Sicherheitsüberblick

Stand: 19. Oktober 2026. Diese Seite fasst die verbindlichen Sicherheitsregeln aus der Produktdokumentation für die Praxis-IT zusammen. Sie ist keine Zertifizierung; eine Sicherheitsabnahme einer echten Praxisinstallation steht aus (Freigabestatus).

Daten bleiben in der Praxis

Befund-PDFs, Bilder, erkannte Texte, Gesprächsaufnahmen, Transkripte, Zusammenfassungen und Patientendaten verlassen das Praxisnetz nicht. Auch Diktate laufen nur über den Praxisserver; es gibt keinen Cloud-Modus und keinen stillen Wechsel zu einem Cloud-Anbieter.
Die Cloud (Dashboard und API) erhält technische Statusdaten, Lizenzen, Konfiguration und Geräteidentitäten. Dienstplanung speichert Beschäftigten- und Planungsdaten zentral.
Protokolle enthalten nur Ereignistypen und feste Fehlercodes, nie Dokument- oder Patientendaten.
Audio bleibt während der Verarbeitung im Arbeitsspeicher und wird danach gelöscht.

Verbindungen und Geräteidentität

Verbindungen nach außen gehen nur ausgehend zur festen Cloud-Adresse, mit gegenseitiger Zertifikatsprüfung (mTLS). Es gibt keine eingehende Verbindung aus dem Internet (Netzwerk).
Im Praxisnetz spricht der Connector mit dem Mac über HTTPS auf Port 8443 mit gegenseitiger Zertifikatsprüfung und zusätzlicher Signatur der Anfragen (HMAC). Der Mac prüft das Zertifikat des Connectors, der Connector das gepinnte Zertifikat des Servers.
Ein Gerät wird mit einer Einrichtungsdatei angemeldet: gültig 15 Minuten, nur einmal einlösbar, nur für ein neu angelegtes Gerät. Der private Schlüssel entsteht lokal auf dem Gerät und verlässt es nie.
Geräte lassen sich im Dashboard sperren (umkehrbar) oder widerrufen. Zertifikate werden mit überlappender Übergabe erneuert.

Lokaler Schutz

Der lokale Datenspeicher des Connectors ist verschlüsselt (SQLCipher). Fehlt der Schlüssel, startet der Dienst nicht; es gibt keinen Klartext-Ausweg.
Die Oberfläche des Connectors ist nur auf dem eigenen Rechner erreichbar. Änderungen verlangen kurzlebige Zugriffsschlüssel, die genaue lokale Herkunft und eine einmalige Anfrage-Kennung.
Eingegebene Ordner und KI-Adressen gelten erst nach lokaler Bestätigung. Der Connector führt keine Shell-Befehle oder freien Dateianweisungen aus.
Bei einer Pro-Benutzer-Installation sind Daten, Schlüsselschutz und lokale Pipe auf das Windows-Konto beschränkt.
Die Administration an einem Connector erfordert die Anmeldung als Praxis-Admin; Rollen werden über eine von der Cloud signierte Bestätigung geprüft.

Signaturen und Lizenzen

Updates sind signiert und werden vor der Installation geprüft (Prüfsumme und Signatur). Mac-Pakete prüfen zusätzlich Größe und SHA-256; fehlerhafte Pakete werden verworfen. Downgrades werden abgelehnt.
Lizenznachweise sind mit festen Schlüsseln signiert, an Gerät und Praxis gebunden und höchstens 48 Stunden gültig. Neustart oder ein fehlgeschlagener Abgleich verlängern die Frist nicht.
Konfigurationen der Praxis werden signiert übertragen und lokal geprüft.
Das medizinische Wörterbuch wird nur als signiertes, geprüftes Paket übernommen.

Was Docunara bewusst nicht tut

Keine Cloud-KI für Befunde, Gespräche oder Diktate.
Kein Überschreiben oder Löschen von PVS-, GDT- und Exportdateien.
Keine Änderung an Router oder Firewall.
Keine Passwörter oder Schlüssel in Protokollen, Diagnosepaketen oder Support-Anhängen.
Das Diagnosepaket enthält nur redigierte technische Statusdaten.

Empfehlungen für die Praxis-IT

Diese Punkte stammen nicht aus dem Produkt, sondern sind übliche Betriebsmaßnahmen:

Praxisnetz vom Gastnetz trennen; Mac und Arbeitsplätze nur im Praxisnetz.
Festplattenverschlüsselung (FileVault, BitLocker) einsetzen und die Folgen nach einem Stromausfall bedenken (Mac-Praxisserver).
Verlorene Geräte sofort im Dashboard widerrufen lassen (Fehlerhilfe).