Wozu das Zertifikat dient
Der Datenaustausch im Gesundheits- und Sozialwesen ist verschlüsselt und signiert. Die Regeln stehen in der Security-Schnittstelle, Anlage 16 der Gemeinsamen Grundsätze Technik (Stand 02.09.2025, gültig ab 01.01.2026). Sie legt fest: Nachrichten im Format PKCS#7, RSA-Schlüssel mit mindestens 4096 Bit, Signaturen nach RSASSA-PSS, Verschlüsselung des Nachrichtenschlüssels nach RSAES-OAEP, Inhalt mit AES-256, Prüfsummen mit SHA-256.
Das Zertifikat bindet Ihren öffentlichen Schlüssel an Ihren Namen und Ihr IK. Die öffentlichen Schlüssel aller Teilnehmer stehen in Schlüsselverzeichnissen, die an Werktagen aktualisiert werden. Daran erkennen die Datenannahmestellen, wer eine verschlüsselte Datei geschickt hat. Ihr privater Schlüssel bleibt bei Ihnen.
Zertifikate geben die Trust Center aus, deren Schlüssel in diesen Verzeichnissen stehen. Eines davon ist das Trust Center der ITSG, der Informationstechnischen Servicestelle der gesetzlichen Krankenversicherung. Nur dort sieht Anlage 16 die Anfrage über eine Online-Schnittstelle und den papierlosen Online-Folgeantrag vor.
Für Verfahren, die auch gegen Quantencomputer sicher sind, hat die GKV einen Zeitplan: Zertifikate dafür ab dem 01.01.2029, Umstellung bis zum 31.12.2030. Für die heutige Abrechnung ändert das nichts.
Wer ein eigenes Zertifikat braucht
| Abrechnungsweg | Zertifikat | Rechnungsart |
|---|---|---|
| Direktabrechnung mit einem IK | eigenes Zertifikat auf das IK, das auch die Zahlung erhält | 1 |
| Mehrere IK im eigenen Haus, je IK ein Zertifikat | jede Datei wird mit dem Zertifikat des IK verschlüsselt, das die Zahlung erhält | 1 |
| Mehrere IK im eigenen Haus, ein Zertifikat | die Datei eines anderen eigenen IK wird mit dem Zertifikat dieses einen IK verschlüsselt | 2 |
| Abrechnungszentrum | das Zentrum erzeugt die Datei für Sie; ob Sie selbst ein Zertifikat brauchen, regelt Ihr Vertrag mit dem Zentrum | 2, mit Inkassovollmacht des Zentrums 3 |
Die Rechnungsart steht in der Abrechnungsdatei. Sie sagt der Kasse, wer abrechnet und an wen sie zahlt. Wer für mehrere IK meldet, beantragt nach Anlage 16 entweder für jedes IK ein eigenes Zertifikat oder ein Zertifikat als Meldestelle. Dem Antrag als Meldestelle liegt eine Eigenerklärung bei, dass nur für Meldepflichtige gemeldet wird, die nach substantiellem Sicherheitsniveau identifiziert wurden. Wie die Abrechnungsdatei aufgebaut ist, steht im Beitrag zur Umstellung auf Version 22.
Der Antrag in fünf Schritten
Schriftliche Anträge nimmt das Trust Center seit dem 01.07.2023 nicht mehr an. Der Antrag läuft elektronisch über sein Registrierungsportal.
- Schlüsselpaar erzeugen. Das Schlüsselpaar erzeugen Sie selbst, mit Ihrer Software. Der private Schlüssel bleibt bei Ihnen, gesichert durch ein sicheres Passwort. Für jeden Antrag entsteht ein neues Schlüsselpaar, auch beim Folgeantrag.
- Zertifizierungsanfrage stellen. Die Software schreibt eine Anfrage im Format PKCS#10,
Dateiendung
.p10, mit Ihrem Namen und dem öffentlichen Schlüssel. Diese Datei laden Sie im Registrierungsportal hoch. - Identität nachweisen. Sie laden den Hashwert Ihres öffentlichen Schlüssels als PDF hoch und weisen Ihre Identität auf substantiellem Sicherheitsniveau nach, zum Beispiel mit der Online-Ausweisfunktion des Personalausweises.
- IK bestätigen. Beim ersten Antrag prüft das Trust Center, ob das IK Ihnen gehört. Es schickt einen Freischaltcode per Post an die Adresse, die im Verzeichnis der Arbeitsgemeinschaft Institutionskennzeichen zu Ihrem IK steht. Den Code senden Sie, mit Ihrem Schlüsselpaar verknüpft, zurück.
- Zertifikat einspielen. Die Antwort kommt als PKCS#7-Datei mit der Endung
.p7c. Sie wird in die Abrechnungssoftware eingelesen.
Prüfen Sie vor dem Antrag die Anschrift zu Ihrem IK. Das Trust Center darf den Freischaltcode an keine andere Adresse schicken. Eine Änderung von Name, Anschrift oder Bankverbindung melden Sie der Sammel- und Verteilstelle IK (SVI), die das Verzeichnis führt.
Dauer, Gültigkeit und Erneuerung
Das Trust Center bearbeitet einen vollständigen Antrag meist in 3 bis 4 Werktagen. Dazu kommen beim ersten Antrag der Postweg des Freischaltcodes und Ihr Identitätsnachweis. Planen Sie den Antrag vor der ersten Abrechnung ein, nicht in der Woche des Monatsabschlusses.
- Gültigkeit: Zertifikate, die seit dem 02.01.2026 ausgestellt werden, gelten höchstens ein
Jahr. Zertifikate, die bis zum 31.12.2025 ausgestellt wurden, liefen noch drei Jahre. Anfang und Ende
stehen im Zertifikat selbst, in den Feldern
notBeforeundnotAfter; beide Zeitpunkte gehören noch zur Gültigkeit. - Erneuerung: Beim papierlosen Online-Folgeantrag reichen Sie keine Unterlagen ein. Die Software stellt ihn über die Schnittstelle des Trust Centers. Er wird mit einem gültigen Zertifikat des ITSG-Trust-Centers signiert und darf nur vom identifizierten Antragsteller gestellt werden.
- Abgelaufen: Ohne gültiges Zertifikat gibt es keinen Online-Folgeantrag. Dann ist ein neuer erster Antrag nötig, mit Identitätsnachweis und Freischaltcode.
Weil die Laufzeit jetzt nur ein Jahr beträgt, ist die Erneuerung eine jährliche Aufgabe. Tragen Sie das Ablaufdatum mit einigen Wochen Vorlauf in denselben Kalender ein wie Ihre anderen Fristen.
Häufige Fragen
- Wie lange ist ein ITSG-Zertifikat gültig?
- Ein Zertifikat, das seit dem 02.01.2026 ausgestellt wurde, gilt höchstens ein Jahr. Ältere Zertifikate liefen drei Jahre. Das genaue Ende steht im Zertifikat im Feld notAfter.
- Wie lange dauert der Antrag?
- Die Bearbeitung dauert meist 3 bis 4 Werktage. Beim ersten Antrag kommt der Postweg des Freischaltcodes dazu.
- Brauche ich ein Zertifikat, wenn ein Abrechnungszentrum für mich abrechnet?
- Das Zentrum erzeugt und übermittelt die Datei für Sie. Ob Sie trotzdem ein eigenes Zertifikat brauchen, regelt der Vertrag mit dem Zentrum.
- Kann ich ein abgelaufenes Zertifikat online verlängern?
- Nein. Der Online-Folgeantrag wird mit einem gültigen Zertifikat signiert. Ist es abgelaufen, ist ein neuer erster Antrag nötig.
- Warum kommt der Freischaltcode per Post?
- Damit das Trust Center prüfen kann, dass das IK Ihnen gehört: Der Code geht an die Adresse, die zu Ihrem IK im Verzeichnis steht.
Fundstellen
- Anlage 16 der Gemeinsamen Grundsätze Technik: Security-Schnittstelle, Stand 02.09.2025, gültig ab 01.01.2026: Kapitel 2 Verfahren und Schlüssellängen, 4.4.6 und 4.5 Gültigkeit, 4.6 Schlüsselverzeichnisse, 5.4 bis 5.7 Zertifizierungsanfrage, Registrierung, Freischaltcode, Meldestelle, Online-Folgeantrag und Schlüsselerzeugung.
- ITSG Trust Center, Hinweise zu Antrag und Laufzeit (abgerufen 08.10.2026): elektronischer Antrag seit 01.07.2023, Laufzeit ein Jahr für Zertifikate ab 02.01.2026, vorher drei Jahre.
- Technische Standards der GKV: Zeitplan für Post-Quanten-Zertifikate (ab 01.01.2029, Umstellung bis 31.12.2030).
- Technische Anlage 1 zu § 302 SGB V, Version 21 und Version 22 (Stand 21.05.2026), Kapitel 5.3: Rechnungsart 1 bis 3, IK des Zertifikats und IK der Zahlung, Abrechnungsstelle mit Inkassovollmacht.
- § 302 Abs. 1 und 2 SGB V: elektronische Abrechnung, Richtlinien des GKV-Spitzenverbands, Rechenzentren.