ich bin neu hier im Forum und betreue die IT einer Arztpraxis. Dort steht nun der Austausch des Konnektors in zwei Monaten an. Der neue Konnektor ist bereits da und der Einrichtungstermin mit dem DVO steht. Aktuell ist der Anbindungsmodus ‘Parallel‘ im Konnektor hinterlegt. Folglich steht der Konnektor im Praxis-Netzwerk hinter einer (Hardware-)Firewall und einem Router von LANCOM zum Internet. Das System läuft meistens störfrei mit VDSM, KIM, eRezept und eAU. Nun kam aber gemeinsam mit dem DVO die Frage auf, ob man nicht wieder zurück zur Standard-Anbindungsmodus ‘in Reihe‘ wechseln sollte, um den Schutz (Firewall) des Konnektors zu nutzen. Anmerken möchte ich, dass die Konfiguration und Pflege der LANCOM-Netzwerkgeräte alleinig durch meine Person erfolgt und damit meinerseits auch eine Abschätzung der Vorbereitungen zur Einrichtung erfordert.
Frage 1: Ist der Wechsel des Anbindungsmodus sinnvoll ? Frage 2: Wenn zum Anbindungsmodus ‘in Reihe‘ wechselt wie wird der Konnektor in der Netzwerkinfrastrukturkonkret betrieben ? (Ich habe bereits eine grobe Skizze eines Vernetzungsplan eines anderen DVO vorliegen, der dieses Szenario nur ungenau darlegt.)
Also wenn ohnehin eine HW-Firewall vorliegt, die auch sauber gepflegt wird, würde ich persönlich nie den Konnektor in Reihe schalten, sondern grundsätzlich parallel betreiben. Zumal die Zukunft ohnehin Richtung TI-as-a-service geht. Ist aber nur meine persönliche Meinung.
Also ich hab mich mal 2018 auch mal mit der Frage beschäftigt gehabt und Vertrieb CGM gequetscht, was dieses SIS nun wirklich ist, macht und kann:
! Ich kann natürlich nicht sagen, ob das Angebot heute noch genauso aussieht wie 2018! - das müssten Sie nochmal erfragen, wer da was grad aktuell mit welchen AGBs anbietet- aber jedenfalls, was damals dazu gesagt wurde, war so unverheißungsvoll, dass SIS nicht mehr für mich in frage kam:
Zusammengefasst nach zähem Verhandeln um die Inhalte von SIS bei Telemed von CGM ergab sich für mich folgendes Bild:
Dieser SIS ist nach meinem Verständnis im Ergebnis NICHT die Firewall vom Konnektor selber sondern schlicht ein 2. VPN, der parallel vom Konnektor aufgebaut wird -es geht im Wesentlich um ein ALGatewaymodell , das Bestandteil des VPN ZUgangsdienstes ist mit dezentraler (!) filterung und wenn man dann den Konnektor für die Clients im Netzwerk als Standardgatway setzt, gehen die dann zum Aufrufen sonstiger Internetseiten auf diesem weg nur noch ins Internet und das sei angeblich sicherer.
Eine Prüfung der Datenströme findet somit nach meinem Verständnis nicht lokal beim Kunden sondenr dezentral auf speziellen TI Servern statt.
Hatte mal gefragt, wie genau der Schutz im SIS aussieht:
Telemad sayed: "Der Konnektor baut einen VPN Tunnel an einen der TI Konzentratoren für SIS, welche georedundant verteilt sind, auf. Nachgeschaltet (!) ist ein wie oben erwähntes ALG, was die Virenprüfung etc. durchführt und als http-relay fungiert (transparenter Proxy). Und: Es werden nur unverschlüsselte Daten geprüft über z.B. http oder ftp." Habe dann gefragt, was für einen Sinn es macht, wenn auf verschlüsselte Websites nicht geschaut wird, da ja das meiste inzwischen Https ist.
Antwort Telemed: "Ja, richtig. ein verschlüsselter Datenstream z.B. mit dem HTTPS Protokoll wird nicht auf Viren geprüft. Der Virenscanner des SIS bricht die Verschlüsselung nicht auf. Dies ist nach gematik Spezifikation untersagt." Deep packet inspection und HTTPS-Interspection werden bei diesem System nicht durchgeführt.
By the way. wenn das stimmen sollte: Spannend, dass die Spezifikation das untersagt angeblich! Gut ich habe es nicht nachgeschlagen, aber wenn es wirlich so sein sollte...???!?!?
Habe gefragt, ob bestimmte Seiten auf einer Blacklist o.ä. sind: Antwort war sehr unscharf: alle legalen Seiten kann man anschauen... hm...was ist jetzt legal...
=)=)=) Man hat somit all in all 0,00 einblick und Einfluss auf die Filterung/"Firewall" im SIS. wenn was nicht läuft, hängt man wieder am bereits erwähnten CGM /Telemed-Mafia-Tropf ...so wenig wie gefiltert wird, ist allerdings auch davon auszugehen,d ass vermutlich alles, was halbwegs "normal" ist, inhaltlich laufen würde,
Außerdem nicht zu verachten ist Folgendes zu den Tarifen:
Interessant, wenn man das Stichwort "Volumenbegrenzung" in Augenschein nimmt , denn !, die sagten; die ersten 1,5 GB sind Kostenfrei , danach zahlt man für jedes MB immerhin 0,9 cent. Oder man bucht dann gleich die Flat mit 39 Euro /Monat und hat dann aber ordentlich fixkosten mehr, die dann wiederum in keinem TI Monatspauschaltarif erfasst sind. Und wenn man überlegt, dass man ja über diese Art der anbindung dann auch updates für die OS zieht usw. - dann kann man gleich diesen Volumentarif abschießen und kommt gar nicht drumherum es mit der Flat zu machen.... .
SIS ist ein totes Pferd. Da sind nur noch Knochen übrig. Echt nicht machen. Stellt euch eine Firewall in die Praxis, wenn wirklich notwendig.
Persönliche Meinung: Eine Fritzbox reicht prinzipiell aus. Der Rest ist ohnehin nur Compliance. Investiert das Geld lieber in eine Security Awareness Schulung für eure Mitarbeiter. DAS ist gut investiertes Geld.
1 Mitglied findet das Top!
1 Mitglied hat sich bedankt!
Danke für diesen Beitrag! Ich sehe es zwar etwas anders, nämlich dass eine Firewall bzw. ein Router mit gut konfigurierbarer Firewall gegenüber einer FritzBox das Sicherheitsniveau einer Praxis durchaus ordentlich erhöhen kann - allerdings nur eingebettet in ein gemeinsam mit der Praxis ausgearbeitetem Sicherheitskonzept und regelmäßigem Nachjustieren der Firewall-Regeln. Die Denke, dass rein durch die physische Existenz einer Firewall irgendetwas sicherer werden würde, ist absoluter Unsinn (wird aber leider durch viele "geschäftstüchtige" IT-Firmen so propagiert). Erhöhte Sicherheit kann man sich als Praxis gemeinsam mit dem Dienstleister erarbeiten, aber niemals vollständig "in Auftrag geben".
Ein "Like" auf jeden Fall für die Aussage über die Mitarbeiterschulungen. Das hört man im Bereich des Gesundheitswesens viel zu selten von IT-Firmen. Vielleicht auch, weil sie derartige Schulungen selbst nicht im Angebot haben...
1 Mitglied findet das Top!
2 Mitglieder haben sich bedankt!
Wenn wie oben beschrieben, eine gut betreute Firewall vorhanden ist kann man bestimmt auch Parallelbetrieb machen. Auf der anderen Seite wird wahrscheinlich aus rechtlicher Sicht bei einem Reihenbetrieb im Falle eines Falles der Schwarze Peter nicht in der Praxis liegen, da dann Anlage 1 Nr 32, der KBV It Sicherheitsrichtlinie als erfüllt gelten wird. Auf alle Fälle ein Backup. Der Umstieg von Parallelbetrieb auf Reihenbetrieb ist unproblematisch bei secunet, wenn man die IP-Adresse des Konnektors auf der LanSeite beibehält. Dann braucht man nur den DHCP-Server Lanseitig passend zu konfigurieren und den Reihenbetrieb und SIS einzuschalten. Reboot tut gut. Auf dem PC ipconfig /renew damit das Standard Gateway greift. Die Änderungen am Konnektor beziehen sich dan nur auf Die Netzwerkschicht😀. Bei unserem Praxissystem wird für die Parallel Installation eine Lancom FW empfohlen.
Zitat von Mit_Weitblick im Beitrag #5Ich sehe es zwar etwas anders, nämlich dass eine Firewall bzw. ein Router mit gut konfigurierbarer Firewall gegenüber einer FritzBox das Sicherheitsniveau einer Praxis durchaus ordentlich erhöhen kann - allerdings nur eingebettet in ein gemeinsam mit der Praxis ausgearbeitetem Sicherheitskonzept und regelmäßigem Nachjustieren der Firewall-Regeln.
Könntest du das vielleicht genauer erläutern? Oder hast du Beispiele dafür? Mir fällt nämlich spontan kaum ein plausibles Szenario ein, bei dem eine Firewall das Sicherheitsniveau ordentlich erhöhen könnte. In 95 % aller Fälle enstehen doch die Probleme durch Nutzerfehler (der größte Teil) oder durch vernachlässigte Software (der geringere Teil).
Ich würde sogar fast soweit gehen, dass die schiere Existenz einer Firewall manche Nutzer zu noch mehr Fahrlässigkeit veranlasst. Getreu nach dem Motto "Ach wir haben doch extra eine Hardware-Firewall."
1 Mitglied findet das Top!
1 Mitglied hat sich bedankt!
Zitat von DeJong im Beitrag #7Ich würde sogar fast soweit gehen, dass die schiere Existenz einer Firewall manche Nutzer zu noch mehr Fahrlässigkeit veranlasst
Das ist leider richtig, gilt aber im Prinzip natürlich für alle Maßnahmen, die "Sicherheit" erzeugen sollen. Irgendwer wird sich finden, der glaubt, dass Technik einen hundertprozentigen Schutz erzeugen könnte. Daher ja auch mein Upvote für das Thema "Mitarbeiterschulungen".
Du fragst nach konkreten Beispielen, diese möchte ich gerne liefern: In konfigurierbaren Firewalls kann ich grundsätzlich erst einmal jede Verbindung ins Internet unterbinden und dann sukzessive all das erlauben, was an erwünschten Diensten mit dem Internet kommunizieren darf. Das ist natürlich eine sehr kleinteilige Arbeit und erfordert die genannte enge Zusammenarbeit zwischen der Praxis (Leitung wie auch Mitarbeiter) und dem IT-Dienstleister. So etwas ist zeit- und kostenintensiv, aber führt zumindest dazu, dass z.B. eine Schadsoftware keinen Code nachladen oder eine Anwendung nicht unerwünscht "nach Hause telefonieren" kann.
Manche Firewalls beherrschen Geoblocking, damit kann ich z.B. Verbindungen (ein-/ausgehend) zu Systemen aus anderen Staaten als Deutschland pauschal unterbinden.
Nutze ich Active Directory, so kann ich in manchen Firewalls Internet-Zugriffe bis auf Benutzerebene hinunter konfigurieren und beschränken.
Praxisintern kann ich über eine Firewall mit VLANs arbeiten, damit das Netzwerk segmentieren und erreiche auch darüber ein besseres Sicherheitsniveau. Die FritzBox kennt ja lediglich ein Gastnetz, VLANs sind nicht konfigurierbar.
Einige Hardware-Firewalls können zusätzlich Dinge wie SSL-Interception, können also Web-Traffic und E-Mails prüfen, bevor sie auf dem Client ankommen. Diesen Aspekten stehe ich teilweise kritisch gegenüber, manche ITler halten sie aber für unverzichtbare Werkzeuge.
Ich hoffe, ich konnte Deine Frage mit diesen Beispielen beantworten, ansonsten gerne nochmal nachfragen. (Vielleicht dann in einem Extra-Thread, um hier nicht zu sehr OT zu werden).
Dass die Nutzer das größte Risiko in der IT-Sicherheit darstellen, sehe ich übrigens wie Du. Zumindest, so lange wir von Organisationen wie einer Arztpraxis reden.
Genau hier ist das Problem. Das ist tagelange Konfigurationsarbeit und passiert ja i.d.R. nicht, um nicht zu sagen: Das passiert nie. Hab ich noch nie gesehen, dass sich jemand diese Mühe gemacht hätte, oder gar kein Kunde bereit wäre, hierfür zu zahlen.
Und trotz des Aufwandes: Der Nutzer klickt in einer Mail auf ein böses Word-Dokument, dann wird per https (TCP 443) Schadcode nachgeladen, da ist der Drops gelutscht. Da hilft keine Firewall-Regel, auch wenn sie noch so gut konfiguriert ist. Das ist aber das, was überwiegend passiert.
- Schon eine Fritzbox schützt vor eingehendem Verkehr von außen. Da hilft dir eine Firewall nicht weiter, als du ohnehin schon bist. - Ist der Rechner mit Schadsoftware infiziert (s.o.) schützt dich die Firewall auch nicht.
Ja was bleibt denn da? Die von dir genannten, feingrannularen, ohnehin nie konfigurierten Dinge wie bestimmte Auslandsverbindungen unterbinden. Der Nutzen ist da sehr gering und rechtfertigt die Investition nicht, wird oft ohnehin nicht korrekt vom DVO umgesetzt und da diverse Firewalls in letzter Zeit selbst Ziel von Angriffen waren, kann behauptet werden, dass eine nicht gepflegte Firewall die Wahrscheinlichkeit für Schadsoftware nicht nur nicht verringert, sondern sogar erhöht.
Und auch hier: Ähnliche Ziele sind auch mit anderen Maßnahmen zu erreichen. Statt einer Firewall, die nur eingehende SSH Verbindungen aus Deutschland zulässt, kann man z.B. SSH so konfigurieren, dass nur PKI (Zertifikatsbasierte Anmeldung) erlaubt ist und Passwörter nicht. Dazu richtet man fail2ban ein, der nach wenigen falschen Login-Versuchen die Abgangs-IP sperrt. Oder man biegt den Port auf einen nicht-standard Port. Oder alles drei. Schon hat man mit deutlich weniger Investition eine viel höhere Sicherheit gewonnen, als mit einer Firwall, aber keine 1.000 € dafür ausgegeben. Wird aber nicht gemacht, weil der DVO überhaupt nicht die Kompetenz hat, solche Maßnahmen zu ergreifen.
Und wenn ich das Wort "Lancom" schon lese. Gehört in eine Schublade mit Sophos-Boxen.
Und was die Segmentierung angeht: Da kann ich auch einfach einen zentralen, managebaren L3 Switch einsetzen. Da braucht es keine Firewall für. Oder eben das Fritzbox Gastnetz, bei dem die Verbindung zwischen den Teilnehmern im Gastnetz unterbunden wird, gepaart mit einem Client für E-Mails, die ausschließlich im Gastnetzwerk verfügbar sind.
Naja, ich gehe ja schon grundsätzlich mit Dir konform, aber was Du hier schreibst, ist teilweise nicht besonders konsistent und eignet sich auch überhaupt nicht als Erwiderung auf meine Aussagen.
Kein professioneller ITler wird ernsthaft bestreiten, dass eine Firewall deutlich mehr Möglichkeiten bietet, die Sicherheit einer Organisation zu erhöhen, als eine Fritzbox. Dass diese erhöhte Sicherheit nicht im Auslieferungszustand einfach "an" ist, sondern mit viel Arbeit implementiert werden muss, habe ich ja oben geschrieben. Ich habe selbst schon eine kleine Praxis von einer Firewall auf eine FritzBox umgestellt, weil die Firewall niemals ein Update gesehen hatte und als einzige Regel "Any->Any" angelegt war. Das ist genau mein Punkt: SO kann man es dann auch einfach lassen, der Sicherheitsgewinn ist gleich Null.
Zitat von Hui123 im Beitrag #9Genau hier ist das Problem. Das ist tagelange Konfigurationsarbeit und passiert ja i.d.R. nicht, um nicht zu sagen: Das passiert nie.
Doch, das passiert sehr wohl, alleine schon, weil größere Organisationen oft externe Datenschutzbeauftragte haben, die die Erstellung und Durchsetzung von Sicherheitskonzepten erzwingen. Du kennst vermutlich ausschließlich Arztpraxen mit maximal 20 Beschäftigten, hier gibt es in der Regel noch keinen so hohen Druck von außen. Bitte auch mein Posting genau lesen: Ich sage ganz klar, dass eine Firewall ein Werkzeug ist, mit dem sich ein Sicherheitskonzept durchsetzen lässt (bzw. besser als mit einer FritzBox). Das Argument, niemand würde sich ein Sicherheitskonzept erstellen, ist sehr schwach. Aber klar, wer keines hat, braucht auch keine Firewall. :-)
Zitat von Hui123 im Beitrag #9Und trotz des Aufwandes: Der Nutzer klickt in einer Mail auf ein böses Word-Dokument, dann wird per https (TCP 443) Schadcode nachgeladen, da ist der Drops gelutscht. Da hilft keine Firewall-Regel, auch wenn sie noch so gut konfiguriert ist.
Eine Firewall mit AV-Schutz (und SSL interception) könnte hier sehr wohl helfen. Das hat dann natürlich nichts mit Firewall-Regeln zu tun, wie Du schreibst, sondern mit ATP (schönes Marketing-Buzzword, oder?). Wie zuvor geschrieben sehe ich diese Mechanismen selbst eher kritisch, es stimmt aber faktisch nicht, dass eine Firewall hier keinen Mehrwert bieten *kann* - nicht muss.
Zitat von Hui123 im Beitrag #9 - Ist der Rechner mit Schadsoftware infiziert (s.o.) schützt dich die Firewall auch nicht.
Doch, wenn sie die Kommunikation der Schadsoftware mit einem externen Server verhindert, kann dies durchaus schützen. Hängt natürlich von der Art des Schadcodes ab. Auch hier ist die Firewall aber natürlich (nur) ein Baustein in einer Mauer.
Zitat von Hui123 im Beitrag #9 Ja was bleibt denn da? Die von dir genannten, feingrannularen, ohnehin nie konfigurierten Dinge wie bestimmte Auslandsverbindungen unterbinden. Der Nutzen ist da sehr gering und rechtfertigt die Investition nicht, wird oft ohnehin nicht korrekt vom DVO umgesetzt und da diverse Firewalls in letzter Zeit selbst Ziel von Angriffen waren, kann behauptet werden, dass eine nicht gepflegte Firewall die Wahrscheinlichkeit für Schadsoftware nicht nur nicht verringert, sondern sogar erhöht.
Auch eher schwache Argumente, die meine Auffassung überhaupt nicht widerlegen. Ich bin ja genau dagegen, Organisationen einfach nur eine Firewall oder andere "Sicherheits-Produkte" zu verkaufen und damit den Eindruck vorzuspielen, dass ab sofort alles sicher sei. "Ich kenne niemanden, der Geoblocking konfiguriert, darum ist es kein sinnvolles Feature" ist jedenfalls nicht geeignet, mich von irgendetwas zu überzeugen. Und ja, jedes direkt mit dem Internet verbundene System ist besonders exponiert, deswegen kauft man auch nur bei Herstellern, die schnell patchen und ihre Produkte lange unterstützen. AVM macht dies übrigens sehr vorbildlich.
Zitat von Hui123 im Beitrag #9 Und wenn ich das Wort "Lancom" schon lese. Gehört in eine Schublade mit Sophos-Boxen.
Ich habe nirgends etwas von "Lancom" geschrieben, auch von keinem anderen Hersteller.
Zitat von Hui123 im Beitrag #9 Und was die Segmentierung angeht: Da kann ich auch einfach einen zentralen, managebaren L3 Switch einsetzen. Da braucht es keine Firewall für. Oder eben das Fritzbox Gastnetz, bei dem die Verbindung zwischen den Teilnehmern im Gastnetz unterbunden wird, gepaart mit einem Client für E-Mails, die ausschließlich im Gastnetzwerk verfügbar sind.
Ok, einige hundert Euro für eine Firewall auszugeben ist schlecht, aber für einen L3-Switch gut? :-D Einige hundert Euro für einen Extra-PC plus einige hundert Euro für dessen Einrichtung ausgeben, nur damit er als isolierte Mail-Station im Fritzbox-Gastnetz hängen kann? Ich komme da nicht mehr mit, entweder man spart sich Geld und Aufwand, lebt dafür mit eingeschränkten Möglichkeiten. Oder man investiert mehr und macht es einmal richtig, braucht dann aber auch solche Krücken nicht.
Ohne es böse zu meinen: Ich würde Dich gerne mal mit den Vertrieblern der gängigen PVS diskutieren sehen. Die sind nämlich allesamt der festen Überzeugung, dass die IT-Richtlinie der KBV Praxen jeder Größe verpflichten würde, eine Hardware-Firewall einzusetzen. Eine Ansicht, die ich absolut nicht teile, wie man hoffentlich aus meinen Beiträgen herausliest. ;-)
Irgendwer hatte Lancom geschrieben. Ggf. nicht du. Na ja, dann sind wir ja doch einer Meinung. Ich hatte in letzter Zeit Kontakt mit einigen DVO und es war beschämend, was da an Fachkompetenz rüberkam. Ich hatte in der Tat eher mit kleineren Praxen Kontakt. Es würde mich sehr freuen, wenn das in großen Praxen (deutlich) besser läuft.
Und ich hab auch in anderen Branchen so manche Umsetzung gesehen, wo eine gut umgesetzte Lösung gegen eine 10x teurere Lösung getauscht wurde, die so eklatante Schwachstellen hatte, dass sie meiner Meinung nach sofort wieder abgebaut gehörte. Das betrifft nicht nur "Firewall", sondern auch andere Konzepte wie "Backup" oder "Serverinfrastruktur". War alles nicht mein Hoheitsgebiet, aber ich sollte als kleiner Dienstleister dann nachbessern. Mittleweile hab ich mich davon distanziert, solche 'Nacharbeiten' zu machen, weil ich am Ende mit drin hänge und im Zweifel dann gar die Verantwortung für den Schrott übernehme, das große Geld aber jemand anders abgesahnt hat.
Erst letzte Woche: Dienstleister hat ein virtuelles Windows mit einer Cloud-Anwendung gekauft, der per RDP ohne VPN direkt im Internet steht. Da rollen sich mir die Fußnägel hoch. Und vermutlich ist, wenn solche Umsetzungen als Lösung verkauft werden, intern noch viel mehr im Argen. Wer weiß, wie gut hier das Backup Konzept ist.
Danke für diesen guten und wichtigen Diskurs zu diesem Thema:
Zitat von Mit_Weitblick im Beitrag #10Zitat von Hui123 im Beitrag #9Genau hier ist das Problem. Das ist tagelange Konfigurationsarbeit und passiert ja i.d.R. nicht, um nicht zu sagen: Das passiert nie.
Diese Fertigangebote "Firewall as a service" - wo die Anbieter security by obscurity machen- und wo schon in den AGBs steht, dass NUR der ANbieter und niemals oder nur bei "auf leben und Tod" mal der Kunde selbst die ZUngagnsdaten für die eigene FW nutzen darf , um mal prüfen lassen zu können, was da wirklich konfiguriert ist...wenn man diese Angebote annimmt, dann hat man die mehrere Layers und Netzwerksegmentierung, best case zumindest Standardeinschränkungen Protokolle, Webfilter mit Blacklist usw. , worst case bleibt sogar auch immer alles einfach auf any - hauptsache die LEDs leuchten- und "das internet geht danach immer noch genauso schnell wie vorher";-) - hierzu sind mir mindestens 2 Fälle auch persönlich bekannt!
Somit: die Nachkonfiguration, Individualisierung so einer FW auf die speziellen Belange der Praxis ist dann der eigentliche Kern- allerdings je restriktiver das Konzept, umso mehr hat man auch an Aufwand in der Feinjustierung :
Habe es am eigenen Leib erfahren: Ich hab mir mal bißchen die Kante gegeben und freiwillig für die Selbsterfahrung meine Firewall vor 2 Jahren für die Clients im Netzwerk auf Whitelist gesetzt und kann auch aus Endkundensicht somit bestätigen dass das erstmal ganz schön aufwändig ist: klar, ich war unerfahren und musste auch erst dran lernen- der Profi hätte es schneller und gezielter hingekriegt- aber ich war doch beeindruckt, was das an Nacharbeit für mich ab diesem Punkt nochmal bedeutet hat: Die Liste von Securepoint für die Ausnahmen vom Systemproxy für betriebssystemupdates war nicht ganz vollständig - plötzlich hatte ich da Probleme- dann hatten bestimmte Websites , deren Haupt-URL ich freigeschaltet hatte ordnungsgemäß im Webfilter doch noch nachgeladene URLs dabei, ohne die eigentliche Seite nicht in vollem Umfang lief- hinzu kamen nicht wenige Apps, die primär erstmal keinen offline-installer und kein offline-UPdate ermöglichten - oder solche, die nicht mal vom Grundsatz her proxyfähig sind- erst jetzt so nach 2 Jahren hat sich so langsam alles da auch jetzt eingependelt nach und nach und nur noch ab und zu tauchen ähnliche Fragen noch auf.
Dennoch finde ich z.B. diese Konstellation wirklich positiv bzgl. Schutz davor, dass ein aufgerufener bösartiger Link oder ausführbare Dateien, die sich ungewollt nach draußen verbinden zum Nachladen weiteren Schadcodes gleich Totalschaden verursachen. Das ist alles nicht absolute Garantie dass nie nichts passiert aber 100% kriegt man mit keiner Methode- dennoch bleibt es ein wichtiger Baustein.
Die Gefahr mangels genügend wissen dann zu meinen, dass man jetzt alles machen kann bloß weil die Firewall aufpasst- die sehe ich auch als sehr groß an: auf den ersten Blick: was soll aber der Laie auch erstmal anderes denken, was teuer und aufwendig verkauft wird MUSS doch auch dann gut und sicher sein.
vielleicht hilft hier diese Metapher: Firewall einzusetzen und dann zu denken, dass dann alles ab sofort sicher ist, egal was man macht, das wäre so, wie wenn ich an die Haupt-Pforte eines großen Krankenhauses einen neuen MItarbeiter setze und ihm eine Liste hinlege, wer typischerweise ein - und ausgeht und dann zu hoffen, dass der nie einen Fehler macht und dass die Liste alle Fälle abdeckt...und dann noch zu hoffen und davon auszugehen dass niemand durch einen anderen Eingang reingeht oder über den Keller das Gebäude betritt...
(Nebenbei: Auch die TI ist so ein Thema mit "Pseudosicherheit" - man geht bislang noch meist davon aus, es ist alles sicher, wenn es aus der TI kommt- aber was ist - wenn im KIM z.B. eine ausführbare (z.B: Test.bat) Datei ankommt - die lässt sich da ja besser hochladen und versenden als auf gmx und web.de;-) jedenfalls im Moment noch und nach den Erfahrungen mit meinem KIM ist das so... ) und wenn man sie vom KIM ins PVS exportiert, umgeht man - bei unserem PVS jedenfalls- sogar noch weitere Sicherheitsstufen wie Smartscreen, wenn man es aus der PVS Ablage dann versucht aufzurufen
Teamschulung und Sensibilisierung halte ich im übrigen auch für mindestens genauso wichtig- danke dass das hier nochmal so deutlich geschrieben wurde:-) Da fehlt einfach auch noch für unsere Branche mal ein cooler Anbieter , der mal themenbezogen für unsere Branche gute Beispiele zum üben herstellt professionell und die auch ausrollt wie es das für andere Branchen gibt zu Training. Habe mir das für den Hausgebrauch mal gemacht: 1 Mail mit Arztbrief in Word + Macro, aus dem sich dann eine Website öffnet unerwartet oder auch ein RöBild, wo ein als notwendiger RöBild viewer getarntes .bat mitgeschickt wird z.B: mit folgendem Inhalt:
@echo off
REM nach dem https:// jede Ziel-URL zu der man Lust hat, einfügen oder die nehmen wie im Beispiel
Die Bestandsmitarbeiter bei uns sind in dieser Hinsicht inzwischen auch gut informiert- Challenge ist nach wie vor Schulung neuer Leute zumal wenn man diese schnell mal zwischendrin als Aushilfe dazu holt und wo im Stress durchaus auch erstmal untergeht , diese ausführlich einzuweisen- das und in Kombination mit der zunehmenden IT Affinität der nachfolgenden Generationen von MitarbeiterInnen hat mich inzwischen dazu bewegt, bei uns z.B. die Devise aktiv ausgegeben: neue Leute kriegen z.B. erstmal überhaupt kein Proxypasswort , aber ich muss dann halt auch jedes mal wieder neu dran denken, nochmal alle zu erinnern- sonst ist totsicher jemand "nett" und zeigt schonmal Frau Neu, wie hier das Internet geht...
Interessant zu dem Thema finde ich auch noch folgende Anregung meines IT Security -Systembetreuers: er sagt immer, idealerweise wäre als weiteres Sicherheitsfeature auch noch ein SIEM (z.B. Splunk o.ä. ) sehr wichtiger Baustein- da hab ich mich noch nicht rangewagt aus Zeitgründen sowas mal auszuprobieren - von der Theorie her kann ich aber auch diese Empfehlung sehr gut nachvollziehen.
Erstmal vielen Dank für die Einschätzungen und Hinweise an Alle !
Wir haben die Umstellung bzw. Aktualisierung der TI-Komponenten mit dem DVO gemeinsam gut hinbekommen, sogar die Aktualisierung der Betriebszertifikate waren zu diesem Zeitpunkt schon möglich. (Die Ersteinrichtung TI war es definitiv nicht, wo ich für die TI noch damals ein ganzes Netzwerksegment adhoc komplett umbauen musste.) Im Grunde ist alles so geblieben im gleichen Anbindungsmodus hinter der Hardware-Firewall. Es gab bis dato keine Probleme mit Hardware, Software oder den TI-Diensten. Man weiß garnicht, ob man skeptisch sein soll oder doch etwas Freuen sollte.
Zu den anschließenden Diskussionen:
… das Thema LANCOM kam von ursprünglich mir und später auch von Nutzer TI1955 Man kann zu den LANCOM-Produkten stehen oder auch nicht. Es sind teurere Produkte aus vornehmlich deutscher Produktion mit Backdoor-Erklärung sowie BSI-Siegel und sind bei der Einrichtung mit einer steilen Lernkurve erst ernsthaft in vielen Szenarien gut einsetzbar … oder man macht halt die Hersteller-Schulungen. Ja, man geht damit auch den Weg des Vendor-Lock-in – wie bei vielen anderen Herstellern, z.B. Microsoft. Die LANCOM UF-Firewall sind nochmal ein „Ding für sich“ und entwickeln sich langsam.
Die Diskussion, um eine Hardwarefirewall ist insoweit schwierig, da ‘Sicherheit‘ durch die bloße Anwesenheit (i.d.R bei Laien) durch das Geräts suggeriert wird. Ja, wir haben lange an den (vielen) Einstellungen für die FW gefeilt und es ist viel Zeit draufgegangen damit eine möglichst reibungsloser Betrieb mit der TI funktioniert. Die vielen Implementierungsänderung der TI-Dienste hat mich auch zum Leidwesen auf Trapp gehalten. Die Trennung der Netzwerke per VLAN sollte ein Muss sein. Es mir schleierhaft wie ein Netzwerk mit VOIP, Praxis, Patienteninternet (am besten noch mit Meldeanlage und Hausautomation) in einem Netzwerk - ohne jegliche Trennung - „anständig“ funktionieren soll. ACLs wären im Netzwerk ebenso eine Option. … in kleineren Arztpraxen m.M. nirgends anzutreffen.
Das Grundproblem mit der Sicherheitsrichtlinie liegt in der Abwandlung der BSI-Richtlinien. Auch ist es das typische problematische Verhältnis von ‘Sicherheit‘, Firmengröße und Geld, welches hier diktiert werden will. Wir investieren verhältnismäßig viel in IT – dauerhaft. Es ist halt keine einmalige Aktion. Andere Ambulanzen haben meiner Erfahrung nach über 20 Jahren zum Teil deutlich weniger investiert – dort sind halt andere Bedingungen angesagt oder es regiert eben manchmal auch der BWL’er
Übrigens gilt das m.M. auch für viele andere Branchen. Ich habe schon Ingenieurbüro’s …vier oder fünf Stück zusammen, Anwaltskanzleien in Gemeinschaftsräumen-/etagen angetroffen mit FritzRepeater und FritzBox, schön aneinander gereiht u.a. auch offen im „Serverraum“. Das fässt man nicht an, wenn man bei Trost ist.
Ja, SIEM-Lösungen wäre eine Konsequenz für den medizinischen Bereich – unabhängig der KRITIS. Allerdings aus Management-Sichtweise bzw. bei Praxisinhaber-geführten Einrichtungen finanziell und organisatorisch schwer darstellbar. Es gibt schon mehr (junge?) Ärzte, die sich mit der Netzwerktechnik und -sicherheit auseinandersetzen. Allerdings sind die Lösungskonzepte unterschiedlich sowie meistens m.M. eher aus Sicht eine Benutzers und finanziellen Aspekten eines Inhabers … Als Techniker-Sicht, schon eine logische Konsequenz zur Steigerung der Sicherheit. Fort Knox wird damit eine medizinischen Einrichtung eh nicht aber ein Baustein zur besseren Sicherheit unter Umständen mehr. Sicherheit ist auch immer eine Gradwanderung mit Benutzbarkeit.
Also, nochmal vielen Dank für den wichtigen Input zur Entscheidungsfindung !
TI-Community
»
TI-Nutzung und Nutzen aus Anwendersicht
»
TI-Plattform - Hardware, Zugang, Einrichtung
»
Wechsel des Anbindungsmodus im TI-Konnektor für bessere Sicherheit
26.09.2023 10:35 (zuletzt bearbeitet: 26.09.2023 10:42)
Thema drucken
Antworten
