WLAN in der Arztpraxis: Patientendaten, Gäste-WLAN und DSGVO

Praxis-WLAN und Gäste-WLAN müssen in einer Arztpraxis auf VLAN-Ebene getrennt sein. Art. 9 und Art. 32 DSGVO und die IT-Sicherheitsrichtlinie nach § 75b SGB V lassen daran keinen Zweifel: Patientendaten zählen zu den besonders schutzbedürftigen Datenkategorien, und ein gemeinsames Netz für Behandlungsräume und Wartezimmer ist keine angemessene Schutzmaßnahme. Die Einmalkosten für eine ordentliche Lösung liegen bei 1.500 bis 3.000 € für eine typische Praxis mit 3 bis 5 Behandlungsräumen.

Warum die Trennung Pflicht ist

Die IT-Sicherheitsrichtlinie nach § 75b SGB V beschreibt, welche technischen und organisatorischen Maßnahmen eine Praxis umsetzen muss. Ein eigenes Prüf- oder Zertifizierungsverfahren gibt es dazu nicht: Verantwortlich für die Umsetzung und für den Nachweis ist die Praxis selbst. Für den Datenschutz ist in NRW die LDI NRW die Aufsichtsbehörde, für vertragsärztliche Fragen in Bonn, Köln und Düsseldorf die KV Nordrhein.

Inhaltlich läuft es auf vier Punkte hinaus:

• Das Praxisnetz muss vom Internet und von Gäste-Zugängen getrennt sein, physisch oder logisch
• Patientendaten dürfen nicht über ungesicherte Netzwerke erreichbar sein
• WLAN-Zugänge müssen verschlüsselt und authentifiziert sein, WPA3 ist der heutige Stand
• Die Netzwerkarchitektur muss dokumentiert sein, damit die Maßnahmen nachweisbar sind

Fehlt die Trennung, fehlt eine angemessene technische Maßnahme nach Art. 32 DSGVO. Mögliche Folgen sind Unterlassungs- und Schadensersatzansprüche der Betroffenen sowie Bußgelder der Aufsichtsbehörde.

So trennen Sie Praxis- und Gästenetz

VLAN-Segmentierung: die saubere Lösung

Zwei getrennte VLANs auf demselben Switch und denselben Access Points. Das ist weniger kompliziert, als es klingt, und es ist die Lösung, die einer Prüfung Ihrer Maßnahmen standhält:

• VLAN 10 (Praxis): Praxisverwaltungssoftware, Kartenlesegeräte, Drucker, TI-Konnektor, Praxis-WLAN mit WPA3
• VLAN 20 (Gäste): Separates WLAN mit eigenem Internetzugang, ohne jede Verbindung zu VLAN 10

Beide Netze laufen über dieselbe Hardware, sind aber auf Netzwerkebene vollständig voneinander isoliert. Ein Gerät im Gäste-WLAN sieht die Geräte im Praxisnetz nicht einmal.

Captive Portal für Patienten

Sinnvoll, aber optional. Ein Captive Portal zeigt Patienten beim Verbinden eine Anmeldeseite mit Ihren Nutzungsbedingungen und dem Datenschutzhinweis. Erst nach Bestätigung wird der Internetzugang freigeschaltet. Das dokumentiert die Zustimmung und macht die Regeln für die Nutzung transparent.

Bandbreitenbegrenzung

Begrenzen Sie die Bandbreite im Gäste-WLAN auf 10 bis 20 Mbit/s. Nicht aus Geiz, sondern damit ein Patient mit Videostream nicht die Videosprechstunde im Behandlungsraum lahmlegt.

Welche Hardware brauchen Sie?

Wir planen und installieren auf UniFi. Der Controller läuft auf dem Cloud Gateway in der Praxis, Lizenz- oder Abogebühren fallen nicht an. Für eine Praxis mit 3 bis 5 Behandlungsräumen empfehlen wir folgende Konfiguration:

Gesamtkosten: 1.500 bis 3.000 €.

Warum keine Fritz!Box: Die Fritz!Box bietet ein Gäste-WLAN, das auf Layer 3 getrennt ist. Für eine Arztpraxis brauchen Sie VLAN-fähige Hardware mit konfigurierbaren Firewall-Regeln, einem Monitoring-Log und der Möglichkeit, die Konfiguration zu exportieren und zu dokumentieren. Die Fritz!Box kann das nicht.

Praktische Umsetzung: Was passiert bei einer Installation?

Damit Sie wissen, worauf Sie sich einlassen, kurz der typische Ablauf bei uns:

Tag 1 (Planung, 2 bis 3 Stunden vor Ort): Wir schauen uns die Praxisräume an, erfassen die bestehende Infrastruktur und klären, wo Access Points hingehören und ob vorhandene Kabelwege nutzbar sind. Ergebnis: ein Netzwerkplan und ein Angebot nach Vor-Ort-Aufmaß.

Tag 2 (Installation, 4 bis 6 Stunden): Switch-Konfiguration, Montage der Access Points, VLAN-Einrichtung, Firewall-Regeln. Gäste-WLAN und Praxisnetz laufen anschließend auf getrennten SSIDs. Das Praxis-WLAN bekommt ein Passwort, das Gäste-WLAN läuft offen oder mit Captive Portal.

Tag 3 (Dokumentation, 1 bis 2 Stunden): Netzwerkplan als PDF, Geräteinventarliste, IP-Adresstabelle, Firewall-Regelwerk in lesbarer Form. Das ist die Unterlage, die Ihr Datenschutzbeauftragter sehen will.

Umbauten legen wir auf Abende oder Wochenenden, wenn die Praxis geschlossen ist. Der Sprechbetrieb soll dafür nicht ausfallen. Von der Bedarfsaufnahme bis zur abgenommenen Dokumentation dauert ein komplettes Praxisprojekt in der Regel zwei Wochen.

Häufige Fehler in Arztpraxen

Consumer-Router als Praxis-Firewall. Ein Provider-Router oder eine Fritz!Box ist kein Security-Gateway. Kein Intrusion Detection, kein brauchbares Traffic-Log, keine exportierbare Dokumentation.

Praxis-PCs im selben WLAN wie Gäste. Passiert häufiger als gedacht, meist weil jemand das Praxis-WLAN einmal "kurz" für einen Gast freigegeben hat und der Zustand geblieben ist.

Kein Monitoring. Niemand merkt, wenn ein Gerät im Praxisnetz auffällig viel Traffic erzeugt oder versucht, nach außen zu kommunizieren. Managed Switches und Firewalls können das, aber nur wenn jemand hineinschaut.

Keine Dokumentation. Die Netzwerkarchitektur steckt in einem einzelnen Kopf und nirgendwo auf Papier. Die Frage bei jeder Prüfung lautet: Wie ist Ihr Netz segmentiert, und können Sie das zeigen?

Beispielrechnung: Allgemeinarztpraxis mit vier Behandlungsräumen

Ausgangslage, wie sie uns typisch begegnet: eine Fritz!Box, ein gemeinsames WLAN für Praxis und Wartezimmer, keine Dokumentation. Rund 180 m² mit Massivwänden, vier Behandlungsräume, Empfang und Wartezimmer.

• UniFi Cloud Gateway mit Controller: 300 €
• UniFi Switch, 16 Ports PoE: 350 €
• Drei UniFi U6 Pro, je rund 200 €: 600 €
• Verkabelung, Kabelkanal, Montage: 500 €
• Konfiguration von VLAN 10 (Praxis) und VLAN 20 (Gäste mit Captive Portal), Netzwerkplan und Dokumentation: 500 €

Gesamt: 2.250 €. Drei Access Points ergeben sich aus dem Planungswert für Massivwände von einem AP pro 80 bis 120 m².

Was die IT-Sicherheitsrichtlinie nach § 75b SGB V verlangt

Die Anforderungen, die für ein Praxisnetz relevant sind, lassen sich als Selbstprüfung lesen:

• Netzwerktrennung zwischen Praxis, Gästen und Internet
• Aktueller Virenschutz auf allen Praxis-PCs
• Datensicherung mit Nachweis, dass die Wiederherstellung getestet wurde
• Passwortrichtlinien für Praxissoftware-Zugänge
• Zugriffskontrollen auf Patientendaten, also wer darf was sehen
• Dokumentation der technischen und organisatorischen Maßnahmen

Ein festes Prüfintervall gibt es nicht. Sinnvoll ist ein Durchgang durch diese Liste bei jedem Anlass, der das Netz verändert: Neuinstallation, Umzug, Wechsel des IT-Dienstleisters oder eine Datenschutzbeschwerde.

Wi-Fi 6 und WPA3: Lohnt sich die Investition?

Für neue Installationen ja. Wi-Fi 6 (802.11ax) ist nicht nur schneller, es ist auch für dichte Umgebungen ausgelegt, also genau das, was eine Praxis mit vielen gleichzeitig aktiven Geräten braucht. WPA3 ist der aktuelle Stand der Technik. WPA2 wird noch unterstützt, aber bei jeder Neuinstallation bauen wir nur WPA3-fähige Geräte ein. Access Points können beide Verfahren parallel anbieten, ältere Praxis-PCs bleiben also anschlussfähig.

Die Kostendifferenz zu Wi-Fi 5 ist gering: Ein UniFi U6 Pro liegt bei rund 200 €, ein älterer Wi-Fi-5-Access-Point bei rund 130 €. Wichtig zu wissen: Wi-Fi 5 funkt ausschließlich auf 5 GHz, für 2,4-GHz-Geräte wie viele Medizin- und IoT-Sensoren braucht es dort ohnehin ein zweites Funkband.

Was sich für eine normale Praxis nicht lohnt: das 6-GHz-Band. Es setzt Wi-Fi 6E oder Wi-Fi 7 voraus, bei uns also die U7-Serie. In der EU stehen dort 5.945 bis 6.425 MHz mit 200 mW EIRP im Innenraumbetrieb (LPI) zur Verfügung, und bei kurzen Distanzen hinter normalen Wänden bringt das gegenüber 5 GHz keinen messbaren Vorteil. Die U6-Serie genügt.

WLAN ist nur ein Baustein. Wenn Sie eine neue Praxis aufbauen oder umziehen, gehören die strukturierte Verkabelung, der Anschluss des TI-Konnektors und die VLAN-Trennung von Praxisnetz und Behandlungsräumen dazu. Das gesamte Vorgehen mit Kosten und Materialliste haben wir im Arztpraxis-Netzwerk-Leitfaden mit TI-Anschluss zusammengefasst.

Wir richten WLAN in Arztpraxen in Bonn, Köln und Düsseldorf datenschutzkonform ein, von der Planung bis zur Dokumentation für Ihren Datenschutzbeauftragten. Wenn Sie wissen wollen, was eine ordentliche Lösung für Ihre Praxis kostet, sprechen Sie uns an: Rückmeldung innerhalb eines Werktags, das Angebot folgt nach dem Vor-Ort-Aufmaß.

Dieser Beitrag ersetzt keine Rechtsberatung. Im Zweifel klären Sie die Details mit Ihrem Datenschutzbeauftragten oder einem Fachanwalt.