TI & Telemedizin
TI & Telemedizin
Praxisnetz segmentieren: warum TI, Praxis-PCs und Gästezugang getrennt gehören
|
3
Lesezeit
Praxisnetz segmentieren: warum TI, Praxis-PCs und Gästezugang getrennt gehören
In vielen Praxen hängt alles an einem Router. Praxisrechner, Kartenterminals, das Anmelde-Tablet, der Etikettendrucker, das Notebook der Abrechnung und das WLAN, in das sich Patienten im Wartezimmer einwählen.
Das funktioniert im Alltag und fällt genau dann auf, wenn ein Gerät kompromittiert ist oder wenn im Audit die Frage kommt, wie das Netz aufgebaut ist.
Was die Richtlinie an dieser Stelle verlangt
Anlage 1 der IT-Sicherheitsrichtlinie nach § 75b SGB V behandelt Netzsicherheit an drei Punkten, die zusammengehören. Anforderung 11 verlangt, den Übergang zu anderen Netzen und insbesondere zum Internet durch eine Firewall zu schützen.
Anforderung 12 fordert einen Netzplan mit der logischen Struktur, den Subnetzen, der Zonierung und der Segmentierung. Ein Netzplan lässt sich nicht zeichnen, wenn es nur ein einziges Netz gibt, in dem alles steckt.
Die Anforderungen 16 und 17 verlangen, Hardware und Software ohne Sicherheitsupdates zu identifizieren und dann auszumustern oder in einem eigenen Netzwerksegment separiert zu betreiben. Damit ist Segmentierung keine freiwillige Fleißaufgabe, sondern die Voraussetzung dafür, ein Altgerät überhaupt legal weiterbetreiben zu können.
Für den Gästezugang ist der IT-Grundschutz des BSI eindeutig. Der Baustein zur Netzarchitektur formuliert als Basis-Anforderung, dass für Gastzugänge und für Netzbereiche ohne ausreichende interne Kontrolle über die Endgeräte dedizierte Netzsegmente eingerichtet werden müssen. Ergänzend gilt, dass nur Endgeräte mit ähnlichem Sicherheitsniveau in einem Segment stehen sollen.
Vier Segmente, die in fast jede Praxis passen
Das erste Segment gehört den Praxisrechnern und dem Praxisverwaltungssystem. Hier liegen die Patientendaten, hier ist der Schutzbedarf am höchsten, und hier sollte nichts stehen, was nicht dazugehört.
Das zweite Segment ist die Anbindung an die Telematikinfrastruktur mit den zugehörigen Kartenterminals. Diese Komponenten haben eine klar begrenzte Aufgabe und brauchen keinen offenen Weg in den Rest des Netzes.
Das dritte Segment nimmt die Geräte auf, über die die Praxis wenig Kontrolle hat. Ein Anmeldeterminal mit eigener Firmware, ein netzwerkfähiger Etikettendrucker oder ein älteres Medizingerät, für das der Hersteller keine Updates mehr liefert, fallen unter Anforderung 17 und gehören genau hierher.
Das vierte Segment ist der Gästezugang für Patienten. Er braucht Internet und sonst nichts. Zwischen Gastnetz und Praxisnetz darf es keine Verbindung geben, auch nicht über einen gemeinsamen Drucker.
Warum das Häkchen im Router nicht reicht
Fast jeder Router bietet eine Gastnetz-Funktion. Sie trennt WLAN-Gäste vom übrigen WLAN und ist besser als nichts, löst aber nur einen Teil des Problems.
Die kabelgebundenen Geräte bleiben in einem gemeinsamen Netz, und genau dort stehen die Altgeräte, um die es in Anforderung 17 geht. Ein Drucker mit abgelaufener Firmware im selben Netz wie das Praxisverwaltungssystem ist die Situation, die die Richtlinie verhindern will.
Für eine echte Trennung braucht die Praxis drei Dinge: einen Switch, der VLANs unterstützt, Access Points, die mehrere SSIDs mit VLAN-Zuordnung ausgeben, und eine Firewall, die den Verkehr zwischen den Segmenten nach einer Freigabeliste filtert. Erlaubt ist, was gebraucht wird, alles andere ist gesperrt.
Diese Komponenten sind kein Sonderbedarf, sondern gehören zur Netzplanung, die der Beitrag zum
Der Netzplan ist die Prüfunterlage
Ein Netzplan ist keine Zeichnung für die Schublade. Er ist das Dokument, mit dem die Praxis im Datenschutzaudit oder bei einer Prüfung belegt, dass sie Anforderung 12 erfüllt.
Er sollte die Segmente, die zugeordneten Geräte, die erlaubten Verbindungen zwischen den Segmenten und den Netzübergang zum Internet enthalten. Zusätzlich hilft eine Liste der Geräte, die aus dem Support gefallen sind, samt Begründung, warum sie noch laufen und in welchem Segment sie stehen.
Wer die Praxis-IT von einem Dienstleister betreuen lässt, sollte den Netzplan zum Vertragsbestandteil machen. Sonst kennt niemand außer dem Dienstleister die Struktur, und beim Wechsel beginnt die Dokumentation von vorn. Wie die übrigen Punkte aus Anlage 1 an der Hardware hängen, beschreibt der Beitrag zu den Anforderungen aus Anlage 1.
Wo die Praxis nicht selbst schrauben sollte
Die Anbindung an die Telematikinfrastruktur ist der Bereich, in dem Eigenbau nichts bringt. Ob die Praxis einen Konnektor vor Ort betreibt oder den Zugang über ein TI-Gateway aus einem Rechenzentrum bezieht, entscheidet der Anbieter der Anbindung, und die zugehörige Netzkonfiguration gehört in dessen Hand.
Was die Praxis dagegen selbst steuert, ist die Auswahl der übrigen Geräte. Ein Anmeldeterminal, ein Drucker oder ein Monitor mit eigener Firmware sollte beim Kauf danach beurteilt werden, wie lange der Hersteller Sicherheitsupdates liefert. Jedes Gerät ohne Update-Zusage landet dauerhaft im Sondersegment und erhöht den Pflegeaufwand.
Was jetzt konkret ansteht
Der erste Schritt ist eine Bestandsliste: jedes Gerät mit Netzanschluss, Hersteller, Modell und Update-Status. Daraus ergibt sich, wie viele Segmente die Praxis wirklich braucht.
Der zweite Schritt ist die Hardware. Segmentierung ohne verwaltbaren Switch und passende Access Points bleibt Theorie.
Die Praxis-Bundles fassen die Ausstattung raumweise zusammen, vom Bundle "Empfang & Anmeldung" ab 2.242,38 Euro bis zum Bundle "Wartezimmer & Anamnese" ab 641,60 Euro mit Tablet und Diebstahlsicherung. Wer erst den Ist-Stand sortieren will, kann mit dem Digitalcheck beginnen und die Beschaffung anschließend über den Praxis-Shop abwickeln. Bei einem Ausfall greift der Vor-Ort-Service, damit die Sprechstunde nicht an einem Netzwerkproblem hängt.
Quellen und Redaktion
Redaktion: GFKD AG, 24.08.2026. Quellen: KBV: Basis-Schutz für die IT-Infrastruktur, Anlage 2 der Richtlinie IT-Sicherheit in der Praxis, BSI IT-Grundschutz, NET.1.1 Netzarchitektur und -design, gematik: TI-Gateway und Highspeed-Konnektor. Die konkrete Umsetzung der Segmentierung ist mit dem betreuenden IT-Dienstleister und dem Anbieter der TI-Anbindung abzustimmen.
Praxisnetz segmentieren: warum TI, Praxis-PCs und Gästezugang getrennt gehören
In vielen Praxen hängt alles an einem Router. Praxisrechner, Kartenterminals, das Anmelde-Tablet, der Etikettendrucker, das Notebook der Abrechnung und das WLAN, in das sich Patienten im Wartezimmer einwählen.
Das funktioniert im Alltag und fällt genau dann auf, wenn ein Gerät kompromittiert ist oder wenn im Audit die Frage kommt, wie das Netz aufgebaut ist.
Was die Richtlinie an dieser Stelle verlangt
Anlage 1 der IT-Sicherheitsrichtlinie nach § 75b SGB V behandelt Netzsicherheit an drei Punkten, die zusammengehören. Anforderung 11 verlangt, den Übergang zu anderen Netzen und insbesondere zum Internet durch eine Firewall zu schützen.
Anforderung 12 fordert einen Netzplan mit der logischen Struktur, den Subnetzen, der Zonierung und der Segmentierung. Ein Netzplan lässt sich nicht zeichnen, wenn es nur ein einziges Netz gibt, in dem alles steckt.
Die Anforderungen 16 und 17 verlangen, Hardware und Software ohne Sicherheitsupdates zu identifizieren und dann auszumustern oder in einem eigenen Netzwerksegment separiert zu betreiben. Damit ist Segmentierung keine freiwillige Fleißaufgabe, sondern die Voraussetzung dafür, ein Altgerät überhaupt legal weiterbetreiben zu können.
Für den Gästezugang ist der IT-Grundschutz des BSI eindeutig. Der Baustein zur Netzarchitektur formuliert als Basis-Anforderung, dass für Gastzugänge und für Netzbereiche ohne ausreichende interne Kontrolle über die Endgeräte dedizierte Netzsegmente eingerichtet werden müssen. Ergänzend gilt, dass nur Endgeräte mit ähnlichem Sicherheitsniveau in einem Segment stehen sollen.
Vier Segmente, die in fast jede Praxis passen
Das erste Segment gehört den Praxisrechnern und dem Praxisverwaltungssystem. Hier liegen die Patientendaten, hier ist der Schutzbedarf am höchsten, und hier sollte nichts stehen, was nicht dazugehört.
Das zweite Segment ist die Anbindung an die Telematikinfrastruktur mit den zugehörigen Kartenterminals. Diese Komponenten haben eine klar begrenzte Aufgabe und brauchen keinen offenen Weg in den Rest des Netzes.
Das dritte Segment nimmt die Geräte auf, über die die Praxis wenig Kontrolle hat. Ein Anmeldeterminal mit eigener Firmware, ein netzwerkfähiger Etikettendrucker oder ein älteres Medizingerät, für das der Hersteller keine Updates mehr liefert, fallen unter Anforderung 17 und gehören genau hierher.
Das vierte Segment ist der Gästezugang für Patienten. Er braucht Internet und sonst nichts. Zwischen Gastnetz und Praxisnetz darf es keine Verbindung geben, auch nicht über einen gemeinsamen Drucker.
Warum das Häkchen im Router nicht reicht
Fast jeder Router bietet eine Gastnetz-Funktion. Sie trennt WLAN-Gäste vom übrigen WLAN und ist besser als nichts, löst aber nur einen Teil des Problems.
Die kabelgebundenen Geräte bleiben in einem gemeinsamen Netz, und genau dort stehen die Altgeräte, um die es in Anforderung 17 geht. Ein Drucker mit abgelaufener Firmware im selben Netz wie das Praxisverwaltungssystem ist die Situation, die die Richtlinie verhindern will.
Für eine echte Trennung braucht die Praxis drei Dinge: einen Switch, der VLANs unterstützt, Access Points, die mehrere SSIDs mit VLAN-Zuordnung ausgeben, und eine Firewall, die den Verkehr zwischen den Segmenten nach einer Freigabeliste filtert. Erlaubt ist, was gebraucht wird, alles andere ist gesperrt.
Diese Komponenten sind kein Sonderbedarf, sondern gehören zur Netzplanung, die der Beitrag zum
Der Netzplan ist die Prüfunterlage
Ein Netzplan ist keine Zeichnung für die Schublade. Er ist das Dokument, mit dem die Praxis im Datenschutzaudit oder bei einer Prüfung belegt, dass sie Anforderung 12 erfüllt.
Er sollte die Segmente, die zugeordneten Geräte, die erlaubten Verbindungen zwischen den Segmenten und den Netzübergang zum Internet enthalten. Zusätzlich hilft eine Liste der Geräte, die aus dem Support gefallen sind, samt Begründung, warum sie noch laufen und in welchem Segment sie stehen.
Wer die Praxis-IT von einem Dienstleister betreuen lässt, sollte den Netzplan zum Vertragsbestandteil machen. Sonst kennt niemand außer dem Dienstleister die Struktur, und beim Wechsel beginnt die Dokumentation von vorn. Wie die übrigen Punkte aus Anlage 1 an der Hardware hängen, beschreibt der Beitrag zu den Anforderungen aus Anlage 1.
Wo die Praxis nicht selbst schrauben sollte
Die Anbindung an die Telematikinfrastruktur ist der Bereich, in dem Eigenbau nichts bringt. Ob die Praxis einen Konnektor vor Ort betreibt oder den Zugang über ein TI-Gateway aus einem Rechenzentrum bezieht, entscheidet der Anbieter der Anbindung, und die zugehörige Netzkonfiguration gehört in dessen Hand.
Was die Praxis dagegen selbst steuert, ist die Auswahl der übrigen Geräte. Ein Anmeldeterminal, ein Drucker oder ein Monitor mit eigener Firmware sollte beim Kauf danach beurteilt werden, wie lange der Hersteller Sicherheitsupdates liefert. Jedes Gerät ohne Update-Zusage landet dauerhaft im Sondersegment und erhöht den Pflegeaufwand.
Was jetzt konkret ansteht
Der erste Schritt ist eine Bestandsliste: jedes Gerät mit Netzanschluss, Hersteller, Modell und Update-Status. Daraus ergibt sich, wie viele Segmente die Praxis wirklich braucht.
Der zweite Schritt ist die Hardware. Segmentierung ohne verwaltbaren Switch und passende Access Points bleibt Theorie.
Die Praxis-Bundles fassen die Ausstattung raumweise zusammen, vom Bundle "Empfang & Anmeldung" ab 2.242,38 Euro bis zum Bundle "Wartezimmer & Anamnese" ab 641,60 Euro mit Tablet und Diebstahlsicherung. Wer erst den Ist-Stand sortieren will, kann mit dem Digitalcheck beginnen und die Beschaffung anschließend über den Praxis-Shop abwickeln. Bei einem Ausfall greift der Vor-Ort-Service, damit die Sprechstunde nicht an einem Netzwerkproblem hängt.
Quellen und Redaktion
Redaktion: GFKD AG, 24.08.2026. Quellen: KBV: Basis-Schutz für die IT-Infrastruktur, Anlage 2 der Richtlinie IT-Sicherheit in der Praxis, BSI IT-Grundschutz, NET.1.1 Netzarchitektur und -design, gematik: TI-Gateway und Highspeed-Konnektor. Die konkrete Umsetzung der Segmentierung ist mit dem betreuenden IT-Dienstleister und dem Anbieter der TI-Anbindung abzustimmen.
