WLAN-Infrastruktur für Arztpraxen: Planung, Sicherheit & Hardware-Empfehlungen

Auf einen Blick (TL;DR): Eine professionelle WLAN-Infrastruktur in der Arztpraxis besteht aus mindestens zwei getrennten Netzwerken (Praxis-WLAN und Gäste-WLAN), Enterprise-Access-Points mit zentraler Verwaltung und einer VLAN-basierten Segmentierung, die Patientendaten konsequent von anderen Geräten trennt. Consumer-Router und -Repeater haben in der Praxis nichts zu suchen. Dieser Ratgeber zeigt, wie Sie WLAN richtig planen, was es kostet und welche Hardware sich bewährt.

Warum schlechtes WLAN eine Arztpraxis teuer zu stehen kommt

In modernen Arztpraxen läuft fast alles über das Netzwerk: Praxissoftware, Laboranbindung, Röntgensysteme, digitale Krankenakten, VoIP-Telefonie, Kartenzahlungen und inzwischen auch Wearables und Telemedizin-Lösungen. Gleichzeitig erwarten Patientinnen und Patienten im Wartezimmer ein zuverlässiges WLAN.

Ein instabiles oder schlecht geplantes Drahtlosnetzwerk verursacht konkrete Kosten:

Die gute Nachricht: Mit einer professionellen Planung und der richtigen Hardware lassen sich diese Probleme dauerhaft lösen — und das zu klar kalkulierbaren Kosten.

Die drei Netze jeder modernen Arztpraxis

Der wichtigste Grundsatz im Praxis-WLAN: Trennung. Verschiedene Gerätetypen und Nutzergruppen gehören in separate Netzwerksegmente, die technisch voneinander isoliert sind. Diese Trennung erfolgt über VLANs (Virtual Local Area Networks).

1. Praxis-WLAN (Mitarbeitende und Arbeitsgeräte)

Das interne Praxisnetzwerk verbindet alle geschäftlichen Geräte: Workstations, Notebooks, Drucker, Scanner, Tablets der Mitarbeitenden und VoIP-Telefone. Dieses Netz hat vollen Zugriff auf die Praxissoftware, den Server, die Laborsysteme und das Internet.

Sicherheitsanforderungen:

2. Gäste-WLAN (Wartezimmer und Patienten)

Das Gäste-WLAN gibt Patientinnen und Patienten im Wartezimmer Internetzugang — mehr nicht. Es hat keinerlei Sicht auf das interne Praxisnetz, die Praxissoftware oder andere Infrastruktur.

Sicherheitsanforderungen:

Rechtliche Note: Nach nDSG müssen auch Gästedaten (IP-Verbindungsdaten) datenschutzkonform behandelt werden. Wählen Sie einen Internet-Provider, der keine Logs ausserhalb der Schweiz verarbeitet, oder nutzen Sie einen lokalen Breakout.

3. Medizingerätenetz (Röntgen, Labor, EKG, Ultraschall)

Medizinische Geräte mit Netzwerkanbindung — DICOM-Systeme, Laborsysteme, digitale Röntgenanlagen — bilden idealerweise ein eigenes Segment. Der Grund: Viele dieser Geräte laufen auf alten Betriebssystemen (Windows 7, Windows XP), die nicht mehr mit Sicherheitsupdates versorgt werden. Eine Isolierung verhindert, dass ein kompromittiertes Altgerät das gesamte Praxisnetz gefährdet.

In kleineren Praxen wird das Medizingerätenetz oft mit dem Praxis-WLAN zusammengefasst — was akzeptabel ist, sofern eine Firewall den Zugriff auf kritische Systeme kontrolliert und Medizingeräte keine Internetzugang haben.

WLAN-Planung Schritt für Schritt

Schritt 1: Bedarfsanalyse und Site Survey

Vor dem Kauf eines einzigen Access Points steht die Analyse:

Wie viele Geräte werden gleichzeitig im WLAN sein?

Kleine Einzelpraxis (5 Arbeitsplätze): 10–20 Geräte. Gruppenpraxis (15 Arbeitsplätze): 30–60 Geräte inklusive Mobilgeräten und Medizintechnik.

Welche Anwendungen laufen über WLAN?

Praxissoftware über WLAN hat andere Anforderungen als nur E-Mail. Echtzeit-DICOM-Bildübertragung (Röntgen) benötigt konstante Bandbreite und niedrige Latenz — hier ist oft kabelgebundenes Ethernet die bessere Wahl.

Wie ist der Grundriss?

Betonwände, Metallverkleidungen, Treppenräume, Keller — all das beeinflusst die WLAN-Ausbreitung erheblich. Ohne einen professionellen WLAN-Site-Survey (Vermessung der Signalstärke im gesamten Gebäude) riskiert man tote Winkel und Interferenzen.

Ein Site Survey kostet CHF 400–1'200 einmalig, verhindert aber kostspielige Fehlplacements und Nachbesserungen.

Schritt 2: Hardware-Auswahl

Was ist der Unterschied zwischen Consumer und Enterprise?

Consumer-Geräte (Fritz!Box, TP-Link Heimrouter) sind für Einfamilienhäuser mit 3–10 Geräten ausgelegt. In einer Praxis mit 30+ Geräten und kritischen Anwendungen sind sie überfordert: Instabiles Roaming, keine zentrale Verwaltung, keine VLAN-Unterstützung, schnell veraltete Firmware.

Enterprise-Access-Points sind für genau diesen Anwendungsfall gebaut: 50–300 gleichzeitige Clients pro AP, nahtloses Roaming (802.11r), WPA3-Enterprise, VLAN-tagging und zentrales Management via Cloud-Controller.

Empfohlene Systeme für Arztpraxen:

Ubiquiti UniFi — Preis-Leistungs-Sieger für kleine und mittlere Praxen. Access Points ab CHF 120–350, zentrales Management über den kostenlosen UniFi Network Controller (lokal oder cloud-hosted). Empfohlen für Praxen bis ca. 50 gleichzeitige Clients.

Fortinet FortiAP — Ideal für Praxen, die bereits eine Fortinet-Firewall (FortiGate) betreiben. Die Access Points werden direkt in die FortiGate integriert: WLAN-Policies, Nutzer-Authentifizierung und Security-Scanning in einer Oberfläche.

Cisco Meraki — Enterprise-Lösung für grössere Ärztezentren (20+ Arbeitsplätze). Hervorragendes Cloud-Management, starke Analytik, aber höhere Lizenzkosten (Jahresabonnement).

Schritt 3: Kabelplanung und Access Point Platzierung

Access Points benötigen eine Kabelverbindung (PoE — Power over Ethernet). Das bedeutet: Netzwerkkabel in Decke oder Wand müssen vor dem Innenausbau verlegt werden. Nachträgliche Verkabelung ist teuer und aufwändig.

Faustregel für die Platzierung:

Schritt 4: VLAN-Konfiguration und Firewall-Regeln

Die eigentliche Sicherheit entsteht nicht im WLAN selbst, sondern in der Firewall und den VLAN-Konfigurationen:

nDSG und WLAN: Was Arztpraxen beachten müssen

Das revidierte Datenschutzgesetz (nDSG, in Kraft seit 1. September 2023) stellt konkrete Anforderungen an die technische Sicherheit von Patientendaten. Im WLAN-Kontext bedeutet das:

Verschlüsselung: Alle Übertragungen im Praxis-WLAN müssen verschlüsselt sein. WPA3-Enterprise (oder mindestens WPA2-Enterprise) ist Pflicht — offene oder schwach gesicherte WLANs sind nicht nDSG-konform.

Zugriffskontrolle: Nur autorisierte Personen und Geräte dürfen auf patientenbezogene Daten zugreifen. Das impliziert Authentifizierung (nicht nur ein gemeinsames WLAN-Passwort für alle).

Trennung: Patientendaten dürfen nicht über dasselbe Netzwerksegment übertragen werden, das für Gäste zugänglich ist. Die VLAN-Segmentierung ist nicht nur Best Practice, sondern faktische Anforderung.

Protokollierung: Enterprise-Systeme protokollieren WLAN-Verbindungen, was im Fall eines Sicherheitsvorfalls für die Schadensanalyse und Meldepflicht nach nDSG Art. 24 benötigt wird.

Kosten: Was kostet ein professionelles Praxis-WLAN?

Kleine Einzelpraxis (2–3 Access Points)

Mittlere Gruppenpraxis (4–8 Access Points)

Laufende Kosten: Enterprise-WLAN-Systeme wie UniFi haben keine Pflicht-Abonnements (Controller läuft lokal). Fortinet und Cisco Meraki verlangen Jahreslizenzen für Security-Services (CHF 200–600/Jahr).

Häufige Fehler bei WLAN-Installationen in Arztpraxen

Consumer-Router als Basis verwenden: Fritz!Box und Co. sind für den Heimgebrauch. In der Praxis können sie keine VLANs trennen, kein Enterprise-WPA und kein nahtloses Roaming. Der günstige Anschaffungspreis wird durch Supportkosten und Sicherheitsrisiken schnell überkompensiert.

Kein Gäste-WLAN oder Gäste-WLAN ohne VLAN-Isolation: Ein "Gäste-WLAN" das nur ein anderes Passwort auf demselben Router ist, bietet keine echte Trennung. Ein entschlossener Angreifer mit Gäste-Zugang kann das interne Netz scannen.

Access Points ohne Kabelanbindung (Repeater oder Mesh-Extender): Repeater halbieren die verfügbare Bandbreite. In einer Praxis mit Praxissoftware und DICOM-Übertragungen ist das inakzeptabel.

WLAN-Planung ohne Site Survey: Ohne Messung weiss niemand, wo die toten Winkel sind. Nachträgliche Access Points zu installieren ist teurer als es von Anfang an richtig zu machen.

Vergessen, Passwörter zu rotieren: Das Gäste-WLAN-Passwort sollte regelmässig geändert werden — besonders wenn Personal das Praxisteam verlässt.

WLAN-Checkliste für Arztpraxen

Verwenden Sie diese Checkliste bei Planung, Installation oder Audit Ihres Praxis-WLANs:

Planung:

Netzwerkstruktur:

Sicherheit:

Betrieb:

Fazit: WLAN ist Infrastruktur, nicht Zubehör

Ein professionelles WLAN-System ist in der modernen Arztpraxis genauso kritische Infrastruktur wie der Serverraum oder die Telefonanlage. Die Investition in Enterprise-Hardware und professionelle Planung zahlt sich über die gesamte Betriebsdauer durch Zuverlässigkeit, Sicherheit und geringen Supportbedarf aus.

avenios plant und installiert WLAN-Infrastrukturen für Arztpraxen und Ärztezentren in der Deutschschweiz — inklusive Site Survey, VLAN-Konfiguration, Firewall-Integration und laufendem Monitoring. Kontaktieren Sie uns für eine kostenlose WLAN-Analyse Ihrer Praxis.