TI-Konnektor in der Cloud: Hosted vs. On-Premises für die Arztpraxis

Hosted oder On-Premises: Was der Unterschied 2026 bedeutet

Beim On-Premises-Modell steht ein physischer Konnektor in Ihrer Praxis und baut von dort den gesicherten Tunnel zur Telematikinfrastruktur auf. Beim gehosteten Modell übernimmt ein Highspeed-Konnektor im Rechenzentrum diese Aufgabe für viele Praxen gleichzeitig, bei Ihnen läuft nur noch ein Software-VPN-Client. Beide Wege sind gematik-zugelassen.

Der Begriff "Cloud-Konnektor" ist dabei etwas irreführend. Es schwebt nichts in einer anonymen Wolke. Technisch heißt das Modell TI-Gateway: Ein zertifizierter Anbieter betreibt in seinem Rechenzentrum sogenannte Highspeed-Konnektoren (HSK), die jeweils die TI-Anbindung für eine Vielzahl von Einrichtungen bündeln. Ihre Praxis verbindet sich über eine verschlüsselte VPN-Verbindung dorthin. Ein eigenes Konnektor-Gerät im Serverschrank brauchen Sie nicht mehr.

Wichtig für das Verständnis: eHealth-Kartenterminals, die elektronischen Gesundheitskarten (eGK) der Patienten und der Heilberufsausweis (HBA) bleiben in jedem Fall physisch bei Ihnen. Gehostet wird der Konnektor, nicht die Sprechstunde.

So funktioniert der gehostete TI-Konnektor technisch

Beim gehosteten Modell ersetzt ein VPN-Zugangsdienst die lokale Konnektor-Box. Auf Ihren Praxis-PCs oder einem kleinen Gateway-Baustein läuft ein Software-VPN-Client, der eine verschlüsselte Leitung in das Rechenzentrum des Anbieters aufbaut. Dort steht der eigentliche Highspeed-Konnektor, der die TI-Funktionen bereitstellt. Für das Praxisverwaltungssystem fühlt sich das an wie ein lokaler Konnektor.

Der entscheidende Unterschied steckt in der Identität der Praxis. Beim klassischen Modell steckt der Praxisausweis als SMC-B-Karte im Kartenterminal. Beim TI-Gateway kann diese Institutionsidentität stattdessen als SM-B in einem Hardware Security Module (HSM-B) im Rechenzentrum liegen. Das HSM ist ein gehärteter Spezialtresor für kryptografische Schlüssel. Praktisch bedeutet das: Die Karte kann nicht mehr ablaufen und muss nicht alle fünf Jahre getauscht werden, und der klassische Fehlerfall "SMC-B-Zertifikat abgelaufen" entfällt in dieser Form.

Was in der Praxis bleibt, ist überschaubar: die Kartenterminals für eGK und HBA, die Netzwerkanbindung und der VPN-Client. Updates, Zertifikatspflege und der Betrieb des Konnektors wandern vollständig ins Rechenzentrum.

Welche Anbieter gehostete Konnektoren betreiben dürfen

Nur Anbieter mit gültiger gematik-Anbieterzulassung dürfen ein TI-Gateway produktiv betreiben. Die erste Zulassung ging am 7. April 2025 an secunet, 2025 und 2026 folgten weitere Hersteller wie CompuGroup Medical (CGM), RISE und KoCo Connector. Prüfen Sie vor jeder Entscheidung, ob das konkrete Produkt aktuell gelistet ist.

Die Liste ist in Bewegung, weil der Markt gerade erst entsteht. Mehrere Highspeed-Konnektoren wurden 2026 neu oder in neuen Versionen zugelassen, etwa von eHealth Experts, KoCo und RISE. Für Ihre Praxis ist zweierlei relevant: Erstens muss das TI-Gateway zu Ihrem Praxisverwaltungssystem passen (Turbomed, Medistar, Isynet, CGM-Systeme und andere haben eigene Freigabestände). Zweitens zählt, wo das Rechenzentrum steht und nach welchen Standards es betrieben wird.

Quelle: gematik Fachportalgematik Fachportal: Zugelassene Produkte, TI-Gateway und Highspeed-Konnektoren. Stand: 2026-11-09.

Seit 2026 gilt zusätzlich: Konnektoren ohne gültige ECC-Zertifikate sind nicht mehr zugelassen. Reine RSA-Geräte aus der ersten TI-Generation dürfen nicht mehr produktiv laufen. Das verschiebt die Entscheidung Hosted gegen On-Premises für viele Praxen ohnehin nach vorn, weil ein Gerätetausch ansteht.

Wann sich der gehostete Konnektor wirtschaftlich lohnt

Rein wirtschaftlich lohnt sich der gehostete Konnektor vor allem für kleine Praxen ohne eigenen Server, für Neugründungen und für Praxen mit mehreren Standorten. Der Grund: Es entfällt die Hardware, Wartung und Zertifikatspflege laufen zentral, und die laufenden Kosten sind über die monatliche TI-Pauschale planbar gegengerechnet.

Der zentrale Hebel ist die Finanzierung. Seit dem 1. Juli 2023 werden Konnektor, Konnektortausch, TI-Gateway, SMC-B und Kartenterminals nicht mehr einzeln erstattet, sondern über eine monatliche TI-Pauschale refinanziert. Deshalb zählt nicht der nackte Gerätepreis, sondern ob die Pauschale die laufenden Kosten Ihres Modells deckt und wie viel internen Aufwand Sie sparen.

Die Pauschale ist nach Praxisgröße gestaffelt. Ab dem ersten Quartal 2026 liegt sie bei rund 263,62 Euro monatlich für bis zu drei Ärzte oder Psychotherapeuten, 313,52 Euro bei vier bis sechs und 359,10 Euro bei sieben bis neun Behandelnden. Fehlt eine verpflichtende TI-Anwendung, wird die Pauschale um 50 Prozent gekürzt, bei zwei fehlenden Anwendungen entfällt sie ganz.

Quelle: KV HessenKV Hessen: TI-Förderung und monatliche TI-Pauschale, Beträge ab Q1 2026. Stand: 2026-11-09.

Die Zahlen sind Orientierungswerte. Der tatsächliche Preis hängt vom Anbieter, vom gewählten Modell (reine Software-Lösung oder kleiner Gateway-Baustein vor Ort) und davon ab, ob Ihre Praxis bereits in laufender IT-Betreuung ist. Entscheidend ist die Gesamtrechnung aus Gerät, Wartung, Ausfallrisiko und internem Zeitaufwand, nicht der Monatspreis allein.

Quelle: GKV-Spitzenverband: Telematikinfrastruktur und TI-FinanzierungGKV-Spitzenverband: Telematikinfrastruktur und TI-Finanzierung über die Pauschale.

Sicherheit und Compliance: Wer haftet wofür

Datenschutzrechtlich bleibt die Praxis auch beim gehosteten Konnektor die Verantwortliche im Sinne der DSGVO. Der Rechenzentrumsbetreiber wird Auftragsverarbeiter, dafür braucht es zwingend einen Vertrag zur Auftragsverarbeitung (AVV). Die technische Betriebsverantwortung für den Konnektor wandert zum Anbieter, Ihre Verantwortung endet am Software-VPN auf dem Praxis-PC.

Das ist eine echte Entlastung, aber kein Freibrief. Sie delegieren den Betrieb, nicht die Verantwortung. In der Praxis heißt das: Sie müssen den Anbieter sauber auswählen, dokumentieren und vertraglich absichern. Diese Punkte gehören auf die Prüfliste:

• C5-Testat des BSI. Die Cloud-Komponenten eines TI-Gateways werden nach dem Cloud Computing Compliance Criteria Catalogue (C5) des BSI geprüft. Lassen Sie sich das aktuelle Testat zeigen.
• Auftragsverarbeitungsvertrag. Ohne AVV mit dem Gateway-Anbieter geht es nicht. Er regelt Ort der Verarbeitung, Subunternehmer und technisch-organisatorische Maßnahmen.
• Standort des Rechenzentrums. Für Gesundheitsdaten ist ein Betrieb innerhalb der EU, idealerweise in Deutschland, das Mindeste.
• IT-Sicherheitsrichtlinie nach SGB V. Die Anforderungen der KBV (§390 SGB V, ehemals §75b) gelten unverändert. Der gehostete Betrieb verschiebt einige Nachweise zum Anbieter, ersetzt Ihr eigenes Sicherheitskonzept aber nicht.

Quelle: BSI: Sichere Nutzung von Cloud-DienstenBSI: Sichere Nutzung von Cloud-Diensten und Prüfkriterien (C5).

Sicherheitstechnisch hat das gehostete Modell handfeste Vorteile. Der Konnektor steht in einem professionell gehärteten Rechenzentrum statt in einem Technikraum neben dem Putzschrank. Updates und Zertifikate pflegt ein spezialisiertes Team. Die Identität liegt im HSM statt auf einer Karte, die im Terminal vergessen werden kann. Dem steht ein neues Risiko gegenüber: die Abhängigkeit von einem einzigen Dienstleister und von Ihrer Internetleitung. Fällt der Anbieter oder das Netz aus, gibt es kein lokales Fallback.

Quelle: KBV IT-Sicherheitsrichtlinie (§390 SGB V, ehemals §75b)KBV: IT-Sicherheitsrichtlinie nach §390 SGB V (ehemals §75b).

Betriebsmodelle im direkten Vergleich

Welches Modell passt, entscheidet sich an fünf Punkten: Internetqualität, Standortzahl, vorhandener Infrastruktur, gewünschter Betriebsverantwortung und Kostenpräferenz. Die folgende Gegenüberstellung fasst die ehrlichen Vor- und Nachteile zusammen, ohne ein Modell schönzureden.

Wer die Debatte zwischen lokalem und gehostetem Betrieb schon einmal aus Kostensicht durchgespielt hat, findet in unserer Entscheidungshilfe zu Cloud oder lokal die fünf Kriterien ausführlich. Für Einrichtungen mit mehreren Betriebsstätten lohnt zusätzlich der Blick auf die IT-Architektur im MVZ und die Vernetzung von Mehrstandort-Praxen.

Der Umstieg Schritt für Schritt

Ein Wechsel von On-Premises auf das gehostete Modell ist planbar, aber kein Plug-and-play. Rechnen Sie mit einem vorbereiteten Termin außerhalb der Sprechzeiten, abgestimmt mit PVS-Hersteller und Gateway-Anbieter. Die folgende Reihenfolge hat sich bewährt.

1. 1
   Internetanbindung prüfen und absichern
   Leitung messen, Bandbreite und Stabilität bewerten. Beim gehosteten Modell ist ein zweiter Internetweg (zum Beispiel LTE/5G als Fallback) dringend empfohlen, weil ohne Netz keine TI-Funktion mehr läuft.
2. 2
   Anbieter und Produkt auswählen
   TI-Gateway mit gültiger gematik-Anbieterzulassung wählen, Freigabe für Ihr PVS bestätigen lassen, C5-Testat und Rechenzentrumsstandort prüfen. Modell klären: reine Software-Lösung oder kleiner Gateway-Baustein vor Ort.
3. 3
   Verträge und Datenschutz regeln
   Vertrag zur Auftragsverarbeitung (AVV) abschließen, technisch-organisatorische Maßnahmen dokumentieren, Verarbeitungsverzeichnis und IT-Sicherheitsrichtlinie nach §390 SGB V aktualisieren.
4. 4
   Identität und Zertifikate migrieren
   SMC-B als SM-B im HSM einrichten oder bestehende Karten übernehmen, je nach Produkt. HBA und eGK-Nutzung testen. Alte Konnektor-Zertifikate sind nicht übertragbar.
5. 5
   Testlauf und Umschaltung
   PVS auf den neuen Endpunkt umstellen, eAU, eRezept, KIM und ePA-Zugriff im Testbetrieb prüfen, danach produktiv schalten. Altgerät erst nach erfolgreichem Betrieb abbauen.

Planen Sie für einen sauber vorbereiteten Umstieg einen halben Tag ein. Wer ohne Testlauf mitten in der Woche umschaltet, riskiert eine Stunde Stillstand in der Sprechstunde. Was bei einem Komplettausfall zu tun ist, haben wir in der Soforthilfe bei Konnektor offline zusammengefasst.

ITCC-Empfehlung nach Praxistyp

Für neu eröffnende Einzelpraxen und kleine Praxen ohne eigenen Server mit stabilem Glasfaseranschluss empfehlen wir in der Regel das gehostete Modell. Kein Hardware-Einstieg, keine Gerätealterung, planbarer Betrieb. Voraussetzung ist eine belastbare Internetanbindung mit Fallback.

Für Gemeinschaftspraxen mit vorhandenem Server, vielen Kartenleseplätzen oder spezialisierten Medizingeräten bleibt der On-Premises-Konnektor oft die ruhigere Wahl. Die Kontrolle über den Datenpfad bleibt im Haus, und der Mehraufwand ist bei laufendem Serverbetrieb gering. Für MVZ und Mehrstandort-Praxen kann ein zentrales TI-Gateway die Logistik deutlich vereinfachen, sofern Redundanz und Ausfallkonzept sauber geplant sind.

Die ehrliche Antwort: Es gibt keine für alle richtige Variante. Internetqualität, Standortzahl, vorhandene Technik und die Frage, wie viel Betriebsverantwortung Sie abgeben wollen, geben den Ausschlag.

So unterstützt ITCC

ITCC betreut als externe IT-Abteilung Arztpraxen, MVZ, Dialysezentren und therapeutische Praxen in der Pfalz, in Rhein-Neckar und Rhein-Main. Wir analysieren Ihre Internetanbindung und Infrastruktur vor Ort, rechnen Hosted und On-Premises ehrlich gegen die TI-Pauschale, prüfen Anbieter, C5-Testat und AVV und begleiten den Umstieg bis zum stabilen Betrieb. Wenn Sie wissen wollen, welches Modell für Ihre Praxis wirtschaftlich und sicher das richtige ist, melden Sie sich. Das Ergebnis ist eine klare Empfehlung, keine Verkaufsveranstaltung.