Vier Branchen. Eine gemeinsame Anforderung: nachvollziehbare Windows-Anmeldung.

Was hier schwierig ist

Klinisches Personal meldet sich pro Schicht Dutzende Male an und ab. Passwörter werden unter Tastaturen geschrieben. Geteilte Konten machen die Rekonstruktion einer Zugriffsspur unmöglich. Die kontaktlosen und PKI-Karten, die Ihr Krankenhaus bereits ausgibt, könnten als Anmelde-Tokens dienen, sind aber typischerweise nicht von Haus aus mit Windows verdrahtet.

Deutsche Kliniken: die regulatorische Übersicht

Deutsche Krankenhäuser und Praxen unterliegen einer dichter gestaffelten Pflichtenkette als fast jeder andere Sektor. CodeB wird in diesem Umfeld eingesetzt, weil es zu jedem dieser Punkte sauber passt:

• DSGVO & BDSG — Patientendaten sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Personenbezogene Authentifizierung ist das Fundament jeder belastbaren Datenschutz-Folgenabschätzung. Geteilte Konten untergraben sie vom ersten Tag an.
• § 203 StGB — Verschwiegenheitspflicht — Das deutsche Strafrecht nimmt Ärztinnen, Zahnärzte und klinisches Personal persönlich in die Verantwortung, das Patientengeheimnis zu wahren. Eine starke, nachvollziehbare Windows-Anmeldung schafft den technischen Nachweis, dass der Zugriff auf autorisierte Personen beschränkt war.
• § 75c SGB V — Seit 2022 muss jedes deutsche Krankenhaus IT-Sicherheit „nach dem Stand der Technik“ umsetzen. Die Bundesärztekammer und die DKG lesen das als verbindliche Vorgabe für MFA an klinischen Arbeitsplätzen. CodeB ist die MFA-Schicht direkt am Windows-Anmelde-Bildschirm.
• B3S Krankenhaus & KRITIS — Der branchenspezifische Sicherheitsstandard für Krankenhäuser nach § 8a BSIG. Abschnitt 5 (Identitäts- und Berechtigungs-Management) verlangt ausdrücklich starke Authentifizierung für klinische Systeme. CodeB liefert das, ohne dass eine separate IAM-Plattform danebengestellt werden muss.
• KHZG-Förderung — Das Krankenhauszukunftsgesetz hat 15 % der Digitalisierungsmittel ausdrücklich für IT-Sicherheit vorgesehen. CodeB qualifiziert sich als förderfähige Maßnahme unter FT 10 (IT-Sicherheit), sodass der Rollout über Ihren KHZG-Antrag finanzierbar ist.

Wie CodeB eingesetzt wird

Hervorgehobene Fallstudie

Automatische Anmeldung an T2med (Java-Klinik-Software).

T2med ist die Java-basierte Klinik-Software, die in deutschen Hausarzt-Praxen weit verbreitet ist. Mit CodeB tippt die behandelnde Person eine NFC-Karte einmal an und landet bereits angemeldet in T2med — ohne Windows-Passwort, ohne T2med-Passwort, ohne handgetippten TOTP-Code.

Ansehen · T2med Auto-Logon Demo

Wie es funktioniert

Der CodeB Credential Provider sichert die Windows-Anmeldung mit einem zweiten Faktor — NFC-Karte oder TOTP — und ermöglicht gleichzeitig die passwortlose Anmeldung. Eine autorisierte NFC-Karte oder ein TOTP-Code ersetzt vollständig den Benutzername-Passwort-Schritt. Eine registrierte Karte vor das Lesegerät halten und die Windows-Sitzung öffnet sich.

Die mitgelieferte Web-SSO-Engine erweitert dieselbe Authentifizierung auf Webanwendungen, klassische Windows-Anwendungen und Java-basierte Desktop-Anwendungen. Sie erkennt das Anmelde-Fenster der Anwendung, trägt die passenden Anmeldedaten ein und — falls ein TOTP-Code erforderlich ist — berechnet und gibt diesen ein. T2med ist das Referenzbeispiel: Im CodeB-Web-SSO-Manager weisen Sie einem T2med-Konto eine oder mehrere NFC-Karten zu, und T2med wird nur angemeldet, solange eine zugewiesene Karte auf dem Lesegerät liegt.

Liegt die Karte bereits auf dem Lesegerät, wenn T2med öffnet, erfolgt die Anmeldung sofort; öffnet T2med zuerst, meldet es sich in dem Moment an, in dem die Karte angetippt wird. Ein T2med-Eintrag kann mehrere Konten enthalten, jedes mit eigener Karte — die Karte auf dem Lesegerät entscheidet, welche behandelnde Person angemeldet wird, und eine Karte, die zu keinem Konto gehört, fällt auf das Konto ohne zugewiesene Karte zurück.

Einrichtung in fünf Schritten

1. CodeB herunterladen. Holen Sie sich codeb_tray.zip von unserer Download-Seite.
2. Credential Provider installieren und Tray-Helfer starten. Führen Sie CredentialProviderInstaller.exe aus dem Zip-Archiv aus, klicken Sie auf Install Credential Provider und starten Sie anschließend codeb_tray.exe — den Prozess, der die Anmeldedaten zur Laufzeit in T2med einträgt.
3. Domain für T2med anlegen. Öffnen Sie den CodeB-Web-SSO-Manager (Titel Web SSO User Manager), klicken Sie auf + Add Domain, tragen Sie t2med ein und klicken Sie auf Done. Das integrierte T2med-Profil und ein Demo-Konto t2user werden angelegt (Demo-Server demo.t2med.com, Benutzer t2user, ohne Passwort) — ersetzen Sie es durch Ihre eigenen Anmeldedaten oder fügen Sie nach Bedarf weitere Benutzer hinzu.
4. Karte der behandelnden Person zuweisen. Wählen Sie das Konto aus und tippen Sie die NFC-Karte bei geöffnetem Manager auf das Lesegerät; die Kartennummer wird automatisch eingetragen. Mehrere Karten pro Konto? Durch Komma getrennt eingeben.
5. Optional — Abmelden beim Entfernen der Karte. Setzen Sie beim T2med-Eintrag das Häkchen bei Log off when the card is removed und klicken Sie auf Save.

Freihändige Abmeldung

Abmelden, wenn die Karte entfernt wird

Ein Häkchen beim T2med-Eintrag genügt, und CodeB meldet die behandelnde Person in dem Moment aus T2med ab, in dem sie ihre Karte vom Lesegerät nimmt — es sendet den T2med-eigenen Abmelde-Shortcut Strg + Umschalt + Q. Eine Karenzzeit von rund 3 Sekunden sorgt dafür, dass ein kurzes Antippen oder eine verrutschte Karte niemanden abmeldet. Keine gemeinsam genutzte Workstation bleibt offen auf einem Patientendatensatz stehen, wenn die behandelnde Person weggeht.

• Karenzzeit. Die Abmeldung erfolgt rund 3 Sekunden nach dem Entfernen der Karte (die Karte wird einmal pro Sekunde geprüft, in der Praxis also 3–4 Sekunden); wird die Karte innerhalb dieser Zeit zurückgelegt, geschieht nichts. Die Wartezeit ist eine eigene Einstellung — HKLM\SOFTWARE\WOW6432Node\CodeB\Config\LogoffDelaySec (Sekunden, 0–3600, Standard 3), getrennt von der Windows-Karten-Entfernungs-Verzögerung — und ein Anwendungsprofil kann einen eigenen Wert setzen.
• Nur Karten-Anmeldungen. Eine ohne Karte eingetragene Sitzung wird durch das Entfernen einer Karte niemals abgemeldet.
• Erreicht T2med zuverlässig. Arbeitet die Person in einem anderen Fenster, wird T2med gerade lange genug in den Vordergrund geholt, damit der Shortcut ankommt. Weigert sich Windows, T2med in den Vordergrund zu holen, sendet CodeB nichts — es tippt niemals in ein anderes Programm — und gibt nach einigen Versuchen auf. Zeigt T2med bereits seinen Anmeldebildschirm, wird nichts gesendet.
• Standardmäßig aus. Bestehende Installationen verhalten sich exakt wie bisher, bis das Häkchen gesetzt wird; das T2med-Profil aktualisiert sich automatisch und behält von einer Administratorin oder einem Administrator geänderte Felder bei.
• Nicht nur T2med. Jede Anwendung mit eigenem Abmelde-Shortcut funktioniert — tragen Sie die Tastenkombination in das Login-Profil der Anwendung ein (LogoffKeys, Windows-SendKeys-Notation: ^ Strg, + Umschalt, % Alt) und setzen Sie dasselbe Häkchen.

Ergebnis: Die behandelnde Person tippt die Karte an und landet bereits angemeldet in T2med — und nimmt die Karte weg, um sich sofort wieder abzumelden. Ohne Windows-Passwort, ohne T2med-Passwort, ohne handgetippten TOTP-Code.

Mehrere Praxis-Workstations? CodeB kann dieselben Karten und Web-SSO-Logins über jeden Computer synchronisieren.

Was hier schwierig ist

OT-Umgebungen vertragen nur wenig Störung. Windows-Updates sind ein Quartalsereignis, kein Dienstag. Bediener tragen Handschuhe; Touchscreens sind ungenau; Karten gehen verloren. Trotzdem verlangen NIS2 und Kunden-Audits inzwischen die personenbezogene Zurechnung jeder Aktion, die das MES berührt.

Wie CodeB eingesetzt wird

Was hier schwierig ist

OEM-Maschinen-Steuerungen basieren auf der Windows-Version, die aktuell war, als die Maschine das Werk verließ — und sie bleiben zehn bis zwanzig Jahre im Einsatz, oft in Netzen ganz ohne Internet. Das HMI hat typischerweise zwei Benutzergruppen: den Schicht-Bediener, der die Maschine fährt, und den Service-Ingenieur, der sie nachkonfiguriert. Beide benötigen nachvollziehbare Anmeldung, zunehmend unter NIS2, weil die Trägerbranche (Lebensmittel, Pharma, Energie, Wasser, Herstellung essenzieller Güter) im Anwendungsbereich liegt.

Wie CodeB eingesetzt wird

Was hier schwierig ist

Büro-Umgebungen sind heterogen: Notebooks unterwegs, Desktops On-Prem, Azure Virtual Desktop für externe Dienstleister. Auditoren erwarten kryptografisch nachvollziehbare Anmeldung — die meisten Umgebungen verlassen sich aber noch immer auf Passwort plus SMS-Code, beides phishbar.

Wie CodeB eingesetzt wird