HIN Plattformerneuerung 2026: Access Gateway, Client und die Fristen bis 14. September

HIN erneuert 2026 die Plattform für Identität und Zugriff. Die erste Frist läuft am 14. August 2026 ab, die grosse Umstellung folgt am 14. September 2026.

Betroffen sind das HIN Access Gateway (AGW), der HIN Client und die Authentisierungsmittel. Das HIN Mailgateway ist nicht betroffen. Es wird ebenfalls abgelöst, aber in einem separaten Vorhaben mit eigenem Fahrplan.

Die Fristen

Access Gateway ist nicht Mailgateway

Beide tragen Gateway im Namen und werden regelmässig verwechselt. Das Access Gateway steuert den Zugriff auf HIN-geschützte Anwendungen und berührt den Mailverkehr nicht. Das Mailgateway steht in der Mailstrecke und verschlüsselt Nachrichten.

Access Gateway: Firewall und Version 4

Bis 14. August muss das AGW idp.id.hin.ch erreichen können. Das ist eine Firewall-Änderung, keine Einstellung im Gateway, und liegt damit oft beim Netzwerkverantwortlichen statt beim Gateway-Betreuer.

Ab 17. August wird Version 4 automatisch installiert. Voraussetzung: AGW auf Version 3.1.50 oder höher, und Kerberos als Authentisierungsmethode aktiv. Für die Anbindung ans Active Directory braucht es ein LDAP-Konto mit Leserechten.

Wer die Voraussetzungen nicht erfüllt, wird nicht aktualisiert, und das fällt erfahrungsgemäss erst auf, wenn sich niemand mehr anmelden kann. Den Versionsstand prüfen Sie deshalb besser jetzt als im September.

SAML: neue Endpunkte, weniger Attribute

Föderationsdienst
  broker.hin.ch/realms/HINBroker/protocol/saml/descriptor

EPD-Zugang
  idp.id.hin.ch/auth/realms/hinid/protocol/saml/descriptor

Mit dem Wechsel ändern sich Attributformate und Bindings. Die Attributmenge wird auf GLN, Name, Geburtsdatum und Geschlecht reduziert.

Das ist der Punkt, an dem Integrationen scheitern. Jede Anwendung, die weitere Attribute für Rollen oder Mandantentrennung verwertet, bekommt sie nach dem 14. September nicht mehr. Der Fehler zeigt sich nicht als Anmeldefehler, sondern als fehlende Berechtigung im Zielsystem.

Testidentitäten verfallen am selben Datum, wer die Umstellung also in einer Integrationsumgebung erproben möchte, sollte das vorher tun.

Wer eine Föderation betreibt, betreibt fast immer auch eigene Mailinfrastruktur. Für diese Organisationen fällt die Plattformerneuerung mit der Mailgateway-Ablösung durch «Stargate» ins selbe Jahr: technisch unabhängig, aber um dieselben Personen und Wartungsfenster konkurrierend.

Token, App und HIN Client 4.0

Hardware-Token werden nicht mehr ausgegeben und verfallen am 14. September. Alternativen: HIN Client, SMS-Code oder Authenticator App. Die App selbst ist bis zum 14. September gültig und danach über das Self-Service-Portal neu zu konfigurieren.

Der HIN Client wird spätestens am 14. September automatisch auf Version 4.0 aktualisiert, manuelle Installation ab Mitte August über download.hin.ch. Der Login läuft neu über den Browser.

Der kritische Punkt sind die Systemvoraussetzungen: Version 4.0 setzt Windows 11 oder macOS 14 voraus. Ältere Geräte müssen vorher aktualisiert oder ersetzt werden. Für einen Teil der Praxen ist die Frist damit keine Software-, sondern eine Beschaffungsaufgabe. Wer das erst im September merkt, kämpft mit Lieferzeiten und Neuinstallation der Praxissoftware.

Fünf Fragen zur Standortbestimmung

1. Welche AGW-Version läuft, und ist Kerberos aktiv?
2. Lässt die Firewall ausgehend idp.id.hin.ch zu?
3. Wie viele Arbeitsplätze laufen noch auf Windows 10 oder macOS 13 und älter?
4. Wie viele Hardware-Token sind im Einsatz, und worauf wechseln die Betroffenen?
5. Verwertet eine Anwendung HIN-Attribute, die künftig wegfallen?

Die Antworten auf 3 und 5 bestimmen den Aufwand. Der Rest ist in wenigen Stunden erledigt und von HIN dokumentiert.

Das zweite Vorhaben: «Stargate»

Unabhängig davon ersetzt HIN das Mailgateway durch das neue HIN Gateway, intern Projekt «Stargate», technisch ein Data-Mesh-Ansatz mit Ende-zu-Ende-Verschlüsselung und dezentraler Schlüsselverwaltung. Es handelt sich dabei nicht um einen Austausch der Appliance, sondern um einen Architekturwechsel.

Der Aufwand liegt damit auf einer ganz anderen Ebene. Die Plattformerneuerung verlangt vor allem Termintreue bei einer Firewall-Regel, einem Versionsstand und einem Gerätetausch, während bei Stargate die produktive Mailstrecke selbst zur Disposition steht: das gewachsene Regelwerk, das Schlüsselmaterial, die Behandlung von Empfängern ohne HIN-Identität und die Frage, worauf zurückgefallen wird, wenn etwas nicht wie erwartet läuft. Da die Migration in gebuchten Vierstundenfenstern abläuft und HIN einen Monat Vorbereitung empfiehlt, verzeiht ein solcher Termin keine offenen Punkte.