Cloud-Konnektor und TI 2.0: Wie die neue Highspeed-Telematikinfrastruktur Hosting-Anforderungen ändert

Was TI 2.0 für den Konnektor konkret bedeutet

Mit TI 2.0 wandert der Konnektor aus dem Serverschrank Ihrer Praxis in ein zertifiziertes Rechenzentrum. Statt einer eigenen Hardware-Box verbindet sich die Praxis über eine abgesicherte Internetverbindung mit einem zentral betriebenen Highspeed-Konnektor. Das verändert nicht nur den Betrieb, sondern vor allem die Frage, wo die kritische Stelle Ihrer TI-Anbindung künftig sitzt.

Die bisherige Telematikinfrastruktur hängt an dezentraler Hardware: In jeder Praxis steht ein Konnektor, der den verschlüsselten Tunnel zur TI aufbaut. TI 2.0 dreht dieses Prinzip um. Die gematik beschreibt den Übergang als schrittweise Modernisierung hin zu einer hardwareunabhängigen, flexibleren Infrastruktur. Der klassische Konnektor wird dabei durch einen einfachen, abgesicherten Internetzugang ersetzt, während die eigentliche Konnektor-Leistung in geprüften Rechenzentren als Highspeed-Konnektor erbracht wird. Dieser neue Zugangsweg heißt TI-Gateway.

Quelle: gematik Fachportalgematik: TI-Zugang und Übergang zur TI 2.0, Fachportal.

Für Praxen, MVZ und Zentren heißt das: Der vertraute Satz „der Konnektor steht im Technikraum" stimmt bald nicht mehr. Und damit verschiebt sich auch, worauf Sie bei Planung, Hosting und Leitung achten müssen.

Cloud-Konnektor, TI-Gateway, Highspeed-Konnektor: die Begriffe sauber getrennt

Cloud-Konnektor ist der Marktbegriff, TI-Gateway der technische. Gemeint ist derselbe Gedanke: kein eigener Konnektor mehr in der Praxis, die Funktion läuft im Rechenzentrum. Der Highspeed-Konnektor (HSK) ist dabei die zentrale Komponente, die dort viele Einrichtungen gleichzeitig anbindet. Wer die drei Begriffe auseinanderhält, trifft die Entscheidung auf sauberer Grundlage.

In der Diskussion werden die Begriffe oft vermischt, was zu Fehleinschätzungen führt. Hier die Einordnung, die für Ihre Planung zählt:

• Cloud-Konnektor: kein offizieller Produktname, sondern der umgangssprachliche Oberbegriff für einen TI-Zugang ohne lokale Konnektor-Box.
• TI-Gateway (TIG): der von der gematik zugelassene Zugangsweg. Die Praxis braucht nur noch einen Hardware- oder Software-Client und einen Internetzugang, die Konnektor-Funktion liegt beim Anbieter. Ein TI-Zugang über das TI-Gateway ohne VPN-Verbindung ist nicht möglich.
• Highspeed-Konnektor (HSK): die hochverfügbare, skalierbare Konnektor-Variante für den zentralen Betrieb im Rechenzentrum. Sie ersetzt viele einzelne Boxen durch eine gemeinsam genutzte, leistungsstarke Komponente.

Warum sich die Hosting-Anforderungen jetzt verschieben

Die zentrale Änderung ist nicht technischer Komfort, sondern eine Verlagerung des Risikos. Beim lokalen Konnektor war die Internetleitung ein Faktor von vielen. Beim TI-Gateway ist sie der Faktor. Ohne eigene Konnektor-Hardware gibt es kein lokales Fallback mehr: Ist die Leitung weg, ist die TI weg. Hosting-Planung heißt ab jetzt vor allem Leitungs- und Zugangsplanung.

Das klingt nach einem kleinen Unterschied, hat aber handfeste Folgen für die Architektur. Wer bisher mit einer einfachen DSL-Leitung und einem lokalen Konnektor gut gefahren ist, verliert beim Umstieg genau das Sicherheitsnetz, das die interne TI-Kommunikation unabhängig vom Internet gehalten hat. Deshalb rücken drei Punkte in den Vordergrund, die vorher zweitrangig waren:

• Leitungsredundanz: Eine zweite Anbindung, etwa ein LTE- oder 5G-Backup, das bei Ausfall der Hauptleitung automatisch übernimmt. Für Praxen, die eAU und eRezept im laufenden Betrieb brauchen, ist das keine Kür mehr.
• Firewall und VPN-Hygiene: Der TI-Zugang läuft über eine VPN-Verbindung, die sauber konfiguriert, gepatcht und überwacht sein muss. Ein hängender Tunnel hat dann keinen lokalen Puffer mehr.
• Monitoring der Anbindung: Wenn der Konnektor nicht mehr im Haus steht, brauchen Sie eine verlässliche Überwachung von Leitung und Zugang, die einen Ausfall meldet, bevor die erste Patientin am Tresen steht.

Die Fristen und was seit 2026 gilt (Stand: 2026-11-09)

Der Umstieg ist Stand: 2026-11-09 freiwillig, aber die Richtung ist verbindlich vorgegeben. Konnektoren, die nur das ältere RSA-Verfahren beherrschen, sind seit Anfang 2026 nicht mehr für die TI zugelassen. Klassische Einbox-Konnektoren dürfen nach aktueller Planung nur noch in einer Übergangsphase bis Ende 2030 betrieben werden. Das TI-Gateway ist bereits zugelassen und produktiv nutzbar.

Die wichtigsten Eckdaten, geordnet:

• 6. August 2024: RISE erhält als erster Anbieter die gematik-Zulassung für ein TI-Gateway. Der zentrale Zugangsweg ist damit real verfügbar, nicht nur geplant.
• 12. Dezember 2024: secunet erhält die Zulassung für den Highspeedkonnektor (HSK) 2.0, die erste Konnektor-Variante, die gezielt für den zentralen Betrieb im Rechenzentrum ausgelegt ist.
• Seit Anfang 2026: Konnektoren, die ausschließlich RSA beherrschen, sind nicht mehr zugelassen. Wer so ein Gerät betreibt, muss handeln.
• Ab Mitte 2026: Erste TI-2.0-Anwendungen mit Zero-Trust-Architektur gehen in den Rollout, beginnend mit VSDM 2.0 und PoPP.
• Bis 2029: Geplante vollständige Migration der großen TI-Dienste auf die Zero-Trust-Architektur.
• Bis Ende 2030: Übergangsphase, in der klassische Einbox-Konnektoren noch betrieben werden dürfen.

Quelle: RISE: TI-Gateway durch gematik zugelassen (06.08.2024)Erste Anbieterzulassung für ein TI-Gateway.

Quelle: secunet: Highspeedkonnektor 2.0 erhält gematik-ZulassungHSK 2.0 für den zentralen Betrieb im Rechenzentrum.

Zero Trust: warum die Architektur neu bewertet werden muss

TI 2.0 ist nicht nur ein Umzug des Konnektors, sondern ein Wechsel des Sicherheitsmodells. Die alte TI vertraut dem geschlossenen VPN-Netz: Wer drin ist, gilt als vertrauenswürdig. Zero Trust kehrt das um. Kein Gerät und kein Zugriff ist automatisch vertrauenswürdig, jeder einzelne Zugriff wird geprüft und per mTLS verschlüsselt. Das verändert, worauf Praxis-IT achten muss.

Für die tägliche Betreuung bedeutet das eine Verschiebung weg von der Netzgrenze hin zur Identität. Früher war die Firewall die Burgmauer, dahinter galt relative Ruhe. In der Zero-Trust-Welt zählt, ob die Identität, das Zertifikat und der Kontext jedes Zugriffs stimmen. Die gematik nennt als einen Grund für den Umbau die schiere Komplexität der heutigen TI mit über 800 technischen Abhängigkeiten, die eine sichere, aber flexiblere Architektur nötig macht.

Quelle: gematik/Gelbe Liste: Zero Trust für die TI 2.0Sicherheitsarchitektur mit mTLS und identitätsbasiertem Zugriff.

Praktisch heißt das für Sie als IT-Strategin oder Dienstleister: Saubere Identitäten, aktuelle Zertifikate und ein gepflegtes, update-fähiges Primärsystem werden wichtiger als die Frage, wie dick die VPN-Mauer ist. Wer heute schon Kartenlaufzeiten überwacht, Zertifikate im Blick hat und sein PVS aktuell hält, ist für diesen Wechsel gut aufgestellt. Wer das vernachlässigt, bekommt die Rechnung beim Rollout.

Was Sie als IT-Strategin jetzt bewerten sollten

Die ehrliche Antwort: nichts überstürzen, aber jetzt sauber bewerten. Der richtige Zeitpunkt für den Umstieg hängt vom Alter Ihrer Hardware und der Qualität Ihrer Leitung ab, nicht von einem Stichtag. Wer vor einem Konnektor-Tausch steht, sollte nicht in ein auslaufendes Modell investieren. Wer ein frisches Gerät hat, plant in Ruhe.

1. 1
   Hardware-Status und Laufzeit prüfen
   Klären Sie, wie alt Ihr Konnektor ist, ob er RSA-only ist und wann die Laufzeit endet. RSA-only-Geräte sind seit Anfang 2026 nicht mehr zugelassen und müssen zuerst angegangen werden. Steht ohnehin ein Tausch an, ist das der natürliche Umstiegspunkt ins TI-Gateway.
2. 2
   Internetleitung und Redundanz bewerten
   Ohne lokalen Konnektor wird die Leitung zum kritischen Punkt. Prüfen Sie Bandbreite, Stabilität und ob ein zweiter Weg (LTE/5G-Backup) machbar ist. Eine Praxis mit nur einer wackeligen DSL-Leitung sollte das vor dem Umstieg in Ordnung bringen.
3. 3
   Anbieter und Service-Level vergleichen
   Beim TI-Gateway übernimmt der Anbieter Betrieb, Wartung und Patches des zentralen Konnektors. Lassen Sie sich die zugesicherte Verfügbarkeit, das Support-Fenster und das Ersatzverfahren bei Störung schriftlich geben. Prüfen Sie, ob der Anbieter in einem georedundanten Rechenzentrum betreibt.
4. 4
   PVS-Kompatibilität und Umstiegsfenster klären
   Stimmen Sie den Wechsel mit Ihrem PVS-Hersteller ab, denn Zertifizierungsstände unterscheiden sich. Planen Sie die Umstellung in ein ruhiges Wartungsfenster, nicht in den Montagmorgen, und halten Sie das Ersatzverfahren für eAU und eRezept bereit.

Verwandte Themen, die in diese Entscheidung hineinspielen: die grundsätzliche Abwägung zwischen TI-Anbindung per Cloud oder lokal, das Verhalten bei einem Konnektor-Ausfall in der laufenden Sprechstunde, der parallele Umbau bei VSDM 2.0 und dem Stammdatenabgleich ohne gesteckte eGK sowie die Firewall- und Netzwerksicherheit, die beim TI-Gateway deutlich mehr Gewicht bekommt.

Kostenrahmen: einmalige Hardware gegen laufenden Service

Der Wechsel verschiebt die Kostenstruktur von einer einmaligen Investition hin zu laufenden Gebühren. Das TI-Gateway spart die Konnektor-Hardware, verlagert aber Budget in Monatspauschale, Leitung und Backup. Ob sich das rechnet, hängt von Standortzahl, Internetqualität und dem Alter Ihrer jetzigen Hardware ab. Die folgenden Werte sind Orientierung, keine Angebote.

Die tatsächlichen Beträge hängen vom gewählten Anbieter, dem Service-Level und davon ab, ob die Praxis bereits laufend betreut wird. Entscheidend ist, die Leitungs- und Backup-Kosten von Anfang an mitzurechnen, sonst wirkt das TI-Gateway günstiger, als es im realen Betrieb ist.

Wenn Sie den Umstieg nicht nebenbei bewerten wollen

TI 2.0 ist kein Schalter, der über Nacht umgelegt wird, aber auch kein Thema, das man bis 2030 liegen lassen sollte. Der Aufwand steckt in der sauberen Bewertung: Wie alt ist die Hardware, wie belastbar die Leitung, welcher Anbieter passt, und wann ist das ruhige Umstiegsfenster. Genau diese Arbeit bleibt im Tagesgeschäft gern liegen, bis der Konnektor-Tausch oder eine Störung sie erzwingt.

ITCC betreut medizinische Einrichtungen in der Pfalz, im Rhein-Neckar-Raum und im Rhein-Main-Gebiet als externe IT-Abteilung. Wir prüfen den Status Ihres Konnektors, bewerten Internetleitung und Redundanz, vergleichen die zugelassenen TI-Gateway-Anbieter und planen die Umstellung mit Ihrem PVS-Hersteller in ein ruhiges Wartungsfenster. Wenn Sie wissen möchten, ob sich der Wechsel ins TI-Gateway für Ihre Praxis jetzt lohnt oder ob Sie in Ruhe planen können, sprechen Sie uns an. Ein kurzer Blick auf Hardware, Leitung und Standortstruktur reicht für eine belastbare Einschätzung.