Penetrationstest für Gesundheitsanwendungen

Penetrationstests für Medizinprodukte und Medizinproduktesoftware führen spezialisierte Pentest-Dienstleister mit zertifizierten Testern durch. Bei Sodu Secure testen OSCP-, OSWE- und CEH-zertifizierte Penetrationstester aus Berlin, die über 500 Pentests durchgeführt haben. Die Methodik folgt den Prüfaspekten der BSI TR-03161 sowie OWASP MASVS, MASTG und ASVS und liefert Nachweise für MDR und DSGVO.

Der Fokus liegt auf den spezifischen Risiken und regulatorischen Anforderungen im Gesundheitswesen: Schutz von Gesundheitsdaten als besondere Kategorie nach DSGVO Art. 9, Konformität mit den Prüfaspekten der BSI TR-03161 und erhöhte Anforderungen an Kryptographie und Authentifizierung. Wir orientieren uns zusätzlich an OWASP MASVS und ASVS.

Geprüft wird die gesamte Kette: mobile App unter iOS und Android, Web-Frontend, Backend und APIs sowie die Schnittstellen zu Drittsystemen. Dazu kommen Authentifizierung, Rollen- und Rechtekonzept, Verschlüsselung der Daten bei Übertragung und Speicherung sowie die Konfiguration der Hosting-Umgebung. Den genauen Scope legen wir vor Testbeginn gemeinsam fest.

Eine einzelne Web-Anwendung oder API ist in der Regel in 3 bis 5 Testtagen geprüft. Eine Gesundheitsanwendung mit mobiler App, Web-Frontend und Backend benötigt meist 2 bis 4 Wochen inklusive Bericht. Den verbindlichen Zeitplan nennen wir nach dem Scoping-Gespräch. Mobile App, Web-Frontend und Backend prüfen wir dabei parallel, damit sich die Testtage nicht aufaddieren.

Als Einstieg liegt der automatisierte Schwachstellenscan bei 1.499 €. Ein manueller Pentest für eine Gesundheitsanwendung wird individuell kalkuliert und liegt meist zwischen 4.000 und 20.000 €, abhängig von der Anzahl der Komponenten (Mobile App, Web, API, Backend), der Komplexität und der gewünschten Testtiefe. Den größten Sprung macht der Aufwand, sobald das Backend mit der Verarbeitung der Gesundheitsdaten im Prüfumfang liegt.

Wir arbeiten wo immer möglich mit Testdaten statt Echtdaten und testen bevorzugt auf Staging-Umgebungen. Vor Projektstart schließen wir eine Geheimhaltungsvereinbarung und, sofern personenbezogene Daten berührt werden, einen Auftragsverarbeitungsvertrag nach DSGVO Art. 28. Zugangsdaten und Testergebnisse werden verschlüsselt übertragen und nach Projektende gelöscht.

Ja, das empfehlen wir sogar. Je früher Sicherheitsprobleme identifiziert werden, desto günstiger und einfacher ist die Behebung. Wir prüfen bereits während der Entwicklungsphase iterativ, etwa nach Fertigstellung des Backends und erneut vor dem Release. So vermeiden Sie kurz vor dem Markteintritt teure Architekturänderungen.

Nein. Wir arbeiten mit abgestimmten Testmethoden und legen den Scope vorab genau mit Ihnen fest. Besonders eingriffsintensive Tests führen wir auf Staging-Umgebungen durch. Kritische Findings melden wir sofort während des Tests, statt bis zum Bericht zu warten, damit Sie unmittelbar reagieren können.

Der Pentest liefert den Nachweis für DSGVO Art. 32 Abs. 1 lit. d, der ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit technischer Schutzmaßnahmen verlangt. Da Gesundheitsdaten nach Art. 9 besonders geschützt sind, fällt das Schutzniveau entsprechend hoch aus. Der Bericht ist als Nachweis gegenüber Aufsichtsbehörden und Auftraggebern verwendbar.

Nein. Unsere Tests ersetzen nicht das offizielle Zertifikat, das nur eine vom BSI anerkannte Prüfstelle ausstellen darf. Wir bereiten Sie darauf vor, indem wir den technischen Prüfprozess vorab durchlaufen und alle offenen Punkte aufdecken, sodass Sie die offizielle Prüfung mit minimalen Nachbesserungen bestehen.

Sie erhalten einen Bericht in Deutsch und Englisch mit Management-Summary, allen Findings inklusive CVSS-Bewertung, Nachweisschritten und konkreten Behebungsempfehlungen. Im Anschluss besprechen wir die Ergebnisse mit Ihrem Entwicklungsteam. Sind die kritischen Punkte behoben, prüfen wir sie ohne Zusatzkosten nach und dokumentieren den geschlossenen Stand für Ihre technische Dokumentation.