11.09.2026 –, Freiraum - C120 Language: Deutsch
Seit letztem Jahr müssen Gesundheitsapps auf Kassenrezept einer strengen technischen Richtlinie des BSI entsprechen. Eine gute Nachricht, denn derartig sensible Anwendungen sollten reguliert werden. Aber die Regulierung ist unausgegoren und verursacht an einigen Stellen mehr Angriffsoberfläche als Sicherheit. Noch dazu erzwingt sie implizit eine Bindung an die Ökosysteme von Google und Apple. Wo liegen die Probleme und wie kann es besser werden?
Wir schauen uns die Schwächen der Richtlinie "Anforderungen an Anwendungen im Gesundheitswesen" (BSI TR-03161) an und bewerten, was diese bewirken. Einige der gestellten Anforderungen sind absolut essentiell für Gesundheits-Apps, andere Anforderungen schwächen die Sicherheit der Anwendungen anstatt sie zu stärken. Noch dazu verstrickt die Richtlinie sich in inneren Widersprüchen und Anforderungen, welche nicht realistisch umsetzbar sind. Andere dringend notwendige Anforderungen zum Schutz der Privatsphäre der Nutzer*innen werden schlicht nicht gestellt. Besonderes Augenmerk richten wir auf die Anforderungen zu Custom-ROM und Root-Detektion, welche die Inanspruchnahme von Gesundheitsapps effektiv an Google und Apple Dienste binden.
Nach der Reise durch die Richtlinie schauen wir uns an wie es besser gehen könnte, in the hope that we can have nice things.
Naph (sie/they) macht beruflich Software kaputt und möchte eine Welt in der Bits und Bytes endlich wieder schmecken. Eine Welt in der man aus einem App-Store trinken kann ohne Ausschlag zu kriegen.