WLAN im Pflegeheim: Netzsegmentierung nach Schutzbedarf statt starrer Vier-VLAN-Regel
Verwaltung, Medizintechnik und Gäste benötigen nicht dieselben Zugriffe. Wie Einrichtungen Netzbereiche trennen und notwendige Verbindungen kontrollieren.
Redaktioneller Stand:
Hintergrund & Quellenbefund
Der BSI-Baustein NET.1.1 behandelt Netzarchitektur und Netzdesign einschließlich Segmentierung. Der Grundgedanke ist, Kommunikationsbeziehungen bewusst zu planen, statt alle Geräte ohne fachlichen Bedarf gegenseitig erreichbar zu machen. Für ein Pflegeheim sind daher Funktionen, Schutzbedarf und benötigte Verbindungen zu erfassen. [1]
Der BSI-Maßnahmenkatalog zu Ransomware erläutert, dass saubere Netzsegmentierung die Ausbreitung eines Angriffs begrenzen kann. Sie verhindert nicht jede Infektion, kann aber die erreichbaren Systeme einschränken. Dafür müssen erlaubte Übergänge und administrative Zugänge tatsächlich kontrolliert sein. [2]
Ein VLAN ist eine technische Trennungsmöglichkeit, aber noch keine vollständige Sicherheitsrichtlinie. Entscheidend ist, welcher Datenverkehr zwischen Bereichen erlaubt wird. Auch Dienste wie Namensauflösung, Zeitabgleich, Fernwartung und notwendige Herstellerverbindungen gehören in ein geprüftes Konzept. [1]
Einordnung & Grenzen
Es gibt keine hier belegte Vorschrift, nach der jedes Pflegeheim genau vier VLANs, ausschließlich WPA3 oder eine bestimmte Firewall-Marke einsetzen muss. Fehlende Segmentierung begründet auch nicht automatisch persönliche Haftung oder grobe Fahrlässigkeit. Die angemessene Architektur hängt von Geräten und Betrieb ab.
Einfach erklärt
Fiktives Praxisbeispiel: Ein Heim trennt Bewohnergeräte von der Pflegedokumentation. Ein Rufsystem erhält nur die für seinen Betrieb benötigten Verbindungen. Vor der Umstellung wird geprüft, dass Alarme weiterhin ankommen und freigegebene Supportwege funktionieren. Die Abnahme betrachtet Versorgung und Schutz gemeinsam.
Empfehlungen für die Praxis
Unsere Empfehlung: Beginnen Sie mit einer aktuellen Geräte- und Verbindungsliste. Gruppieren Sie nach Aufgaben und Schutzbedarf, beispielsweise Fachanwendungen, Sensorik und Gastnutzung. Entscheiden Sie für jeden Übergang, warum er erforderlich ist.
Lassen Sie die Regeln nachvollziehbar konfigurieren und testen. Prüfen Sie nicht nur, dass eine erlaubte Verbindung funktioniert, sondern auch, dass ein Bewohnergerät interne Verwaltungsdienste nicht erreichen kann. Verwenden Sie autorisierte Testgeräte und abgestimmte Verfahren.
Planen Sie Änderungen mit Rückfallmöglichkeit, damit Alarm- und Medizinproduktefunktionen nicht unbeabsichtigt ausfallen. Dokumentieren Sie Ausnahmen und überprüfen Sie sie bei neuen Geräten oder Dienstleistern. Netztrennung ist ein laufender Betriebsprozess und keine einmalige Beschriftung von vier Funknetzen.