ich bin gerade dabei meine erste Psychotherapeutische Praxis zu eröffnen und beschäftige mich gemeinsam mit meinem Mann (aus der IT) mit dem Thema TI. Ich habe verstanden, dass TI Konnektoren nun ausgelagert werden in große Rechenzentren und wir Praxen uns mit einer VPN Verbindung auf die Konnektoren remote drauf schalten können. Dies nennt sich TI-as-a-Service. Ein Anbieter hierfür wäre RED Medical. Nun verkauft RED Medical nicht nur den Konnektor als Dienstleistung, sondern bietet auch ein Kartenlesegerät, VPN- und Firewallboxen, uvm. an. Wir möchten gerne uns selbst drum kümmern, sprich, Kartenlesegerät online bestellen und selbst konfigurieren.
Dazu hätte ich nun ein paar Fragen und hoffe, dass ihr mir hierbei helfen könnt:
- Das Kartenlesegerät ORGA 6141 online unterstützt auch VPN Verbindungen (Version 3.9.x). Wenn ich nun die VPN-Konfigurationen von RED Medical bekomme, dann könnte ich diese doch in das Kartenlesegerät einpflegen und eine Verbindung zum entfernten Konnektor aufbauen? Ist diese Annahme korrekt? Hat das jemand von euch schon mal umgesetzt? - Ist eine Hardware-Firewall zwingend (rechtlich) notwendig oder tut es auch meine Software-Firewall, die in meinem Router bereits integriert ist?
Visualisiert würde das so ungefähr aussehen:
[ORGA 6141 online] <--Sicherer Tunnel (VPN) --> [FritzBox] <--Sicherer Tunnel (VPN) ---> [VPN-Gateway von RED MEDICAL] ----> [KONNEKTOR] -----> [TI]
Das PVS ist online über das Internet erreichbar.
Vielen Dank für euer Feedback und bitte mich korrigieren, wenn ich mit meinem Verständnis falsch liege! Und falls ich im falschen Sub postet habe, bitte verschieben!
TIaaS ist noch nicht fertig. Grundsätzlich sollte gegen einen stationären Konnektor nichts dagegensprechen, v. a. wenn man jemanden hat, der sich darum kümmert. Eine Anbindung an RED Medical läuft nie fehlerfrei.
zum orga 6141 könnte das Kapitel 5.10. Verbindung des Terminals mit dem Konnektor über ein Virtual Privat Network (VPN) der offiziellen Bedienungsanleitung passen. Kartenlesegeräte dürfen nur über Konnektoren zum Rest der TI verbunden sein. auch Kapitel 7.2.1.7. LAN Parameter: [IPsec VPN Konfiguration \217]
Generell sind Firewalls zumindest für mich wie einfaches Schlangenöl. Dass man nicht sinnlos Ports offen haben darf, sollte klar sein. Eine Software-Firewall reicht, wenn das System insgesamt auf den neusten Stand der Technik gehalten wird.
Erfahrung mit TIaaS haben wir nicht. Es fehlt ein gewisser Reifegrad.
Seit Mai 2022 endlich online! secunet konnektor World Healthcare ingenico ORGA 6141 online allUp2date
„Wir brauchen Regierungen, die sich des Schadens für Zivilpersonen bewusst sind, der aus dem Anhäufen und Ausnutzen solcher Software-Sicherheitsprobleme entsteht“– Brad Smith, Microsoft, </Ironie>
zunächst mal herzlichen Glückwunsch zur eigenen Praxis! TIaaS sieht bei jedem Anbieter ein wenig anders aus, von daher muss man den konkreten Fall immer mit dem Anbieter besprechen. Sie haben prinzipiell freie Wahl des Anbieter und müssten nicht denjenigen nehmen, der das PVS bereit stellt.
Dass das Kartenterminal selbst eine VPN-Verbindung aufbaut, habe ich bislang noch bei keinem Anbieter gesehen. Entweder wird einer der Computer in der Praxis mit einem VPN-Client (i.d.R. Wireguard) ausgestattet und somit zum Gateway in die TI. Oder es wird über Hardware gelöst, was dann einfach ein VPN-Router (neben dem eigenen Router in der Praxis) bedeutet. Das ganze Marketing-Gequatsche bei TIaaS von wegen "höhere Stabilität", "besserer Service", "hochverfügbarer RZ-Konnektor" kann man direkt wieder vergessen. Aber ich erwarte, dass es schon bald keine andere Möglichkeit mehr als den "Rechenzentrums-Konnektor" geben wird, von daher ist es sicherlich nicht falsch, jetzt von Anfang an darauf zu setzen. Bitte nur nicht erwarten, dass alles dauerhaft störungsfrei laufen wird.
Nein, Hardware-Firewalls sind nicht rechtlich notwendig, auch wenn gewisse Anbieter dies mit Verweis auf die IT-Sicherheitsrichtlinie der KBV immer wieder behaupten. Ich bin mittlerweile überzeugt, dass so gut wie niemand dieser Vertriebler diese Richtlinie jemals gelesen hat. Davon abgesehen: In jeder Fritzbox steckt eine Firewall, auch wenn diese natürlich nicht besonders konfigurierbar und sehr funktionsarm ist. Man könnte also argumentieren, FritzBoxen sind Hardware-Firewalls. Ein ganz großer Irrglaube ist in diesem Zusammenhang auch, dass alleine das Vorhandensein einer Firewall "alles sicher" machen würde. Dabei ist auch eine gute Hardware-Firewall nicht mehr als ein Werkzeug, über das man eine Infrastruktur sicherer (nicht: sicher) gestalten kann.
Ein IT-Sicherheitskonzept, welches tatsächlich etwas bewirkt, besteht aus vielen Bausteinen, darauf näher einzugehen würde hier zu weit führen. Der wichtigste ist aus meiner Sicht aber der gesunde Menschenverstand, den man durch Sensibilisierungen / Schulungen durchaus anregen und ausbauen kann.
1 Mitglied findet das Top!
1 Mitglied hat sich bedankt!
Die Aussage von Mit_Weitblick im Hinblick auf Karten-Terminal VPN ist nicht korrekt. Die CGM bietet ein Software VPN, bei dem das KT (Orga und Cherry) die VPN Verbindung via IPSEC selbst herstellt. Auf Arbeitsplätzen wird der in Windows integrierte IPSEC VPN Service genutzt.
Hier zu bestellen: https://koco-shop.de/p/cgm-managed-ti-softwarebasiert Man darf bei der Bestellung nicht vergessen, dass der Server auch ein Arbeitsplatz ist. Wenn ich das richtig sehe, ist das allerdings teurer als eine VPN Box. Das Produkt ist von CGM nicht gewünscht, weil kein "Hardwareanker" mehr beim Kunden steht.
Wenn ich also damit eine site2site Verbindung mit dem TIaaS Anbieter aufbauen kann, brauche ich doch keine zusätzliche VPN Box, oder? Daten würde ich von RED Medical bekommen.
Danke!
jRuff
hat folgende Dateien an diesen Beitrag angehängt
Das muss aber doch der Anbieter selbst unterstützen. Wenn der Anbieter sagt: Gibt nur Zugangsdaten für unsere VPN Box, dann kannst du die nicht in deinem KT hinterlegen, weil es sich um andere VPN Profile handelt.
Grundsätzlich möchte Red Medical ihre VPN Büchsen verkaufen, aber sie schreiben deutlich, dass dies freiwillig sei und es auch ohne deren Büchsen funktionieren würde. Ich bin gespannt!
Wegen der Firewall bleibe ich erstmal bei meiner FritzBox :)
Natürlich möchten Sie das verkaufen. Aber bei einer VPN Box bekommst du i.d.R. ein einziges Site2Site VPN Profil mit mehreren IP Adressen (für jeden Arbeitsplatz + Client eine IP). Bei SoftwareVPN gibt es ein Profil je Arbeitsplatz und KT mit jeweils nur einer IP. Die Orgas können dabei ausschließlich Benutzername + Kennwort Anmeldung im VPN. Site2Site Profile der VPN Boxen arbeiten hingegen mit zertifikatsbasierter Anmeldung.
Das ist so nicht austauschbar und anwendbar. Du bekommst kein Site2Site Profil in dein KT, und wenn doch, fehlt dir ein zweites Profil für deinen Arbeitsplatz.
Was du eventuell machen kannst: Du kannst dir eine pfSense VM ins Netz stellen und packst das Profil dort drauf. Dann sparst du dir die VPN Box und hast das softwaretechnisch gelöst, sofern du einen virtuellen Server in deinem Netz hast (haben auch nicht alle Ärzte) Technische Unterstützung wirst du allerdings nicht erhalten, d.h. dein ITler bzw. DVO muss genau wissen, was er tut. Erfahrungsgemäß: Der sollte sowas schonmal gemacht haben, denn er wird sonst keine Unterstützung von irgendwem für die Umsetzung erhalten.
1 Mitglied findet das Top!
1 Mitglied hat sich bedankt!
Hallo, ich muS noch hinzufügen, dass eigentlich nur das Kartenlesegerät Zugang zur TI braucht. Das PVS ist im Rechenzentrum des Dienstleisters gehostet und über den Browser erreichbar
Zitat von Hui123 im Beitrag #4Die Aussage von Mit_Weitblick im Hinblick auf Karten-Terminal VPN ist nicht korrekt.
Wie kann die Aussage, dass ich etwas in der Praxis noch nicht gesehen habe, nicht korrekt sein? Ich habe ja nicht ausgeschlossen, dass ein Anbieter diese Verbindungsart einsetzen könnte. Danke auf jeden Fall für die Ergänzung.
Meine Erfahrungen mit CGM sind leider zu 100% negativ. Egal ob als Anbieter von TI, KIM oder eines PVS. Mein Tipp daher: Weiträumig umfahren!
Zitat von jRuff im Beitrag #9Hallo, ich muS noch hinzufügen, dass eigentlich nur das Kartenlesegerät Zugang zur TI braucht. Das PVS ist im Rechenzentrum des Dienstleisters gehostet und über den Browser erreichbar Ändert das etwas am Problem?
Das hatte Sie eigentlich schon am Anfang deutlich genug ausgedrückt. Ändert nur bedingt etwas. Es ist auf jeden Fall richtig, was @Hui123 sinngemäß schreibt, dass (nur) der jeweilige Anbieter bestimmt, welche Technik zum Einsatz kommt und wie die Parameter zu setzen sind.
Gehen Sie davon aus, dass alle oder zumindest die große Mehrzahl der Anbieter nach dem Prinzip arbeiten: "Wir geben dem Kunden so wenig Informationen wie möglich, der macht damit sowieso nur Unsinn". Ich habe seit Beginn des TI-Rollouts vor ca. 6 Jahren verschiedene Anbieter erlebt und auf Praxen, die gerne alle technischen Infos hätten um selbst handlungsfähig zu sein, sind sie in aller Regel nicht vorbereitet (nett ausgedrückt).
Das sehe ich auch so und ergänzen möchte ich, dass im Endeffekt nur der Hersteller des PVS entscheidet, welches System er bei seinen Kunden sehen möchte. Sonst könnte der PVS-Support jederzeit sagen, dass sie exotischeren Anbindungen an die TI nicht kennen und bspw. bei Problemen mit KIM nicht helfen können/wollen. Wir hätten früh auf CGM setzten können aber ein Techniker (in meinen Augen ein genialer) und der Hersteller unseres PVS rieten uns zur Telekom und dort alles aus einer Hand. Haben wir, insbesondere wegen der Gutschriften durch Systemausfälle der Telekom, nie bereut.
Bei ihrer Wunschkonstellation wäre es dann: PVS ist in der Cloud => Karte wird auf Abruf am Browser in der Praxis eingelesen => Daten ggf. übers Internet an PVS-Cloud geschickt* => PVS-Cloud stimmt bspw. VDSM zwischen PVS-Cloud und Rechenzentren der TI ab.
*es kann auch sein, dass etwas lokal an ihrem Arbeitsplatz-PC etwas an Daten (vor)verarbeitet werden, da bspw. die Treiber der Kartenleser lokal auf dem PC bleiben.
Seit Mai 2022 endlich online! secunet konnektor World Healthcare ingenico ORGA 6141 online allUp2date
„Wir brauchen Regierungen, die sich des Schadens für Zivilpersonen bewusst sind, der aus dem Anhäufen und Ausnutzen solcher Software-Sicherheitsprobleme entsteht“– Brad Smith, Microsoft, </Ironie>
TI-Community
»
TI-Nutzung und Nutzen aus Anwendersicht
»
TI-Plattform - Hardware, Zugang, Einrichtung
»
ORGA 6141 online unterstützt VPN - Hardware VPN notwendig? TIaaS
18.11.2024 00:38 (zuletzt bearbeitet: 18.11.2024 00:40)
Thema drucken
Antworten
vpn-tutorial-orga-6141-online-v22.1.pdf