Plattformen für Patienten- und Gäste-WiFi im Gesundheitswesen WiFi: Patienteneinbindung, Inhaltsfilterung und VLAN-Isolierung im Vergleich

Die stärksten Plattformen für Patienten- und Gäste-WiFi im Gesundheitswesen trennen Patienten, Besucher und Auftragnehmer auf verschiedenen, durch RADIUS zugewiesenen VLANs und halten klinisches IoT vollständig vom Gästenetzwerk fern. Sie nutzen DNS-Filterung, die die IWF- und CTIRU-Listen blockiert. Langzeitpatienten werden einmalig direkt am Krankenbett mit einem persönlichen Schlüssel registriert, der für die gesamte Dauer des Aufenthalts gültig bleibt.

Welchen Ansatz für Gäste-WiFi im Gesundheitswesen sollten Sie wählen?

Krankenhaus-WiFi bedient vier Gruppen mit unterschiedlichen Risikoprofilen: Patienten, Besucher, externe Auftragnehmer und medizinische Geräte. Eine Plattform, die alle als eine einzige "Gäste"-Gruppe behandelt, erzeugt drei Probleme. Das Risiko für Vorfälle im Bereich Safeguarding steigt, klinische Systeme werden erreichbar und der Stationsstützpunkt verwandelt sich in einen WiFi-Helpdesk.

Für die meisten Einrichtungen besteht die richtige Lösung darin, Zugangsmodelle zu kombinieren, anstatt sich auf eines festzulegen:

• Stationäre Patienten erhalten identitätsbasierten Zugang: Einen persönlichen Schlüssel, der einmalig am Krankenbett ausgestellt wird und jedes Gerät für die gesamte Dauer des Aufenthalts automatisch verbindet.
• Besucher und ambulante Patienten nutzen ein registriertes Captive Portal (die Webseite, die ein Gerät vor dem Zugriff auf das Internet anzeigt) mit E-Mail- oder SMS-Verifizierung.
• Externe Auftragnehmer erhalten einen gesponserten, zeitlich begrenzten Zugang, der am Enddatum des Vertrags abläuft.
• Klinisches IoT gelangt niemals auf die Gäste-Plattform. Es befindet sich in einem separaten klinischen Netzwerk, wird über IEEE 802.1X oder iPSK authentifiziert und hinter einer Firewall segmentiert.

Purple stellt die ersten drei Zugangsformen auf Ihren bestehenden Access Points als Cloud-Overlay bereit. Das Overlay funktioniert mit Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Purple betreibt seit 2012 Gästenetzwerke und ist in über 80.000 Standorten in 90 Ländern im Einsatz. Die Plattform verarbeitet jährlich 500 Millionen Nutzer und Anmeldungen. Sie ist nach ISO 27001, Cyber Essentials sowie B Corp zertifiziert und konform mit GDPR und CCPA.

Wenn Sie die Hardware-Frage zuerst klären möchten, lesen Sie Warum Ihr nächstes WiFi-Upgrade keine neue Hardware erfordert.

Worin unterscheiden sich WiFi-Plattformen für Patienten im Krankenhaus wirklich?

Jede Plattform verspricht sicheren, gefilterten Gästezugang. Die tatsächlichen Unterschiede zeigen sich an drei Punkten. Der erste ist, wie sich ein Patient am fünften Tag erneut verbindet. Der zweite ist die Art der Datentrennung. Der dritte ist, welcher Identität ein Filterereignis zugeordnet wird.

Zugangsmodell	Wie sich ein Patient oder Besucher verbindet	Wiederverbindung bei einem 7-tägigen Aufenthalt	Datentrennung	Filterereignisse zugeordnet zu	Beste Eignung
Offenes SSID, Click-Through Captive Portal	Akzeptiert Bedingungen auf einer Landingpage	Wird bei jedem Ablauf der Sitzung erneut aufgefordert	Ein gemeinsames Gäste-VLAN mit Client-Isolierung	Nur Gerät-MAC-Adresse	Wartebereiche für ambulante Patienten, kurze Besuche
Registriertes Captive Portal (E-Mail- oder SMS-Verifizierung)	Verifiziert Kontaktdaten einmalig	Aufforderung erfolgt, wenn die Sitzung oder der MAC-Datensatz abläuft	Gemeinsames Gäste-VLAN mit Client-Isolierung	Verifizierte E-Mail-Adresse oder Mobilnummer	Besucher, tagesklinische Fälle, Notaufnahme-Wartebereiche
Identitätsbasiert (iPSK oder separates privates Netzwerk)	Scannt einen QR-Code am Bett und erhält einen persönlichen Schlüssel	Keine Aufforderung, wenn die Schlüsseldauer der Aufnahme entspricht	Identitätsbasiertes VLAN oder separates Netzwerk, zugewiesen durch RADIUS	Benannter Schlüssel pro Patient oder Bett	Stationäre Patienten, Entbindung, Langzeitaufenthalt und Reha-Stationen
Passpoint oder OpenRoaming	Verbindet sich automatisch mit einem bereitgestellten Profil	Keine Aufforderung, solange das Profil gültig ist	Richtlinie wird durch die Realm des Identitätsanbieters angewendet	Konto des Identitätsanbieters	Personal und Besucher, die bereits über ein Profil verfügen

Einige Definitionen helfen hier weiter. iPSK (Identity Pre-Shared Key) gibt jeder Person oder jedem Gerät ein eigenes WiFi-Passwort in einem gemeinsamen SSID. RADIUS ist das Authentifizierungsprotokoll, das Anmeldedaten überprüft und Richtlinien an den Access Point zurückgibt. Passpoint (Hotspot 2.0) ermöglicht einem Gerät den automatischen Beitritt mit einer gespeicherten Anmeldeinformation. OpenRoaming ist die auf Passpoint basierende Federation der Wireless Broadband Alliance.

Wie trennen Plattformen für Krankenhaus-Gäste-WiFi den Datenverkehr von Patienten, Besuchern, Dienstleistern und klinischem IoT?

Die Trennung erfolgt auf drei Ebenen: dem SSID, dem VLAN und der Firewall. Ein VLAN (virtuelles LAN, definiert in IEEE 802.1Q) teilt ein physisches Netzwerk in isolierte logische Netzwerke auf.

Dynamische VLAN-Zuweisung. Sie benötigen nicht ein SSID pro Zielgruppe. Jedes zusätzliche SSID erhöht die Beacon-Sendezeit, und Anbieter wie Cisco und HPE Aruba empfehlen, die Anzahl gering zu halten. RADIUS kann stattdessen beim Login ein VLAN zurückgeben, unter Verwendung der in RFC 3580 standardisierten Tunnel-Attribute. Ein Patientenschlüssel landet im Patienten-VLAN und eine Dienstleister-Anmeldeinformation im Dienstleister-VLAN. Beide laufen über dasselbe SSID.

Client-Isolierung. Aktivieren Sie auf jedem Gäste-VLAN die Peer-to-Peer-Blockierung. Dies verhindert, dass der Laptop eines Patienten auf das Smartphone eines anderen Patienten zugreift. Das separate private Netzwerk von Purple geht noch einen Schritt weiter. Die Geräte eines Patienten können sich gegenseitig sehen - so kann ein Tablet auf ein Smartphone streamen -, aber nichts außerhalb dieses Netzwerks.

Firewall-Richtlinie. Gäste-VLANs sollten das Internet erreichen können und sonst nichts. Verweigern Sie allen privaten RFC-1918-IP-Adressbereichen den Zugriff aus Gäste-VLANs und lassen Sie nur das zu, was Sie wirklich benötigen, wie z. B. ein Patienten-Unterhaltungssystem. Protokollieren Sie die Verweigerungsregeln. Dies ist der Nachweis, den ein Auditor bei der Einreichung Ihres NHS Data Security and Protection Toolkit (DSPT) anfordern wird.

Verschlüsselung. Offene SSIDs übertragen den Datenverkehr unverschlüsselt über die Luft. WPA3 Enhanced Open, basierend auf Opportunistic Wireless Encryption (RFC 8110), verschlüsselt jede Sitzung ohne Passwort. Ältere Patientengeräte unterstützen dies nicht. Führen Sie es daher im Transition Mode aus, sofern Ihre Hardware dies zulässt.

Zielgruppe	Netzwerk	Authentifizierung	VLAN- und Firewall-Richtlinie	Gültigkeitsdauer der Anmeldedaten
Stationär	Gäste-SSID	iPSK oder privates Netzwerk-Bubble, direkt am Krankenbett ausgestellt	Patienten-VLAN, nur Internet, Client-Isolierung	Dauer des Aufenthalts, wird bei Entlassung widerrufen
Besucher oder ambulant	Gäste-SSID	Registriertes Captive Portal	Besucher-VLAN, nur Internet, Client-Isolierung	Ein Besuchstag
Dienstleister	Gäste-SSID	Gesponserte Anfrage, genehmigt durch Gebäudemanagement oder IT	Dienstleister-VLAN, Internet plus benannte Anbieter-Endpunkte	Vertragsenddatum
Klinisches IoT	Klinisches SSID, niemals Gäste	IEEE 802.1X mit EAP-TLS oder iPSK für Headless-Geräte	Klinische VLAN hinter Firewall, standardmäßig kein Internet	Lebensdauer des Assets, wird bei Außerbetriebnahme widerrufen
Mitarbeiter	Mitarbeiter-SSID	IEEE 802.1X über Microsoft Entra ID, Okta oder Google Workspace	Mitarbeiter-VLAN nach Rolle	Anstellung, wird bei Ausscheiden widerrufen

IEEE 802.1X ist der portbasierte Zugangssteuerungsstandard für Enterprise-WiFi. EAP-TLS ist die zertifikatsbasierte Methode innerhalb dieses Standards und eignet sich für Geräte, die ein Zertifikat speichern können. Viele Infusionspumpen, Monitore und Schwesternrufeinheiten können dies nicht. iPSK weist diesen Headless-Geräten einen eindeutigen Schlüssel zu, sodass Sie ein einzelnes Gerät widerrufen können, ohne die gesamte Station neu zu verschlüsseln.

Purple Mitarbeiter-WiFi wendet das Joiner-, Mover- und Leaver-Modell auf den Mitarbeiterzugriff an. Ausgeschiedene Mitarbeiter, die in Microsoft Entra ID, Okta oder Google Workspace deaktiviert wurden, verlieren damit auch ihren WiFi-Zugriff. Das verhindert, dass das gemeinsam genutzte Mitarbeiter-Passwort in den Gästebereich der Infrastruktur gelangt.

Welche DNS-Filterung und Safeguarding-Richtlinien sind für Gäste-Netzwerke des NHS sowie privater Gesundheitseinrichtungen erforderlich?

Es gibt kein einzelnes Gesetz, das vorschreibt, was ein NHS-Gästenetzwerk blockieren muss. In der Praxis erstellen Trusts ihre Filterrichtlinie aus fünf Quellen.

1. Die URL-Liste der Internet Watch Foundation (IWF) für Darstellungen von sexuellem Kindesmissbrauch. Blockieren Sie diese ausnahmslos in jedem Gäste-VLAN.
2. Die CTIRU-Liste des Home Office für rechtswidrige terroristische Inhalte. Die Definition angemessener Filterung des UK Safer Internet Centre bezieht sich darauf.
3. Die Prevent-Pflicht. NHS-Trusts und Foundation-Trusts sind benannte Behörden gemäß dem Counter-Terrorism and Security Act 2015. Ihre Gäste-WiFi-Richtlinie sollte zeigen, wie sie diese Pflicht unterstützt.
4. Friendly WiFi. Dieses britische Akkreditierungssystem zertifiziert, dass öffentliches WiFi Pornografie und Inhalte mit Kindesmissbrauch filtert. Viele Käufer im öffentlichen Sektor verlangen dies.
5. Ihre Safeguarding-Richtlinie. Pädiatrische Stationen, Jugendpsychiatrien und Jugenddienste benötigen ein strengeres Profil als das Atrium einer Erwachsenen-Ambulanz.

Die DNS-Filterung prüft jede Domain-Abfrage gegen Kategorielisten und blockiert die Anfrage, bevor eine Verbindung aufgebaut wird. Sie ist die praktische Ebene für Gästenetzwerke, da sie keinen Agenten auf den Geräten der Patienten erfordert. Eine sinnvolle Baseline blockiert illegale Inhalte, Erwachseneninhalte, Malware und Phishing in jedem Gäste-VLAN. Fügen Sie dann auf pädiatrischen und psychiatrischen VLANs Kategorien für Glücksspiel, Selbstverletzung und die Förderung von Essstörungen hinzu.

Zwei technische Punkte entscheiden darüber, ob die Richtlinie greift:

• DNS erzwingen. Leiten Sie ausgehendes DNS auf Port 53, das nicht an Ihren Filter-Resolver geht, um oder blockieren Sie es.
• Verschlüsseltes DNS verwalten. DNS over HTTPS (DoH, RFC 8484) kann einen Filter vollständig umgehen. Blockieren Sie bekannte öffentliche DoH-Resolver und DNS over TLS auf Port 853. Verwenden Sie die Canary-Domain, die Browser prüfen, bevor sie DoH standardmäßig aktivieren.

Unter UK GDPR sind Filterprotokolle personenbezogene Daten, sobald sie mit einem Patienten oder Besucher verknüpft werden. Legen Sie eine kurze Aufbewahrungsfrist fest, dokumentieren Sie diese in Ihrer Datenschutz-Folgenabschätzung (DSFA) und beschränken Sie den Zugriff darauf. Die identitätsbasierte Zugriffskontrolle hat hier einen klaren Vorteil: Eine Schutzzuständige Person kann eine Warnung zu einer blockierten Anfrage direkt einem Bett oder einem Schlüssel zuweisen, anstatt einer zufälligen MAC-Adresse.

Die Sicherheits-Add-ons von Purple (SecurePass, Verify und Shield) ergänzen die Gäste-WiFi-Plattform. Geben Sie in Ihrer Ausschreibung die erforderlichen Filterkategorien, Quellen für Sperrlisten und Aufbewahrungsfristen für Protokolle an. Fordern Sie dann jeden Anbieter auf, die Funktionsfähigkeit in der Praxis zu demonstrieren, anstatt nur ein Kontrollkästchen abzuhaken.

Wie reduzieren Onboarding-Abläufe am Patientenbett die Support-Tickets am Stationsstützpunkt für Langzeitpatienten?

Tickets für das Stationsstützpunkt-WiFi auf Stationen für Langzeitaufenthalte haben drei häufige Ursachen.

• Sitzungsablauf. Eine 24-Stunden-Click-Through-Sitzung zwingt einen Patienten bei einem 10-tägigen Aufenthalt bis zu 10-mal pro Gerät durch das Captive Portal.
• MAC-Randomisierung. iOS und Android verwenden standardmäßig eine private MAC-Adresse pro Netzwerk, und einige Versionen wechseln diese regelmäßig. Eine Plattform, die wiederkehrende Geräte an der MAC-Adresse erkennt, vergisst diese dadurch.
• Fehlschlag des Captive Portals. Einige Apps und ältere Geräte zeigen die Anmeldeseite niemals an, sodass der Patient „verbunden, kein Internet“ sieht und das Pflegepersonal um Hilfe bittet.

Das Onboarding am Patientenbett beseitigt alle drei Probleme. Der Patient scannt einen QR-Code auf der Karte am Bett oder dem Begrüßungsflyer. Er bestätigt die Nutzungsbedingungen einmalig und erhält einen persönlichen Schlüssel oder Bereich, dem jedes Gerät beitreten kann. Die Gültigkeitsdauer des Schlüssels entspricht der Aufnahmedauer und wird bei der Entlassung widerrufen. Es erscheint keine Anmeldeseite mehr, sodass randomisierte MAC-Adressen und Apps, die das Portal nicht erkennen, keine Rolle mehr spielen.

Design-Details, die die Ticketanzahl weiter reduzieren:

• Ausgabe pro Bett, nicht pro Name, sofern Ihr Datenschutzbeauftragter dies bevorzugt. Erneuern Sie den Schlüssel bei der Entlassung über den Bettenverwaltungsprozess.
• Geräte von Angehörigen zulassen. Angehörige richten häufig das Tablet eines Elternteils ein. Ein Schlüssel, der vier oder fünf Geräte abdeckt, verhindert ein zweites Ticket.
• Karten verständlich gestalten. Verwenden Sie einfaches Deutsch, Übersetzungen für Ihre Hauptpatientensprachen und ein Kontrastverhältnis, das WCAG 2.2 AA entspricht.
• Self-Service-Hilfeseite hinzufügen, die im Gäste-VLAN ohne Authentifizierung geladen wird, damit Patienten häufige Probleme ohne den Stützpunkt beheben können.

Wo passt welches Onboarding-Modell in einen Krankenhauskomplex?

Die beiden folgenden Praxisbeispiele nutzen definierte Annahmen. Jedes Beispiel zeigt die genaue Berechnung, sodass Sie diese mit Ihren eigenen Bettenzahlen und Aufenthaltsdauern erneut durchführen können.

Praxisbeispiel 1: Ein akutes Trust des NHS ersetzt ein Click-Through-Netzwerk

Situation. Ein Akutkrankenhaus mit 600 Betten betreibt ein einziges offenes Gäste-SSID mit einer 24-stündigen Click-Through-Sitzung. Patienten, Besucher, Dienstleister und einige veraltete Stationsgeräte teilen sich alle ein einziges flaches Gäste-VLAN. Die Stationsleitungen berichten, dass das WiFi eine regelmäßige Unterbrechung am Schwesternstützpunkt darstellt.

Was getan wurde. Das Krankenhaus hat den Bestand in vier VLANs aufgeteilt: Patienten, Besucher, Dienstleister und klinischer Bereich. Klinische Geräte wurden in ein separates klinisches SSID mit iPSK und ohne Internetweiterleitung verlegt. Stationäre Patienten melden sich jetzt direkt am Krankenbett mit einem Schlüssel an, der für die gesamte Dauer des Aufenthalts gilt. Besucher nutzen ein registriertes Captive Portal für einen Besuchstag. Die DNS-Filterung blockiert die IWF- und CTIRU-Listen in jedem Gäste-VLAN, mit einem strengeren Profil auf Kinder- und Psychiatriestationen.

Messbares Ergebnis. Nehmen wir eine Station mit 28 Betten, einer durchschnittlichen Aufenthaltsdauer von sechs Tagen und zwei Geräten pro Patient. Die alte 24-Stunden-Sitzung führte zu bis zu 12 Portal-Aufforderungen pro Bett und Aufenthalt. Das entspricht etwa 336 Aufforderungen pro Station und Aufenthaltszyklus. Bei der Anmeldung am Krankenbett liegt diese Zahl bei zwei - eine pro Gerät bei der Aufnahme. Das Krankenhaus misst die Veränderung anhand von Service-Desk-Tickets mit dem Tag "Patienten-WiFi" im Quartalsvergleich. Zudem erhielt es ein Firewall-Protokoll, das keinerlei Datenverkehr von Gästen zum klinischen Bereich anzeigt, was die DSPT-Nachweise unterstützt.

Durchgearbeitetes Szenario 2: Eine Privatklinik mit Hotellerie-Standard

Situation. Eine Privatklinik mit 120 Betten gestaltet den Aufenthalt wie ein Hotel, mit Zimmerservice, Entertainment-Streaming und einem Concierge-Desk. Die Patienten erwarten ein WiFi, das wie in einem Vier-Sterne-Zimmer funktioniert. Viele arbeiten während der Genesung remote, jeweils mit Laptop, Smartphone und Tablet.

Was getan wurde. Das Krankenhaus nutzte die private Netzwerkblase von Purple, sodass die Geräte jedes Patienten sich untereinander sehen konnten, aber keine fremden Geräte. Ein Patient kann Inhalte auf den Bildschirm im Zimmer streamen, ohne dass das Nachbarzimmer darauf Zugriff hat. Bei der Registrierung werden nur Name und E-Mail-Adresse erfasst, mit einer bewussten Einwilligung für Mitteilungen des Krankenhauses. Es werden niemals Gesundheitsdaten erfasst, die von UK GDPR als Daten besonderer Kategorien behandelt werden. WiFi Analytics berichtet über verbundene Geräte und Verweildauer nach Stationen, nicht nach Einzelpersonen.

Messbares Ergebnis. Betrachten wir einen Patienten, der vier Nächte mit drei Geräten in einer 24-Stunden-Sitzung bleibt. Dieser Patient wäre mit 12 Wiederverbindungsaufforderungen konfrontiert. Mit einem Schlüssel für die gesamte Aufenthaltsdauer sind es drei. Das Krankenhaus verfolgt zwei Kennzahlen: Concierge-WiFi-Anfragen pro belegtem Bett und Nacht sowie Zufriedenheitswerte der Patienten bezüglich der Konnektivität. Außerdem vergleicht es die Opt-in-Raten mit dem vorherigen Einwilligungsschreiben auf Papier.

Die gleiche Logik aus dem Gastgewerbe zeigt sich in der Arbeit von Purple mit Hotels. Viele Atrien von Krankenhäusern umfassen mittlerweile Cafés und Geschäfte. Dieser Publikumsbereich verhält sich wie der Einzelhandel: Der Kunde benötigt einen schnellen, gefilterten Zugang, für den sich das registrierte Captive Portal ideal eignet.

Was kostet der Betrieb der einzelnen Optionen?

Der Lizenzpreis ist nur ein Teil der Kosten. Die größeren Kostenfaktoren sind der Zeitaufwand für das Stationspersonal, der IT-Änderungsaufwand und der Aufwand für den Datenschutz.

Zugangsmodell	Hardwareänderung	Aufwand für Pflegepersonal	IT-Aufwand	Datenschutzaufwand
Offenes Click-Through Captive Portal	Keine bei unterstützten Access Points	Hoch: Wiederholte Eingabeaufforderungen in jeder Sitzung	Gering: Eine VLAN, eine Richtlinie	Geringe Speicherung von Daten, aber schwache Zuordnung beim Schutz gefährdeter Personen
Registriertes Captive Portal	Keine bei unterstützten Access Points	Mittel: Aufforderungen bei Ablauf und nach MAC-Rotation	Gering: Ein oder zwei VLANs	Kontaktdaten werden gespeichert: DSFA, Aufbewahrungsfrist, Datenschutzhinweis
Identitätsbasiert (iPSK oder separates privates Netzwerk)	Keine, sofern die Access Points iPSK oder die Zuweisung von RADIUS VLAN unterstützen	Gering: Eine Einrichtung pro Aufnahme	Mittel: VLANs pro Benutzergruppe und RADIUS-Richtlinie	Schlüssel mit Bett oder Patient verknüpft: DSFA deckt Filterprotokolle ab
Passpoint oder OpenRoaming	Access Points müssen Hotspot 2.0 unterstützen	Gering, sobald Profile installiert sind	Mittel bis hoch: Zertifikate, Realms, Profilverteilung	Identität wird vom Anbieter gehalten: Bedingungen für die Datenweitergabe prüfen

Drei Kostentreiber werden leicht übersehen:

• Controller-Abhängigkeit. Wenn sich Ihr Captive Portal und Ihre Richtlinien auf einem lokalen Wireless LAN Controller befinden, erfordert jede Änderung ein Wartungsfenster. Ein Cloud-Overlay verlagert diese Richtlinie vom Controller weg. Siehe Was ist ein WLC (Wireless LAN Controller) und benötigen Sie noch einen?.
• Veraltete Zugangsdaten von Dienstleistern. Geteilte Passwörter für Dienstleister werden selten geändert. Ein zeitlich begrenzter, gesponserter Zugang erspart das mühevolle Suchen und Widerrufen von Zugriffsrechten nach einem Sicherheitsvorfall.
• Tickets aufgrund von Wiederverbindungsproblemen. Jedes Ticket kostet eine Pflegekraft wertvolle Minuten, die ihr für die Patientenversorgung fehlen. Multiplizieren Sie Ihre kalkulierten Eingabeaufforderungen mit Ihrer Ticketrate, um diesen Aufwand zu beziffern.

Purple gibt für seine Plattform eine Verfügbarkeit von 99,999 % an (eigene Daten von Purple). Erfragen Sie von jedem Anbieter die Verfügbarkeitsrate sowie den abgedeckten Zeitraum, da Ausfallzeiten auf einer Station direkt zu weiteren Tickets führen.

Wie treffen Sie die richtige Entscheidung für Ihren Standort?

Gehen Sie von Ihren Benutzergruppen und Rahmenbedingungen aus, nicht von einer Funktionsliste.

Ihre Situation	Empfohlene Vorgehensweise
Akutkrankenhaus, gemischte kurze und lange Aufenthalte, derzeit einfaches Gastnetzwerk	iPSK am Krankenbett für stationäre Patienten, registriertes Captive Portal für Besucher, separates klinisches SSID
Psychiatrische, pädiatrische oder jugendmedizinische Einrichtungen vor Ort	Stationsbezogene VLAN mit einem strengeren DNS-Filterprofil und Warnmeldungen zum Schutz gefährdeter Personen, die an Bettschlüssel gekoppelt sind
Privatkrankenhaus mit Service auf Hotelniveau	Separates privates Netzwerk pro Patient, bewusste Opt-in-Auswahl, keine Gesundheitsdaten bei der Registrierung
Ambulanz oder Belegkrankenhaus, Aufenthalte unter vier Stunden	Registriertes Captive Portal mit einer eintägigen Sitzung und Basis-Filterung
Große Anzahl an Dienstleistern während einer Baumaßnahme	Gesponserte, zeitlich begrenzte VLAN für Dienstleister, die mit dem Enddatum des Vertrags abläuft
Veraltete medizinische Geräte, die 802.1X nicht ausführen können	iPSK pro Gerät in einer klinischen VLAN ohne Internetverbindung

Führen Sie anschließend fünf Prüfungen durch, bevor Sie eine engere Auswahl treffen:

1. Hardware. Bestätigen Sie, dass Ihre Access Points die Zuweisung von RADIUS-VLANs sowie iPSK unterstützen. Purple unterstützt Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet.
2. Filterung. Fordern Sie eine schriftliche Bestätigung über die Abdeckung der IWF- und CTIRU-Listen, den Umgang mit DoH und Profile pro VLAN an.
3. Datenschutz. Fordern Sie Zertifikate nach ISO 27001 und Cyber Essentials, Nachweise zur Datenspeicherung und einen Entwurf für einen Auftragsverarbeitungsvertrag an.
4. Onboarding. Testen Sie vor der Unterzeichnung den Onboarding-Ablauf am Krankenbett auf einem Smartphone mit randomisierter MAC-Adresse und anschließend auf einem älteren Android-Tablet.
5. Berichterstellung. Stellen Sie sicher, dass Berichte Analysen auf Stationsebene liefern, ohne einzelne Patienten offenzulegen.

Der Leitfaden Ausschreibungsanforderungen für Gäste-WiFi: Was Sie für Onboarding, Sicherheit und Analysen festlegen sollten übersetzt diese Prüfpunkte in Ausschreibungsklauseln. Branchenspezifische Informationen finden Sie auf der Seite Gesundheitswesen von Purple.

Häufig gestellte Fragen

Funktionierte Purple mit den Access Points, die unser Krankenhaus bereits besitzt?

Ja. Purple läuft als Cloud-Overlay auf Hardware von Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme und Fortinet. Sie behalten Ihre vorhandenen Access Points, Switches und Verkabelungen bei. Sie prüfen lediglich die Funktionsunterstützung auf Ihren Modellen - hauptsächlich die Zuweisung von RADIUS-VLANs und iPSK, da diese darüber entscheiden, ob das identitätsbasierte Onboarding am Krankenbett auf jeder Station funktioniert. Das Team von Purple gleicht dies während der Evaluierung mit Ihrem Bestand ab.

Können Patienten bei längeren Aufenthalten während der gesamten Aufnahmezeit verbunden bleiben, ohne sich erneut anzumelden?

Ja, wenn Sie identitätsbasiertes Onboarding nutzen. Der Patient scannt einmalig einen QR-Code am Krankenbett und erhält einen persönlichen Schlüssel. Jedes Gerät verbindet sich dann für die Dauer des Aufenthalts automatisch wieder. Sie legen die Schlüsselgültigkeit passend zur Aufnahmedauer fest und widerrufen sie bei der Entlassung. Randomisierte MAC-Adressen und kurze Session-Timer führen nicht mehr zu wiederholten Aufforderungen über das Captive Portal, die die Hauptursache für WiFi-Tickets an den Stationsschaltern sind.

Entspricht Purple den britischen Datenschutzanforderungen für NHS-Trusts?

Ja. Purple ist konform mit GDPR und verfügt über Zertifizierungen nach ISO 27001 und Cyber Essentials, was Ihre Lieferantenbewertung unterstützt. Ihr Trust bleibt der Verantwortliche für die Datenverarbeitung. Sie führen daher weiterhin eine Datenschutz-Folgenabschätzung durch und legen die Aufbewahrungsfristen für Registrierungs- und Filterprotokolle fest. Erfassen Sie bei der WiFi-Registrierung niemals Gesundheitsdaten. UK GDPR behandelt diese als besondere Kategorien personenbezogener Daten, und für den Netzwerkzugriff werden sie nicht benötigt.

Sollten klinische medizinische Geräte mit dem Gäste-WiFi des Krankenhauses verbunden werden?

Nein. Klinisches IoT sollte sich in einem separaten klinischen SSID und VLAN befinden, hinter einer Firewall und standardmäßig ohne Internetrouting. Verwenden Sie IEEE 802.1X mit EAP-TLS für Geräte, die ein Zertifikat aufnehmen können. Nutzen Sie iPSK für Headless-Geräte, die dies nicht können, damit Sie ein einzelnes Gerät widerrufen können, ohne die gesamte Station neu zu schlüsseln. Gäste-VLANs sollten jeglichen Datenverkehr zu internen privaten Adressbereichen blockieren.

Welche Inhaltsfilterung benötigt ein NHS-Gäste-WiFi-Netzwerk?Blockieren Sie mindestens die Liste der Internet Watch Foundation und die CTIRU-Liste des Home Office in jedem Gäste-VLAN. Fügen Sie Inhalte für Erwachsene, Malware und Phishing als Basisabsicherung hinzu. Wenden Sie strengere Profile auf Kinder- und Psychiatriestationen an. Erzwingen Sie DNS über Ihren Filter-Resolver und blockieren Sie öffentliche DNS-over-HTTPS-Resolver, da Patienten den Filter sonst umgehen können. Viele Einkäufer im öffentlichen Sektor fordern zudem eine Friendly-WiFi-Akkreditierung.

Wie wird Purple für ein Krankenhausareal lizenziert?

Purple vergabe Lizenzen über drei Pakete: Connect, Capture und Engage. SecurePass, Verify und Shield sind als Sicherheits-Add-ons erhältlich. Die meisten Trusts beginnen mit dem Paket, das den Patienten- und Besucherzugang abdeckt, und fügen dann Sicherheitsfunktionen hinzu, die ihren Schutz- und Identitätsanforderungen entsprechen. Kontaktieren Sie Purple für ein Angebot basierend auf Ihren Standorten, Stationen und Personengruppen. Halten Sie Ihr Access-Point-Inventar bereit, damit die Dimensionierung genau durchgeführt werden kann.

Wie viel Aufwand bedeutet der Wechsel von einem einfachen Click-Through-Netzwerk?

Der größte Aufwand liegt im Netzwerkdesign, nicht bei der Installation. Bei unterstützter Hardware sind keine neuen Access Points erforderlich. Ihr Team definiert die VLANs, erstellt die Firewall-Regeln dazwischen und legt die RADIUS-Richtlinien für jede Personengruppe fest. Sie erstellen außerdem Informationskarten für Patientenbetten und weisen das Stationspersonal ein. Wenn Sie zunächst eine Testphase auf einer Station durchführen, können Sie die Reduzierung von Support-Tickets messen, bevor Sie die Lösung im gesamten Trust einführen.

Können wir die Registrierung für das Gäste-WiFi für die Patientenkommunikation nutzen?

Ja, sofern eine bewusste Einwilligung vorliegt und sonst nichts. Fordern Sie die Einwilligung getrennt von den Nutzungsbedingungen an, zeichnen Sie diese mit einem Zeitstempel auf und stellen Sie sicher, dass der Widerruf genauso einfach ist wie die Erteilung. Erfassen Sie nur Kontaktdaten und niemals klinische Informationen. First-Party-Daten, die auf diese Weise erfasst werden, können in genehmigte Krankenhausmitteilungen wie Terminerinnerungen einfließen. Ihre Datenschutzhinweise und die Datenschutz-Folgenabschätzung (DSFA) müssen diese Nutzung abdecken.