Hauptziel des Projektes ist es, die grundsätzliche Realisierbarkeit einer „virtuellen elektronischen Gesundheitskarte“ auf einem Smartphone und/oder Tablet sowohl theoretisch als auch praktisch nachzuweisen. Um dieses Ziel zu erreichen, sollen folgende Aspekte bearbeitet werden:
Im Rahmen einer Studie soll zunächst untersucht werden, welche Technologien und Lösungen zur sicheren Verwaltung von kryptografischem Schlüsselmaterial die beiden derzeit dominierenden Mobilplattformen (Android und iOS) unterstützen. In diesem Zusammenhang soll der gesamte Lebenszyklus des kryptografischen Materials betrachtet werden, von der Generierung über die Speicherung und Nutzung bis hin zur Löschung von Schlüsseln. Bei der Analyse berücksichtigt werden die in den zurückliegenden 3 Jahren veröffentlichten Versionen der jeweiligen Betriebssysteme.
Aufbauend auf dieser ersten Analyse soll ermittelt werden, welches Sicherheitsniveau die jeweiligen Ansätze bieten. Dabei wird insbesondere auf die Wahrung der Vertraulichkeit und Authentizität sowie die Steuerung der Nutzung des gespeicherten (privaten) Schlüsselmaterials eingegangen. Sofern möglich, soll das jeweils erreichbare Sicherheitsniveau sinnvoll klassifiziert und eine Zuordnung der derzeit am Markt verfügbaren Endgeräte zu diesen Klassen vorgenommen werden. Sollten die herstellerseitig verfügbaren Informationen nicht ausreichend sein, um eine entsprechende Zuordnung vorzunehmen, ist vorgesehen, ein Tool zu konzipieren und zu entwickeln, welches die entsprechenden Angaben automatisch erhebt.
Darüber hinaus soll die Studie klären, ob, wie und unter welchen Bedingungen eine Ableitung des Schlüsselmaterials von einer physischen eGK möglich ist. Der Begriff Ableitung bezieht sich dabei immer auf eine kryptografische Bindung des Schlüsselmaterials der virtuellen an das Schlüsselmaterial der physischen eGK. Die Untersuchung wird dabei sowohl den im Rahmen des AsK-Projektes konzipierten Ansatz der Nutzung der NFC-Schnittstelle berücksichtigen, als auch alternative Lösungswege aufzeigen, die auch von Endgeräten mit fehlender NFC-Unterstützung genutzt werden können.
Zusätzlich zur Ableitung des Schlüsselmaterials aus der physischen eGK soll ermittelt werden, welche Optionen bezüglich der Generierung einer virtuellen eGK ohne Einbeziehung der physischen eGK existieren. Die identifizierten Optionen sollen dabei sowohl in Bezug auf ihre Sicherheit als auch Praktikabilität bewertet werden.
Neben den Abläufen zur Generierung, soll im Rahmen der Studie ebenfalls untersucht werden, welche Prozesse am Ende des Lebenszyklus einer virtuellen eGK stehen (z.B. Sperrung wegen Verlust, Diebstahl oder Beschädigung des Endgerätes) und wie diese Prozesse optimal umgesetzt werden können.
Eine Auswahl der identifizierten Lösungsansätze für die Erstellung, Verwaltung und Nutzung der virtuellen eGK soll exemplarisch für die Android-Plattform umgesetzt werden. Dabei wird je ein Lösungsansatz mit und ein Lösungsansatz ohne Verwendung einer physischen eGK prototypisch implementiert. Für beide Ansätze werden – falls von den Betriebssystemen unterstützt – verschiedene Verfahren zur Freischaltung des Schlüsselmaterials der virtuellen eGK umgesetzt:
Neben der Demonstration der Machbarkeit soll die implementierte Anwendung die Grundlage für die Durchführung einer Evaluation der virtuellen eGK bilden. Die Evaluation soll primär Aufschluss darüber geben, ob die implementierten Lösungsansätze nutzbar und praktikabel sind und welche Vor- und Nachteile sich für die Versicherten jeweils ergeben.
Um eine möglichst realitätsnahe Erprobung sicherzustellen, soll die zu entwickelnde Lösung in zwei konkreten Anwendungsszenarien zum Einsatz kommen:
Aufbauend auf den Ergebnissen der Analyse, Umsetzung und Erprobung soll eine Planung erstellt werden, aus welcher ersichtlich wird, wie und mit welchem Aufwand die jeweils viel-versprechendsten Ansätze zur Marktreife weiterentwickelt werden können.
Die zu untersuchenden Fragestellungen werden somit alle in der Bekanntmachung benannten Untersuchungsfelder abdecken. Dies schließt die als optional gekennzeichneten Anforderungen mit ein.