Team Data GmbH - IT-Systemhaus Osnabrück Logo
WhatsApp
0541 50798808
Fernwartung

Securepoint TI-Proxy in der Zahnarztpraxis: so funktioniert er

Kurz gesagt: Der TI-Proxy ist eine Funktion der Securepoint UTM-Firewall. Er nimmt den Datenverkehr deiner E-Health-Kartenterminals entgegen und leitet ihn durch einen WireGuard-Tunnel an ein Cloud-Gateway weiter, das den Zugang zur Telematikinfrastruktur verwaltet. So braucht die Praxis keinen eigenen Konnektor mehr im Serverschrank, die Firewall übernimmt die gesicherte Verbindung.

Stand: 03.11.2026

Was macht der TI-Proxy in der Praxis?

Securepoint beschreibt den TI-Proxy als Funktion, die eine gesicherte Kommunikation zwischen Kartenterminals und TI-Konnektoren der Telematikinfrastruktur ermöglicht. Der Datenverkehr des Kartenterminals wird über einen WireGuard-Tunnel an ein Cloud-Gateway weitergeleitet, das den Zugang zur Telematikinfrastruktur verwaltet. Technisch gesehen läuft der Weg also vom Kartenterminal im Praxisnetz über die UTM und den verschlüsselten Tunnel zum Gateway des TI-Anbieters, und von dort in die TI.

Das passt zu dem, was die gematik als TI-Gateway beschreibt: eine Alternative zum Konnektor in der Praxis. Das TI-Gateway nutzt eine sichere VPN-Verbindung, der VPN-Zugang ist bereits integriert und ein eigener Konnektor ist nicht mehr nötig. Je nach Anbieter ist dafür ein Hardware- oder Software-Client erforderlich. Bei Securepoint ist dieser Client in der Firewall eingebaut: der TI-Proxy.

Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.

Welche Voraussetzungen braucht die Praxis?

  • Eine Securepoint UTM mit aktueller Firmware. Die von uns gelesene Dokumentation gilt für Version 14.0, der TI-Proxy-Assistent kam mit Version 14.0.4 im April 2025. Für neuere Versionen gibt es eigene Wiki-Artikel.
  • Einen Vertrag mit einem TI-Gateway-Anbieter, der die WireGuard- und TI-Proxy-Konfiguration bereitstellt.
  • Die Institutionsidentität der Praxis: entweder die SMC-B als Karte im Kartenterminal oder die kartenlose SM-B, bei der Schlüssel und Zertifikate laut gematik zentral in einem Hardware-Security-Module im Rechenzentrum des Anbieters liegen.
  • E-Health-Kartenterminals im Praxisnetz, die die UTM erreichen können.
  • Mindestens einen elektronischen Heilberufsausweis (eHBA) in der Praxis, denn er ist Voraussetzung für die SM(C)-B.

Wie wird der TI-Proxy eingerichtet?

Die Konfiguration erfolgt in der UTM-Oberfläche unter Anwendungen > TI-Proxy. Seit Version 14.0.4 führt ein Assistent in fünf Schritten durch die Einrichtung:

  1. Konfiguration importieren: Die WireGuard- und TI-Proxy-Konfiguration des Anbieters wird als Datei hochgeladen oder eingefügt.
  2. Schnittstelle: Die WireGuard-Schnittstelle (zum Beispiel wg0) erhält IP-Adresse, Listening Port (Standard 51820) und privaten Schlüssel.
  3. Peer: Peer-Typ, Peer-Netzwerke, Endpunkt mit Port, öffentlicher Schlüssel, optional ein Pre-Shared Key und Keepalive (25 Sekunden).
  4. TI-Proxy: Konnektor-IP (die Adresse des Konnektors beim Anbieter, meist eine private IP aus dem VPN), eingehende IP (die WireGuard-Schnittstelle) und ausgehende Default-IP (die interne Schnittstelle der UTM im Netz des Kartenterminals).
  5. Erweiterte Einstellungen: Automatische Routen, Zonen wie wireguard-wg0, Netzwerkobjekte, Netzwerkgruppe und Regeln zwischen Peer und internen Netzen. Der Assistent legt die nötigen Regeln selbst an.

Die Zeitwerte Rekey After Time (Standard 120 Sekunden) und Reject After Time (Standard 180 Sekunden) sollten laut Securepoint in der Regel nicht verändert werden.

Wie kommen die Kartenterminals dazu?

Jedes Kartenterminal wird im Kartenterminal-Proxy eingetragen: Kartenterminal-IP im internen Netz, Kartenterminal-Port 4742, ausgehende IP (die interne UTM-Schnittstelle) sowie eingehender und ausgehender Port, im Beispiel der Dokumentation 60000. Nach dem Speichern zeigt die UTM bei erfolgreicher Verbindung den Namen des Terminals an. Mehrere Kartenterminals sind möglich, jedes bekommt seinen eigenen Eintrag.

Erscheint die Fehlermeldung failed to restart ctproxy, erreicht der Proxy den Konnektor nicht. Dann prüfen wir den WireGuard-Tunnel, die Konnektor-IP und die Routen, bevor wir am Kartenterminal selbst suchen.

Was bringt das der Praxis?

  • Ein Gerät weniger: Konnektor und separater VPN-Zugangsdienst entfallen, die Firewall übernimmt die Rolle.
  • Eine Verwaltungsoberfläche: Firewall, Internetzugang und TI-Anbindung werden an einer Stelle gepflegt und überwacht.
  • Saubere Netztrennung: Die UTM kann Praxisnetz, Kartenterminals und Tunnel in eigenen Zonen führen, mit nachvollziehbaren Regeln dazwischen.
  • Weniger Konnektortausch: Die Zertifikate des Konnektors laufen nicht mehr in der Praxis ab, sondern beim Anbieter. Die SMC-B und der eHBA behalten ihre eigene, begrenzte Laufzeit und müssen weiterhin rechtzeitig ersetzt werden.

So unterstützen wir dich

Wir betreuen Zahnarztpraxen in Osnabrück und Umgebung mit Securepoint-Firewalls, TI-Gateway-Anbindung, Kartenterminals und KIM, entfernter per Fernwartung. Was wir für Praxen leisten, steht auf unserer Seite IT für Zahnarztpraxen.

Häufige Fragen

Brauche ich mit dem TI-Proxy noch einen Konnektor in der Praxis?

Nein. Der TI-Proxy leitet den Verkehr der Kartenterminals an das Cloud-Gateway des Anbieters weiter. Der Konnektor steht dort, nicht mehr in der Praxis.

Bleibt die SMC-B im Kartenterminal?

Ja, wenn du die Kartenvariante nutzt. Alternativ bietet die gematik die kartenlose SM-B an, deren Schlüssel im Rechenzentrum des Anbieters liegen. Dafür ist ein Vertrag mit einem TI-Gateway-Anbieter nötig.

Welcher Port muss nach außen offen sein?

Der WireGuard-Tunnel läuft laut Dokumentation standardmäßig über den Listening Port 51820, der Peer-Endpunkt des Anbieters im Beispiel über Port 60010. Die genauen Werte stehen in der Konfiguration deines Anbieters.

Kann ich mehrere Kartenterminals anbinden?

Ja. Jedes Terminal wird mit eigener IP und eigenem Proxy-Port im Kartenterminal-Proxy eingetragen.

Quellen