Um in das Verzeichnis erstattungsfähiger digitaler Gesundheitsanwendungen (DiGA) aufgenommen zu werden, muss das Fast-Track-Verfahren beim BfArM durchlaufen werden. Mit dem Digitale-Versorgung-und-Pflege-Modernisierungsgesetz (DVPMG, Digital Supply and Care Modernization Act) wurde der entsprechenden Leitlinie die Anforderung hinzugefügt, dass Unternehmen als Antragsteller für ihre DiGA-Anwendung einen Penetrationstest durchführen lassen müssen.
Penetration tests: With the DVPMG, this requirement was included in the DiGAV for all DiGA. Ensuring the security of the data throughout the entire application process and all conceivable usage scenarios is an essential requirement for DiGA.
Inofficial translation of:
Penetration tests enable the simulation of possible attack patterns and can thus help to uncover security gaps. For the product version for which inclusion in the DiGA directory is requested, a penetration test must have been carried out for all components. These tests are to be repeated as required, e.g. B. when new interfaces are added. The implementation concept for penetration tests of the BSI and the current OWASP top 10 security risks are to be used as the basis for the pentest design. Upon request, the BfArM must be provided with proof of the execution of the corresponding tests.
https://www.bfarm.de/SharedDocs/Downloads/DE/Medizinprodukte/diga_leitfaden.pdf
(document status as of 18 March 2022)
Grundsätzlich lassen sich die Anforderungen an einen DiGA-Pentest wie folgt zusammenfassen:
- Durchführungskonzept für Penetrationstests des BSI
- OWASP Top 10
- für alle Komponenten
- bei Bedarf zu wiederholen (z. B. neue Schnittstellen)
Ich hatte bereits mehrere Gespräche mit Herstellern von DiGA-Apps, die ausschließlich die eigentliche Mobile App (also üblicherweise die iOS- und Android-Version) geprüft haben möchten. Eine darunterliegende API hingegen, über die ein Teil der Geschäftsfunktionalität umgesetzt wird, die die Nutzerauthentifizierung übernimmt und die als zentrale Ablage für Gesundheitsdaten dienen soll, soll nicht zum Umfang gehören.
Natürlich sind eine „Mobile App“ und eine „API“ zwei verschiedene Dinge, und die Verordnung spricht von digitalen Gesundheitsanwendungen (also Mobile Apps). Diese Auslegung der Verordnung erreicht jedoch das Ziel nicht und ist schlicht falsch. Mit dem Penetrationstest soll „die Sicherheit der Daten während des gesamten Anwendungsprozesses“ gewährleistet werden, und der Penetrationstest muss für „alle Komponenten“ durchgeführt werden. Das bedeutet zwingend, dass Backend-Systeme und APIs im Hintergrund ebenfalls zum Umfang des Penetrationstests gehören und nicht nur die eigentliche Mobile App aus dem Android- oder Apple-Store.