Tablet im Praxisnetz für Email

[quacksi]

Hallo Zusammen!

Wir möchten in unserer Praxis (meiner Frau) das Risiko durch Trojaner (z.B. Verschlüsselungstrojaner, siehe auch anderer Thread hier) reduzieren. Momentan sieht es so aus: Server SBS 2011 (2008 R2), 6 Clients mit Win 7, Internet-Zugang und VPN Zugang über Fritzbox. Auf einem Client Praxis-Email (IMAP, gehosted bei einem Anbieter), auf allen Clients Internetzugang über Internet Explorer. Virenschutzprogramm MS Security Essentials (ich weiß der ist wohl nicht besonders gut).
Nachdem die HZV Online Prüfung im Betrieb notwendig ist, muss das Praxisnetz weiterhin mit dem Internet verbunden sein, VPN mit Remote Zugriff auf den Server und einen Client ist ebenfalls notwendig.
Jetzt ist die Idee das Email Programm (Risiko sich über Spam/Infizierte Anhänge zu infizieren) und Zugriffe auf das Internet via Browser (jemand klickt auf eine infizierte Website) auf ein Tablet (z.B. iPad) zu verlagern, welches mit WLAN angebunden wird. Von den Clients würde dann kein Email und kein Browser mehr benutzt werden. Alle Passwörter (WLAN, Fritzbox, Dyndns, VPN, … ) sind ausreichend lang und gut. Sicherungen werden täglich gemacht und auch vom System getrennt und außer Haus gebracht.
Aber zurück zu den Emails: Nachdem mit Email auch mal Dokumente verschickt werden, muss das Tablet irgendwie Zugriff, z.B. mit App FileBrowser (nur darüber gelesen) auf das Praxisnetz haben, z.B. auf einem freigegebenen Speicherplatz auf dem Server oder ein USB Stick als NAS an der Fritzbox. Damit besteht ja weiterhin grundsätzlich eine Verbindung zum Server (mit frei gegebenen Verzeichnissen wie Turbomed) aber gibt es Schadsoftware die diesen Weg gehen würde und Schaden anrichten kann? Macht das so Sinn oder gibt es bessere Lösungen?

Vielen Dank im Voraus für Eure Kommentare.
Quacksi

[EXEWERKER]

Kommt darauf an, wo Ihr Mailserver steht. Sie könnten das Gast WLAN der Fritzbox für Mails nutzen und hätten somit kein Kontakt zum LAN. Mit einem iPAD sind Sie schon besser dran, was Viren betrifft, aber wenn sie es ins LAN einbinden, gibt es natürlich noch ein Restrisiko.

[nmndoc]

Hallo Zusammen!

Wir möchten in unserer Praxis (meiner Frau) das Risiko durch Trojaner (z.B. Verschlüsselungstrojaner, siehe auch anderer Thread hier) reduzieren. Momentan sieht es so aus: Server SBS 2011 (2008 R2), 6 Clients mit Win 7, Internet-Zugang und VPN Zugang über Fritzbox. Auf einem Client Praxis-Email (IMAP, gehosted bei einem Anbieter), auf allen Clients Internetzugang über Internet Explorer. Virenschutzprogramm MS Security Essentials (ich weiß der ist wohl nicht besonders gut).

Nachdem die HZV Online Prüfung im Betrieb notwendig ist, muss das Praxisnetz weiterhin mit dem Internet verbunden sein, VPN mit Remote Zugriff auf den Server und einen Client ist ebenfalls notwendig.

Nicht unbedingt. M.E. muss nur der Rechner ins Netz können, an dem der HzV-Online-Key steckt (der dann wiederrum in TM unter integr. Versorgung > HzV > Servereinstellungen eingetragen ist). Oder verwenden Sie da ein anderes System?

VPN mit Remote Zugriff auf den Server und einen Client ist ebenfalls notwendig.

Weshalb auch auf einen Client? Außerdem bauen Sie den VPN-Tunnel doch mit der Fritzbox auf, oder? D.h. der Tunnel terminiert an der Box und Sie "sind" dann im Praxis-Netz. Sie können dann ganz normal per RDP auf den Server oder auch andere Clients, ohne dass diese deshalb selbnst Internet-Zugriff benötigen.

Jetzt ist die Idee das Email Programm (Risiko sich über Spam/Infizierte Anhänge zu infizieren) und Zugriffe auf das Internet via Browser (jemand klickt auf eine infizierte Website) auf ein Tablet (z.B. iPad) zu verlagern, welches mit WLAN angebunden wird.

Hier sollten Sie dann (an der Fritzbox) einstellen, dass kein Zugriff von WLAN <> LAN möglich ist bzw. auch WLAN-Clients nicht untereinander Zugriff haben.

Aber zurück zu den Emails: Nachdem mit Email auch mal Dokumente verschickt werden, muss das Tablet irgendwie Zugriff, z.B. mit App FileBrowser (nur darüber gelesen) auf das Praxisnetz haben, z.B. auf einem freigegebenen Speicherplatz auf dem Server oder ein USB Stick als NAS an der Fritzbox. Damit besteht ja weiterhin grundsätzlich eine Verbindung zum Server (mit frei gegebenen Verzeichnissen wie Turbomed) aber gibt es Schadsoftware die diesen Weg gehen würde und Schaden anrichten kann? Macht das so Sinn oder gibt es bessere Lösungen?

Also: Zugriff auf das FritzBox NAS/USB Stick wäre hier vermutl. die sinnvollste Lösung, da dann ja eben *kein* Zugriff auf das internet Netz (LAN) notwendig wäre. Andernfalls hätte ja z.B. eine schädliche App/trojaner auf dem Tablet zumindest teilweise Zugriff auf das interne Netz/Server (wobei man hier ja ggf. auch eine Freigabe entpsprechend gesondert freigeben könnte. Würde aber bedeuten dass alle anderen zB TM entsprechend restriktiv gesetzt sein müssen - also zB nicht Vollzugriff für "Jeder"). So gehsehen sind wir dann doch wieder bei s.o. - Freigabe an/auf der Fritzbox (USB) -> da sollten dann aber auch keine anderen Dinge liegen.

Zur Schadsoftware: neben dem direkten Zugriff wäre ja folgendes Szenario nicht unwarscheinlich: Sie bekommen auf dem Tablet eine Mail mit Anhang (zB "Rechnung") und Sie ("Jemand") kopieren diese (infizierte) Datei auf die o.g. Freigabe um sie anschließend von einem der PCs zu öffnen. Also "Restrisiko" bestünde, aber wohl deutlich reduziert.

So gesehen klingt ihr Ansatz durchaus praktikabel.

[quacksi]

Danke für das Feedback!

Ich nehme mit:
- Mit dem WLAN Gastzugang kann man LAN und WLAN voneinander trennen
- Es muss nur der Rechner ans Internet in dem der HZV-Online-Key steckt (Wobei... die Win7 Updates für die Clients müssen auch irgendwo herkommen. Zentrale Updateverwaltung ist mir momentan zu kompliziert)
- Wegen VPN braucht kein Rechner ins internet, da über Fritzbox und LAN erreichbar
- Datenaustausch zwischen LAN und Email-iPad über Fritzbox-NAS/Stick sollte funktionieren (ich hoffe das ist nicht zu umständlich wenn häufig Dokumente ausgetauscht werden müssen, sonst muss das iPad dann doch ins LAN)

Ich werde das mal so einrichten und hoffe die Damen kommen damit klar...

Danke+Gruß
Quacksi