Geeignete Firewall für Telematik Infrastruktur in Kleinpraxen?

Moin,

Für eine 1 Personen Praxis halte ich die RC100 doch für übertrieben.

Da würde es auch der angesprochene Black Dwarf (Pro) tun.

Gruß,
Avoton

Ich kann hier nur die Securepoint Firewalls empfehlen, zum einen sind es wirklich gute Firewalls, zum anderen haben sie einen eingebauten TI Proxy, in den man die Einstellungen für das TK Gateway importieren kann.
Läuft super stabil, egal in welcher Praxisgröße.
Und ja bei einer kleinen Praxis reicht eine BlackDrwaf oder BlackDrwaf pro aus.

Also jedem Tierchen sein Pläsierchen.

Ich habe vor einiger Zeit eine Securepoint Black Dwarf verwaltet und es war damals und bis heute für mich das mieseste Gerät, was ich als Firewall in der Hand hatte. Terra vertreibt sie halt und deshalb haben sie hohen Zuspruch von Händlern, aber ich habe im Netzwerk gern Geräte, mit denen man vernünftig arbeiten kann - nicht solche, die man nur reinhängt, um Verantwortung von sich weisen zu können.

Im Vergleich dazu fand ich eine Sophos vom Handling um ein Vielfaches angenehmer, obgleich ich diese auch nicht wirklich mag. Bei Sophos und Securepoint finde ich die Dokus und Forenunterstützung mehr als dürftig.

Ich betreue überwiegend (allerdings etwas größere) Arztpraxen und keine bekommt von mir eine UTM.
Diese vermeintliche Anforderung gibt es nicht und sie wäre auch kontraproduktiv.
Diskussion seinerzeit zur IT-Sicherheitsrichtlinie der KBV: Was ist nach Paragraph 75B SGB V eine Firewall?

UTMs verbessern IMO nicht die Sicherheit der Netzwerke von Arztpraxen, sondern gefährden sie. Die Problematik und Diskussion zum Thema "Schlangenöl" ist ja hinlänglich bekannt und wer fleißig heise security oder die CVE News verfolgt, sieht auch, dass die UTMs fast im Wochentakt mit Angriffsmöglichkeiten glänzen. So ein Gerät gehört nicht ans Perimeter bzw., wenn schon, wie ich es aus der Industrie kenne, dann kaskadiert mit der UTM eines anderen Herstellers.
Jede Firewall braucht Kenntnisse und regelmäßige Wartung/Einrichtung/Überprüfung/Monitoring. Für Kleinkunden wie Arztpraxen ist das kaum zu leisten, jedenfalls sind UTMs nicht die Tools, die das wirtschaftlich vertretbar gewährleisten. Ein Beispiel dafür, wie das dann in der realen Welt aussieht, findet sich hier.

Die Sicherheit des Netzwerkes (nicht nur) jeder Arztpraxis ist, gleich welches Gerät Verwendung findet, nur so gut wie die Networking-Kompetenzen ihres Dienstleisters. Daher meine Empfehlung: Setze Geräte ein, auf denen Du Dich wohl fühlst und dessen wesentlichen Funktionen Du beherrschen kannst.

OpenSource-Firewalls wie OPNsense oder PfSense sind vom Handling IMO besser, haben (soweit Englisch kein Hindernis ist - OPNsense hat sogar auch ein gutes deutsches Forum) gute Dokus und Foren und auch eine größere Verbreitung. OPNsense ist die Hausempfehlung von Thomas Krenn - für mich eine anderes Niveau als Terra Außerdem haben OpenSource-Firewalls keine Hersteller, die ihren Code verstecken müssen.

Ich selbst setze am Perimeter von Arztpraxen ausschließlich Mikrotik-Router ein. Das Firewalling ist sowohl rechtlich wie praktisch weit mehr als ausreichend, die Netzwerkfeatures und damit die Möglichkeiten, sein Netzwerk abzusichern und/oder transparent zu überwachen mehr als vielfältig. Wenn ich dann mal wieder auf das träge Webinterface einer UTM muss, freue ich mich immer, dass das nur noch selten der Fall ist.

Alle UTM-Fans dürfen solche bleiben

Viele Grüße, commodity

'+1 OPNsense
TI ist bei mir auch Thema, ich kenne im Gesundheitsbereich jemanden, dessen IT Audit abgehakt wurde, mit aktiver OPNsense (sogar ohne ZenArmor). Dienstleister zu finden ist auch kein Problem.

Verrückt machten uns zuvor Aussagen, man bräuchte eine "speziell zertifizierte" Firewall, dürfte also gar keine OPNsense in dem Bereich nutzen.

Sophos kann ich nicht mehr empfehlen, hab es viele Jahre genutzt.
Sophos UTM EOL - Ersatz für Mailgateway (mandantenfähig)

Ja, da geistert einiges an Fehlinfos rum. Und nichts vom vermeintlichen UTM-Nutzen ist wissenschaftlich belegt. Die Gefahren jedoch immer wieder anschaulich veröffentlicht. Am Ende ist Sophos ja gar selbst in die Netze seiner Kunden eingedrungen. Bodenlos.

Hier kann man auch nochmals nachlesen, dass die KBV-Richtlinie keine UTM- oder NGFW-Firewall fordert - Nr. 12 (die Antwort dort lautet "Hardware-Firewall").

Viele Grüße, commodity

Ist ja auch so nen Unsinn. Da projeziert jeder rein, was er will. Je nach Sichtweise genügt es schon, dass die HW noch mit Sicherheitsupdates versorgt wird. 😉

Keine Ahnung, wie das die Kollegen sehen. Aber bei einigen Punkten der BSI-Liste sag ich: Das bringt jede Fritzbox mit. Bei anderen, „gehört zum guten Ton, wenn ich schon ne OPNsense konfiguriere, und bei manchem „ist halt Kanonen auf Spatzen“.

Es bleibt halt eine 1-Personen-Praxis. Klar kannste da ne dicke Kladde anlegen und hinter jede Admin-Ebene und Aufgabe Deinen Namen „dokumentieren“ und Dir ein beweissicheres Dokumentationstool für alle Änderungen anschaffen. Und Du kannst auch mehrere unterschiedliche Firewalls in Reihe&Serie schalten. Du kannst auch ausgehend mit allow-Lists arbeiten. Ich vermute nur, Dein Kunde wird Dir da irgendwann aufs Dach steigen.

Du kannst die Firewall übrigens auch einfach als DL einkaufen – speziell für diese Kundengruppe. Da kommt dann am Ende übrigens so nen „Terra-Döschen“ raus und wird als 100% Aufwand verbucht.