu generieren. Dies führt im einfachsten Fall dazu, dass eine Funkverbindung unter Verwendung der Funkschnittstellen 118 und 138 aufgebaut wird, um somit eine Kommunikation zwischen dem Computer 100 und der RFID-Chipkarte 140 des behandelnden Arztes zu ermöglichen. Zuerst muss jedoch die RFID-Chipkarte 140 zur Verwendung durch den behandelnden Arzt zur Signierung des elektronischen Rezepts autorisiert werden. Hierzu wird die GUID 146 von der Chipkarte 140 an das Computersystem 100 übermittelt, und von dort über das Netzwerk 144 an den Trust-Center 156. Im Gegenzug liefert der Trust-Center 156 an den Computer 100 ein digitales Zertifikat, welches den öffentlichen Schlüssel 158 der RFID-Chipkarte 140 enthält. Gibt nun ein behandelnder Arzt zum Beispiel unter Verwendung des PIN-Pads 114 einen entsprechenden Autorisationscode ein, wird dieser Autorisationscode mit dem öffentlichen Schlüssel 158 verschlüsselt und daraufhin über die Funkschnittstellen 118 und 138 an die RFID-Chipkarte 140 übermittelt. Die RFID-Chipkarte überprüft daraufhin unter Verwendung des Moduls 148, ob die eingegebene PIN einer PIN entspricht, welche auf der RFID-Chipkarte 140 gespeichert ist. Dazu wird unter Verwendung des privaten Schlüssels 144 die mit dem öffentlichen Schlüssel 158 verschlüsselte PIN entschlüsselt.
Im Falle dessen, dass die PIN durch die RFID-Chipkarte 140 verifiziert wurde, kann zusätzlich nun im Gegenzug die Echtheit der RFID-Chipkarte 140 durch das Computersystem 100 verifiziert werden. Dazu wird eine zufällige Zahl über die Funkschnittstellen 118 und 138 an die RFID-Chipkarte 140 versendet, woraufhin die RFID-Chipkarte diese zufällige Zahl mit dem privaten Schlüssel 144 verschlüsselt. Die so verschlüsselte zufällige Zahl wird zurückübermittelt an das Datenverarbeitungssystem 100 und dort unter Verwendung des öffentlichen Schlüssels 158 der Chipkarte 140 entschlüsselt. Entspricht diese entschlüsselte zufällige Zahl der zufäl ligen Zahl, welche zuvor an die Chipkarte 140 im Klartext übermittelt wurde, kann davon ausgegangen werden, dass die Echtheit der RFID-Chipkarte 140 gegeben ist.
Nach diesem Anmeldevorgang erfolgt nun der eigentliche Datenaustausch zur Signierung der Rezeptdaten, welche im Datenverarbeitungssystem 100 enthalten sind. Dazu generiert beispielsweise das Datenverarbeitungssystem 100 einen Hash-Wert der Rezeptdaten, wobei dieser Hash-Wert verschlüsselt oder unverschlüsselt an die RFID-Chipkarte 140 übermittelt wird. Dieser Hash-Wert wird daraufhin mit dem privaten Schlüssel 144 der Chipkarte 140 verschlüsselt und zurück an das Datenverarbeitungssystem 100 übermittelt. Nach einer Ausführungsform der Erfindung kann nun das Datenverarbeitungssystem 100 einen zufälligen symmetrischen Schlüssel erzeugen, wobei der zufällige symmetrische Schlüssel dazu verwendet wird, um das elektronische Rezept zu verschlüsseln. Der symmetrische Schlüssel, welcher zufällig erzeugt wurde, kann daraufhin mit dem öffentlichen Schlüssel der Gesundheitskarte 124 verschlüsselt werden. Dieser öffentliche Schlüssel kann wiederum von einem Trust-Center 156 heruntergeladen werden. Schließlich wird der so verschlüsselte symmetrische Schlüssel zusammen mit dem verschlüsselten Hash-Wert in der Datenbank 162 als Rezept 164 gespeichert. Der verschlüsselte Hash-Wert bildet dabei die Signatur des Rezeptes.
Um nun ein Rezept in einer Apotheke einzulösen, genügt es, die Gesundheitskarte 124 des Patienten in einem entsprechenden Apotheken-Datenverarbeitungssystem einzuführen, woraufhin unter Verwendung der GUID 130 des Patienten das entsprechende verschlüsselte Rezept 164 von der Datenbank 162 gelesen werden kann. Unter Verwendung des privaten Schlüssels 128 kann nun der ebenfalls auf der Datenbank 162 gespeicherte symmetrische Schlüssel entschlüsselt werden, woraufhin unter Verwendung des entschlüsselten symmetrischen Schlüssels eine Entschlüsselung des eigentlichen elektronischen Rezeptes durchgeführt werden kann. Um die Echtheit des Rezeptes zu überprüfen, kann unter Verwendung des öffentlichen Schlüssels 158 der RFID-Chipkarte 140 des behandelnden Arztes die Signatur entschlüsselt werden, sodass der Hash-Wert erhalten werden kann. Der Hash-Wert entspricht dabei dem Hash-Wert, welcher von einem Apotheken-Datenverarbeitungssystem von dem entschlüsselten Rezept gebil det werden kann. Stimmt schließlich der Hash-Wert, der von dem Apotheken-Datenverarbeitungssystem gebildet wurde, mit dem entschlüsselten Hash-Wert überein, ist das Rezept als echt ausgewiesen und eine Einlösung des Rezeptes in der Apotheke möglich.
Es sei noch darauf hingewiesen, dass das PIN-Pad 114 sowie der Biometrie-Scanner 122 dazu dienen, um weitere Sicherheitsstufen für die Signierung eines elektronischen Rezeptes einzuführen. So kann beispielsweise der Biometrie-Scanner zusätzlich für jede PIN-Eingabe eines behandelnden Arztes verwendet werden, wobei Biometriedaten in verschlüsselter Weise zur RFID-Chipkarte 140 übertragen werden, um somit eine Autorisierung eines behandelnden Arztes festzustellen.
In einer weiteren alternativen Ausführungsform der Erfindung ist es auch möglich, verschiedene weitere Module 148 auf der RFID-Chipkarte 140 zu implementieren, welche es erlauben, die obig beschriebene Komfortsignatur umzusetzen. So kann eines dieser Module dazu verwendet werden, um bei jedem Signierungsvorgang einen entsprechenden Zähler der RFID-Chipkarte zu erhöhen. Erst nach Erreichen einer bestimmten Anzahl von Signierungsvorgängen wird am Bildschirm 106 des Datenverarbeitungssystems 100 die Aufforderung angezeigt, erneut eine PIN-Eingabe über das PIN-Pad 114 vorzunehmen. Somit ist zum Beispiel nur für jeden zehnten Signierungsvorgang die Eingabe einer PIN erforderlich, was die Sicherheit des Signierungsverfahrens nur unerheblich verschlechtert, hingegen die Arbeitsökonomie beträchtlich erhöht.
Vorzugsweise sind auch das Lesegerät 120 und die Funkschnittstelle 118 in ein universelles Lesegerät integriert. In dem Fall entfällt für eine Arztpraxis oder ein Krankenhaus die Notwendigkeit, eine Vielzahl von verschiedenen Kommunikationskomponenten zu installieren.
Die 2 zeigt ein Flussdiagramm einer Ausführungsform eines Verfahrens zur Signierung von medizinischen Datenobjekten. In Schritt 200 gelangt eine RFID-Funkerkennungsvorrichtung, zum Beispiel in Form eines Heilberufsausweises HBA, in Reichweite eines entsprechenden Empfängers eines Arztinformationssystems.
Dies führt dazu, dass der HBA im Schritt 202 aktiviert wird. Beispielsweise kann dadurch der HBA automatisch dazu veranlasst werden, seine Kennung an das Lesegerät bzw. das Datenverarbeitungssystem zu übermitteln. Daraufhin wird im entsprechenden Datenverarbeitungssystem in Schritt 204 eine Aufforderung angezeigt, eine entsprechende Kennung der HBA, zum Beispiel in Form einer HBA-PIN einzugeben.
Nach Eingabe dieser PIN in das Lesegerät bzw. das Datenverarbeitungssystem in Schritt 204 erfolgt in Schritt 206 eine gesicherte Datenübertragung der PIN an das HBA. Beispielsweise kann diese gesicherte Datenübertragung der PIN an das HBA in Form der Schritte 208 bis 212 durchgeführt werden. So sendet beispielsweise in Schritt 208 der HBA seine Kennung an das Arztinformationssystem, welche daraufhin an eine entsprechende Datenbank, beispielsweise ein Trust-Center, übermittelt wird. Die Datenbank enthält dabei einen öffentlichen Schlüssel, welcher der HBA zugeordnet ist. Dieser öffentliche Schlüssel wird daraufhin vom Datenverarbeitungssystem der Arztpraxis empfangen, und dazu verwendet, um die eingegebene PIN zu verschlüsseln. Die somit verschlüsselte PIN wird in Schritt 210 vom Lesegerät an den HBA übermittelt und von diesem empfangen. In Schritt 212 kann nun der HBA diese verschlüsselte PIN mit dem privaten Schlüssel entschlüsseln, welcher auf der HBA in nicht auslesbarer Weise festgelegt ist. Entweder nach Schritt 206 oder nach den Schritten 208 bis 212 erfolgt dann schließlich durch den HBA in Schritt 214 die Überprüfung, ob die eingegebene PIN korrekt ist. Ist dies nicht der Fall, so ist die in Schritt 216 gezeigte erneute PIN-Eingabe erforderlich, welches dann schließlich zurück zu Schritt 204 verzweigt.
War jedoch die eingegeben PIN korrekt, wird nach Schritt 214 in Schritt 218 ein zufälliger Wert von dem Lesegerät empfangen. Der HBA verschlüsselt in Schritt 220 diesen zufälligen Wert mit seinem privaten HBA-Schlüssel, um daraufhin in Schritt 222 den verschlüsselten zufälligen Wert zurück an das Lesegerät bzw. den Empfänger des Datenverarbeitungssystems zu übermitteln. Es sei in diesem Zusammenhang darauf hingewiesen, dass in der vorliegenden Schrift „Lesegerät" allgemein als Empfänger der drahtlosen Telekommunikation zwischen dem Datenverarbeitungssystem und dem drahtlosen HBA verstanden werden soll.
Nachdem in Schritt 222 diese verschlüsselte PIN an das Lesegerät übermittelt wurde, wird in Schritt 224 durch das Datenverarbeitungssystem überprüft, ob der HBA autorisiert ist. Dies erfolgt dadurch, dass unter Verwendung des öffentlichen HBA-Schlüssels eine Entschlüsselung des mit dem privaten HBA-Schlüssel verschlüsselten zufälligen Wertes durchgeführt wird, wobei im Falle dessen, dass der private und öffentliche HBA-Schlüssel ein asymmetrisches, zueinander zugehöriges Schlüsselpaar, bilden, eine Entschlüsselung nach Erhalt des zufälligen Wertes möglich ist.
Ergibt Schritt 224, dass der HBA nicht autorisiert ist, so erfolgt in Schritt 244 ein Abbruch der Datenübertragungsvorgänge. Ergibt jedoch Schritt 224, dass der HBA autorisiert ist, wird in Schritt 226 ein Hash-Wert eines zu signierenden Datenobjektes, zum Beispiel eines elektronischen Rezeptes, von dem Lesegerät empfangen. Daraufhin überprüft in Schritt 228 der HBA, ob eine solche Signierung autorisiert ist. Eine Autorisation einer solchen Signierung kann zum Beispiel durch eine einfache PIN-Eingabe am Lesegerät bzw. Datenverarbeitungssystem erfolgen, oder es kann eine obig beschriebene Komfortsignatur verwendet werden. Diese ist weiter unten in 3 im Detail beschrieben.
Im Falle dessen, dass eine Signierung nicht autorisiert ist, erfolgt nach Schritt 228 wiederum Schritt 244, der Abbruch aller Datenübertragungsvorgänge.
Ist jedoch eine Signierung autorisiert, so erfolgt in Schritt 230 eine Verschlüsselung des vom Lesegerät empfangenen Hash-Wertes des zu signierenden Datenobjekts mit dem privaten HBA-Schlüssel. Der so verschlüsselte Hash-Wert bildet die Signatur des zu signierenden medizinischen Datenobjektes. In Schritt 232 wird der verschlüsselte Hash-Wert als Signatur an das Lesegerät übermittelt, woraufhin in Schritt 234 das Lesegerät einen symmetrischen Schlüssel erzeugt. In Schritt 236 wird das Datenobjekt mit dem symmetrischen Schlüssel verschlüsselt, woraufhin in Schritt 238 der öffentliche Schlüssel der Gesundheitskarte zum Beispiel von einer externen Datenbank, wie einem Trust-Center, gelesen wird. In Schritt 240 erfolgt die Verschlüsselung des symmetrischen Schlüssels mit dem öffentlichen Schlüssel der Patientenkarte des Patienten, woraufhin in Schritt 242 schließlich ein Speichern des verschlüsselten Datenobjektes, des verschlüsselten symmetrischen Schlüssels und der Signatur auf einer entsprechenden Rezeptdatenbank erfolgt. Die Schritte 234 bis 242 werden dabei von dem Datenverarbeitungssystem, zum Beispiel dem Arztinformationssystem, durchgeführt.
Wie bereits oben erwähnt, wurde in Schritt 228 überprüft, ob eine Autorisierung der Durchführung einer Signierung vorliegt. Anstatt einen behandelnden Arzt, welcher im Besitz der HBA ist, jedes Mal erneut aufzufordern, eine entsprechende Autorisationskennung in Form einer PIN oder einer beliebigen Zeichenkombination oder eines biometrischen Merkmals am Datenverarbeitungssystem einzugeben, ist es auch möglich, eine Komfortsignatur zu verwenden.
Dazu zeigt die 3 ein Flussdiagramm einer Ausführungsform einer der Komfortsignatur entsprechenden Signaturgültigkeitsüberprüfung. Der Schritt 226 mit dem Empfang des Hash-Wertes entspricht in der 3 auch dem Empfang des Hash-Wertes (Schritt 226) der 2. Der Schritt 228 der 2 entspricht außerdem den Schritten 300 bis 318 der 3.
Nachdem also in Schritt 226 ein Hash-Wert empfangen wurde, wird in Schritt 300 überprüft, ob eine neue Initialisierung von Freischaltungsbedingungen der HBA notwendig sind. Eine solche Initialisierung ist beispielsweise notwendig, nachdem eine HBA einen vorgegebenen Zeitraum nicht benutzt wurde oder im entsprechenden Datenverarbeitungssystem noch nie verwendet wurde. Bei der Initialisierung erfolgt nach Schritt 300 Schritt 302 mit dem Empfangen einer Uhrzeit und eines Datums durch den HBA und dem Speichern dieser Zeit bzw. dieses Datums auf der HBA. Außerdem kann alternativ dazu oder zusätzlich dazu in Schritt 304 ein Signaturzähler auf Null zurückgesetzt werden.
Ferner wird in Schritt 306 überprüft, ob ein entsprechendes biometrisches Merkmal erfüllt ist. Beispielsweise kann zur Initialisierung der Scan eines Fingerabdrucks des Besitzers der HBA gefordert werden, wobei im Falle des Nichterfüllens des biometrischen Merkmals nach Schritt 306 ein Abbruch des Signierungsvorgangs in Schritt 308 erfolgt. Es darauf hingewiesen, dass die Überprüfung des biometrischen Merkmals in Schritt 306 nicht zwingend notwendig ist und lediglich eine Ausführungsform der Erfindung darstellt.
Entweder direkt nach Schritt 304 oder bei Erfüllung des biometrischen Merkmals in Schritt 306 erfolgt Schritt 310 mit der Bildung der Signatur, was in der 2 durch die Schritte 230 und 232 dargestellt ist. Schließlich erfolgt unter Voraussetzung der Verwendung eines Signaturzählers eine Implementierung desselben in Schritt 312.
Damit ist der eigentliche Signierungsvorgang aus Sicht der HBA beendet. Wird nun wiederum in Schritt 226 ein erneuter Hash-Wert empfangen, bedeutet dies für die HBA, dass ein erneuter Signierungsvorgang ansteht. In Schritt 300 wird daraufhin wiederum überprüft, ob eine neue Initialisierung der HBA notwendig ist. Nun sei angenommen, dass eine solche neue Initialisierung im Schritt 300 nicht notwendig ist, sodass daraufhin in Schritt 314 eine aktuelle Zeit bzw. ein aktuelles Datum vom Datenverarbeitungssystem empfangen wird. Stellt nun der HBA fest, dass die Zeit, welche seit dem Initialisierungsvorgang bzw. alternativ dazu seit dem letzten Signierungsvorgang länger zurückliegt als durch einen entsprechenden Grenzwert definiert, so erfolgt in Schritt 316 die Verzweigung nach Schritt 320, der erneuten Aufforderung des Benutzers für eine PIN-Eingabe. Dies führt dazu, dass nach Schritt 320 in Schritt 300 beschlossen wird, eine erneute Initialisierung durchzuführen und damit die Schritte 302 bis 312 zu durchlaufen.
Wurde hingegen in Schritt 316 festgestellt, dass die vorgegebene Zeitdauer nicht überschritten wurde, so kann zusätzlich oder alternativ dazu im Schritt 318 überprüft werden, ob die Anzahl der bisher durchgeführten Signierungsvorgänge eine maximale Anzahl von Signierungsvorgängen überschreitet. Es wird also überprüft, ob der Signaturzähler, welcher in Schritt 312 inkrementiert wurde, einen Maximalwert für den Signaturzähler überschreitet. Ist dies der Fall, erfolgt nach Schritt 318 die Verzweigung nach Schritt 320, der erneuten PIN-Eingabe. Ist dies jedoch nicht der Fall, erfolgt nach Schritt 318 die Überprüfung, ob zusätzlich ein biometrisches Merkmal erfüllt ist oder nicht. Bezüglich des Schrittes 306 sei auf die obige Beschreibung des Schrittes 306 verwiesen, d. h. auch darauf, dass der Schritt 306 optional ist und nach Schritt 318 direkt auf Schritt 310 verzweigt werden kann.

100: Datenverarbeitungssystem
102: Speicher
104: Prozessor
106: Bildschirm
108: Eingabemittel
110: Daten
112: Modul
114: PIN-Pad
116: Schnittstelle
118: Funkschnittstelle
120: Lesegerät
122: Biometrie-Scanner
124: Gesundheitskarte
126: Speicher
128: privater Schlüssel der Gesundheitskarte
130: GUID der Gesundheitskarte
132: Modul
134: Prozessor
136: Schnittstelle
138: Funkschnittstelle
140: RFID-Chipkarte
142: Speicher
144: privater Schlüssel der RFID-Chipkarte
146: GUID der RFID-Chipkarte
148: Modul
150: Prozessor
152: Schnittstelle
154: Netzwerk
156: Trust-Center
158: öffentlicher Schlüssel der Chipkarte
160: öffentlicher Schlüssel der Gesundheitskarte
162: Datenbank
164: Rezept

ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

- US 6792533 B2 [0022]
- US 7139917 B2 [0022]
- US 5241599 [0022]

Zitierte Nicht-Patentliteratur

- „Handbuch der Chipkarten", Wolfgang Rankl, Wolfgang Effing, Carl Hanser Verlag, 1999 [0002]

Claims

Verfahren zur Signierung eines medizinischen Datenobjekts, wobei das medizinische Datenobjekt durch eine Funkerkennungsvorrichtung (140) signiert wird.
Verfahren nach Anspruch 1, wobei eine Signierung dann erfolgt, wenn eine Freischaltungsbedingung der Signierung des medizinischen Datenobjekts erfüllt ist.
Verfahren nach Anspruch 2, wobei es sich bei der Freischaltungsbedingung um eine vorgegebene Zeitdauer und/oder eine vorgegebene Anzahl an Signierungsvorgängen handelt.
Verfahren nach einem der vorigen Ansprüche 2 oder 3, ferner mit dem Schritt des Anmeldens der Funkerkennungsvorrichtung (140) an einem Lesegerät (118), wobei beim Anmelden die Freischaltungsbedingung auf der Funkerkennungsvorrichtung (140) initialisiert wird.
Verfahren nach Anspruch 4, wobei – bei der Initialisierung eine Zeitdauer auf der Funkerkennungsvorrichtung (140) gespeichert wird, wobei für die Signierung eine aktuelle Zeit gelesen wird, wobei die Freischaltungsbedingung der Signierung erfüllt ist, wenn die aktuelle Zeit die vorgegebene Zeitdauer nicht überschreitet und/oder – bei der Initialisierung ein Zähler für eine Signierungsanzahl auf der Funkerkennungsvorrichtung (140) zurückgesetzt wird, wobei bei jedem Signierungsvorgang die Signierungsanzahl erhöht wird und die Freischaltungsbedingung der Signierung erfüllt ist, wenn die aktuelle Signierungsanzahl die vorgegebene Anzahl an Signierungsvorgängen nicht überschreitet.
Verfahren nach einem der vorigen Ansprüche, wobei es sich bei der Freischaltungsbedingung um ein biometrisches Merkmal handelt, wobei das Verfahren ferner die Schritte des Empfangens und Verifizierens eines biometri schen Merkmals umfasst, wobei die Freischaltungsbedingung erfüllt ist, wenn das gelesene biometrische Merkmal durch die Funkerkennungsvorrichtung (140) verifiziert wurde.
Verfahren nach einem der vorigen Ansprüche, ferner mit den folgenden Schritten: – Empfang einer eindeutigen Identifikation des medizinischen Datenobjekts oder des medizinischen Datenobjekts selbst von dem Lesegerät (118), wobei der Empfang über eine Funkverbindung erfolgt, – Verschlüsselung der eindeutigen Identifikation oder des medizinischen Datenobjekts mit einem ersten Schlüssel (144) und damit Erzeugung der Signatur, wobei der erste Schlüssel (144) nicht auslesbar auf dem tragbaren Datenträger gespeichert ist, – Senden der Signatur an das Lesegerät (118).
Verfahren nach Anspruch 7, wobei es sich bei der eindeutigen Identifikation des medizinischen Datenobjekts um einen Hash-Wert des medizinischen Datenobjekts handelt.
Verfahren nach einem der vorigen Ansprüche, wobei beim Anmelden der Funkerkennungsvorrichtung (140) an dem Lesegerät (118) eine Benutzeridentifikation für die Funkerkennungsvorrichtung (140) durch eine gesicherte Datenübertragung von dem Lesegerät (118) empfangen wird, wobei eine Signierung nur dann erfolgt, wenn die Benutzeridentifikation durch die Funkerkennungsvorrichtung (140) verifiziert wurde.
Verfahren nach Anspruch 9, wobei beim Anmelden der Funkerkennungsvorrichtung (140) an dem Lesegerät (118) ferner die Schritte ausgeführt werden: – Senden einer eindeutigen Kennung (146) der Funkerkennungsvorrichtung (140) an das Lesegerät (118), wobei der eindeutigen Kennung (146) der Funkerkennungsvorrichtung (140) ein zweiter Schlüssel (158) zugeordnet ist, – Empfangen der Benutzeridentifikation für die Funkerkennungsvorrichtung (140) von dem Lesegerät (118), wobei die Benutzeridentifikation mit dem zweiten Schlüssel (158) verschlüsselt ist, – Entschlüsseln der Benutzeridentifikation.
Verfahren nach Anspruch 10, wobei der erste Schlüssel (144) und der zweite Schlüssel (158) ein asymmetrisches kryptografisches Schlüsselpaar bilden, wobei die Entschlüsselung der Benutzeridentifikation unter Verwendung des ersten Schlüssels (144) erfolgt.
Verfahren nach einem der vorigen Ansprüche 7 bis 11, wobei beim Empfang der eindeutigen Identifikation des medizinischen Datenobjekts oder des medizinischen Datenobjekts selbst von dem Lesegerät (118) zusätzlich eine Funkerkennungsvorrichtung-Kennung (146) von dem Lesegerät (118) empfangen wird, wobei eine Signierung nur dann erfolgt, wenn die empfangene Funkerkennungsvorrichtung-Kennung (146) einer Kennung (146) der Funkerkennungsvorrichtung (140) entspricht.
Verfahren nach einem der vorigen Ansprüche, wobei beim Anmelden der Funkerkennungsvorrichtung (140) an dem Lesegerät (118) ferner die Schritte ausgeführt werden: – Empfangen eines Codes von dem Lesegerät (118), – Verschlüsseln des Codes mit dem ersten Schlüssel (144), – Senden des verschlüsselten Codes an das Lesegerät (118).
Verfahren nach einem der vorigen Ansprüche, ferner mit dem Schritt des Empfangens eines Deaktivierungsbefehls von dem Lesegerät (118), wobei beim Empfang des Deaktivierungsbefehls eine dauerhafte Deaktivierung der Funkerkennungsvorrichtung (140) erfolgt.
Computerprogrammprodukt mit von einem Computer ausführbaren Instruktionen zur Durchführung der Verfahrensschritte gemäß den Ansprüchen 1 bis 15.
Funkerkennungsvorrichtung (140), wobei die Funkerkennungsvorrichtung (140) zur Signierung eines medizinischen Datenobjekts ausgebildet ist.
Funkerkennungsvorrichtung (140) nach Anspruch 16, ferner mit Mitteln zur Überprüfung einer Freischaltungsbedingung, wobei die Funkerkennungsvorrichtung (140) so ausgebildet ist, dass eine Signierung dann erfolgt, wenn ei ne Freischaltungsbedingung zur Signierung des medizinischen Datenobjekts erfüllt ist.
Funkerkennungsvorrichtung (140) nach Anspruch 17, ferner mit – Mitteln zur Speicherung eine Zeitdauer bei der Initialisierung und Mitteln zum Lesen einer aktuellen Zeit, wobei die Freischaltungsbedingung der Signierung erfüllt ist, wenn die aktuelle Zeit die vorgegebene Zeitdauer nicht überschreitet und/oder – Mitteln zum Zurücksetzen eines Zählers für eine Signierungsanzahl und Mitteln zum Erhöhen der Signierungsanzahl bei jedem Signierungsvorgang, wobei die Freischaltungsbedingung der Signierung erfüllt ist, wenn die aktuelle Signierungsanzahl die vorgegebene Anzahl an Signierungsvorgängen nicht überschreitet.
Funkerkennungsvorrichtung (140) nach einem der Ansprüche 17 oder 18, wobei es sich bei der Freischaltungsbedingung um ein biometrisches Merkmal handelt, wobei die Funkerkennungsvorrichtung (140) ferner Mittel (122) zum Empfangen und Verifizieren eines biometrischen Merkmals umfasst, wobei die Freischaltungsbedingung erfüllt ist, wenn das gelesene biometrische Merkmal durch die Funkerkennungsvorrichtung (140) verifiziert wurde.
Funkerkennungsvorrichtung (140) nach einem der Ansprüche 16 bis 19, ferner mit: – Mitteln (138; 152) zum Empfang einer eindeutigen Identifikation des medizinischen Datenobjekts oder des medizinischen Datenobjekts selbst von dem Lesegerät (118), wobei die Funkerkennungsvorrichtung (140) zum Empfang über eine Funkverbindung ausgebildet ist, – Mitteln (150; 142) zur Verschlüsselung der eindeutigen Identifikation oder des medizinischen Datenobjekts mit einem ersten Schlüssel (144) und damit Erzeugung der Signatur, wobei der erste Schlüssel (144) nicht auslesbar auf dem tragbaren Datenträger gespeichert ist, – Mittel (138; 152) zum Senden der Signatur an das Lesegerät (118).
Funkerkennungsvorrichtung (140) nach einem der vorigen Ansprüche 17 bis 20, wobei zur Anmeldung der Funkerkennungsvorrichtung (140) an dem Le segerät (118) die Funkerkennungsvorrichtung (140) ferner Mittel zum Empfang einer Benutzeridentifikation für die Funkerkennungsvorrichtung (140) durch eine gesicherte Datenübertragung aufweist, wobei die Funkerkennungsvorrichtung (140) dazu ausgebildet ist eine Signierung nur dann durchzuführen, wenn die Benutzeridentifikation durch die Funkerkennungsvorrichtung (140) verifiziert wurde.
Funkerkennungsvorrichtung (140) nach Anspruch 21, wobei die Funkerkennungsvorrichtung (140) ferner aufweist: – Mittel zum Senden einer eindeutigen Kennung (146) der Funkerkennungsvorrichtung (140) an das Lesegerät (118), wobei der eindeutigen Kennung (146) der Funkerkennungsvorrichtung (140) ein zweiter Schlüssel (158) zugeordnet ist, wobei die Benutzeridentifikation mit dem zweiten Schlüssel (158) verschlüsselt ist, – Mittel zum Entschlüsseln der Benutzeridentifikation.
Funkerkennungsvorrichtung (140) nach einem der Ansprüche 16 bis 22, wobei die Mittel zum Empfang der eindeutigen Identifikation des medizinischen Datenobjekts oder des medizinischen Datenobjekts selbst ferner dazu ausgebildet sind, beim Empfang der eindeutigen Identifikation des medizinischen Datenobjekts oder des medizinischen Datenobjekts selbst von dem Lesegerät (118) zusätzlich eine Funkerkennungsvorrichtung-Kennung (146) von dem Lesegerät (118) zu empfangen, wobei die Funkerkennungsvorrichtung (140) dazu ausgebildet ist eine Signierung nur dann durchzuführen, wenn die empfangene Funkerkennungsvorrichtung-Kennung (146) einer Kennung (146) der Funkerkennungsvorrichtung (140) entspricht.
Funkerkennungsvorrichtung (140) nach einem der Ansprüche 16 bis 23, wobei zur Anmeldung der Funkerkennungsvorrichtung (140) an dem Lesegerät (118) die Funkerkennungsvorrichtung (140) ferner aufweist: – Mittel (138; 152) zum Empfangen eines Codes von dem Lesegerät (118), – Mittel (148) zum Verschlüsseln des Codes mit dem ersten Schlüssel (144) – Mittel (138; 152) zum Senden des verschlüsselten Codes an das Lesegerät (118).
Funkerkennungsvorrichtung (140) nach einem der Ansprüche 16 bis 24, ferner mit Mitteln zum Empfang eines Deaktivierungsbefehls von dem Lesegerät (118), wobei die Funkerkennungsvorrichtung (140) dazu ausgebildet ist, beim Empfang des Deaktivierungsbefehls eine dauerhafte Deaktivierung der Funkerkennungsvorrichtung (140) durchzuführen.
Funkerkennungsvorrichtung (140) nach einem der Ansprüche 16 bis 25, wobei es sich bei dem Funkerkennungssystem um ein RFID-System handelt.
Funkerkennungsvorrichtung (140) nach einem der Ansprüche 16 bis 26, wobei es sich bei dem Funkerkennungssystem um eine Chipkarte handelt.
Verfahren zum Anfordern und Empfangen einer Signatur eines medizinischen Datenobjekts durch eine Datenverarbeitungseinrichtung, wobei die Signatur von einer Funkerkennungsvorrichtung (140) angefordert und empfangen wird.
Verfahren nach Anspruch 28, ferner mit dem Schritt des Anmeldens der Funkerkennungsvorrichtung (140) an der Datenverarbeitungsvorrichtung (100), wobei das Anmelden der Funkerkennungsvorrichtung (140) an der Datenverarbeitungsvorrichtung (100) und/oder das Anfordern der Signatur das Lesen eines biometrischen Merkmals beinhaltet, wobei das gelesene biometrische Merkmal an die Funkerkennungsvorrichtung (140) zur Verifizierung gesendet wird.
Verfahren nach einem der vorigen Ansprüche 28 oder 29, ferner mit den folgenden Schritten: – Senden einer eindeutigen Identifikation des medizinischen Datenobjekts oder des medizinischen Datenobjekts selbst an die Funkerkennungsvorrichtung (140), wobei das Senden über eine Funkverbindung erfolgt, – Empfangen der mit einem ersten Schlüssel (144) verschlüsselten eindeutigen Identifikation des medizinischen Datenobjekts oder des medizinischen Datenobjekts selbst als Signatur von der Funkerkennungsvor richtung (140).
Verfahren nach einem der vorigen Ansprüche 28 bis 30, wobei beim Anmelden der Funkerkennungsvorrichtung (140) an der Datenverarbeitungsvorrichtung (100) ferner die Schritte ausgeführt werden: – Empfangen einer Benutzeridentifikation für die Funkerkennungsvorrichtung (140), – Senden der Benutzeridentifikation an die Funkerkennungsvorrichtung (140), wobei die Benutzeridentifikation durch eine gesicherte Datenübertragung gesendet wird.
Verfahren nach Anspruch 31, ferner mit den Schritten: – Empfangen einer eindeutigen Kennung (146) der Funkerkennungsvorrichtung (140) von der Funkerkennungsvorrichtung (140), – Abrufen eines zweiter Schlüssels (158) von einer externen Datenbank (162), wobei der eindeutigen Kennung (146) der Funkerkennungsvorrichtung (140) der zweite Schlüssel (158) zugeordnet ist, – Verschlüsseln der Benutzeridentifikation mit dem zweiten Schlüssel (158), wobei die gesicherte Datenübertragung durch Senden der verschlüsselten Benutzeridentifikation an die Funkerkennungsvorrichtung (140) erfolgt.
Verfahren nach einem der vorigen Ansprüche 28 oder 32, wobei beim Senden der eindeutigen Identifikation des medizinischen Datenobjekts oder des medizinischen Datenobjekts selbst zusätzlich eine Funkerkennungsvorrichtung-Kennung (146) an die Funkerkennungsvorrichtung gesendet wird, wobei die gesendete Funkerkennungsvorrichtung-Kennung (146) einer Kennung (146) der Funkerkennungsvorrichtung (140) entspricht.
Verfahren nach einem der vorigen Ansprüche 28 bis 33, wobei beim Anmelden der Funkerkennungsvorrichtung (140) an der Datenverarbeitungsvorrichtung (100) ferner die Schritte ausgeführt werden: – Senden eines Codes an die Funkerkennungsvorrichtung (140), – Empfangen eines verschlüsselten Codes, wobei das Senden der eindeutigen Identifikation des medizinischen Datenobjekts oder des medi zinischen Datenobjekts selbst an die Funkerkennungsvorrichtung (140) nur dann erfolgt, wenn der verschlüsselte Code mit dem zweiten Schlüssel (158) wieder entschlüsselbar ist.
Verfahren nach einem der vorigen Ansprüche 28 bis 34, ferner mit dem Schritt des Empfangens einer Verfallsinformation der Funkerkennungsvorrichtung (140), wobei im Falle dessen dass die Funkerkennungsvorrichtung (140) verfallen ist ein Deaktivierungsbefehl zur dauerhaften Deaktivierung der Funkerkennungsvorrichtung (140) an die Funkerkennungsvorrichtung (140) gesendet wird.
Computerprogrammprodukt mit von einem Computer ausführbaren Instruktionen zur Durchführung der Verfahrensschritte gemäß den Ansprüchen 28 bis 35.
Datenverarbeitungseinrichtung (100), wobei die Datenverarbeitungseinrichtung Mittel zum Anfordern und Empfangen einer Signatur eines medizinischen Datenobjekts aufweist, wobei die Mittel zum Anfordern der Signatur zum Anfordern der Signatur von einer Funkerkennungsvorrichtung (140) ausgebildet sind.
Datenverarbeitungseinrichtung (100) nach Anspruch 37, ferner mit – Mitteln zum Anmelden der Funkerkennungsvorrichtung (140) an der Datenverarbeitungsvorrichtung (100), – Mittel zum Lesen eines biometrischen Merkmals, – Mittel zum Senden des gelesenen biometrischen Merkmals an die Funkerkennungsvorrichtung (140) zur Verifizierung.
Datenverarbeitungseinrichtung (100) nach einem der vorigen Ansprüche 37 oder 38, ferner mit: – Mitteln (118) zum Senden einer eindeutigen Identifikation des medizinischen Datenobjekts oder des medizinischen Datenobjekts selbst an die Funkerkennungsvorrichtung (140), wobei die Mittel zum Senden über eine Funkverbindung ausgebildet sind, – Mitteln (118) zum Empfangen der mit einem ersten Schlüssel (144) verschlüsselten eindeutigen Identifikation des medizinischen Datenobjekts oder des medizinischen Datenobjekts selbst als Signatur von der Funkerkennungsvorrichtung (140).
Datenverarbeitungseinrichtung (100) nach einem der vorigen Ansprüche 37 bis 39, ferner mit: – Mitteln zum Empfangen einer Benutzeridentifikation (114; 122) für die Funkerkennungsvorrichtung (140), – Mitteln zum Senden der verschlüsselten Benutzeridentifikation an die Funkerkennungsvorrichtung (140) durch eine gesicherte Datenübertragung.
Datenverarbeitungseinrichtung (100) nach Anspruch 40, ferner mit: – Mitteln zum Empfangen einer eindeutigen Kennung (146) der Funkerkennungsvorrichtung (140) beim Anmelden der Funkerkennungsvorrichtung (140) von der Funkerkennungsvorrichtung (140), – Mitteln zum Abrufen eines zweiten Schlüssels (158) von einer externen Datenbank (162), wobei der eindeutigen Kennung (146) der Funkerkennungsvorrichtung (140) der zweite Schlüssel (158) zugeordnet ist, – Mitteln zum Verschlüsseln der Benutzeridentifikation mit dem zweiten Schlüssel (158), wobei die gesicherte Datenübertragung durch Senden der verschlüsselten Benutzeridentifikation an die Funkerkennungsvorrichtung (140) durchführbar ist.
Datenverarbeitungseinrichtung (100) nach einem der vorigen Ansprüche 37 bis 41, wobei die Mittel zum Senden der eindeutigen Identifikation des medizinischen Datenobjekts oder des medizinischen Datenobjekts selbst dazu ausgebildet sind, zusätzlich eine Funkerkennungsvorrichtung-Kennung (146) an die Funkerkennungsvorrichtung zu senden, wobei die gesendete Funkerkennungsvorrichtung-Kennung (146) einer Kennung der Funkerkennungsvorrichtung entspricht.
Datenverarbeitungseinrichtung (100) nach einem der vorigen Ansprüche 37 bis 42, ferner mit: – Mitteln zum Senden eines Codes an die Funkerkennungsvorrichtung (140) zum Anmelden der Funkerkennungsvorrichtung (140) an der Datenverarbeitungsvorrichtung (100), – Mitteln zum Empfangen eines verschlüsselten Codes an das Lesegerät (118), wobei die Mittel zum Senden der eindeutigen Identifikation des medizinischen Datenobjekts oder des medizinischen Datenobjekts selbst an die Funkerkennungsvorrichtung (140) so ausgebildet sind, dass nur dann ein Senden der eindeutigen Identifikation des medizinischen Datenobjekts oder des medizinischen Datenobjekts erfolgt, wenn der verschlüsselte Code mit dem zweiten Schlüssel (158) wieder entschlüsselbar ist.
Datenverarbeitungseinrichtung (100) nach einem der vorigen Ansprüche 37 bis 43, ferner mit – Mitteln zum Empfangen einer Verfallsinformation der Funkerkennungsvorrichtung (140), – Mitteln zum Senden eines Deaktivierungsbefehls zur dauerhaften Deaktivierung der Funkerkennungsvorrichtung (140) an die Funkerkennungsvorrichtung (140), wobei die Mittel zum Senden des Deaktivierungsbefehls dazu ausgebildet sind, im Falle dessen dass die Funkerkennungsvorrichtung (140) verfallen ist den Deaktivierungsbefehl an die Funkerkennungsvorrichtung (140) zu senden.
Datenverarbeitungseinrichtung (100) nach einem der vorigen Ansprüche 37 bis 44, wobei es sich bei der Datenverarbeitungseinrichtung um ein Arztinformationssystem oder ein Apothekeninformationssystem oder um ein Krankenhausinformationssystem oder um ein Datenverarbeitungssystem des Gesundheitswesens handelt.