Mit der Technischen Richtlinie BSI TR-03161 sind die Anforderungen an die Informationssicherheit digitaler Gesundheitsanwendungen deutlich konkreter geworden. Spätestens seitdem die Einhaltung der Richtlinie für bestimmte Zulassungsverfahren nachgewiesen werden muss, ist sie für viele Hersteller ein fester Bestandteil der Produktentwicklung.
Dennoch zeigt sich in der Praxis immer wieder, dass rund um die TR-03161 einige Missverständnisse bestehen. Sie führen häufig zu unnötigem Aufwand oder verzögern Zertifizierungs- und Zulassungsprozesse. Die fünf häufigsten Irrtümer lohnt es sich deshalb näher anzuschauen.
Missverständnis 1: Die TR-03161 betrifft nur die App
Viele denken zunächst an die mobile Anwendung selbst. Tatsächlich betrachtet die Richtlinie jedoch die gesamte technische Lösung. Je nach Architektur können neben der App auch Backend-Systeme, Schnittstellen, Webanwendungen (ggf. auch Webanwendungen der Administratorenschnittstelle!) oder weitere Komponenten Teil der Prüfung sein, etwa eine Cloud-Infrastruktur, über die Gesundheitsdaten synchronisiert werden, oder ein API-Gateway, das Drittsysteme anbindet. Entscheidend ist nicht, ob es sich um eine App handelt, sondern welche Systeme Gesundheitsdaten verarbeiten und wie diese miteinander interagieren.
Missverständnis 2: Wir sind bereits nach ISO/IEC 27001 zertifiziert
Ein Informationssicherheitsmanagement nach ISO/IEC 27001 ist eine wichtige Grundlage. Die TR-03161 verfolgt jedoch einen anderen Schwerpunkt. Während die ISO/IEC 27001 den organisatorischen Rahmen für Informationssicherheit beschreibt, stellt die Technische Richtlinie konkrete Anforderungen an die technische Umsetzung einer Gesundheitsanwendung. Für Backend-Systeme geht Teil 3 der TR-03161 sogar noch weiter: Die Anforderung O.Org_1 verlangt vom Betreiber der Hintergrundsysteme ausdrücklich den Nachweis einer Zertifizierung nach ISO/IEC 27001, auf Basis von IT-Grundschutz (BSI 27001) oder eines vergleichbaren Standards. Eine bestehende ISO-Zertifizierung ist hier also keineswegs überflüssig, sondern für den Betrieb der Hintergrundsysteme sogar verpflichtend vorausgesetzt.
Wo die TR-03161 spürbar konkreter wird
Themen wie Authentisierung, Kryptografie oder sichere Kommunikation werden in der TR-03161 auf eine Detailtiefe heruntergebrochen, die ein ISMS in dieser Form nicht abbildet. Bei kryptografischen Verfahren etwa verweist die Richtlinie auf konkrete Algorithmen- und Schlüssellängenvorgaben, wie sie beispielsweise auch in der BSI TR-02102 beschrieben sind, statt nur ein allgemeines Kryptokonzept zu fordern. Eine ISO-Zertifizierung ersetzt die Anforderungen der TR-03161 deshalb nicht – selbst dort, wo sie wie beim Betrieb der Hintergrundsysteme explizit gefordert wird, deckt sie nur einen Teil der technischen Vorgaben ab und muss durch die konkreten Anforderungen der TR-03161 ergänzt werden.
Missverständnis 3: Es geht doch nur um Datenschutz
Datenschutz und Informationssicherheit werden häufig gleichgesetzt. Tatsächlich verfolgen beide unterschiedliche Ziele. Datenschutz regelt, welche personenbezogenen Daten verarbeitet werden dürfen und unter welchen Voraussetzungen. Die TR-03161 beschäftigt sich dagegen mit der technischen Absicherung dieser Daten. Sie betrachtet unter anderem Vertraulichkeit, Integrität und Verfügbarkeit sowie die konkrete Umsetzung geeigneter Sicherheitsmaßnahmen. Eine Anwendung kann datenschutzrechtlich einwandfrei konzipiert sein und trotzdem technische Sicherheitslücken aufweisen, die genau hier ansetzen. Ganz trennscharf ist die Abgrenzung dabei allerdings nicht: Auch die TR-03161 greift mit einzelnen Anforderungen in datenschutznahe Fragen ein. So verlangt etwa die Anforderung O.Purp, dass sensible Daten nur dann erhoben werden dürfen, wenn dies für den primären und rechtmäßigen Zweck der Anwendung notwendig ist. Datenschutz und Informationssicherheit greifen an solchen Stellen ineinander, bleiben in ihrer grundsätzlichen Zielrichtung aber unterschiedliche Themen.
Missverständnis 4: Das Zertifikat beantragen wir am Ende des Projekts
In vielen Entwicklungsprojekten wird die Zertifizierung erst eingeplant, wenn das Produkt nahezu fertiggestellt ist. Das kann zu erheblichen Verzögerungen führen. Die Anforderungen der TR-03161 betreffen zahlreiche technische Entscheidungen, die bereits während der Entwicklung getroffen werden, etwa die Wahl des Authentisierungsverfahrens, die Architektur der Schnittstellen oder das Schlüsselmanagement.
Was passiert, wenn Sicherheit erst am Ende mitgedacht wird
Werden diese Punkte erst kurz vor der Zertifizierung berücksichtigt, entstehen häufig Nacharbeiten an Stellen, die im fertigen Produkt nur mit hohem Aufwand noch verändert werden können, etwa wenn ein Authentisierungsverfahren nachträglich ausgetauscht werden muss. Deshalb lohnt es sich, die Anforderungen der TR-03161 frühzeitig in die Projektplanung einzubeziehen, im Idealfall schon in der Architekturphase. Hinzu kommt, dass eine effiziente Prüfung eine angemessene Dokumentation voraussetzt. Auch hier zahlt es sich aus, sich frühzeitig während der Entwicklung mit der Prüfstelle abzustimmen, statt Nachweise und Dokumentation erst kurz vor der Prüfung zusammenzustellen.
Missverständnis 5: Die Prüfstelle sagt uns schon, wie wir die Anforderungen umsetzen
Auch hier gibt es häufig falsche Erwartungen. Grundsätzlich kann eine Prüfstelle durchaus beratend tätig sein. Spätestens im eigentlichen Prüfprozess muss jedoch eine personelle Trennung zwischen Beratung und Prüfung bestehen: Wer ein Produkt begleitet oder berät, darf es später nicht selbst prüfen. Die Aufgabe der Prüfstelle in der Prüfung besteht darin, die Umsetzung anhand der geltenden Anforderungen unabhängig zu bewerten und den Zertifizierungsprozess fachlich zu begleiten. Diese personelle Trennung ist bewusst vorgesehen: Sie stellt sicher, dass die Prüfung objektiv und nachvollziehbar erfolgt, und schützt am Ende auch den Hersteller, dessen Zertifikat dadurch an Aussagekraft gewinnt.
Fazit: Frühzeitiges Verständnis zahlt sich aus
Die TR-03161 ist weit mehr als eine formale Voraussetzung für digitale Gesundheitsanwendungen. Wer die Anforderungen frühzeitig versteht und typische Missverständnisse vermeidet, kann Zertifizierungs- und Zulassungsprozesse deutlich effizienter gestalten und teure Nacharbeiten vermeiden. Gerade weil sich die Richtlinie und ihre Auslegungspraxis kontinuierlich weiterentwickeln, lohnt sich zudem ein regelmäßiger Abgleich der eigenen Produktarchitektur mit dem aktuellen Anforderungsstand, statt sich auf eine einmalige Bewertung zu verlassen.
Als vom BSI anerkannte Prüfstelle begleitet die SRC Hersteller durch den gesamten Zertifizierungsprozess nach TR-03161. Ziel ist es, Anforderungen transparent zu bewerten, Prüfungen effizient durchzuführen (z. B. durch unmittelbares Feedback zu gefundenen Sicherheitsmängeln) und Unternehmen fachlich auf dem Weg zur erfolgreichen Zulassung zu begleiten.
