Anlage A Ziff. A.4. KmV-RL, Mögliche Authentifizierungsverfahren bei persönlichem, postalischem, telefonischem oder elektronischem Kontakt (außerhalb von Portalen und Anwendungen) mit Vertretern der Krankenkassen
A.4.1.1 Bei telefonischem oder persönlichem Kontakt (beispielsweise via Chat, postalisch oder vor Ort) kann ein substantielles Schutzniveau, beispielsweise durch ein im Voraus vereinbartes Kundenkennwort, sichergestellt werden. 2 Das Kundenkennwort ist mit einem sicheren Verfahren gemäß Ziff. 7. der Richtlinie zu übermitteln.
A.4.2.1 Für ein hohes Schutzniveau ist die Abfrage bzw. der Abgleich mehrerer Daten erforderlich, bei denen davon ausgegangen werden kann, dass sie in Kombination nur dem Berechtigten und der Krankenkasse bekannt sind. 2 Dabei ist zu berücksichtigen, dass für ein hohes Schutzniveau die einzelne oder kombinierte Abfrage von nur leicht zugänglichen Daten, wie z. B. dem Namen, dem Vornamen, dem Geburtsdatum oder der Anschrift für sich genommen nicht ausreicht. 3 Stattdessen ist eine Authentifizierung auf einem hohen Schutzniveau dadurch zu erreichen, dass die Krankenkasse kombinierte Abfragen von Daten unterschiedlichen Bekanntheitsgrades (z. B. Kombination aus Gültigkeitsdatum der eGK, Arbeitgeber, Rentenversicherungsnummer) vornimmt. 4 Bei der Umsetzung der Abfrage und des Abgleichs der Daten für die Authentifizierung bzw. Identifizierung können die Mitarbeitenden der Krankenkassen durch technische Systeme unterstützt werden.
A.4.3. Bei postalischem Kontakt kann eine Authentifizierung des Berechtigten mittels eines vom Berechtigten persönlich unterzeichneten Schreibens erfolgen, indem eine Angabe von Daten erfolgt, die eine eindeutige Zuordnung des Berechtigten sicherstellt (beispielsweise Krankenversichertennummer, Aktenzeichen).
A.4.4.1 Bei einem elektronischen Kontakt mit Vertretern der Krankenkassen kann eine zweifelsfreie Authentifizierung gegeben sein, sofern die Anfrage mit einer elektronischen Signatur im Sinne des Artikel 3 Nummer 12 eIDAS-Verordnung versehen ist. 2 Bei einem elektronischen Kontakt mit Vertretern der Krankenkassen über ein Kontaktformular können Daten zum Zweck der Zuordnung des Versicherten zum Datenbestand der Krankenkasse (z. B. Name, Vorname, Anschrift, Kranken- /Rentenversichertennummer) abgefragt werden. 3 Bei einem elektronischen Kontakt mit Vertretern der Krankenkassen über eine der Krankenkasse bekannten E-Mail-Adresse des Berechtigten, ein Fax oder Kontaktformular kann allein keine zweifelsfreie Authentifizierung (beispielsweise auch nicht durch einen Abgleich mit dem Datenbestand der Krankenkasse, siehe A.4.2) erfolgen.
A.4.4.1.1 Werden für eine Adress-, Geschlechts- oder Namensänderung oder weitere Prozesse, die die Bereitstellung einer eGK oder eines PIN/PUK-Brief auslösen ein Abbild per E-Mail über ein Kontaktformular oder via Fax bereitgestellt, kann eine Zuordnung des Berechtigten erreicht werden, wenn ein Abgleich personenbezogener Daten (z. B. Vorname, Name, Versicherten- oder Rentenversicherungsnummer, Geburtsdatum, Aktenzeichen oder aktueller Anschrift) mit dem Datenbestand der Krankenkasse erfolgt. 2 Für die Nutzung in diesen Prozessen sind zusätzliche Maßnahmen zur Verifizierung der Änderungsmitteilungen erforderlich, wie z. B. eine Abfrage im Melderegister der Behörden.
A.4.5. Beim persönlichen Kontakt vor Ort kann eine zweifelsfreie Authentifizierung auch gegeben sein, sofern der Berechtigte dem jeweiligen Vertreter der Krankenkasse persönlich bekannt ist oder der Berechtigte mit einem Lichtbildausweis authentifiziert wird.
