BSI-Prüfbericht 2026: Sicherheitsmängel in Standardkonfigurationen im Gesundheitswesen beheben (TR-03161 & TR-03185 Leitfaden)

Die aktuelle Untersuchung des Bundesamts für Sicherheit in der Informationstechnik (BSI, Pressemitteilung vom 17. März 2026 – „BSI bemängelt IT-Sicherheit von Software-Produkten des Gesundheitswesens“) legt einen kritischen Schwachpunkt in der deutschen Healthcare-IT offen: Bei der sicherheitstechnischen Prüfung der Standardkonfigurationen (Default-Settings) verbreiteter Software-Produkte im Gesundheitswesen zeigten sich erhebliche Defizite in der Transport- und Speicherverschlüsselung, der Authentisierung sowie beim sicheren Patch- und Update-Management.

Für Hersteller Digitaler Gesundheitsanwendungen (DiGA nach § 139e SGB V), Krankenhausinformationssysteme (KIS), Praxisverwaltungssysteme (PVS) sowie MedTech-Zulieferer verschärft sich damit der regulatorische Handlungsdruck durch das BfArM, die BSI TR-03161 (Anforderungen an Anwendungen im Gesundheitswesen), die BSI TR-03185 (Sicherer Software-Lebenszyklus) und das NIS-2-Umsetzungsgesetz (§ 30 BSIG).

1. Kernbefunde des BSI: Warum „Secure by Default“ im Gesundheitswesen scheitert

Besonders sensible Gesundheitsdaten nach Art. 9 DSGVO unterliegen dem höchsten Schutzbedarf. Dennoch stellte das BSI fest, dass zahlreiche Software-Produkte im Auslieferungszustand („Out-of-the-Box“) unsichere Voreinstellungen aufweisen, die im Klinik- oder Praxisalltag selten nachträglich gehärtet werden:

2. Das „Harvest Now, Decrypt Later“-Risiko bei Art.-9-DSGVO-Gesundheitsdaten

Gesundheitsakten, genetische Daten und Therapieverläufe müssen oft über 10 bis 30 Jahre vertraulich bleiben. Damit fällt jede DiGA-, Telematik- und KIS-Architektur unmittelbar unter das vom BSI in der TR-02102-1 (2026-01) adressierte „Harvest Now, Decrypt Later“-Szenario:

• Angreifer zeichnen heute verschlüsselte TLS- oder VPN-Datenströme auf, um sie nach Erreichen kryptographisch relevanter Quantencomputer (BSI-Auslaufszenario Ende 2031 für rein klassisches RSA/ECDH) rückwirkend zu entschlüsseln.
• Nach Art. 32 DSGVO („Stand der Technik“) sowie § 30 Abs. 2 Nr. 8 BSIG (NIS-2) müssen Betreiber und Hersteller im Gesundheitssektor ein dokumentiertes Krypto-Inventar (CBOM) und einen Migrationsfahrplan auf hybride Post-Quanten-Verfahren (X25519MLKEM768 / SecP256r1MLKEM768) nachweisen.

⚡ Kostenloser 60-Sekunden-Selbsttest für Healthcare & DiGA: Prüfen Sie Ihren aktuellen Compliance-Gap-Score für die Branche „Gesundheitswesen / MedTech / DiGA-Hersteller (BSI TR-03161 & Art. 9 DSGVO)“ direkt in unserem clientseitigen BSI TR-02102 & NIS-2 Krypto-Risiko-Schnelltest oder scannen Sie Ihre Linux-Server kostenlos mit unserem Open-Source CLI-Scanner auf GitHub.

3. Technische Härtungs-Checkliste: Secure-by-Default für DiGA- & Healthcare-Releases

Um bei Prüfungen durch das BSI, das BfArM (DiGA-Fast-Track) oder nach § 391 SGB V / NIS-2 keine Beanstandungen der Standardkonfiguration zu riskieren, sollten Entwicklungsteams vier technische Leitplanken direkt im Build-Artefakt verankern:

1. Harte Deaktivierung von Legacy-Protokollen im Auslieferungs-Image:
2. In /etc/ssl/openssl.cnf bzw. im Application-Container muss MinProtocol = TLSv1.3 (oder mindestens TLSv1.2 ausschließlich mit AEAD-Ciphern gemäß BSI TR-02102-2) als unveränderlicher Default gesetzt sein.
3. Für administrative SSH-Zugänge (BSI TR-02102-4) sind ssh-rsa und klassische NIST-Kurven ohne Hybrid-KEM durch mlkem768x25519-sha256 (ab OpenSSH 9.9) zu ersetzen.
4. Automatisierter CI/CD-Konfigurations-Scan vor jedem Release:
5. Binden Sie unseren Open-Source-Scanner KenanErorr404/bsi-tr02102-pqc-audit-cli@v1.1.0 als GitHub Action in Ihre Build-Pipeline ein, um jedes Container-Image oder VM-Template vor dem Release automatisiert gegen die BSI-Kryptovorgaben zu prüfen und das JSON-CBOM als Audit-Artefakt zu archivieren.
6. Trennung von Security-Hotfixes und Major-Änderungen nach BSI TR-03185:
7. Wenn Sie unsichere Standardkonfigurationen beheben oder OpenSSL/Krypto-Bibliotheken aktualisieren, darf dies nicht jedes Mal einen monatelangen Rezertifizierungs-Stillstand auslösen.
8. Dokumentieren Sie über eine TR-03185 Update-Klassifizierungsmatrix, dass das Härtungs-Release keine sicherheitskritischen Architektur-Grenzen verletzt, sondern als kompensierendes Security-Release im zertifizierten SDLC ausgerollt wird.