Netzwerk für die Arztpraxis: IT-Sicherheitsrichtlinie, TI-Anschluss und Verkabelung (2026)

Ein Arztpraxis-Netzwerk sollte 2026 mindestens vier getrennte Segmente haben: Praxisnetz, TI, Patienten- beziehungsweise Gäste-WLAN und Gerätenetz. Ohne diese Trennung erfüllt es die Anforderungen der IT-Sicherheitsrichtlinie nach § 75b SGB V nicht, und auch die DSGVO verlangt eine Trennung von Patientendaten und offenen Netzen. Was die Richtlinie konkret fordert, hängt von der Praxisgröße ab: Bis 5 Personen gelten die Grundanforderungen, ab 6 Personen und noch einmal ab über 20 Personen kommen weitere hinzu. Falls Sie das nicht selbst durcharbeiten wollen: Wir planen und verkabeln Praxisnetzwerke in Bonn, Köln und Düsseldorf, inklusive TI-Integration.

Warum das Arztpraxis-Netzwerk mehr ist als WLAN

Eine typische Arztpraxis in Bonn oder Köln hat 2026 mehrere Netzwerk-Welten, die sich nicht mischen dürfen:

• Das Praxisnetz mit der Praxisverwaltungssoftware (PVS), auf dem die Patientenakten laufen
• Der TI-Anschluss für eRezept, eAU, VSDM und KIM
• Das Patientennetz für Anmeldungs-Tablets oder Aufrufsysteme
• Das Gästenetz, falls Patienten Internet bekommen sollen
• Die medizinischen Geräte (Röntgen-PACS, Labor-Interfaces, Ultraschall mit DICOM)
• Das Überwachungsnetz für Videoüberwachung und Zutrittskontrolle

Wer das alles in ein flaches Netz wirft, verfehlt die Anforderungen der Richtlinie und schafft ein DSGVO-Risiko, für das die Praxis als Verantwortliche einsteht. Der Leitfaden WLAN in der Arztpraxis zeigt, warum die Trennung von Patientendaten und Gäste-WLAN nicht verhandelbar ist. Hier geht es um die Ebene darunter: die physische und logische Netzstruktur.

Was die Richtlinie vom Netzwerk fordert

Die IT-Sicherheitsrichtlinie nach § 75b SGB V, aufgestellt von der KBV, gilt seit dem 1. April 2021. Sie unterscheidet Praxisgrößen (bis 5, 6 bis 20, über 20 Personen mit ständiger Datenverarbeitung) und staffelt die Anforderungen entsprechend. Die wichtigsten netzwerkrelevanten Punkte, die wir in jeder Installation umsetzen:

1. Netzwerksegmentierung. Patientendaten, TI und Gästeverkehr müssen getrennt sein, logisch über VLAN oder physisch. Wir nutzen VLAN, weil physische Trennung bei vier Netzen in einer Praxis kaum umsetzbar ist.
2. Kontrollierter Internetübergang. Ein Provider-Router mit NAT ist keine Firewall. Zwischen Anschluss und Praxisnetz gehört ein Gerät, das Regeln je VLAN durchsetzt und protokolliert.
3. Updates und Patchmanagement. Switches, Gateway und Access Points brauchen einen dokumentierten Update-Plan. Wir liefern das als Wartungsvertrag mit.
4. Protokollierung. Wer sich wann im Netz angemeldet hat, muss nachvollziehbar sein. Managed Switches mit zentralem Log genügen für die meisten Praxen.
5. Backups. Nicht direkt Netzwerk-Scope, aber die Backup-Infrastruktur muss ebenfalls segmentiert sein, damit ein Verschlüsselungsangriff im Praxisnetz nicht auf die Sicherung überschwappt.

Wichtig zur Einordnung: Die Richtlinie beschreibt Anforderungen, sie richtet kein Prüf- oder Auditverfahren ein. Ansprechpartner für Vertragsärzte in Bonn, Köln und Düsseldorf ist die KV Nordrhein, Aufsichtsbehörde für den Datenschutz ist die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW (LDI NRW). Relevant wird die Umsetzung typischerweise dann, wenn ein Vorfall passiert oder ein Betroffener sich beschwert: Dann stehen Unterlassungs- und Schadensersatzansprüche sowie Bußgelder der Aufsichtsbehörde im Raum, und die Praxis muss ihre technischen Maßnahmen belegen können.

TI-Anschluss: Konnektor, VPN, Zertifikate

Die Telematikinfrastruktur ist das geschlossene Netz des deutschen Gesundheitswesens. Vertragsärztliche Praxen sind seit 2019 verpflichtend angebunden, und die Anforderungen wachsen jedes Jahr. Was im Netzwerk konkret passiert:

Der Konnektor ist die Hardware in der Praxis, die einen verschlüsselten VPN-Tunnel in die TI aufbaut. Er sitzt zwischen Provider-Anschluss und Praxisnetz, bekommt eigene IP-Adressen und wird über die SMC-B (Security Module Card Betriebsstätte) identifiziert. Jede Praxis hat genau eine SMC-B, sie ist der Ausweis der Betriebsstätte.

Die Ärztinnen und Ärzte selbst authentifizieren sich über den Heilberufsausweis (HBA), eine persönliche Chipkarte. Damit werden eRezepte signiert, eAUs ausgestellt und KIM-Nachrichten verschlüsselt.

Netzwerktechnisch kritisch: Der Konnektor gehört in ein eigenes VLAN. Er darf nicht frei ins Internet kommunizieren, muss aber aus dem Praxisnetz erreichbar sein, damit die PVS ihn findet. Wir konfigurieren das typischerweise so:

• VLAN 10 Praxisnetz (PVS, Workstations, Drucker)
• VLAN 20 TI (Konnektor, Kartenterminals)
• VLAN 30 Medizinische Geräte (Röntgen, Labor, DICOM)
• VLAN 90 Gäste-WLAN (Patienten, isoliert)

Wichtig für 2026: Die Konnektoren der ersten Generation laufen wegen ablaufender Sicherheitszertifikate aus. Der Umstieg auf TI 2.0 mit cloudbasiertem TI-Gateway ist im Gange. Praxen, die jetzt neu bauen, sollten direkt die neue Variante einplanen, sonst bauen sie für zwei Jahre.

Strukturierte Verkabelung: Cat6a, Leerrohre, Patchfeld

Für eine Praxis empfehlen wir konsequent Cat6a. Die Gründe stehen im Detail im Cat6a-vs-Cat7-Vergleich: Cat6a reicht für 10 Gbit/s über die vollen 100 Meter Kanallänge, das genügt für jedes Praxis-Szenario inklusive Labor- und Bilddatentransfers. Cat7 verlässt am RJ45-Stecker die eigene Spezifikation und bringt keinen Vorteil.

Was in jeder Praxisverkabelung drin sein muss:

• Mindestens zwei Dosen pro Raum, auch wenn heute nur ein Rechner geplant ist. Drucker, zweites Terminal und Laborinterface kommen später, und Nachrüsten kostet ein Mehrfaches.
• Leerrohre statt Unterputz ohne Rohr, sonst ist jede Erweiterung ein Aufbruch. 32-mm-Leerrohr kostet rund 3 € pro Meter Material und erspart Ihnen später Trockenbau.
• Patchschrank im Serverraum oder in einem abschließbaren Schrank. Kein Patchfeld im Kopierzimmer, das ist auch ein Datenschutzthema.
• Dokumentation jeder Dose mit Bezeichnung und Messprotokoll. Wir messen jede Strecke mit einem Kabeltester auf Cat6a-Norm. Das Protokoll geht an die Praxis, wenn wir fertig sind.

Für eine typische Praxis mit sechs Behandlungsräumen landen wir bei 20 bis 30 Dosen. Der Materialwert liegt bei 800 bis 1.500 €, Installation und Messung kommen dazu. Grundlegende Kostenbeispiele finden Sie im Artikel zu Netzwerkverkabelung-Kosten.

Switches und VLAN-Trennung in der Praxis

Die Switches sind der Punkt, an dem viele Praxen sparen und es später bereuen. Ein unmanaged Switch für 50 € aus dem Elektronikmarkt kann kein VLAN. Damit scheitert schon der erste Punkt der Richtlinie.

Wir planen und verbauen auf UniFi:

• UniFi USW-Pro-24-PoE (24 Ports, PoE++, rund 600 €) als Standard für kleine bis mittlere Praxen. Verwaltung über den UniFi Controller, keine Lizenz- oder Abogebühren.
• UniFi USW-Lite-16-PoE (rund 350 €) für kleine Praxen mit wenigen PoE-Geräten.
• UniFi Cloud Gateway am Internetübergang: Routing, Firewall-Regeln je VLAN, VPN für den Fernzugriff und der Controller für Switches und Access Points in einem Gerät, je nach Modell 250 bis 800 €.
• UniFi U6 Pro Access Points (rund 200 € pro Gerät) mit getrennten SSIDs für Praxis und Gäste, jede SSID auf ihrem VLAN.

Anbieter wie Sophos, Fortinet oder Cisco spielen in größeren Häusern mit eigener IT-Abteilung eine Rolle. In der Praxisgröße, um die es hier geht, ist eine durchgängige UniFi-Installation einfacher zu betreiben und zu dokumentieren, und das ist genau, was Sie im Zweifelsfall belegen müssen.

Dazu kommt ein ausreichendes PoE-Budget, damit Access Points, Kameras und IP-Telefone ohne Extra-Netzteile laufen. Wie PoE funktioniert und was der Budget-Wert bedeutet, steht im separaten Artikel.

Was kostet ein Arztpraxis-Netzwerk?

Für eine Einzelpraxis mit 5 bis 8 Räumen planen Sie 3.500 bis 9.000 € ein, für eine Gemeinschaftspraxis mit 12 bis 15 Räumen 10.000 bis 20.000 €. Die Spannbreite ist groß, weil die Anforderungen es sind: Ein Neubau mit Leerrohren liegt am unteren Ende, ein bewohnter Altbau mit Kabelkanälen und Nachtarbeit am oberen.

Beispielrechnung: Hausarztpraxis mit 5 Räumen im Bestand

• 20 Cat6a-Dosen inklusive Verlegung im Kabelkanal und Messung: 3.400 bis 4.200 €
• Patchschrank 9 HE, Patchfeld, Patchkabel: 400 €
• UniFi USW-Pro-24-PoE: 500 bis 700 €
• UniFi Cloud Gateway (Routing, Firewall, VPN, Controller): 400 bis 800 €
• 2 UniFi U6 Pro Access Points: 400 €
• VLAN-Konzept, TI-Integration, Dokumentation: 800 bis 1.500 €
• Gesamt: 5.900 bis 8.000 €

Dazu kommen die laufenden TI-Kosten von 80 bis 140 € pro Monat über Ihren TI-Anbieter, die unabhängig von der Verkabelung anfallen. Kontaktieren Sie uns für ein konkretes Angebot: Wir messen den Bestand zuerst und planen dann.

Häufige Fehler, die wir in Praxen sehen

Seit 2020 begegnen uns immer wieder dieselben Muster:

• TI-Konnektor im Patientennetz. Passiert bei Selbstinstallationen und widerspricht der Segmentierungsanforderung der Richtlinie direkt.
• Consumer-Router als einzige Absicherung. Eine FRITZ!Box routet keine VLANs sauber, filtert nicht je Segment und protokolliert zu wenig, um technische Maßnahmen belegen zu können.
• Ein WLAN für alles. Wir sehen regelmäßig Praxen, in denen Patienten und Praxisrechner im selben Funknetz hängen, oft mit einem Passwort, das am Empfang aushängt. Das ist der Fall, den die Segmentierung verhindern soll.
• Patchfeld im Kopierzimmer. Kein Schloss, für alle zugänglich. Gehört in einen abschließbaren Schrank oder einen separaten Raum.
• Keine Dokumentation. Wenn der Datenschutzbeauftragte fragt oder ein Vorfall aufzuklären ist, muss schnell klar sein, welche Dose welches Gerät versorgt und welches VLAN wo endet.

Ein letzter Punkt, der oft unterschätzt wird: die Zutrittskontrolle zum Serverraum und zu den Behandlungsräumen gehört zum gleichen Maßnahmenpaket wie das Netzwerk selbst. Technische und organisatorische Maßnahmen werden gemeinsam bewertet.

Wir planen und installieren Netzwerktechnik und WLAN-Infrastruktur für Arztpraxen, Zahnarztpraxen, Physiotherapien und MVZ in Bonn, Köln und Düsseldorf. Als IT-Dienstleister in Bonn betreuen wir Praxen auch über die Verkabelung hinaus. Wenn Sie neu bauen, umziehen oder eine bestehende Praxis nach § 75b SGB V nachrüsten müssen, sprechen Sie uns an. Rückmeldung innerhalb eines Werktags, Angebot nach Vor-Ort-Aufmaß.

Häufige Fragen

Ist die IT-Sicherheitsrichtlinie für jede Praxis Pflicht?

Für Vertragsärzte und Vertragspsychotherapeuten ja. Die Richtlinie nach § 75b SGB V gilt seit dem 1. April 2021 und stuft die Anforderungen nach Praxisgröße ab. Sie beschreibt Anforderungen, kein Prüfverfahren: Es gibt kein Audit, das Ihre Praxis durchlaufen muss. Für Privatpraxen ohne KV-Zulassung gilt sie nicht, die DSGVO verlangt dort aber praktisch dieselben technischen Maßnahmen.

Brauche ich für die TI einen eigenen Internetanschluss?

Nein. Der TI-Konnektor baut über den bestehenden Internetanschluss einen separaten verschlüsselten VPN-Tunnel zur Telematikinfrastruktur auf. Wichtig ist, dass der Konnektor in einem eigenen VLAN hängt, nicht im Patienten- oder Gästenetz. Wir trennen das in jeder Praxisinstallation sauber.

Was kostet ein komplettes Praxis-Netzwerk 2026?

Für eine Einzelpraxis mit 5 bis 8 Räumen liegen Sie bei 3.500 bis 9.000 € für Verkabelung, Switch, Gateway, Access Points und TI-Integration (ohne Konnektor-Miete). Eine Gemeinschaftspraxis mit 12 bis 15 Räumen kostet 10.000 bis 20.000 €. Dazu kommen laufende TI-Kosten von 80 bis 140 € pro Monat.

Muss der Konnektor regelmäßig getauscht werden?

Ja. Konnektoren der ersten Generation laufen aus, weil ihre Sicherheitszertifikate ablaufen. Der Umstieg auf das cloudbasierte TI-Gateway (TI 2.0) läuft seit 2026. Praxen sollten den Wechsel aktiv mit ihrem TI-Anbieter planen, statt zu warten, bis der Konnektor stehen bleibt.

Kann ich alte Patches und Kabel weiter nutzen?

Wenn die bestehende Verkabelung Cat5e oder besser ist und sauber installiert wurde, ja. In Altbauten finden wir aber regelmäßig Consumer-Kabel oder defekte Dosen. Eine Messung vor Ort klärt das schnell. Lieber einen Tag Messtechnik als zwei Wochen Fehlersuche, wenn die TI streikt. Grundlagen dazu stehen im Leitfaden Netzwerktechnik für Unternehmen.

Dieser Beitrag ersetzt keine Rechtsberatung. Im Zweifel klären Sie die Details mit Ihrem Datenschutzbeauftragten oder einem Fachanwalt.