Mehrstandort-Praxis vernetzen: VPN, SD-WAN, Redundanz

Wann sich Standort-Vernetzung lohnt

Die Frage stellt sich meist nicht theoretisch. Sie entsteht, wenn eine zweite Praxis dazukommt, wenn ein Standort zu einer Filiale wird, oder wenn Ärzte beginnen, an beiden Standorten zu arbeiten und die Patientenakten nicht doppelt pflegen wollen.

Ein gemeinsames Netz lohnt sich immer dann, wenn mindestens eine dieser Bedingungen gilt: Ärzte wechseln zwischen Standorten. Patientendaten werden an beiden Standorten benötigt. Ein gemeinsames PVS soll an mehreren Orten laufen. Abrechnung oder Verwaltung sind zentralisiert.

Was sich nicht lohnt: eine Verbindung einrichten, ohne vorher zu klären, welches PVS wie mit mehreren Standorten umgeht. Nicht jedes PVS ist für Mehrstandort-Betrieb konzipiert. Turbomed unterstützt es, iSynet auch, bei Medistar gibt es Varianten. Wer eine Verbindung in Betrieb nimmt, ohne das PVS-Verhalten zu kennen, erlebt Überraschungen bei der ersten gemeinsamen Abrechnung.

VPN, SD-WAN und MPLS im Vergleich

Für die meisten Praxisverbünde mit zwei bis vier Standorten ist ein gut konfiguriertes site-to-site VPN über Glasfaser die richtige Wahl. SD-WAN lohnt sich, sobald Bilder oder Video regelmäßig übertragen werden oder mehr als zwei Leitungen koordiniert werden müssen.

Redundanz: Internet und Hardware

Eine Praxis-Vernetzung ohne Redundanzplanung ist eine Vernetzung mit einem geplanten Ausfalltermin.

Internet-Redundanz: Jeder Standort braucht mindestens zwei Wege ins Netz. Die erste Wahl ist Glasfaser, die zweite ist LTE. Ein Router mit Dual-WAN-Unterstützung überwacht beide Verbindungen dauerhaft und schaltet innerhalb von 30 bis 60 Sekunden auf LTE um, wenn die Glasfaser ausfällt. LTE-Backup erreicht in städtischen Gebieten 50 bis 150 Mbit/s, für den Notbetrieb ausreichend.

Hardware-Redundanz: Router und Switches an zentralen Standorten sollten redundant ausgelegt oder zumindest als Ersatzgerät vorrätig sein. Ein Switch, der ausfällt und dessen Ersatz eine Woche Lieferzeit hat, kostet mehr als eine vorgehaltene Ersatz-Hardware.

VPN-Redundanz: Bei site-to-site VPN sollte das Backup-Gerät am Hauptstandort automatisch einspringen, wenn der primäre VPN-Endpunkt ausfällt. Das konfigurieren wir als Hot-Standby: Gerät B übernimmt sofort, ohne manuelle Eingriffe.

Fernzugriff sicher gestalten

Ärzte, die von zuhause oder zwischen Standorten auf das PVS zugreifen, sind eine legitime Anforderung. Aber ein schlecht gesicherter Fernzugriff ist einer der häufigsten Einstiegspunkte für Angreifer in Praxisnetze.

1. 1
   VPN-Client statt offene Ports
   Der Zugriff auf das PVS läuft ausschließlich über einen VPN-Client, nicht über offene RDP-Ports ins Internet. Offene RDP-Ports werden von automatisierten Scannern weltweit innerhalb von Minuten gefunden.
2. 2
   Zwei-Faktor-Authentifizierung einrichten
   Jeder Fernzugriff auf das VPN benötigt neben Passwort einen zweiten Faktor, entweder ein TOTP-App-Code oder ein Hardware-Token. Das ist ab §75b Klasse 2 Pflicht.
3. 3
   Gerätezertifikat oder Geräteliste
   Nur vorab registrierte Geräte (Laptops, Tablets) erhalten eine VPN-Verbindung. Ein gestohlenes Passwort allein reicht dann nicht aus.
4. 4
   Zugriffsprotokoll führen
   Jeder Fernzugriff wird protokolliert: wer, wann, von welcher IP. Das Protokoll liegt 90 Tage vor und ist bei einer §75b-Prüfung auf Anfrage vorzulegen.

Quelle: KBV IT-Sicherheitsrichtlinie (§75b SGB V)KBV IT-Sicherheitsrichtlinie §75b: Anforderungen an Fernzugriff und Authentifizierung.

Typische Bandbreiten-Anforderungen

Bandbreite ist keine Konstante. Was ausreicht, hängt davon ab, wie viele Nutzer gleichzeitig aktiv sind und welche Daten übertragen werden.

Die Werte sind Orientierungswerte. Die tatsächlich benötigte Bandbreite messen wir im Rahmen der Standort-Analyse mit einem Netzwerk-Monitor, der den realen Datenverkehr über eine bis zwei Wochen aufzeichnet. Das Ergebnis ist belastbarer als jede Faustformel.