Firewall und Netzwerk in der Arztpraxis: die IT-Sicherheits-Grundlagen

Wenn die IT in einer Arztpraxis Ärger macht, fällt der Blick zuerst auf die Praxissoftware oder die Telematikinfrastruktur. Die eigentliche Grundlage liegt eine Ebene tiefer: im Netzwerk und an der Firewall. Auf dieser Schicht entscheidet sich, ob Patientendaten geschützt sind, ob die TI stabil läuft und ob Ihre Praxis die Anforderungen der KBV-IT-Sicherheitsrichtlinie überhaupt erfüllen kann. Dieser Beitrag erklärt, was die Richtlinie tatsächlich verlangt und wann eine separat verwaltete Hardware-Firewall sinnvoll sein kann.

Welche Firewall verlangt die KBV-Richtlinie?

Die KBV-IT-Sicherheitsrichtlinie verlangt eine passend konfigurierte Firewall am Übergang zu anderen Netzen. Laut KBV kann dieser Schutz je nach Anbindung durch den seriellen Konnektor, die Firewall des Routers oder eine andere Hardware-Firewall umgesetzt werden. Entscheidend ist, ob nur erforderliche Verbindungen erlaubt sind und die Lösung zu Praxisgröße, Netzstruktur und Risiko passt. Bei paralleler Internet- und TI-Anbindung sind zusätzliche Schutzmaßnahmen auf Netzebene erforderlich; dafür kann eine separate, verwaltete Firewall sinnvoll sein.

Welche Bereiche getrennt geprüft werden sollten

Ein flaches Netz, in dem alle Geräte nebeneinanderliegen, ist bequem und riskant zugleich. Wird ein Gerät kompromittiert, etwa über eine Phishing-Mail, kann ein flaches Netz die Bewegung zu weiteren Systemen erleichtern. Eine saubere Segmentierung zieht Grenzen ein. Typische Trennungsfälle, die anhand von Netzplan, Herstellerfreigabe und Risiko geprüft werden, sind:

1. Das Praxisnetz mit Arbeitsplätzen, Server und Praxissoftware.
2. Die Telematikinfrastruktur mit ihren Komponenten für eRezept, eAU, KIM und ePA.
3. Das Gäste-WLAN für Patienten und praxisfremde Geräte, das keinen Zugriff auf das Praxisnetz haben darf.
4. Medizingeräte mit Netzwerkanschluss, die je nach Herstellerfreigabe, Supportstatus und Risiko in ein eigenes Segment gehören können.

Ein Gäste-WLAN darf keinen Zugriff auf das Praxisnetz erhalten. Eigene Segmente sind insbesondere für Komponenten ohne Sicherheitsupdates erforderlich, wenn sie nicht ausgemustert werden. Darüber hinaus richtet sich die Segmentierung nach Netzplan und Risiko; eine pauschale Pflicht zu genau drei oder vier Segmenten enthält die Richtlinie nicht.

Firewall ist Betrieb, kein einmaliges Gerät

Eine Firewall zu kaufen und anzuschließen ist der erste Schritt, nicht der letzte. Ihren Wert entfaltet sie im laufenden Betrieb. Dazu gehören drei Dinge. Erstens das Patch-Management: Firewall, Router, Server und Arbeitsplätze brauchen regelmäßig Sicherheitsupdates, sonst bleiben bekannte Lücken offen. Zweitens das Monitoring: Eine laufende Überwachung kann Auffälligkeiten früher sichtbar machen und die Reaktionszeit verkürzen; verhindern kann sie Ausfälle nicht. Drittens die Dokumentation: Im Prüfungsfall zählt der Nachweis, dass Firewall, Netztrennung und Updates vorhanden und gepflegt sind. Diese Aufgaben laufen am besten im Hintergrund als Teil eines Wartungsvertrags, damit niemand im Team daran denken muss.

Ohne stabiles Netz keine zuverlässige TI

Die Telematikinfrastruktur hängt direkt an der Qualität Ihres Netzwerks. MEDICAL OFFICE kann die TI je nach Umgebung und Vertrag über einen Konnektor oder ein cloudbasiertes TI-Gateway anbinden. Beim TI-Gateway entfällt der stationäre Konnektor in der Praxis. Das verlagert Aufgaben vom stationären Konnektor auf die Verbindung zum Rechenzentrum. Eine passende Netz- und Firewall-Konfiguration ist dafür notwendig, schließt Störungen von Internet, VPN, Kartenterminals, Karten oder zentralen Diensten aber nicht aus. Wer ohnehin auf das cloudbasierte Modell wechselt, sollte den Moment nutzen, um Netzwerk und Firewall auf einen aktuellen Stand zu bringen. Nach den verstrichenen RSA-Fristen sollten Praxen Konnektor und Ausweise getrennt prüfen: RSA-only-Konnektoren sind seit dem 1. Januar 2026 ohne TI-Zugang, für RSA-SMC-B und RSA-eHBA endete die Austauschfrist am 30. Juni 2026. Wenn eine TI-Komponente erneuert werden muss, sollte die darunterliegende Netzwerkbasis gleich mitgeprüft werden.

Wie Jupitec Netzwerk und Firewall vor Ort einrichtet

Wir beginnen mit Netzplan, vorhandener Anbindung und den tatsächlich betriebenen Geräten. Ob eine Vor-Ort-Aufnahme nötig ist und ob Router-Firewall oder separate Hardware-Firewall passt, ergibt sich aus diesem Befund. Danach planen wir Segmentierung und Standortverbindungen. Anschließend bleibt die Umgebung im Wartungsvertrag überwacht, gepatcht und dokumentiert, abgestimmt auf die KBV-IT-Sicherheitsrichtlinie. Jupitec bringt IT-Erfahrung seit 1994 ein und betreut über 500 Kunden aus Arztpraxen und Mittelstand, von Messel bei Darmstadt aus und bundesweit. Wenn Sie wissen wollen, wie sicher Ihr Praxisnetz heute aufgestellt ist, nennen Sie uns kurz Ihre Ausgangslage. Ein Rückruf erfolgt in der Regel innerhalb von zwei Stunden (Mo bis Fr).