BSI TR-03185 Leitfaden (2026): Software-Updates ohne Re-Zertifizierungsfalle ausrollen

Die Softwareentwicklung in regulierten Branchen stand jahrelang vor einem strukturellen Dilemma: Während moderne DevSecOps-Teams Sicherheits-Patches, Dependency-Updates und Funktions-Releases im Wochen- oder Tagesrhythmus ausrollen müssen, basierten klassische Prüf- und Zertifizierungsverfahren auf einer statischen Produktversions-Prüfung. Jede relevante Code-Änderung drohte den Konformitätsstatus zu gefährden oder kostspielige Nachprüfungen auszulösen. Mit der Technischen Richtlinie BSI TR-03185 („Sicherer Software-Lebenszyklus“) und dem im Jahr 2026 etablierten Verfahren zur aufrechterhaltenen Konformität vollzieht das Bundesamt für Sicherheit in der Informationstechnik (BSI) einen tiefgreifenden Paradigmenwechsel: Weg von der isolierten Stichtags-Prüfung einzelner Artefakte, hin zur belastbaren Prozess- und Lebenszyklus-Zertifizierung.

Dieser technische Leitfaden analysiert die Architektur der BSI TR-03185, beleuchtet die unmittelbaren Synergien für Hersteller Digitaler Gesundheitsanwendungen (DiGA nach BSI TR-03161) sowie B2B-SaaS-Anbieter und liefert eine direkt umsetzbare 5-Schritte-Checkliste für Engineering- und Compliance-Verantwortliche.

1. Der Paradigmenwechsel: Von der Produktversions-Prüfung zum Prozess-Audit nach BSI TR-03185

In traditionellen Evaluierungsmodellen wurde ein Softwareprodukt in einer exakt eingefrorenen Version (v1.4.0) durch eine Prüfstelle begutachtet. Sobald am Folgetag eine kritische Schwachstelle in einer Drittbibliothek (z. B. OpenSSL, Log4j oder einem Container-Base-Image) bekannt wurde, entstand ein gefährlicher Zielkonflikt zwischen operativer IT-Sicherheit und formaler regulatorischer Konformität:

1. Verzögertes Patching aus Angst vor Zertifikatsverlust: Hersteller bündelten Sicherheitsupdates in großen Quartals-Releases, um Re-Audit-Aufwände zu minimieren – und ließen Systeme in der Zwischenzeit angreifbar.
2. Hohe Transaktionskosten: Jede Delta-Zertifizierung band interne Entwicklerkapazitäten, verzögerte Time-to-Market und verursachte erhebliche Prüfkosten.
3. Fehlende Abbildung agiler CI/CD-Pipelines: Statische Prüfberichte spiegelten nicht wider, wie sicher der eigentliche Build-, Test- und Deployment-Prozess im Tagesgeschäft arbeitet.

Das neue BSI-Verfahren (2026) und das Pilotzertifikat für DUX Healthcare

Im Februar 2026 stellte das BSI das neue Verfahren vor, mit dem Hersteller Software auch nach laufenden Updates ohne erneute Einzelzertifizierung als konform ausweisen können – vorausgesetzt, die Entwicklung und Auslieferung unterliegen einem nach BSI TR-03185 zertifizierten sicheren Software-Lebenszyklus (Secure SDLC).

Einen zentralen Meilenstein markierte die Verleihung des ersten offiziellen BSI-Zertifikats nach diesem neuen Verfahren im September 2026 an DUX Healthcare. Dieser Präzedenzfall belegt in der Praxis, dass hochregulierte Softwarehersteller kontinuierliche Sicherheits- und Pflege-Updates veröffentlichen können, während das ursprüngliche Sicherheitszertifikat durchgängig erhalten bleibt. Geprüft wird dabei nicht mehr nur das kompilierte Endergebnis zu einem einzelnen Zeitpunkt, sondern die reproduzierbare Qualitätssicherung, die kryptographische Integrität der Build-Kette und die automatisierte Verifikation jeder Änderung über den gesamten Lebenszyklus hinweg.

2. Konkrete Vorteile für DiGA-Hersteller (BSI TR-03161) und B2B-SaaS-Anbieter

Die Auswirkungen der TR-03185 reichen weit über den öffentlichen Sektor hinaus und treffen insbesondere zwei Marktsegmente mit unmittelbarem wirtschaftlichem Hebel:

A. Hersteller Digitaler Gesundheitsanwendungen (DiGA) und BSI TR-03161

Seit die Nachweispflichten gemäß § 139e SGB V für Digitale Gesundheitsanwendungen und Digitale Pflegeanwendungen (DiPA) eng an die Prüfkriterien der BSI TR-03161 (Teile 1 bis 3: Mobile Anwendungen, Web-Anwendungen und Hintergrundsysteme) gekoppelt sind, stehen MedTech- und Digital-Health-Unternehmen unter permanentem Nachweisdruck gegenüber dem BfArM und den Prüfstellen.

• Nahtlose Update-Zyklen für Mobile- und Cloud-Backends: Betriebssystem-Updates unter iOS und Android oder API-Änderungen erzwingen häufige Anpassungen der Client-Apps. Mit einer TR-03185-Prozesszertifizierung lassen sich Hotfixes und Minor-Releases ausrollen, ohne dass der TR-03161-Konformitätsstatus bei jedem Patch in Frage steht.
• Verkürzte Time-to-Remediation bei CVE-Meldungen: Wenn das Schwachstellenmanagement nach TR-03185 zertifiziert ist, wird das schnelle Einspielen von Sicherheitspatches vom regulatorischen Risiko zum dokumentierten Nachweis gelebter Sorgfaltspflicht.
• Synergie mit ISO 13485 und IEC 62304: Viele Anforderungen der TR-03185 an Risikomanagement, Anforderungsverfolgbarkeit (Traceability) und Konfigurationsmanagement lassen sich direkt mit bestehenden Qualitätsmanagementsystemen für Medizinprodukte harmonisieren.

B. Enterprise B2B-SaaS, KRITIS-Zulieferer und NIS-2-regulierte Unternehmen

Unter dem Eindruck des NIS-2-Umsetzungsgesetzes und des europäischen Cyber Resilience Act (CRA) fordern Enterprise-Einkaufsabteilungen sowie Betreiber kritischer Infrastrukturen belastbare Nachweise für Supply-Chain-Security.

• Wettbewerbsvorteil in B2B-Ausschreibungen (RfP): Ein nach BSI TR-03185 ausgerichteter und auditierbarer Entwicklungsprozess reduziert den Aufwand bei kundenseitigen Vendor-Security-Assessments drastisch.
• Rechtssicherheit nach Stand der Technik: Die Einhaltung der TR-03185 dokumentiert gegenüber Aufsichtsbehörden und Cyber-Versicherern, dass Sicherheit nicht nachträglich („bolt-on“), sondern strukturell („Security by Design & Default“) in der Engineering-Organisation verankert ist.
• Drastische Senkung der Compliance-Gesamtkosten (TCO): Statt wiederkehrender externer Vollprüfungen bei jedem Release verlagert sich der Aufwand auf automatisierte Policy-Gates innerhalb der eigenen CI/CD-Umgebung.

3. Die Kernarchitektur der BSI TR-03185 im Überblick

Die Technische Richtlinie gliedert die Anforderungen an einen sicheren Software-Lebenszyklus in ineinandergreifende Prozessdomänen, die alle Phasen von der Planung bis zur Außerbetriebnahme (Decommissioning) abdecken:

4. Technische 5-Schritte-Implementierungs-Checkliste für Engineering-Teams

Um Ihre Entwicklungsorganisation gezielt auf die Anforderungen der BSI TR-03185 vorzubereiten und die Voraussetzung für zertifizierungserhaltende Updates zu schaffen, empfiehlt sich folgendes schrittweises Vorgehen:

Schritt 1: Formale Änderungs-Klassifikation (Change Impact Assessment) etablieren

Nicht jedes Software-Update hat denselben Einfluss auf die Sicherheitsarchitektur. Definieren Sie in Ihrer Release-Richtlinie drei verbindliche Änderungsklassen: - Klasse A (Reine Sicherheits- & Dependency-Patches): Keine Änderung an Sicherheitsfunktionen (SFRs), Schnittstellen oder Datenflüssen; ausschließliche Behebung bekannter Schwachstellen oder Bugfixes. - Klasse B (Funktionale Erweiterungen innerhalb bestehender Sicherheitsgrenzen): Neue Geschäftslogik, die bestehende Authentifizierungs-, Autorisierungs- und Kryptographie-Module unverändert nutzt. - Klasse C (Architektur- oder kryptographierelevante Änderungen): Eingriffe in IAM-Flüsse, Verschlüsselungsmechanismen, Mandantentrennung oder externe Vertrauensgrenzen.

Für Updates der Klassen A und B muss Ihr Prozess automatisiert nachweisen, dass sämtliche Sicherheits-Invaria­nten erhalten bleiben – genau hier greift das vereinfachte Fortführungsverfahren nach TR-03185.

Schritt 2: CI/CD-Pipeline als deterministische Nachweiskette härten

Ihre Build-Pipeline ist im Prozess-Audit das zentrale Prüfobjekt. Stellen Sie sicher: - Strikte Branch-Protection: Direkte Pushes auf main/release sind technisch gesperrt; jeder Merge erfordert mindestens ein unabhängiges Code-Review sowie kryptographisch signierte Commits (SSH/GPG). - Nicht-umgehbare Security-Gates: Integrieren Sie SAST (Static Application Security Testing), SCA (Software Composition Analysis), Container-Image-Scanning und Secret-Detection so, dass ein Build bei Befunden mit Schweregrad High oder Critical deterministisch abbricht. - Ephemere, isolierte Build-Umgebungen: Builds müssen auf kurzlebigen, gehärteten Runnern ohne unkontrollierten Netzwerkzugriff ausgeführt werden, um Build-Injection-Angriffe auszuschließen.

Schritt 3: Automatisierte SBOM-Generierung und VEX-gestütztes Schwachstellenmanagement

Jedes auslieferbare Release-Artefakt muss zwingend mit einer maschinenlesbaren Software Bill of Materials (SBOM) im Format CycloneDX oder SPDX verknüpft werden: - Erzeugen Sie die SBOM direkt im Build-Schritt aus den aufgelösten Lockfiles (package-lock.json, poetry.lock, go.sum, Cargo.lock, pom.xml). - Koppeln Sie die SBOM an ein automatisiertes Monitoring (z. B. Dependency-Track), das neu veröffentlichte CVEs sofort gegen produktive Release-Stände abgleicht. - Dokumentieren Sie nicht ausnutzbare Schwachstellen strukturiert über VEX (Vulnerability Exploitability eXchange) inklusive nachvollziehbarer technischer Begründung und definierter SLA-Fristen für die Behebung (z. B. kritische CVEs innerhalb von 72 Stunden).

Schritt 4: Automatisierte Regressions- und Sicherheits-Testabdeckung für Sicherheitsfunktionen

Damit ein Update ohne manuelle Nachprüfung durch eine Prüfstelle ausgerollt werden darf, muss die Unversehrtheit aller zertifizierungsrelevanten Sicherheitsfunktionen automatisiert verifiziert werden: - Pflegen Sie eine dedizierte Security-Regression-Testsuite, die Authentifizierung, Session-Handling, Zugriffskontrollen (RBAC/ABAC), Input-Validierung, TLS-Konfiguration und Audit-Logging bei jedem Release-Kandidaten prüft. - Verknüpfen Sie jeden Testfall über eindeutige IDs mit den korrespondierenden Anforderungen aus BSI TR-03185 bzw. BSI TR-03161 (bidirektionale Traceability-Matrix).

Schritt 5: Revisionssicheres Evidence-Repository (Audit-Trail-Automatisierung) aufbauen

Im Auditfall zählt ausschließlich dokumentierte, fälschungssichere Evidenz. Konfigurieren Sie Ihre Pipeline so, dass für jedes veröffentlichte Release automatisch ein Release-Evidence-Bundle archiviert wird: - Commit-Hash, Versions-Tag und kryptographische Signatur (z. B. via Cosign / Sigstore). - Zugehöriges Change-Impact-Assessment und Freigabevermerk des Product Security Officers. - Vollständige Test- und Scan-Berichte (SAST, DAST, SCA, Security-Regression) sowie die erzeugte SBOM.

5. Fazit: Prozessreife als strategischer Beschleuniger

Das neue BSI-Verfahren auf Basis der TR-03185 beendet den jahrelangen Stillstand zwischen agiler Softwareentwicklung und regulatorischer Zertifizierung. Wie das erste Zertifikat für DUX Healthcare im September 2026 eindrucksvoll gezeigt hat, belohnt das BSI Organisationen, die Sicherheit systematisch in ihren Entwicklungs- und Release-Prozess integrieren, mit echter operativer Geschwindigkeit: Schnelle Sicherheitsupdates bei vollem Erhalt der Zertifizierung.

Wer jetzt seine CI/CD-Governance, SBOM-Prozesse und Änderungs-Klassifikation nach den Vorgaben der TR-03185 strukturiert, senkt nicht nur seine Audit-Kosten erheblich, sondern schafft ein belastbares Fundament für TR-03161 (DiGA), NIS-2 und den kommenden Cyber Resilience Act.