BSI TR-03161 einfach erklärt: Was DiGA-Hersteller jetzt wissen müssen

Was ist die BSI TR-03161?

Die Technische Richtlinie BSI TR-03161 wurde vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelt und definiert verbindliche Sicherheitsanforderungen für digitale Gesundheitsanwendungen (DiGA). Sie legt fest, welche technischen Sicherheitsmaßnahmen Hersteller umsetzen müssen, damit ihre Anwendung in das DiGA-Verzeichnis des Bundesinstituts für Arzneimittel und Medizinprodukte (BfArM) aufgenommen werden kann. Die Richtlinie gliedert sich in drei Teile: Teil 1 für Mobile Anwendungen, Teil 2 für Web-Anwendungen und Teil 3 für Hintergrundsysteme (Backends und APIs). Sie baut maßgeblich auf etablierten OWASP-Standards auf – insbesondere dem OWASP MASVS (Mobile Application Security Verification Standard) und dem OWASP ASVS (Application Security Verification Standard).

Die drei Teile der TR-03161

• •Teil 1 – Mobile Anwendungen: Sicherheitsanforderungen für native und hybride Mobile Apps. Prüfaspekte umfassen Datenspeicherung, Kryptographie, Authentifizierung, Netzwerkkommunikation, Plattform-Interaktion und Code-Qualität – basierend auf OWASP MASVS und dem Mobile Security Testing Guide (MASTG).
• •Teil 2 – Web-Anwendungen: Anforderungen an browserbasierte Gesundheitsanwendungen. Fokus auf Authentifizierung, Session-Management, Input-Validierung, Content Security Policy und sichere Kommunikation – basierend auf OWASP ASVS.
• •Teil 3 – Hintergrundsysteme: Sicherheitsanforderungen an Backend-Systeme, APIs und Datenbanken. Prüfaspekte sind Autorisierung, Datenhaltung, Kryptographie, sichere Konfiguration und Logging.
• •Bedrohungsszenarien: Jeder Teil definiert spezifische Bedrohungsszenarien, die bei der Sicherheitsprüfung berücksichtigt werden müssen. Diese orientieren sich an realen Angriffsmustern im Gesundheitswesen.
• •Prüfaspekte: Die Richtlinie beschreibt konkrete Prüfaspekte, die ein Prüfer bei der Zertifizierung bewerten muss – von der sicheren Schlüsselspeicherung bis zur Resistenz gegen Reverse Engineering.
• •bsiTr03161EinfachErklaertDetail.sections.commonAttackVectors.items.5

Warum ist das ab 2025 gesetzliche Pflicht?

Die regulatorische Grundlage bildet die Digitale-Gesundheitsanwendungen-Verordnung (DiGAV) in Verbindung mit § 139e SGB V. Seit 2025 müssen DiGA-Hersteller die Konformität mit der BSI TR-03161 nachweisen, um in das DiGA-Verzeichnis aufgenommen zu werden. Ohne diese Aufnahme ist eine Erstattung durch die gesetzlichen Krankenkassen nicht möglich.

bsiTr03161EinfachErklaertDetail.sections.mitigationStrategies.title

bsiTr03161EinfachErklaertDetail.sections.mitigationStrategies.content

Fazit: Frühzeitig vorbereiten zahlt sich aus

bsiTr03161EinfachErklaertDetail.sections.conclusion.content1

bsiTr03161EinfachErklaertDetail.sections.conclusion.content2