30 Jahre Itsg: Wie aus einem Trust Center ein zentraler IT-Dienstleister wurde

Was geschehen ist – die Kernmeldung ausführlich

Die Informationstechnische Servicestelle der gesetzlichen Krankenversicherung, kurz ITSG, feiert in diesem Jahr ihr 30-jähriges Bestehen. Was vor drei Jahrzehnten als spezialisiertes Trust Center begann, hat sich zu einem zentralen IT-Dienstleister im deutschen Sozial- und Gesundheitswesen entwickelt. Die Gründung der Organisation war eine direkte Reaktion auf die Notwendigkeit, den Datenaustausch zwischen Krankenkassen, Arbeitgebern und Leistungserbringern von einem papierbasierten Prozess auf eine sichere elektronische Infrastruktur umzustellen. Über die Jahre hinweg hat die ITSG ihre Aufgaben stetig erweitert und ist heute ein unverzichtbarer Akteur für die digitale Infrastruktur der Sozialversicherung. Anlässlich des Jubiläums gaben Geschäftsführer Stefan Haibach und Chief Strategy Officer Gregor Grebe Einblicke in die technische Entwicklung, die Sicherheitsstrategien und die zukünftige Ausrichtung des Unternehmens. Dabei standen Themen wie die Bewältigung von Cyberangriffen, die Integration von Künstlicher Intelligenz (KI) sowie die Abhängigkeit von internationalen Software- und Hardwareanbietern im Fokus. Die ITSG fungiert heute als eine Art technischer TÜV für Lohnabrechnungssoftware und stellt sicher, dass sensible Daten korrekt verarbeitet werden.

Die Einzelheiten – Zahlen, Namen und Fakten

Die Wurzeln der ITSG liegen in der gesetzlichen Vorgabe, den Datenaustausch im Sozialwesen zu digitalisieren. Ein zentraler Meilenstein war die Etablierung des Trust Centers, das digitale Zertifikate verwaltet, um Identitäten zu verifizieren. Ein weiteres wichtiges Standbein ist das Arbeitgeberverfahren, das seit 2006 verpflichtend ist und monatliche Beitragsmeldungen elektronisch abwickelt. Das SV-Meldeportal der ITSG zählt mittlerweile rund 400.000 Nutzer. Die ITSG verwaltet zudem die Krankenversichertennummer für gesetzliche und private Kassen. Geschäftsführer Stefan Haibach, seit Juli 2022 im Amt, ist gelernter Sozialversicherungsfachangestellter und seit 2008 Teil des Unternehmens. Gregor Grebe leitet als Chief Strategy Officer den Stabsbereich Strategie und Standards. In puncto Sicherheit betreibt die ITSG zwei Rechenzentren in Frankfurt mit einem Sicherheitsabstand von etwa fünf Kilometern, um BSI-Vorgaben zu erfüllen. Ein einziger schwerwiegender Vorfall – eine Denial-of-Service-Attacke, vermutlich aus Nordkorea – führte in der Vergangenheit zu einer einstündigen Offline-Zeit. Heute setzt das Unternehmen bei der Softwareentwicklung auf Werkzeuge wie GitHub Copilot, was Produktivitätssteigerungen von 20 bis 35 Prozent ermöglicht.

Hintergrund – Die Entwicklung zur digitalen Infrastruktur

Die Entstehung der ITSG ist eng mit der politischen Entscheidung verbunden, den Datenaustausch im Gesundheitswesen zu modernisieren. Bereits vor der Ära von Ulla Schmidt legte Horst Seehofer den Grundstein für die elektronische Kommunikation. Die Krankenkassen mussten sich damals erst in die Funktionsweise einer Public-Key-Infrastruktur (PKI) einarbeiten, was schließlich zur Gründung des Trust Centers führte. Ein wesentlicher Teil der Vorgeschichte ist auch die Gründung der Gematik. Der damalige ITSG-Geschäftsführer Harald Flex war maßgeblich an deren Aufbau beteiligt, wobei die Gematik sich eher auf medizinische Inhalte konzentrierte, während die ITSG die technische Basis für den Datenaustausch festigte. Stefan Haibach war bereits in frühen Phasen, etwa im Fachbeirat der Gematik-Vorgängerorganisation „Protego“, in die konzeptionelle Arbeit für die elektronische Patientenakte (ePA) eingebunden. Diese frühen Jahre waren geprägt von fachlichen Diskussionen, bei denen die technische Umsetzung zunächst dem Markt überlassen werden sollte, was sich jedoch im Laufe der Zeit durch immer detailliertere Spezifikationen wandelte.

Die Beteiligten – Institutionen und Akteure

Die ITSG agiert in einem komplexen Netzwerk aus verschiedenen Akteuren. Zu den Partnern und Kunden zählen alle gesetzlichen Krankenkassen sowie zahlreiche Softwarehersteller wie SAP, DATEV, Sage und Lexware. Diese Hersteller müssen ihre Programme von der ITSG zertifizieren lassen, um sicherzustellen, dass Beitragsberechnungen und Datensätze korrekt erstellt werden. Auch die Zusammenarbeit mit Kassendienstleistern wie Bitmarck ist ein wesentlicher Bestandteil des Tagesgeschäfts. Intern wird die Strategie maßgeblich von Stefan Haibach und Gregor Grebe geprägt. Historisch gesehen waren auch der AOK-Bundesverband und der Verband der Ersatzkassen (vdek) wichtige Akteure in der Konzeptionsphase. Die ITSG selbst sieht sich als Dienstleister, der regulatorische Anforderungen in IT-Lösungen übersetzt. Dabei zeigt sich eine klare Trennung zwischen der medizinischen Ausrichtung der Gematik und der eher administrativen und abrechnungstechnischen Rolle der ITSG, auch wenn es an vielen Stellen thematische Berührungspunkte gibt.

Einordnung – Die Bedeutung der IT-Sicherheit

Einzuordnen ist die Rolle der ITSG als eine kritische Infrastruktur innerhalb des deutschen Sozialstaats. Die Berichte verdeutlichen, dass IT-Sicherheit kein statischer Zustand ist, sondern ein kontinuierlicher Prozess. Die Entscheidung, Transparenz bei Systemstörungen zu zeigen – etwa durch eine öffentliche Verfügbarkeitsanzeige –, markiert einen Wandel in der Kommunikation mit den Krankenkassen. Den Berichten zufolge war dieser Schritt notwendig, da externe Dienstleister wie DATEV bereits eigene Statistiken über die Erreichbarkeit der ITSG-Systeme führten. Die ITSG hat erkannt, dass eine proaktive Informationspolitik das Vertrauen stärkt und Support-Anfragen reduziert. Die Abhängigkeit von US-amerikanischen Cloud-Anbietern wird kritisch gesehen; die ITSG versucht hier, durch den Betrieb eigener Rechenzentren und den Test von Open-Source-Alternativen (wie etwa den Ersatz von Red Hat) eine gewisse technologische Souveränität zu bewahren. Die Kosten für diese Sicherheitsmaßnahmen sind zwar schwer zu vermitteln, da sie präventiv wirken, gelten jedoch als alternativlos angesichts der ständigen Bedrohungslage durch Cyberangriffe.

Offene Fragen – Was der Quelltext nicht beantwortet

Obwohl der Quelltext detaillierte Einblicke in die technische Historie und die aktuelle Strategie gibt, bleiben einige Punkte offen. So wird nicht konkretisiert, wie die langfristige Finanzierung der steigenden IT-Sicherheitskosten durch die Krankenkassen im Detail geregelt ist, außer dass diese Kosten letztlich von den Versicherten getragen werden. Auch die genaue Anzahl der Mitarbeiter oder die exakte Höhe der Investitionen in die neue On-Premises-KI-Lösung wird nicht genannt. Zudem bleibt unklar, wie genau die ITSG mit der Konkurrenz durch private Anbieter umgeht, die zunehmend in den Markt für Gesundheits-IT drängen. Die Frage, inwieweit die ITSG in Zukunft auch Aufgaben außerhalb des Sozialversicherungssystems übernehmen könnte, wird nicht explizit beantwortet. Auch die spezifischen technischen Details der „niedrigen zweistelligen Zahl“ an Fällen im Zeugenschutzprogramm bleiben aus Sicherheitsgründen bewusst außen vor, was eine Lücke in der öffentlichen Transparenz über diese speziellen Verwaltungsprozesse lässt.

Wie es weitergeht – Ausblick und Strategien

Die ITSG steht vor der Herausforderung, ihre IT-Infrastruktur weiter zu modernisieren, ohne dabei die Abhängigkeit von großen US-Technologiekonzernen zu vergrößern. Ein zentraler Schritt ist die verstärkte Nutzung von Open-Source-Software, um Lizenzkosten zu senken und die Flexibilität zu erhöhen. Im Bereich der Künstlichen Intelligenz plant das Unternehmen, von reinen Cloud-Lösungen auf On-Premises-Systeme umzusteigen, um auch sensiblere Daten verarbeiten zu können. Die Entwicklung der KI-Tools, wie etwa der Einsatz von GitHub Copilot, soll weiter vorangetrieben werden, da hier signifikante Einsparpotenziale in der Softwareentwicklung identifiziert wurden. Auch die Notfallübungen und die regelmäßige Überprüfung der IT-Sicherheit bleiben fester Bestandteil der Agenda, um auf die stetig steigende Zahl an Angriffsversuchen reagieren zu können. Die ITSG wird zudem weiterhin als technischer Prüfer für Lohnabrechnungssoftware fungieren und ihre Rolle als zentraler Knotenpunkt im Datenaustausch zwischen Arbeitgebern und Krankenkassen weiter festigen.