Hilfe erbeten: C.AK.AUT-Zertifikat gelöscht

[avd]

Habe es leider geschafft aus einem vermutlich kleinen ein für mich ziemlich großes Problem zu machen:

Nach Update von TM (auf 26.3.1) und der KoCoBox auf (6.0.8 ) gingen eRezept und eAU auf einmal nicht, es kam die Meldung:

"Die Authentifizierung der Praxis konnte aufgrund eines unerwarteten Fehlers mit dem Fehlercode: -29 nicht durchgeführt werden".

Leider habe ich im Verlauf in der KoCoBox-Managementschnittstelle --> Verwaltung --> Clientsysteme unter Authentifizierung Konnektor von C.AK.AUT (RSA 2048) auf C.AK.AUT2 (ECDSA brainpoolP256r1) umgestellt und bestätigt, anschließend verschwand das C.AK.AUT-Zertifikat.

Ich kann jetzt zwar neue ECC bzw. RSA-Zertifikate erstellen aber diese werden nicht akzeptiert nach Einfügen unter D:\TurboMed\Zertifikate\Konnektor falls das überhaupt die korrekte Stelle ist. Der Konnektor wird durch TM nicht mehr gefunden. Eine Verbindung zum Konnektor ist nur möglich, wenn in TM "HTTPS ohne Authentifizierung" eingeschaltet ist. Damit geht aber ePA nicht mehr.

Kann mir bitte jemand helfen, den ursprünglichen Zustand wiederherzustellen bzw. eine Alternative einfach verständlich erklären?

Eine Frage noch zu meinem ursprünglichen Problem mit dem eRezept und eAU-Fehler, welches vor den Updates jeweils nicht bestanden:

Kann es an meiner SMC-KT 460_4.4.1 liegen, welche aktuell kein "Valid" im Zertifikatsstatus aufweist (Bild siehe unten)? Ich habe deren Status im Kartenterminal abgerufen, eigentlich müsste sie sowohl RSA (AUT) als auch EC (ist hinter AUT2 vermerkt) können, hat aber Ablauf 2027...?

Anbei noch Screenshots der KoCoBox-Konfiguration (allerdings bevor das C.AK.AUT-Zertifikat verschwand).

Übrigens, falls das einen Unterschied macht, die alten Dateien CAFile.pem und DHFile.pem aus D:\TurboMed\Zertifikate\Konnektor habe ich noch, aber kann sie nicht in die KoCoBox importieren. Könnte man evtl. das Zertifikat aus einem früheren Backup der KoCoBox (aber alte Firmware) importieren?

Vielen herzlichen Dank für Hilfe zu meinen Fragen.

Kartendienst.jpg

Clientsysteme.jpg

[FortiSecond]

Kurz, weil Halbschlaf:

Alles halb so wild auf ersten Blick:

1) SMC-KT ist OK (4.6.0).

2) Das Zertifikat will TM anders kennenlernen:
Sonstiges/gematik/Konnektor Einstellungen
Dort unten neben dem Papierkorb auf das Ordnersymbol gehen und dann das neue vom Konnektor ausgegebene Zertifikat auswählen.
Dabei wird das Passwort für das Zertifikat abgefragt.
Danach "Übernehmen" und TM neustarten.

Screenshot 2026-07-01 030027.png

Zumindest die grundlegenden Funktionen wie eGK einlesen mit VSDM sollten sofort wieder funktionieren.
CGM-KIM dürfte von TM automatisch versorgt werden mit dem neuen Zertifikat, wenn es über TM verwaltet. Bei Stand-Alone-KIM (CGM, kv.dox etc.) muss es wiederum in KIM als neues Clientzertifikat importiert werden. Dabei dann auch das neue Konnektorzertifikat auslesen lassen. Manchmal braucht´s dann trotzdem eine Re-Registrierung der KIM-Adresse.

Und dann wäre da noch die Nummer mit IdP und ePA-Config wegen ECC.
Aber erstmal das da oben, damit´s weitergeht.

Gute n8

[avd]

Lieber FortiSecond: Allerbesten Dank für die Hilfestellung, ich muss mein Problem aber etwas genauer beschreiben:

- Sonstiges/gematik/Konnektor Einstellungen ist die Stelle an der man das TurboMed-Zertifikat [Zertifikat für Authentisierung Clientsystem] als *.p12 + Passwort eingibt. Das habe ich bereits durchgeführt.

- Allerdings habe ich ein größeres Problem geschaffen, indem ich das gültige RSA-Zertifikat für "Authentisierung des Konnektors" gelöscht habe C.AK.AUT (RSA 2048). Dadurch findet TM bereits im Startvorgang ("Starte Verbindung Konnektor" die KoCoBox nicht, sofern "HTTPS mit Client Zertifikat eingestellt ist". Es geht nur über "HTTPS ohne Authentifizierung".

- Ich kann zwar aus der KoCoBox das C.AK.AUT2-Zertifikat ECDSA (brainpoolP256r1) exportieren als "C.AK.AUT2.pem" oder ein neues RSA-Zertifikat erstellen und exportieren (ZIP mit 2 Dateien: "C*.pem" und "caC*.pem"), aber ich weiß leider nicht, wo ich diese Zertifikate in TurboMed und ggf. CGM-KIM hinterlegen kann, damit TM diese annimmt und wieder die KoCoBox findet.

- Es ist quasi das Problem, was in https://vondoczudoc.de/viewtopic.php?p=72660#p72660 schon beschrieben wird und was Sie unter https://vondoczudoc.de/viewtopic.php?p=72668#p72668 als Praxisfehler beschreiben: "Das RSA-Zertifikat von der Kocobox runternehmen."

- Hier

https://forum.tomedo.de/index.php/10565 ... ion-fehler

hat das jemand ganz unten im Forum bei Tomedo geschafft.

- Sucht TM ggf. im Windows-Zertifikatsspeicher, und falls ja, wie geht man das ganze bitte korrekt an?

Wirklich vielen Dank!

[FortiSecond]

Claude dazu:

Der grundsätzliche Ablauf zur Erstellung eines Konnektor-Authentisierungszertifikats mit secp256r1 in der KoCoBox-Managementoberfläche ist so:

Anmelden an der KoCoBox-Managementschnittstelle (Browser, i.d.R. mit Admin-Rechten).
Navigiere zu Verwaltung → Clientsysteme.
Falls noch nicht geschehen: bei "Anbindung Clientsysteme" die nötigen Einstellungen aktivieren.
Klicke auf "Zertifikat für Authentisierung Konnektor hinzufügen…".
Als Hostname trägst du "kocobox" ein (so wird es z. B. für Tomedo-Anbindung dokumentiert).
Beim Zertifikatstyp wählst du "ECC secp256r1" aus (nicht brainpoolP256r1 – das ist eine andere Kurve und in manchen PVS/Clientmodulen nicht unterstützt).
Mit "OK" bestätigen – das Zertifikat wird erzeugt.
In der Liste der Konnektor-Zertifikate das gerade neu erzeugte Zertifikat auswählen.
Abschließend auf "Übernehmen" klicken, damit es aktiv gesetzt wird.
Kocobox neustarten.
In Turbomed das Clientzertifikat nochmals importieren.