Zurück zum Wiki
BSI TR-03161 · § 139e SGB V

BSI TR-03161 – Sicherheit für Gesundheits-Apps

Die Technische Richtlinie BSI TR-03161 „Anforderungen an Anwendungen im Gesundheitswesen“ definiert Sicherheitsanforderungen für digitale Gesundheitsanwendungen. Sie gliedert sich in drei Teile: Teil 1 für mobile Anwendungen, Teil 2 für Web-Anwendungen und Teil 3 für Hintergrundsysteme (Backends/APIs).

Für Hersteller von DiGA (digitale Gesundheitsanwendungen nach § 139e SGB V) und DiPA ist die Erfüllung verpflichtend: Die DiGA-Verordnung (DiGAV) verlangt den Nachweis der Anforderungen, seit 2025 in Form eines BSI-Zertifikats nach TR-03161 als Voraussetzung für die Aufnahme ins DiGA-Verzeichnis des BfArM.

Herausgeber
BSI
Struktur
3 Teile (App, Web, Backend)
Pflicht für
DiGA & DiPA

Was die Richtlinie fordert

  • Sichere Architektur und Zweckbindung: Datensparsamkeit, klare Trennung sensibler Funktionen, dokumentierte Bedrohungsmodelle.
  • Kryptografie nach BSI TR-02102: aktuelle Algorithmen und Protokolle für Speicherung und Transport (TLS).
  • Authentifizierung und Session-Management: starke Verfahren, sichere Token-Behandlung, Schutz vor Brute-Force.
  • Plattform-Sicherheit: sichere Nutzung von iOS/Android-APIs, Schutz lokaler Daten, Umgang mit Berechtigungen.
  • Resilienz der Backends: Härtung, Eingabevalidierung, Logging und Schwachstellenmanagement für alle Hintergrundsysteme.

So setzen Sie es um

  1. 1

    Scope bestimmen

    Festlegen, welche Teile der TR (1/2/3) Ihre Anwendungskomponenten abdecken müssen.

  2. 2

    Gap-Analyse gegen den Prüfkatalog

    Jede Anforderung der relevanten Teile mit dem Ist-Stand abgleichen und Lücken priorisieren.

  3. 3

    Maßnahmen umsetzen

    Kryptografie, Authentifizierung, Datenhaltung und Backend-Härtung auf TR-Niveau bringen.

  4. 4

    Vorbereitende Sicherheitsprüfung

    Penetrationstest entlang der TR-03161-Prüfaspekte, um Findings vor der offiziellen Prüfung zu beheben.

  5. 5

    Zertifizierung durchlaufen

    Prüfung bei einer vom BSI anerkannten Prüfstelle beauftragen; Zertifikat beim BfArM-Antrag einreichen.

  6. 6

    Aufrechterhaltung planen

    Re-Zertifizierung, Patch-Prozesse und Monitoring für Folgeversionen von Beginn an einplanen.

Was droht bei Verstößen?

Ohne Nachweis keine Aufnahme bzw. Streichung aus dem DiGA-Verzeichnis (§ 139e SGB V i. V. m. DiGAV) – damit entfällt die Erstattungsfähigkeit durch die gesetzlichen Krankenkassen. Zusätzlich drohen bei Datenpannen DSGVO-Bußgelder, da Gesundheitsdaten besonders geschützt sind (Art. 9 DSGVO).

Die Rolle des Penetrationstests

Eine vorbereitende Sicherheitsprüfung entlang der TR-03161-Prüfaspekte deckt Findings auf, bevor die offizielle BSI-Prüfstelle sie findet – das spart teure Prüfschleifen und beschleunigt die DiGA-Zulassung.

TR-03161-Vorbereitung mit Sodu Secure

Offizielle Quellen & Belege

Alle Angaben dieses Artikels stützen sich auf die folgenden Primärquellen (Stand: 2026-07-17).

BSI TR-03161 – Sicherheit für Gesundheits-Apps – Wiki | Sodu Secure