Praxis-Firewall in der Arztpraxis.

Warum eine richtige Praxis-Firewall

Eine Praxis-Firewall ist seit der KBV-IT-Sicherheitsrichtlinie nach § 75b SGB V Pflicht — eine Fritz!Box oder Provider-Router reicht nicht. Die Frage ist: Wie sieht eine sinnvolle Praxis-Firewall-Architektur aus, und wer kümmert sich darum?

Drei Prinzipien, nach denen wir bei praxisANSATZ Firewalls einrichten:

1. Etablierte Standards statt Eigenbauten. Wir setzen Firewall-Lösungen ein, die in unserem Kunden-Park über viele Jahre erprobt sind. Welche konkrete Hardware passt, besprechen wir pro Praxis — wichtiger ist, dass die Lösung in unsere Wartungs-Pipeline integriert ist.
2. Zentrale Konfiguration per Ansible. Wir pflegen alle Firewall-Geräte unserer Praxen als Inventar in unserer MSP-Plattform. Konfigurations-Drift wird wöchentlich geprüft, Korrekturen laufen automatisiert — keine manuellen Maustouren durch ein Vendor-Webinterface.
3. Updates über Test-Stage. Sicherheits-Updates laufen erst auf einer Stage-Box bei uns, bevor sie in die Praxis kommen. Wir wollen vermeiden, dass ein Update am Donnerstagmorgen die Praxis lahmlegt.

Was eine Praxis-Firewall leistet

Eine moderne Praxis-Firewall hat nicht mehr nur die Aufgabe, „Internet rauszulassen und Angriffe drinzuhalten". Sie ist Netzwerk-Drehscheibe für sechs unterschiedliche Aufgaben:

KBV-Sicherheitsrichtlinie nach § 75b SGB V

Die KBV-IT-Sicherheitsrichtlinie verlangt seit 2021 von jeder niedergelassenen Praxis ein definiertes Mindestniveau an IT-Sicherheit. Eine Hardware-Firewall ist eine der Pflicht-Komponenten.

Unsere Standard-Praxis-Firewall erfüllt die Pflicht-Anforderungen vollständig:

• Stateful Inspection — Verbindungen werden zustandsbehaftet überwacht, nicht nur paketweise.
• Definierte Regelwerke — pro Netz-Segment dokumentiert, was rein darf und was raus.
• IDS/IPS — optional, für Praxen mit erhöhtem Schutzbedarf (z.B. spezialärztliche Praxen mit besonderer Patientendaten-Sensibilität).
• Logging — wer hat wann was versucht — nachvollziehbar für Audit + Vorfalls-Untersuchung.
• VPN-Module — verschlüsselte Fernzugänge nach Stand der Technik.

Die praxisANSATZ-Standardkonfiguration ist auf die KBV-Pflicht zugeschnitten. Sie müssen keine Compliance-Regeln selbst zusammenstellen — der Stack kommt vor-konfiguriert, wir dokumentieren Abweichungen pro Praxis.

TI-Anbindung per IPsec

Die Telematikinfrastruktur wird per IPsec-Tunnel an die Praxis-Firewall angebunden. Vorteile dieser Architektur:

1. Saubere Routing-Trennung. TI-Routen werden zentral auf der Firewall gepflegt — Praxis-Clients sprechen mit Standard-Gateway, die Firewall entscheidet, was an die TI geht und was nicht.
2. Multi-Standort-tauglich. Bei BAG- und MVZ-Setups registrieren wir die Cloud- bzw. Filial-Subnetze beim TI-Konnektor. Alle Standorte greifen zentral auf TI zu, ohne pro Standort einen eigenen Konnektor zu brauchen.
3. Sichtbar im Logging. Wenn TI-Karten nicht lesen, sehen wir im Firewall-Log, ob der IPsec-Tunnel steht, ob Pakete fließen, wo es klemmt — und sparen die typische Anbieter-Ping-Pong-Schleife (siehe Komplettbetreuung-Pillar).

VPN-Setup für Techniker und Multi-Standort

praxisANSATZ-Techniker greifen ausschließlich über Zertifikats-VPN auf Praxis-Systeme zu. Pattern:

• OpenVPN mit Client-Zertifikaten — der bewährte Stack, läuft auf jedem Mac/Linux/Windows-Techniker-Gerät.
• WireGuard für moderne Setups — schneller, einfacher zu auditieren, in neueren Firewall-Generationen Standardprotokoll.
• Push-Routes nur zu den nötigen Subnetzen — kein Vollzugriff auf das gesamte Praxisnetz, nur auf die Server-VLANs.
• Audit-Logging — wer wann eingewählt war, dokumentiert.

Für Multi-Standort-Praxen (BAG, MVZ, Filialen) läuft Site-to-Site-VPN zwischen den Firewall-Boxen. tomedo®-Server kann zentral an einem Standort stehen, die anderen Filialen greifen transparent über das VPN zu. Auch Backups laufen über den Tunnel — kein zusätzliches NAS pro Standort nötig.

Migration aus bestehenden Firewall-Setups

Viele Praxen haben historisch gewachsene Firewall-Setups — oft mit der ersten PVS-Installation mitgekommen. Über 20 Praxen wurden bereits sauber auf unseren Standard-Stack migriert. Der Ablauf ist standardisiert und dauert typisch 1–2 Wartungsfenster:

1. Bestehende Konfiguration auslesen. Wir inventarisieren Regelwerk, VPN-Profile, TI-Routen, DNS-Konfiguration komplett.
2. 1:1-Abbildung auf unseren Standard-Stack. Bestehende Regeln werden übersetzt — IP-Schema bleibt erhalten, damit Praxis-Geräte keine Anpassung brauchen.
3. Parallel-Test. Neue Firewall läuft parallel, wir testen TI-Anbindung, VPN-Zugänge, Internet, DNS — alles ohne Praxis-Eingriff.
4. Cutover im Wartungsfenster. Typisch Mittwoch-Nachmittag oder Wochenende. Kabel umstecken, Backup- Konfiguration aktiv, Tests im Live-Betrieb.
5. Alte Firewall geht außer Betrieb. Hardware zurück an den bisherigen Anbieter oder still gelegt. Neue Hardware ist eine Appliance, passend zur Praxisgröße.

Wartung der Praxis-Firewall durch praxisANSATZ

Alle Firewall-Geräte werden zentral über unsere MSP-Plattform gewartet — Ansible für Konfigurations-Management, Headscale für sicheren Backbone-Zugang.

• Monatliche Sicherheits-Updates — getestet auf einer Stage-Box, dann gerollt.
• Wöchentlicher Drift-Check — Soll-Konfiguration im Inventar vs. Ist-Zustand am Gerät; Abweichungen werden korrigiert.
• Backup der Konfiguration — täglich, verschlüsselt, off-site.
• Hardware-Tausch bei Defekt — Ersatzgerät mit identischer Konfiguration in 1–2 Werktagen.
• Logging-Auswertung — Auffälligkeiten landen im Monitoring, kritische Events lösen Hotline-Eskalation aus.

Die Wartung läuft komplett im Rahmen der Servicevereinbarung — keine zusätzlichen Stundenpakete, kein Update-Aufschlag.

Was die Praxis-Firewall NICHT macht

Ehrlichkeit gehört dazu:

1. Endpoint-Schutz — Antivirus, EDR und Verhaltens-Erkennung auf dem einzelnen Mac oder PC laufen NICHT auf der Firewall. Dafür haben wir SentinelOne als Arbeitsplatzschutz (KBV-Pflicht).
2. Mail-Filter — Phishing- und Spam-Filter laufen beim Mail-Anbieter (Google Workspace, M365, kdrei), nicht in der Firewall.
3. Backup — die Firewall ist nicht Ihre Datensicherung. Backup läuft nach 3-2-1-Regel über NAS + Off-Site (siehe Praxis-IT-Konzept).
4. Identity-Management — Benutzerverwaltung für tomedo® oder Apple-Geräte läuft separat (über tomedo®-Benutzerverwaltung bzw. MDM-light).

Die Praxis-Firewall ist die Netzwerk-Drehscheibe — andere Sicherheits-Komponenten ergänzen sie, ersetzen sie aber nicht.