Praxis-WLAN: Patienten und Personal sicher getrennt

# Praxis-WLAN: Patienten und Personal sicher getrennt

Die Bereitstellung von WLAN in Arzt- und Therapiepraxen ist heute Standard. Dabei gilt eine zentrale Regel: Das interne Praxisnetzwerk, über das Patientendaten übertragen werden, muss strikt vom öffentlichen Gäste-WLAN getrennt sein. Eine unsaubere Netzwerktrennung kann zu Datenschutzverstößen, Systemausfällen und Sicherheitslücken führen.

Warum zwei getrennte Funknetze erforderlich sind

Ein gemeinsames WLAN für Praxisteam und Wartezimmer-Besucher birgt mehrere Risiken. Technisch können Geräte im selben Netzwerk grundsätzlich miteinander kommunizieren. Selbst wenn eine Firewall den Zugriff auf Server einschränkt, bleiben Angriffspunkte wie Drucker, IP-Telefone oder ungeschützte Arbeitsplatz-PCs erreichbar.

Aus datenschutzrechtlicher Sicht verlangt die DSGVO, dass Gesundheitsdaten durch technisch-organisatorische Maßnahmen geschützt werden. Die Netzwerktrennung ist eine solche Maßnahme und wird bei Audits standardmäßig geprüft. Ein nicht segmentiertes Netzwerk kann als Verstoß gegen Art. 32 DSGVO gewertet werden.

Die Trennung erfolgt über sogenannte VLANs (Virtual Local Area Networks). Dabei sendet ein WLAN-Access-Point mehrere Funknetze gleichzeitig: ein internes Praxis-WLAN mit Zugriff auf Praxissoftware wie Praxis-IT, Drucker und NAS-Systeme sowie ein Gast-WLAN mit ausschließlichem Internet-Zugang. Moderne Access Points und Router unterstützen diese Funktion standardmäßig.

Mesh-Systeme oder klassische Access Points?

Für die WLAN-Abdeckung in Praxisräumen stehen zwei Topologien zur Auswahl: Mesh-Netzwerke und kabelgebundene Access Points.

Mesh-Systeme bestehen aus mehreren Funkknoten, die untereinander kommunizieren und das Signal weiterleiten. Sie eignen sich für Bestandsgebäude ohne Netzwerkverkabelung. Der Aufwand beschränkt sich auf Stromanschlüsse. Allerdings halbiert sich die verfügbare Bandbreite mit jedem Mesh-Hop, da die Knoten gleichzeitig Daten empfangen und weiterleiten. In einer Praxis mit drei Behandlungszimmern kann dies bei gleichzeitiger Nutzung von Video-Sprechstunden, digitalem Röntgen und mehreren Gäste-Geräten zu Engpässen führen.

Kabelgebundene Access Points werden per Ethernet-Kabel mit dem Switch verbunden. Sie bieten stabile Gigabit-Anbindung und volle Bandbreite an jedem Standort. Die Installation erfordert Netzwerkverkabelung, lohnt sich aber bei Neubau oder Sanierung. Für typische Praxisgrößen genügen zwei bis vier Access Points, um alle Räume abzudecken.

Entscheidend ist die Raumstruktur: In Altbauten mit dicken Wänden oder über mehrere Etagen verteilten Räumen stoßen Mesh-Systeme an Grenzen. Bei Neubauten oder wenn ohnehin Verkabelungsarbeiten anstehen, sind kabelgebundene Lösungen vorzuziehen.

Bandbreiten-Planung für den Praxisalltag

Die erforderliche WLAN-Kapazität hängt von der Nutzung ab. Folgende Richtwerte helfen bei der Planung:

• Praxissoftware und elektronische Patientenakte: 2–5 Mbit/s pro Arbeitsplatz
• Video-Sprechstunden (HD-Qualität): 3–5 Mbit/s pro Sitzung
• Digitales Röntgen oder Bildarchivierung: 10–50 Mbit/s bei Übertragung
• Gäste-WLAN: 1–2 Mbit/s pro Gerät (E-Mail, Messaging)

In einer Praxis mit fünf Arbeitsplätzen, einem parallelen Video-Termin und zehn Wartezimmer-Gästen sollte die WLAN-Infrastruktur mindestens 60–80 Mbit/s Durchsatz bereitstellen. Moderne Wi-Fi-5-Access-Points (802.11ac) schaffen 300–900 Mbit/s, Wi-Fi 6 (802.11ax) erreicht über 1 Gbit/s. Für mittlere Praxen ist Wi-Fi 5 ausreichend, größere Einrichtungen oder hoher Bildtransfer rechtfertigen Wi-Fi 6.

Wichtig: Der Internet-Anschluss muss zur WLAN-Kapazität passen. Ein 50-Mbit/s-Anschluss wird zum Flaschenhals, wenn mehrere Video-Sprechstunden gleichzeitig laufen. Symmetrische Glasfaser- oder VDSL-Anschlüsse ab 100 Mbit/s sind empfehlenswert.

DSGVO-konforme Konfiguration des Gast-WLANs

Das Patienten-WLAN darf keinen Zugriff auf interne Ressourcen ermöglichen. Diese Einstellungen sind zu prüfen:

Client-Isolation aktivieren: Verhindert, dass sich Gäste-Geräte untereinander sehen. Die Funktion findet sich in Router-Menüs unter Begriffen wie „AP-Isolation" oder „Client Separation".

Separates VLAN zuweisen: Das Gast-WLAN erhält ein eigenes Subnetz (z. B. 192.168.20.x), während das Praxis-WLAN ein anderes nutzt (z. B. 192.168.10.x). Der Router routet ausschließlich Internet-Traffic für das Gast-Netz.

Firewall-Regeln definieren: Explizit blockieren: Zugriff auf Praxis-Subnetz, lokale Server, Drucker, NAS. Erlauben: DNS, DHCP, Internet-Zugang.

Passwort regelmäßig ändern: Ein öffentlich aushängendes WLAN-Passwort sollte monatlich gewechselt werden. Alternativ bieten manche Systeme Voucher mit zeitlicher Begrenzung.

Keine Pflicht zur Vorratsdatenspeicherung: Anders als bei kommerziellen Hotspots besteht in Praxen keine rechtliche Pflicht zur Speicherung von Verbindungsdaten. Ein einfaches Gast-WLAN ohne Registrierung ist datenschutzrechtlich unbedenklich, sofern die technische Trennung gewährleistet ist.

Die Konfiguration sollte dokumentiert und bei IT-Audits oder Datenschutz-Kontrollen vorgelegt werden können. Ein einfacher Netzwerkplan mit VLAN-Schema und Firewall-Regeln genügt.

Praktische Umsetzung und Wartung

Für die Ersteinrichtung empfiehlt sich die Zusammenarbeit mit einem IT-Dienstleister, der Erfahrung im Gesundheitswesen hat. Die laufende Wartung umfasst:

• Firmware-Updates der Access Points (quartalsweise prüfen)
• Kontrolle der VLAN-Konfiguration nach Änderungen am Netzwerk
• Überprüfung der WLAN-Abdeckung bei Raumänderungen
• Anpassung der Bandbreiten bei neuen Diensten

Ein gut geplantes Praxis-WLAN-Konzept schafft Sicherheit für Patientendaten, stabilen Betrieb für das Praxisteam und nutzerfreundlichen Internet-Zugang für Wartende – ohne dass diese Bereiche sich gegenseitig gefährden.