BSI TR-03161 Sicherheit für digitale Gesundheitsanwendungen

Die BSI TR-03161 ist eine Technische Richtlinie des Bundesamts für Sicherheit in der Informationstechnik (BSI). Sie definiert Sicherheitsanforderungen für digitale Gesundheitsanwendungen (DiGA) und ist in drei Teile gegliedert: Mobile Apps, Web-Anwendungen und Hintergrundsysteme (Backends/APIs).

Ja. Seit 2025 müssen DiGA-Hersteller die Sicherheitsanforderungen der TR-03161 nachweisen, um in das DiGA-Verzeichnis des BfArM aufgenommen zu werden. Grundlage sind die Digitale-Gesundheitsanwendungen-Verordnung (DiGAV) sowie § 139e SGB V.

Nein. Das offizielle TR-03161-Zertifikat kann nur durch eine BSI-anerkannte Stelle ausgestellt werden. Wir bieten die ideale Vorbereitung: Wir führen den gesamten technischen Prüfprozess vorab durch, identifizieren alle Schwachstellen und bereiten Sie so vor, dass Sie die offizielle Zertifizierung beim ersten Anlauf bestehen.

Ohne den Sicherheitsnachweis nach TR-03161 kann Ihre Anwendung nicht in das DiGA-Verzeichnis aufgenommen werden und ist damit nicht durch die gesetzlichen Krankenkassen erstattungsfähig. Ein vorbereitender Test hilft, Lücken früh zu erkennen und kostspielige Verzögerungen beim Marktstart zu vermeiden.

Je nach Umfang und Komplexität der Anwendung typischerweise 2 bis 4 Wochen. Die Gap-Analyse allein lässt sich oft innerhalb von 1 bis 2 Wochen durchführen. Werden mobile App, Web-Frontend und Backend gemeinsam geprüft, planen Sie das obere Ende der Spanne ein. Den verbindlichen Zeitplan legen wir im kostenlosen Erstgespräch fest, abgestimmt auf Ihren geplanten Antrag beim BfArM.

Die TR-03161 baut maßgeblich auf etablierten OWASP-Standards auf: OWASP MASVS und der Mobile Security Testing Guide (MASTG) für mobile Anwendungen sowie OWASP ASVS für Web-Anwendungen. Unsere Prüfmethodik orientiert sich genau an diesen Frameworks.

Die manuelle Prüfung gegen die Prüfaspekte der TR-03161 wird nach Aufwand kalkuliert und liegt meist zwischen 4.000 und 20.000 €, ein automatisierter Schwachstellenscan als Einstieg ab 1.499 €. Den Ausschlag geben die Anzahl der Komponenten (mobile App, Web-Frontend, Backend) und die Prüftiefe. Da die Richtlinie alle drei Teile adressiert, lässt sich der Umfang selten unter drei Komponenten drücken.

Die TR-03161 ist für digitale Gesundheitsanwendungen (DiGA) über die DiGAV und § 139e SGB V verbindlich; für digitale Pflegeanwendungen (DiPA) gelten die Sicherheitsanforderungen entsprechend im Rahmen des BfArM-Verfahrens. Andere Gesundheits-Apps ohne Verzeichnis-Listung nutzen die Richtlinie häufig freiwillig als Sicherheitsmaßstab gegenüber Kliniken, Kassen und Investoren.

Ja. Teil 3 der TR-03161 behandelt die Hintergrundsysteme, also Backends und APIs, mit Anforderungen an Authentifizierung, Kryptographie, Datenhaltung und Schnittstellen. Eine Prüfung nur der mobilen App reicht nicht aus. Wir testen App, Web-Frontend und Backend zusammen, weil die meisten kritischen Findings an den Übergängen zwischen diesen Ebenen liegen.

Nein. Ein Scanner findet bekannte Schwachstellen und veraltete Komponenten, erkennt aber keine Logikfehler, fehlerhaften Berechtigungsprüfungen oder schwachen Krypto-Implementierungen, auf die die TR-03161 besonders abzielt. Der Scan eignet sich als laufende Ergänzung; für den Nachweis vor der offiziellen Prüfung brauchen Sie eine manuelle Sicherheitsprüfung.

Sie erhalten einen Bericht in Deutsch und Englisch mit allen Findings, CVSS-Bewertung, Nachweisschritten und priorisierten Behebungsempfehlungen. Ihr Entwicklungsteam arbeitet die Punkte ab, wir stehen für Rückfragen bereit. Die geschlossenen Punkte testen wir anschließend ohne Zusatzkosten nach und dokumentieren den bereinigten Stand so, dass er der BSI-anerkannten Prüfstelle als Nachweis vorgelegt werden kann.