Die BSI TR-03161 (Technische Richtlinie „Anforderungen an Anwendungen im Gesundheitswesen“) ist eine Richtlinie des Bundesamts für Sicherheit in der Informationstechnik (BSI), die Sicherheitsanforderungen für digitale Gesundheitsanwendungen definiert.
Sie verfolgt die grundlegenden Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit sensibler medizinischer Daten und dient als Leitfaden für Hersteller und Entwickler, um IT-Sicherheitsmaßnahmen in der Softwareentwicklung zu berücksichtigen. Die TR-03161 richtet sich primär an Anbieter von Anwendungen im Gesundheitswesen, kann aber grundsätzlich für alle Apps herangezogen werden, die persönliche oder sensible Daten verarbeiten.
Seit 2025 ist die Einhaltung der TR-03161 für digitale Gesundheitsanwendungen in Deutschland verpflichtend nachzuweisen, um in das DiGA-Verzeichnis (Verzeichnis erstattungsfähiger digitaler Gesundheitsanwendungen) aufgenommen zu werden.
Hintergrund Die erste Version der TR-03161 (Teil 1 für mobile Anwendungen) wurde im April 2020 veröffentlicht. Sie entstand als allgemeiner Sicherheitsleitfaden für Gesundheits-Apps (sogenannte DiGA, digitale Gesundheitsanwendungen). Das BSI verfolgte damit das Ziel, unbefugten Zugriff auf hochsensible Gesundheitsdaten zu erschweren und Entwickler dafür zu sensibilisieren, Sicherheitsanforderungen von Beginn an in die App-Entwicklung einzubeziehen.
Die Erstveröffentlichung erfolgte im „Trial-Use“-Status, um Erfahrungen zu sammeln. Bereits vor einer offiziellen Zertifizierung konnten Hersteller die TR-03161 nutzen, um in Form einer Selbsterklärung die Anforderungen des BfArM-Zulassungsverfahrens für digitale Gesundheitsanwendungen (DiGA) zu erfüllen.
In den folgenden Jahren wurde die Richtlinie ausgebaut und aktualisiert. Am 18. Juni 2022 publizierte das BSI ergänzende technische Richtlinien für Web-Anwendungen und Hintergrundsysteme.
Inhalt und Aufbau Die Technische Richtlinie BSI TR-03161 besteht aus drei thematischen Teilen:
„Teil 1: Mobile Anwendungen“: IT-Sicherheitsanforderungen für mobile Apps im Gesundheitswesen (Smartphone-Apps, Tablets etc.). „Teil 2: Web-Anwendungen“: IT-Sicherheitsanforderungen für webbasierte Anwendungen im Gesundheitswesen (Websites, Webportale, Web-Applikationen etc.). „Teil 3: Hintergrundsysteme“: IT-Sicherheitsanforderungen für Hintergrund- und Serversysteme, die von Gesundheitsanwendungen genutzt werden (Cloud-Backends, Datenbanken etc.).
Welche Teile der TR-03161 anwendbar sind, hängt von der Architektur der jeweiligen Anwendung ab.
Zertifizierung und gesetzliche Vorgaben Gemäß § 139e Abs. 10 SGB V und § 78a Abs. 7 SGB XI müssen Hersteller digitaler Gesundheitsanwendungen (DiGA) und digitaler Pflegeanwendungen (DiPA) ab dem 1. Januar 2025 ein Zertifikat vorlegen, das die Einhaltung der Sicherheitsanforderungen nach TR-03161 bestätigt. Dieses Zertifikat ist Voraussetzung für die Aufnahme einer neuen Anwendung in das DiGA- oder DiPA-Verzeichnis beim BfArM. Die aktuellen Sicherheitskriterien für DiGA und DiPA, speziell in Bezug auf die BSI TR-03161, lassen sich auf der offiziellen Website des BfArM nachlesen.
Die Zertifizierung wird von zugelassenen Prüfstellen durchgeführt und vom BSI bestätigt.
Kritik Die Einführung der TR-03161 stößt in der Industrie auf deutliche Kritik. In der Kritik wird unter anderem bemängelt:
Hoher Implementierungsaufwand: Die umfangreichen Anforderungen verursachen nach Einschätzung vieler Unternehmen erheblichen Mehraufwand bei Entwicklung und Dokumentation. Usability-Einschränkungen: Strikte Sicherheitsvorgaben stehen laut Kritikern teilweise im Konflikt mit Nutzerfreundlichkeit, z. B. durch komplexe Authentifizierungsprozesse. Dies erschwert den Zugang von Patienten zu digitaler Gesundheitsversorgung maßgeblich. Kostenbelastung: Die notwendige Zertifizierung und kontinuierliche Nachweise führen zu höheren Kosten, die gerade kleinere Anbieter belasten.
Branchenverbände haben in Stellungnahmen wiederholt auf diese Problempunkte hingewiesen und eine bessere Balance zwischen Sicherheit und Praxistauglichkeit gefordert.
Liste der zertifizierten Anwendungen Stand 7. Oktober 2025 sind die folgenden digitalen Gesundheitsanwendungen (DiGA) bereits gemäß BSI TR-03161 zertifiziert: ProduktHerstellerDatumKranus MicteraKranus Health GmbH15.09.2025myloviaGAIA AG12.09.2025attexisGAIA AG17.06.2025ORIKO ADHS-TherapieMiNDNET E-Health Solutions GmbH (in Kooperation mit Takeda, Softwareentwicklung durch QuickBird Medical)17.06.2025hiToco - ADHS ElterntrainingMedigital GmbH04.03.2025
Einzelnachweise
Kategorie:IT-Sicherheit Kategorie:Gesundheitswesen (Deutschland)