eRezept Signatur Fehler

[scottsdalegirl]

Guten Tag!

Heute habe ich mich endlich an die TLS Aktivierung und Komfortsignatur getraut.
Es ging auch alles relativ gut.

1. In der Kocobox nach Anleitung TLS aktiviert mit Zertifikaten (RSA) und anschließend Eintragung in Turbomed (Server als Administrator) Praxisdaten, Konnektor-Einstellungen. Passwort war okay (nur ein Unterstrich). Import klappte.

Danach alles gleich wieder grün, keine Auffälligkeiten oder Fehlermeldungen.

2. Komfortsignatur aktiviert sowohl Kocobox als auch Turbomed, alles als Administrator am Server. Alles geklappt.

3. TLS Wartungslauf, alles grün

4. Im Info-Modell sind alle 5 Clients unter Arbeitsplätze eingetragen, auch unter CS-AP Objekte. Alles gespeichert.

20231216_132246.jpg

20231216_130150.jpg

20231216_130103.jpg

Neustarts immer zwischendurch. Es war ZU einfach.

Trotzdem kommen beim Versuch zu Signieren folgende Fehler:

20231216_125311.jpg

20231216_125303.jpg

In der Benutzer-Verwaltung ist der Arzt als solcher gekennzeichnet, die MFA nicht.

Was mache ich falsch? Die Meldung hört sich verdächtig nach einem Netzwerk-Problem an.

[FortiSecond]

Was mache ich falsch? Die Meldung hört sich verdächtig nach einem Netzwerk-Problem an.

Die Adresse dieses Fachdienstes kann trotz .de-Domain nur über den Konnektor aufgelöst werden.
Das letzte Bild in Ihrem Beitrag besagt, dass der Konnektor die Adresse des Fachdienstes nicht ermitteln konnte.

Der Konnektor war also nicht online oder aber hat den Eintrag des Servers für "splitdns.ti-dienste.de" nicht vorrätig.
Den braucht er aber, um die passende Adresse zu nutzen.
Man kann diesen DNS-Server auch in Windows hinterlegen und damit die Adresse auflösen (meine ich zumindest), aber das hilft nicht wirklich weiter.

Für die Kocobox hänge ich hier an, was im Konnektor vorhanden sein sollte. Hinweis: Im zweiten Bild sind allerlei Dienste aktiviert, aber das ist hier nicht weiter wichtig. "gematik" ist erforderlich.

ScreenShot3126.jpg

ScreenShot3127.jpg

EDIT: Wenn unter "Aktive Bestandsnetze" der Eintrag für gematik kein X in der zweiten Spalte hat, dann vorn einmal klicken und ÜBERNEHMEN nicht vergessen. Ich neige dazu, anschließend die TI-Verbindung ab- und wieder aufzubauen oder gleich den Konnektor neu zu starten.

[scottsdalegirl]

Hallo FortiSecond!

Damit bin ich einen riesigen Schritt weiter. Vielen vielen Dank! Es gab noch einige andere Fehlermeldungen, aber die konnte ich selbst beheben.

Bis auf die Tatsache, dass die TI launenhaft mal geht, mal nicht... ist das erste Rezept ist tatsächlich signiert und übertragen. Unglaublich.

Mein zweites Problem ist jetzt aber, dass es (obwohl im Infomodell eingetragen) nur an der Anmeldung funktioniert (sofern der Arzt da eingeloggt ist).
Im Sprechzimmer, wo es funktionieren soll (und der Arzt angemeldet ist), kommt die Meldung "kein Zugriff auf den eHBA". Wie gesagt, der PC im Sprechzimmer ist im Infomodell eingetragen (alle Clients und der Server sind da drin). Allerdings lässt sich unter Remote kein Zugriff eintragen, es kommt der "interne Fehler 4001".

20231216_154001.jpg

20231216_153728.jpg

Meinem Verständnis entzieht sich auch folgendes: an der Anmeldung wird das Rezept generiert. Ich klicke auf "Signieren und Aktivieren", dann muss ICH die PIN eingeben (wieso??). Im E-Muster Center steht das Rezept dann als "vorbereitet", nicht als signiert. Was ja Sinn der Sache ist. Aber wieso muss ich an der Anmeldung die PIN eingeben, um das Rezept vorzubereiten? Die PIN dient doch zur Signatur? Das ist Arztsache. Ich dachte, das kann ich über Remote regeln, aber dort lässt sich eben nichts hinzufügen.

Soll dann im SZ der Arzt das Rezept signieren, kommt die Meldung "kein Zugriff auf den eHBA".

Muss man das außer im Infomodell noch irgendwo hinterlegen? Was habe ich falsch gemacht?

Vorab herzlichsten Dank für die tolle Hilfe.

Für ein besseres Verständnis kann ich gerne mehr Screenshots schicken.

[c-it]

Meinem Verständnis entzieht sich auch folgendes: an der Anmeldung wird das Rezept generiert. Ich klicke auf "Signieren und Aktivieren", dann muss ICH die PIN eingeben (wieso??). Im E-Muster Center steht das Rezept dann als "vorbereitet", nicht als signiert. Was ja Sinn der Sache ist. Aber wieso muss ich an der Anmeldung die PIN eingeben, um das Rezept vorzubereiten? Die PIN dient doch zur Signatur? Das ist Arztsache. Ich dachte, das kann ich über Remote regeln, aber dort lässt sich eben nichts hinzufügen.

IMHO, KT steht an Anmeldung, deshalb wird PIN abgefragt. Benutzer ist nicht Arzt, deshalb nur erstellt und nicht signiert.
Remote-PIN-KT hat damit nichts zu tun, es gibt ja nur ein KT.

Soll dann im SZ der Arzt das Rezept signieren, kommt die Meldung "kein Zugriff auf den eHBA".
Muss man das außer im Infomodell noch irgendwo hinterlegen? Was habe ich falsch gemacht?

Dann hat SZ laut InfoModell keinen Zugriff. Dort für Station SZ den KT als KT(e) hinzufügen.
Außerdem früh als Benutzer Arzt an der Anmeldung die Konfortsignatur freischalten ...
Das sollte es gewesen sein.

Schönes Wochenende
c-it

[FortiSecond]

Die Dynamik hier ist klasse - gemeinsam lösen wir jedes Level in TM.

@c-it: Das mit dem KT(e) vergesse ich immer wieder. Den Hinweis konnte ich gerade gut nutzen.

Anmerkung zu der unerwarteten PIN-Eingabe: War das wirklich die PIN für den eHBA zum Signieren? Dann müsste ja auch signiert worden sein.
Es könnte aber auch (einmalig) die SMC-B-PIN gewesen sein, falls Konnektor oder Terminal neugestartet (oder neu verbunden) wurden.
Falls die PIN identisch sind, fällt´s nicht auf. Im Display wird aber angezeigt, welche PIN gerade gewünscht ist.

So, wie viele Leben haben wir noch? Und wann kommt endlich der Endgegner?

[scottsdalegirl]

Dann hat SZ laut InfoModell keinen Zugriff. Dort für Station SZ den KT als KT(e) hinzufügen.
Außerdem früh als Benutzer Arzt an der Anmeldung die Konfortsignatur freischalten ...
Das sollte es gewesen sein.

Leider ist das nicht das Problem. Im Infomodell ist alles korrekt eingetragen. Unter "Arbeitsplätze" stehen alle Clients
und der Server. Auch ist alles angeklickt, habe es extra geprüft. Unter CS-AP Objekte sind auch alle Arbeitsplätze hinterlegt
und auch hier ist bei allen Einträgen alles angeklickt - Mandant, Clientsystem und Arbeitsplatz. Unter Kartenterminals sind bei
dem KT auch alle vorhandenen Arbeitsplätze eingetragen und aktiviert.
Die Komfortsignatur hatte ich freigeschaltet für 8 Stunden gegen 11 Uhr... da war noch Zeit über.

IMHO, KT steht an Anmeldung, deshalb wird PIN abgefragt. Benutzer ist nicht Arzt, deshalb nur erstellt und nicht signiert.
Remote-PIN-KT hat damit nichts zu tun, es gibt ja nur ein KT.

Es wurde nicht die SMC-B-PIN abgefragt, sondern die QES Transportpin (so heißt die glaube ich, bin zu Hause und habe die Mappe mit den ganzen kryptischen Bezeichnungen grad nicht hier), die zur Signatur benötigt wird. Das weiß ich genau, da ich vorher nie richtig hingeguckt hatte und immer aufs erste Mal die falsche PIN benutzt habe. Langsam bleibts hängen.
Remote: verstanden, danke für den Hinweis.

Anmerkung zu der unerwarteten PIN-Eingabe: War das wirklich die PIN für den eHBA zum Signieren? Dann müsste ja auch signiert worden sein.
Es könnte aber auch (einmalig) die SMC-B-PIN gewesen sein, falls Konnektor oder Terminal neugestartet (oder neu verbunden) wurden.
Falls die PIN identisch sind, fällt´s nicht auf. Im Display wird aber angezeigt, welche PIN gerade gewünscht ist.

Es war definitiv die QES. Die SMC-B-PIN brauche ich relativ häufig und kann sie in- und auswendig, und es hat beschämend lange gedauert, bis ich bei der Abfrage der QES Transportpin (so heißt die glaube ich) nicht versehentlich meine SMC-B-PIN eingegeben habe.
Genau das verstehe ich ja nicht, erstens ist wirklich NUR der Arzt als solcher gekennzeichnet und an dem PC an der Anmeldung war das tmuser Konto aktiv. Und im e Muster Center stand dann das eRezept als "vorbereitet". Ich wollte dann übers Sprechzimmer 2, in dem das Arztkonto in Turbomed aktiv war, das eRezept signieren, dann kam der Hinweis "kein Zugriff auf den eHBA" OBWOHL im Infomodell ALLES korrekt hinterlegt ist.

Könnte es die Route sein? Obwohl ich die Version von TM benutze, wo die Routen bereits eingepflegt sind, kam heute früh beim 1. Aufruf des eRezepts im Sprechzimmer "Route hinzufügen". Das Programm war NICHT als Admin gestartet. Also ist die Route nicht statisch... aber dann wäre doch die Nachfrage wieder gekommen...?

[FortiSecond]

Nur eben kurz am PCm daher ein Gedanke:
QES-Transport-PIN? Sicher? Dann muss der Ausweis erst noch mit einer "richtigen" PIN versehen werden.
Genau genommen mit zwei davon, nämlich für QES und für Krypto.

Falls es also so sein sollte (auch wenn dann eigentlich das Aktivieren der Komfortsignatur nicht hätte funktionieren dürfen):
viewtopic.php?t=7996


Und falls Sie einen lokalen PC-Kartenleser für Signaturkarten haben (z.B. das Cherry-Teil oder was von ReinerSCT), dann geht es auch ganz komfortabel und gratis mit dem mit SecCardAdmin https://seccommerce.com/seccardadmin/. Tipp: Kann man immer mal gut brauchen, weil man damit auch außerhalb von TM beliebige PDF und andere Dateien signieren kann.

---
Remote-PIN-Objekte für PIN-Eingabe an anderen Plätzen ist ggf. auch noch relevant.
Zunächst aber am besten erst einmal an dem Platz, wo das Terminal mit dem eHBA steht, die Komfortsignatur aktivieren. Dabei sollte dann lokal die PIN gefordert werden. Wenn es hier dann mit einem eRp klappt, dann den nächsten Platz aussuchen und sicherstellen, dass im Infomodell das KT mit dem eHBA als "entferntes Terminal" (also mit (e)) eingetragen ist. TM unbedingt an dieser Station neustarten!


Nachtrag: Route lieber per Hand anlegen.

CMD als Admin, dann

route delete 100.100.0.0
route delete 100.101.0.0
route delete 100.102.0.0
route delete 100.103.0.0
route delete 188.144.0.0
route add 100.100.0.0 MASK 255.255.0.0 KONNEKTORIP /p
route add 100.101.0.0 MASK 255.255.0.0 KONNEKTORIP /p
route add 100.102.0.0 MASK 255.255.0.0 KONNEKTORIP /p
route add 100.103.0.0 MASK 255.255.0.0 KONNEKTORIP /p
route add 188.144.0.0 MASK 255.254.0.0 KONNEKTORIP /p

bzw. gleich eine Batch-Datei draus machen.

[scottsdalegirl]

QES-Transport-PIN? Sicher? Dann muss der Ausweis erst noch mit einer "richtigen" PIN versehen werden.
Genau genommen mit zwei davon, nämlich für QES und für Krypto.

Ja, ganz sicher. Als ich den Ausweis bekam, habe ich die Transport-PIN geändert für QES. Ich habe die numerische PIN gestrichen und die neu generierte drunter geschrieben (Sakrileg, ich weiß). Krypto sagt mir grade nichts... habe ich wahrscheinlich nur vergessen. Außerdem merkt sich diese ganzen Abkürzungen und Ausdrücke kein Mensch.

Falls es also so sein sollte (auch wenn dann eigentlich das Aktivieren der Komfortsignatur nicht hätte funktionieren dürfen):
viewtopic.php?t=7996

Hm.

Remote-PIN-Objekte für PIN-Eingabe an anderen Plätzen ist ggf. auch noch relevant.

? Dachte das sei nur relevant bei mehreren KTs? Habe ich versucht - Fehlermeldung "4001" interner Fehler.

Zunächst aber am besten erst einmal an dem Platz, wo das Terminal mit dem eHBA steht, die Komfortsignatur aktivieren. Dabei sollte dann lokal die PIN gefordert werden. Wenn es hier dann mit einem eRp klappt, dann den nächsten Platz aussuchen und sicherstellen, dass im Infomodell das KT mit dem eHBA als "entferntes Terminal" (also mit (e)) eingetragen ist. TM unbedingt an dieser Station neustarten!

Die Komfortsignatur ist nur am Client an der Anmeldung aktiviert. Da hat es mit dem eRezept ja auch funktioniert.
Bei mir leuchtet gerade eine Glühbirne auf...
Als entferntes Terminal.. DAS ist mit "e" gemeint! Wäre ein Screenshot möglich, damit ich weiß, wo genau ich das "e" anfügen muss? Und wie? Dachte das "e" sei ein Schreibfehler. Ich Schnieptröte. Neustarts sind doch das Amen von Turbomed!

Probiere ich alles Montag.

Nachtrag: Route lieber per Hand anlegen.

CMD als Admin, dann

route delete 100.100.0.0
route delete 100.101.0.0
route delete 100.102.0.0
route delete 100.103.0.0
route delete 188.144.0.0
route add 100.100.0.0 MASK 255.255.0.0 KONNEKTORIP /p
route add 100.101.0.0 MASK 255.255.0.0 KONNEKTORIP /p
route add 100.102.0.0 MASK 255.255.0.0 KONNEKTORIP /p
route add 100.103.0.0 MASK 255.255.0.0 KONNEKTORIP /p
route add 188.144.0.0 MASK 255.254.0.0 KONNEKTORIP /p

bzw. gleich eine Batch-Datei draus machen.

Mache ich. Vielen Dank für den Hinweis. Sie haben selbstverständlich Recht... für den Zugang zum KV Safenet von den Clients im Sprechzimmer aus habe ich damals die Route auch mit Hand angelegt (musste ja).

Ich bedanke mich ganz ganz herzlich für alle Mühe, Infos und Inputs. Dieses Forum ist einfach großartig. Besonders Ihnen, FortiSecond, danke für Ihre Geduld und wertvollen Tipps, und das am Samstag. Ist ja nicht jeder so lebensmüde und Wochenend/ Nacht - arbeitshungrig wie wir Heimschrauber.

[frabu]

Guten Tag!

Heute habe ich mich endlich an die TLS Aktivierung und Komfortsignatur getraut.
Es ging auch alles relativ gut.

1. In der Kocobox nach Anleitung TLS aktiviert mit Zertifikaten (RSA) und anschließend Eintragung in Turbomed (Server als Administrator) Praxisdaten, Konnektor-Einstellungen. Passwort war okay (nur ein Unterstrich). Import klappte.

Danach alles gleich wieder grün, keine Auffälligkeiten oder Fehlermeldungen.

2. Komfortsignatur aktiviert sowohl Kocobox als auch Turbomed, alles als Administrator am Server. Alles geklappt.

3. TLS Wartungslauf, alles grün

4. Im Info-Modell sind alle 5 Clients unter Arbeitsplätze eingetragen, auch unter CS-AP Objekte. Alles gespeichert.

20231216_132246.jpg
20231216_130150.jpg
20231216_130103.jpg

Neustarts immer zwischendurch. Es war ZU einfach.

Trotzdem kommen beim Versuch zu Signieren folgende Fehler:

20231216_125311.jpg
20231216_125303.jpg


In der Benutzer-Verwaltung ist der Arzt als solcher gekennzeichnet, die MFA nicht.

Was mache ich falsch? Die Meldung hört sich verdächtig nach einem Netzwerk-Problem an.

muss unter Verwaltung>Clientsystemme das Häckchen bei HTTP zwingend auf nein?

[bofh]

Laut Dokumentation muss es auf "nein". Ob es wirklich zwingend ist, habe ich nicht ausprobiert.

[frabu]

ok, habe ich

[piccolo1108]

Ich bin hier fleißig am Mitlesen. Könnte bitte noch mal jemand erklären, wie ich ein "entferntes" KT im Infomodell integriere. Ich finde dies beim besten Willen nicht.

[frabu]

also ich habe im wesentlichen die Arbeitsplätze (von denen aus zugegeriffen werden soll) im Infomodell neu anlegen müssen

[c-it]

Ich bin hier fleißig am Mitlesen. Könnte bitte noch mal jemand erklären, wie ich ein "entferntes" KT im Infomodell integriere. Ich finde dies beim besten Willen nicht.

Screenshot 2023-12-18 at 11-38-23 KoCoBox-Managementschnittstelle.png

CT_ID_0003 ist lokal vorhanden (und gleichzeitig Remote-Pin-KT) und CT_ID_0002 steht im SZ mit SMC-B und eHBA.
Somit kann man die SMC-B-Karte bei Bedarf freischalten, KIM-Mails holen (SMC-B!!) und als Arzt notfalls an der
Anmeldung eRP und eAB's machen.

Schönen Tag
c-it

[Andreas]

@scottsdalegirl
haben Sie an dem Clienten an dem Sie signieren wollen unter Sonstige-Grundeinstellungen-Gematik Verbindung der Station mit Konnektor auf 'Ja' stehen. Bei mir lag es nur daran...

[scottsdalegirl]

@Andreas:

Tatsächlich war auch das ein Fallstrick.
Am Ende war aber die Lösung, den Sprechzimmern nicht nur die entfernten KTs zuzuweisen, sondern auch die anderen anzuklicken. Verstehe ich zwar nicht, aber so ging es.
Außerdem fehlten wohl statische Routen. Dank @FortiSecond habe ich die jetzt auch drin.
Und beim Remote-PIN-KT Objekt hinzufügen hatte ich einen Denkfehler, darum kam stets Fehler 4001: Man muss unter Arbeitsplatz jenen anklicken, an dem das KT installiert ist. Nicht den entfernten Arbeitsplatz wie ich das tat.

Danke an alle Mitdenker und Helfer.

[turbomed1_cevisio]

Hallo zusammen,
ich kann weiterhin keine eRPs signieren. Ich habe die hier im Forum beschriebenen Dinge geprüft und ggf. so angepasst. Beim signieren des eRPs kommt die Meldung: "Es ist ein Fehler beim Signieren aufgetreten". Beim Test mit der Einzelsignatur fiel auf, dass das KT nicht angesprochen wird / es verlangt keine PIN-Eingabe.
Im Protokoll der Koco-Box habe ich folgendes gesehen:
"CERT/ERROR
Bedeutung=Warnung, dass zum angefragten Zertifikat keine Statusinformationen verfügbar sind.; ErrorType=Technical; Error=1044; ErrorSeverity=Warning "

und zusammengefasst:
ANLW/FW/DENY
BlockedPacket=Von 192.168.0.254:138 (FritzBox) nach 192.168.0.255:138 mit Protokoll UDP über Adapter lan.; Aktion=Drop
BlockedPacket=Von 192.168.0.254:35652 nach 192.168.0.222:8080 (KocoBox) mit Protokoll TCP über Adapter lan.; Aktion=Drop
BlockedPacket=Von 100.90.190.72:60320 nach 100.97.139.49:3128 mit Protokoll TCP über Adapter lan.; Aktion=Drop
BlockedPacket=Von 192.168.0.254:35652 nach 192.168.0.222:8080 mit Protokoll TCP über Adapter lan.; Aktion=Drop

Benutzer = Arzt
Routen gelöscht und neu eingetragen
CGM Connect deaktiviert

[scottsdalegirl]

Haben Sie ein RSA Zertifikat erstellt? Und die Komfortsignatur im Konnektor aktiviert?
Evtl KIM neu registriert?

[peter]

Ich habe heute beim signieren des eRezeptes bei einen Patienten Meldung: Fehler 34, logischerweise Muster 16 dann gedruckt. Einmal auch Meldung : Fehler 2013. Das war bei einem Storno des e Rezeptes bei gleichen Patienten. Bei anderen ging das e Rezept.

[turbomed1_cevisio]

Haben Sie ein RSA Zertifikat erstellt? Und die Komfortsignatur im Konnektor aktiviert?
Evtl KIM neu registriert?

Hi, sorry für die späte Rückmeldung...

KIM hatte ich am Freitag gelöscht und neu registriert - das hat auch funktioniert.
RSA Zertifikat hatte ich im August schon erstellt. Komfortsignatur ist aktiviert und funktioniert ebenfalls.
Trotzdem kommt beim eRezept weiterhin "Fehler beim signieren".
Sollte ich das RSA Zertifikat nochmal komplett neu erstellen?