💻 Systemanforderungen (Clientseitig)

Die Ambivio Anwendung ist vollständig webbasiert und erfordert keine lokale Installation. Sie ist mit allen gängigen Betriebssystemxen kompatibel, darunter:

• Windows

• macOS

• Linux / Ubuntu

• iOS

• Android

Für die bestmögliche Nutzererfahrung empfehlen wir die Nutzung der neuesten Versionen von Google Chrome oder Microsoft Edge. Auch Mozilla Firefox und Safari werden unterstützt.

🎙️ Audio-Hardware & Spracheingabe

Um die Spracheingabe optimal nutzen zu können, benötigt das verwendete Gerät ein funktionierendes Mikrofon. Dies kann entweder:

• intern verbaut (z. B. bei Laptops oder Tablets) oder

• extern angeschlossen sein – über USB oder Bluetooth (z. B. Headsets oder Tischmikrofone).

Für größere Einrichtungen besteht die Möglichkeit, dass Ambivio passende Mikrofonhardware zur Verfügung stellt. Bei Einzelpraxen oder kleinen Teams beraten wir Sie gerne individuell zur optimalen Einrichtung.

🌐 Netzwerk-Voraussetzungen

Damit die Ambivio-Anwendung in Ihrem Haus genutzt werden kann, müssen folgende Ziele per HTTPS (TCP 443) erreichbar sein.

✅ Schnelltest vorab

Öffnen Sie von einem Client im betroffenen Netz die Seite:

https://app.ambivio.ai/network-check

Diese Seite prüft automatisch, ob alle relevanten Ambivio-Dienste erreichbar sind.

• Alle Prüfungen grün: Es ist keine weitere Konfiguration nötig — die folgenden Abschnitte können Sie überspringen.

• Einzelne Prüfungen schlagen fehl: Richten Sie die Freigaben wie unten beschrieben ein und wiederholen Sie den Test anschließend zur Abnahme.

Freizugebende Domains

• ambivio.ai und *.ambivio.ai

• ae8c3502c21dc5236fc76c44276c91c1.eu.r2.cloudflarestorage.com

• www.gstatic.com

• fonts.gstatic.com

• www.google.com

Falls eine Wildcard-Freigabe (*.ambivio.ai) nicht möglich ist, müssen stattdessen folgende Subdomains einzeln freigegeben werden:

• app.ambivio.ai

• api.ambivio.ai

• pfiles.ambivio.ai

• download.ambivio.ai

• utility.ambivio.ai

• open.ambivio.ai

• sentry.ambivio.ai

• help.ambivio.ai

• learn.ambivio.ai

⚠️ Eine IP-basierte Freigabe wird nicht unterstützt

Unsere Dienste laufen teils über die Cloudflare-Infrastruktur (Anycast, geteilte und regelmäßig wechselnde IP-Adressen), teils auf eigenen Servern, deren IP-Adressen sich ebenfalls ohne Ankündigung ändern können. Es existiert daher kein stabiler IP-Bereich, der freigegeben werden könnte. Freigaben einzelner IP-Adressen funktionieren zunächst, führen aber zwangsläufig zu späteren Ausfällen.

Die Freigabe muss daher auf Hostnamen-Basis erfolgen. Hierfür gibt es je nach Firewall-Funktionsumfang und Schutzbedarf drei Varianten.

Variante 1 — SNI-basierte Domain-Freigabe (Standard-Empfehlung)

Die Firewall erlaubt ausgehende TLS-Verbindungen anhand des Hostnamens im TLS-ClientHello (SNI). Die Ziel-IP spielt dabei keine Rolle.

• Keine SSL-Inspektion und keine IP-Pflege nötig.

• Unempfindlich gegen alle IP-Wechsel (Cloudflare wie eigene Server).

• Wildcard-Regeln (*.ambivio.ai) werden unterstützt.

Schutzniveau: Verhindert zuverlässig unbeabsichtigte Zugriffe durch Nutzer und Standard-Schadsoftware. Das SNI ist eine Angabe des Clients und durch gezielt entwickelte Schadsoftware fälschbar; für höheren Schutzbedarf siehe Variante 2.

Variante 2 — TLS-Inspektion mit Zertifikatsprüfung (höchster Schutzbedarf)

Die Firewall entschlüsselt die Verbindungen zu den o. g. Domains (SSL Forward Proxy) und validiert das Server-Zertifikat gegen den freigegebenen Hostnamen. Damit wird die Domain-Freigabe kryptografisch durchgesetzt; gefälschte SNI-Angaben zu Fremdzielen werden erkannt und blockiert. Auch diese Variante ist vollständig IP-unabhängig.

Voraussetzungen:

• Firewall-eigene CA im Trust Store aller Clients (z. B. per Gruppenrichtlinie).

• Strikte Zertifikatsvalidierung (Kette + Hostname-Match, keine Ausnahmen für ungültige Zertifikate).

• QUIC/HTTP3 ausgehend blockieren, damit Browser auf inspizierbares HTTPS zurückfallen.

Variante 3 — DNS-basierte FQDN-Freigabe (Fallback, falls SNI-Filterung nicht verfügbar)

Die Firewall löst die freigegebenen Hostnamen selbst per DNS auf und erlaubt die resultierenden IPs. Dies funktioniert nur zuverlässig unter folgenden Bedingungen:

• Firewall und Clients nutzen denselben internen DNS-Resolver (z. B. AD-DNS). Unterschiedliche Resolver führen zu Blockaden, da unsere Infrastruktur je nach Resolver unterschiedliche IPs ausliefert.

• DNS-over-HTTPS in Browsern ist per Richtlinie deaktiviert, damit Clients den internen Resolver nicht umgehen.

• Die FQDN-Objekte werden TTL-basiert aktualisiert (bei modernen Firewalls Standard).

• Da FQDN-Objekte meist keine Wildcards unterstützen, müssen alle Subdomains einzeln gepflegt werden (Liste oben); bei neuen Subdomains ist eine Anpassung in Ihrer Firewall erforderlich.

Hinweis: Diese Variante ist wartungsintensiver und fehleranfälliger als Variante 1. Kurze Störungsfenster bei IP-Wechseln unserer Infrastruktur sind möglich.

📬 Benachrichtigung bei Änderungen (wichtig)

Wenn Sie Ihre Firewall anhand dieser Anleitung konfigurieren, senden Sie bitte eine kurze E-Mail an [email protected] mit dem Hinweis, dass Sie über firewall-relevante Änderungen informiert werden möchten (z. B. neue Subdomains oder Änderungen an unserer Infrastruktur).

Wir informieren Sie dann rechtzeitig vor solchen Änderungen, sodass Sie Ihre Freigaben anpassen können, bevor es zu Störungen kommt. Dies gilt für alle Einrichtungen, die ausgehenden Datenverkehr filtern — unabhängig davon, welche der oben beschriebenen Varianten Sie einsetzen.