Auf dem Panel sprachen die Nuki-Mitgründer Martin Pansy, CEO, und Jürgen Pansy, Chief Innovation Officer, Luise Werner, Cybersecurity-Beraterin bei secuvera, sowie Eric Clausing, IoT-Lead bei AV-TEST. Dabei kamen drei Perspektiven zusammen, die für wirksame Produktsicherheit ineinandergreifen müssen: die Umsetzung beim Hersteller, die regulatorische Einordnung und die unabhängige technische Prüfung.

Meldefristen werden zum Praxistest

Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb enger Fristen melden. Grundsätzlich ist innerhalb von 24 Stunden eine Frühwarnung erforderlich. Innerhalb von 72 Stunden folgt eine weitergehende Meldung mit den zu diesem Zeitpunkt verfügbaren Informationen und einer ersten Bewertung.

Dafür müssen Hersteller kurzfristig feststellen können, welche Produkte, Versionen und Komponenten betroffen sind, wie schwerwiegend ein Vorfall ist und welche Maßnahmen notwendig sind. Der Paneltalk zeigte: Cybersicherheit ist ein kontinuierlicher Prozess. Er reicht von der Risikobewertung und Security by Design über die Steuerung von Drittkomponenten und Lieferketten bis zu technischen Tests, Sicherheitsupdates und der Dokumentation sicherheitsrelevanter Entscheidungen.

„Die neuen Meldepflichten sind vor allem ein Praxistest für die Sicherheitsorganisation der Hersteller. Innerhalb kürzester Zeit muss belastbar geklärt werden können, welche Produkte und Versionen betroffen sind, wie schwerwiegend ein Vorfall ist und welche Maßnahmen notwendig sind“, sagt Luise Werner. „Das funktioniert nur, wenn Risikoanalyse, sichere Entwicklung, technische Tests und Schwachstellenmanagement schon vorher ineinandergreifen.“

Security by Design trifft unabhängige Prüfung

Nuki brachte die Perspektive eines Herstellers vernetzter Produkte in die Gesprächsrunde ein. Das Unternehmen für smarte Zutrittslösungen setzt nach eigenen Angaben seit der ersten Smart-Lock-Generation auf Security by Design und berücksichtigt Sicherheitsanforderungen über den gesamten Produktlebenszyklus hinweg.

„IT-Sicherheit ist für uns kein nachträglicher Anstrich, den man einem Produkt verleiht, wenn eine neue Verordnung kommt – sie ist in unserer Produkt-DNA verankert“, sagt Jürgen Pansy, Mitgründer und Chief Innovation Officer von Nuki.

AV-TEST ergänzte die Diskussion um die Perspektive eines unabhängigen Prüfinstituts. Technische Sicherheitstests zeigen, ob vorgesehene Sicherheitsmaßnahmen auch in der konkreten Implementierung wirksam sind.

„Ein Produkt kann auf dem Papier sicher sein und trotzdem angreifbar. Unabhängige Sicherheitstests schaffen eine wichtige zusätzliche Perspektive“, sagt Eric Clausing, IoT-Lead bei AV-TEST.

Der Paneltalk verdeutlicht: Herstellerpraxis, Compliance und unabhängige Prüfungen müssen ineinandergreifen, damit vernetzte Produkte die regulatorischen Anforderungen erfüllen und ihre Sicherheitsmaßnahmen auch in der Praxis wirksam sind.

Mit der TR-03185 rückt das BSI erstmals den gesamten sicheren Software-Lebenszyklus als eigenständigen Zertifizierungsgegenstand in den Mittelpunkt – von der Entwicklung und Prüfung über die Bereitstellung bis zum Betrieb. Die Richtlinie ermöglicht damit einen objektiven Nachweis sicherer Softwareentwicklungsprozesse.

Die Zertifizierung schafft insbesondere für Hersteller digitaler Gesundheitsanwendungen (DiGA) und Digital Therapeutics (DTx) einen erheblichen Mehrwert. Sind Entwicklungs- und Freigabeprozesse nach TR-03185 zertifiziert, können sicherheitsrelevante Änderungen innerhalb des zertifizierten Lebenszyklus effizient umgesetzt werden. Dadurch lassen sich Sicherheitsupdates und Weiterentwicklungen schneller bereitstellen, ohne Abstriche bei den hohen Anforderungen an die Informationssicherheit zu machen.

Im Rahmen des Projekts führte secuvera zunächst eine GAP-Analyse als Vorabprüfung durch, um die bestehenden Entwicklungs- und Sicherheitsprozesse hinsichtlich ihrer Konformität mit den Anforderungen der Richtlinie einer ersten Bewertung zu unterziehen. Punkte ohne hinreichende Abdeckung der Anforderungen wurden benannt, um DUX Healthcare GmbH die weitere Verbesserung ihrer Abläufe und ihres Systems zu ermöglichen. Darauf aufbauend übernahm das Auditteam der secuvera GmbH unter der Leitung von Geschäftsführer und Auditor Reto Lorenz das Zertifizierungsaudit nach dem BSI-Managementsystem-Zertifizierungsprogramm für Prozesse gemäß TR-03185 (MZP-TR-SiSL). Das Audit umfasste die vollständige Bewertung aller Anforderungen der Richtlinie einschließlich Dokumentenanalyse, Prüfung der praktischen Umsetzung und Berichterstattung gegenüber dem BSI.

„Mit der Zertifizierung nach TR-03185 zeigen wir, dass Informationssicherheit bei DUX nicht erst am fertigen Produkt beginnt, sondern integraler Bestandteil unseres gesamten Entwicklungsprozesses ist. Für unsere Auftraggeber bedeutet das schnellere Innovationszyklen bei gleichzeitig nachweisbar hohen Sicherheitsstandards. Im Zertifizierungsverfahren hatten wir mit secuvera einen erfahrenen Partner an unserer Seite“, so Thomas Wolters, Geschäftsführer der DUX Healthcare GmbH.

Reto Lorenz, Geschäftsführer und Auditor der secuvera GmbH, sieht in der Zertifizierung einen wichtigen Impuls für die Branche: „Die TR-03185 markiert einen Paradigmenwechsel: Entscheidend ist künftig nicht mehr allein die Sicherheit eines einzelnen Produkts in einer bestimmten Version, sondern ein nachweisbar sicherer Software-Lebenszyklus. DUX Healthcare hat diesen Ansatz konsequent umgesetzt und damit ein wichtiges Praxisbeispiel für die Branche geliefert.“

Über DUX Healthcare GmbH
DUX Healthcare GmbH (vormals fluidmobile) mit Sitz in Karlsruhe entwickelt und betreibt eine modulare Technologieplattform für Digitale Gesundheitsanwendungen (DiGA), Digital Therapeutics (DTx) und Pharmacompanions. Die mHealth Suite ermöglicht es Herstellern, regulierte Gesundheitssoftware schneller, sicherer und kosteneffizienter zu entwickeln, zertifizieren und insbesondere international zu skalieren. Über 80 vorbereitete DTx-Module ermöglichen eine CE-Zertifizierung (Klasse I/IIa) in 12 Wochen – bei integrierter Konformität mit MDR, DiGAV, ISO 27001, BSI TR-03161 und BfArM-Datenschutzprüfkriterien.

Weitere Informationen zu DUX Healthcare finden Sie unter www.dux-healthcare.com.

Die CISO Alliance e.V. vernetzt Chief Information Security Officers (CISOs), Informationssicherheitsverantwortliche sowie Unternehmen und Institutionen. Ziel des Berufsverbands ist es, den Wissenstransfer zu fördern, Best Practices auszutauschen, branchenübergreifende Kooperationen anzustoßen und die Informationssicherheit in Deutschland nachhaltig zu stärken.
Als Fördermitglied bringt secuvera seine Expertise als unabhängiges Beratungsunternehmen für Informationssicherheit und Cybersecurity in dieses Netzwerk ein.

„Cybersicherheit ist heute mehr denn je Gemeinschaftsaufgabe. Der Dialog zwischen CISOs, Unternehmen und spezialisierten Dienstleistern stärkt die Resilienz von Organisationen und hilft dabei, neuen Bedrohungen wirksam zu begegnen. Wir freuen uns deshalb, die Mission der CISO Alliance als Fördermitglied zu unterstützen und so zu einer sicheren digitalen Zukunft beizutragen“, sagt Tobias Glemser, Geschäftsführer der secuvera GmbH.

„Fördermitglieder wie secuvera sind für die CISO Alliance besonders wertvoll, weil sie unsere gemeinsame Mission stärken: Informationssicherheit sichtbarer zu machen, Expertise zu vernetzen und den fachlichen Austausch in der Breite zu fördern. Genau solche Partnerschaften helfen uns, die Stimme der CISOs und Informationssicherheitsverantwortlichen zu bündeln und die Resilienz von Organisationen insgesamt zu erhöhen. In einer Zeit wachsender regulatorischer und operativer Anforderungen braucht es dieses Miteinander mehr denn je“, so Ron Kneffel, Vorstandsvorsitzender der CISO Alliance e.V.

Seit vielen Jahren begleitet secuvera Unternehmen und öffentliche Einrichtungen bei der Umsetzung wirksamer Informationssicherheit. Das Leistungsspektrum umfasst unter anderem Informationssicherheitsmanagement, Penetrationstests, IT-Produktprüfungen nach etablierten Cybersicherheitsstandards sowie Beratung zu regulatorischen Anforderungen wie NIS2 und dem Cyber Resilience Act (CRA).

Der Geltungsbereich der Zertifizierung umfasst das gesamte Unternehmen. Das Zertifikat wurde durch TÜV SÜD unter der Zertifikat-Registrier-Nummer 12 310 70537 TMS erteilt.

Die Lösungen von MB connect line ermöglichen weltweit den sicheren Fernzugriff auf Maschinen und Anlagen – etwa über VPN-Verbindungen zwischen einer zentralen Plattform und industriellen Systemen. Informationssicherheit ist daher ein zentraler Bestandteil der Unternehmensstrategie.

„Für unsere Kunden ist Vertrauen in die Sicherheit unserer Lösungen essenziell. Die ISO 27001-Zertifizierung unterstreicht unseren Anspruch, Informationssicherheit systematisch und auf höchstem Niveau umzusetzen“, sagt Timo Bednarek, Geschäftsführer der MB connect line GmbH. „secuvera hat uns während des gesamten Projekts mit klarer Struktur und viel Praxiserfahrung begleitet. Besonders wertvoll war für uns der Ansatz, bestehende Prozesse gezielt einzubinden und das ISMS pragmatisch weiterzuentwickeln.“

Im Projekt übernahm secuvera eine beratende und qualitätssichernde Rolle. Die Cybersicherheitsberatung aus dem Großraum Stuttgart unterstützte MB connect line unter anderem bei der strukturierten Ausgestaltung des ISMS sowie der Umsetzung der ISO-27001-Anforderungen. Zudem führte secuvera ein internes Audit durch und begleitete das Unternehmen bei der Vorbereitung und Durchführung des externen Zertifizierungsaudits.

„Die Einführung eines Informationssicherheitsmanagementsystems nach ISO 27001 ist für viele Unternehmen ein wichtiger Schritt, um Informationssicherheit strukturiert und nachweisbar zu verankern.“, sagt Viktor Rechel, Projektleiter und stellvertretender technischer Leiter Sicherheitsberatung bei secuvera. „Gemeinsam mit MB connect line konnten wir ein ISMS aufbauen, das sich gut in die bestehenden Prozesse des Unternehmens einfügt. Dabei wurde deutlich, wie stark das Thema Informationssicherheit im Unternehmen bereits verankert ist – nicht zuletzt durch die bestehende Zertifizierung nach IEC 62443-4-1, die wir ebenfalls begleitet haben.“

Die internationale Norm ISO/IEC 27001 gilt als weltweit etablierter Standard für Informationssicherheitsmanagementsysteme. Sie unterstützt Organisationen dabei, Informationssicherheitsrisiken systematisch zu identifizieren, geeignete Schutzmaßnahmen umzusetzen und deren Wirksamkeit regelmäßig zu überprüfen.

Die Zertifizierung nach ISO 27001 ergänzt dabei bestehende Sicherheitsmaßnahmen von MB connect line. So setzt das Unternehmen bereits auf etablierte Sicherheitsstandards wie IEC 62443, um die Sicherheit industrieller Kommunikationslösungen zu gewährleisten. Bei der Ausrichtung des Entwicklungsprozesses nach IEC 62443-4-1 wurde MB connect line ebenfalls durch secuvera begleitet.

Mit der erfolgreichen ISO-27001-Zertifizierung stärkt MB connect line nun zusätzlich die organisatorische Informationssicherheit und unterstreicht seinen Anspruch, Sicherheitsanforderungen von Kunden und Partnern konsequent zu erfüllen.

Über MB connect line GmbH
Die MB connect line GmbH ist ein unabhängiges mittelständisches Unternehmen und ein Pionier für sichere industrielle Kommunikation über das Internet. Das Unternehmen entwickelt und vertreibt Lösungen für die sichere Fernwartung und Vernetzung von Maschinen und Anlagen.

Die Systeme und Plattformen ermöglichen weltweit geschützte Verbindungen zwischen Servicetechnikern und industriellen Assets – ohne Vor-Ort-Einsatz. Zu den Kernkompetenzen zählen sichere Fernwartung, Industrial IoT (IIoT) sowie industrielle Netzwerksicherheit.

MB connect line unterstützt Unternehmen bei der digitalen Transformation, indem Maschinen global vernetzt und Daten zuverlässig vor unbefugtem Zugriff und Manipulation geschützt werden. Grundlage ist eine klare Ausrichtung auf 100 % IT-Security – mit dem Ziel, industrielle Digitalisierung sicher umzusetzen.

Weitere Informationen zu MB connect line finden Sie unter www.mbconnectline.com.

Das Zertifikat wurde vom BSI ohne Auflagen erteilt und bestätigt die vollständige Erfüllung der normativen Anforderungen der BSI TR-03161. Es trägt die Zertifikatsnummer BSI-K-TR-0832 und ist fünf Jahre gültig. Die Technische Richtlinie BSI TR-03161 definiert verbindliche Sicherheitsanforderungen für Digitale Gesundheitsanwendungen und dient dem Schutz sensibler Gesundheitsdaten bei Speicherung, Verarbeitung und Übertragung.

Umfassende sicherheitstechnische Evaluierung durch secuvera

Im Rahmen der Zertifizierung von „WundFit“ prüfte secuvera die mobilen Anwendungsversionen für iOS und Android sowie das Hintergrundsystem. Bewertet wurden unter anderem die Systemarchitektur von App und Backend, sicherheitsspezifische Quellcode-Aspekte, kryptografische Verfahren, Authentifizierungsmechanismen, sichere Netzwerkkommunikation, plattformspezifische Sicherheitsanforderungen sowie der Einsatz von Drittanbietersoftware.

Die Prüfung umfasste sowohl konzeptionelle als auch implementierungsbezogene Aspekte der Sicherheitsarchitektur. Sie reichte von der strukturierten Dokumentenprüfung über technische Tests auf Referenzgeräten bis zur Erstellung des Zertifizierungsberichts für das BSI.

Entwicklungsbegleitende Zertifizierung

Die Zertifizierung erfolgte in einem entwicklungsbegleitenden, agilen Prüfmodell. Sicherheitsanforderungen wurden parallel zur technischen Umsetzung überprüft und – sofern erforderlich – angepasst. Der Zertifizierungsprozess wurde Ende 2025 erfolgreich abgeschlossen.

Regulatorische Einordnung im DiGA-Verfahren

Mit der BSI TR-03161 schafft das Bundesamt für Sicherheit in der Informationstechnik die Grundlage für die technische Sicherheitsprüfung von Digitalen Gesundheitsanwendungen. Darauf aufbauend bewertet das Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) im DiGA-Verfahren den medizinischen Nutzen.

Die Sicherheitszertifizierung ist eine wesentliche Voraussetzung für die dauerhafte Aufnahme in das DiGA-Verzeichnis sowie für die ärztliche Verordnung und Erstattungsfähigkeit durch die gesetzlichen Krankenkassen.

Erweiterung des Prüfportfolios im Bereich Digital Health

Mit der erfolgreichen Zertifizierung von „WundFit“ realisiert secuvera erstmals eine DiGA-Zertifizierung nach BSI TR-03161. Das Unternehmen erweitert damit sein Prüfportfolio im Bereich sicherheitskritischer Gesundheitsanwendungen.

Stimmen zum Projekt

„Mit der BSI TR-03161 etabliert sich ein verbindlicher Sicherheitsstandard für Digitale Gesundheitsanwendungen. Das schafft mehr Transparenz und Verlässlichkeit im Markt. Unser entwicklungsbegleitendes Prüfmodell unterstützt Hersteller dabei, Sicherheitsanforderungen frühzeitig und strukturiert umzusetzen. Wir freuen uns, dass 4L Health unsere agile Prüfungsbegleitung erfolgreich genutzt hat, um die Anforderungen nachhaltig in der Entwicklung zu verankern“, erklärt Sebastian Fritsch, Leiter der Prüfstelle bei secuvera.

„Digitale Gesundheitsanwendungen können nur dann Vertrauen gewinnen, wenn Datenschutz und IT-Sicherheit konsequent auf höchstem Niveau umgesetzt werden. Aus meiner langjährigen praktischen Arbeit in der Versorgung von Patienten weiß ich, wie sensibel Gesundheitsdaten sind und wie wichtig Vertrauen in digitale Lösungen ist. Die Zertifizierung nach BSI TR-03161 bestätigt, dass wir diesen Anspruch bei WundFit von Beginn an in die technische Architektur integriert haben. Für 4L Health ist das ein wichtiger Meilenstein, um sichere und verantwortungsvolle digitale Versorgungslösungen im regulierten Gesundheitsmarkt zu etablieren“, sagt Diana Suikat, Geschäftsführerin der 4L Health GmbH.

Auch Thomas Wolters, Geschäftsführer der DUX Healthcare GmbH, betont die Bedeutung des Verfahrens: „Die enge und transparente Zusammenarbeit im Prüfprozess war ein wesentlicher Erfolgsfaktor. Sicherheit wurde nicht nur geprüft, sondern konsequent in die Entwicklung integriert.“

Über DUX Healthcare GmbH

DUX Healthcare GmbH (vormals fluidmobile) mit Sitz in Karlsruhe entwickelt und betreibt eine modulare Technologieplattform für Digitale Gesundheitsanwendungen (DiGA), Digital Therapeutics (DTx) und Pharmacompanions. Die mHealth Suite ermöglicht es Herstellern, regulierte Gesundheitssoftware schneller, sicherer und kosteneffizienter zu entwickeln, zertifizieren und insbesondere international zu skalieren. Über 80 vorbereitete DTx-Module ermöglichen eine CE-Zertifizierung (Klasse I/IIa) in 12 Wochen – bei integrierter Konformität mit MDR, DiGAV, ISO 27001, BSI TR-03161 und BfArM-Datenschutzprüfkriterien.

Weitere Informationen zu DUX Healthcare finden Sie unter www.dux-healthcare.com.

Über 4L Health GmbH

Die 4L Health GmbH mit Sitz in Karlsruhe entwickelt digitale Gesundheitslösungen für den Einsatz im regulierten Gesundheitsmarkt. Als Teil der 4L Family verfolgt 4L Health das Ziel, innovative und nachhaltige Lösungen für zentrale Herausforderungen im Gesundheitswesen zu entwickeln.

Der Schwerpunkt des Unternehmens liegt auf der Entwicklung und dem Vertrieb von Software im Medizinbereich, insbesondere Digitalen Gesundheitsanwendungen (DiGA) und digitalen Therapielösungen. Gesellschafter sind die 4L Vision GmbH sowie Diana Suikat und Ralph Suikat.

Mit der Digitalen Gesundheitsanwendung „WundFit“ adressiert das Unternehmen die digitale Begleitung von Patientinnen und Patienten mit chronischen Wunden, insbesondere bei Erkrankungen wie chronisch-venöser Insuffizienz, peripherer arterieller Verschlusskrankheit und diabetischem Fußsyndrom. Ziel ist es, die Patientenedukation zu stärken, das Selbstmanagement zu fördern und die Zeit zwischen den Behandlungskontakten für Patientinnen und Patienten sowie medizinisches Fachpersonal transparenter und nachvollziehbarer zu gestalten.

Weitere Informationen zu 4L Health finden Sie unter www.4l.health

Die Anwendung wird von der APOGEPHA Arzneimittel GmbH entwickelt und vertrieben; die QuickBird GmbH verantwortet die technische und regulatorische Betreuung. „kontina“ ist eine digitale Therapie-App zur Unterstützung von Patientinnen und Patienten mit Symptomen einer überaktiven Blase (Overactive Bladder, OAB).

Das Zertifikat wurde vom BSI unter der Nummer BSI-K-TR-0832 ausgestellt und ist für zunächst sechs Monate gültig.

Umfangreiche sicherheitstechnische Evaluierung der Anwendung

Im Rahmen der Zertifizierungsprüfung analysierte secuvera die mobilen Apps für iOS und Android sowie das zugehörige Hintergrundsystem. Die Prüfung umfasste sowohl konzeptionelle als auch implementierungsbezogene Aspekte der Sicherheitsarchitektur – von der strukturierten Analyse der technischen Dokumentation über technische Tests bis hin zur Erstellung des Zertifizierungsberichts für das BSI.

Einordnung der TR-03161 im DiGA-Verfahren

Die Technische Richtlinie BSI TR-03161 definiert verbindliche Anforderungen an Informationssicherheit und Datenschutz für digitale Gesundheitsanwendungen und bildet damit die Grundlage für deren sicherheitstechnische Bewertung. Im Rahmen des DiGA-Verfahrens bewertet das Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) zusätzlich den medizinischen Nutzen der Anwendungen.

Die Zertifizierung nach TR-03161 ist eine wesentliche Voraussetzung für die Aufnahme einer Anwendung in das DiGA-Verzeichnis des BfArM sowie für ihre ärztliche Verordnung und Erstattungsfähigkeit durch die gesetzlichen Krankenkassen.

„Digitale Gesundheitsanwendungen verarbeiten besonders sensible Gesundheitsdaten. Entsprechend wichtig ist die Sicherheitsprüfung mit dem BSI“, erklärt Sebastian Fritsch, Leiter der Prüfstelle bei secuvera. „Die Technische Richtlinie TR-03161 schafft hierfür die Basis und zeigt uns, wo zukünftig das Sicherheitsniveau in weiteren Branchen liegen sollte.“

Die genugate 11 ist eine hochsichere Netzwerklösung für den Schutz sensibler IT-Infrastrukturen. Im Rahmen der Re-Evaluierung wurden sowohl die implementierten Sicherheitsfunktionen als auch Entwicklungs- und Herstellungsprozesse umfassend geprüft.

Der Zertifizierungsprozess folgte den standardisierten Abläufen der Common Criteria und umfasste unter anderem die detaillierte Analyse der Sicherheitsfunktionen, die Bewertung der Entwicklungs- und Produktionsprozesse sowie umfangreiche Schwachstellenanalysen.

secuvera war bereits bei vorherigen Zertifizierungen von genua-Produktfamilien als Prüfstelle beteiligt. Die langjährige Zusammenarbeit ermöglichte eine effiziente und zielgerichtete Durchführung des Projekts.

Die Zertifizierung erfolgte auf dem Vertrauensniveau EAL4, ergänzt um anspruchsvolle Sicherheitsanforderungen wie ALC_FLR.2 (Fehlerbehebungsprozesse), ASE_TSS.2 (detaillierte Spezifikation der Sicherheitsfunktionen), AVA_VAN.5 (vertiefte Schwachstellenanalyse) und ALC_PAM.1 (Anforderungen an eine kontrollierte und sichere Produktionsumgebung).

Modernes Patchmanagement integriert

Bei der Evaluierung wurde der neue ISO-Standard für Patch-Management im Kontext von Common Criteria (ISO/IEC TS 9569) berücksichtigt. Dieser ermöglicht es Herstellern, sicherheitsrelevante Produktupdates strukturiert und nachvollziehbar in bestehende CC-Zertifizierungen zu integrieren.

Im Rahmen eines definierten Maintenance-Verfahrens können Updates während der Zertifikatslaufzeit bewertet und als Ergänzung (Addendum) zum bestehenden Zertifikat aufgenommen werden – ohne die Gültigkeit des Zertifikats zu verändern. Dies schafft zusätzliche Flexibilität bei gleichbleibend hohem Sicherheitsniveau.

Eines der letzten Verfahren im nationalen CC-Schema

Die Zertifizierung der genugate 11 erfolgte auf Basis des Common-Criteria-Standards CC:2022. Gleichzeitig zählt das Projekt zu den letzten Evaluierungen im nationalen Zertifizierungsschema unter Führung des Bundesamts für Sicherheit in der Informationstechnik (BSI).

Mit der Umstellung auf das europäische Zertifizierungsschema EUCC im März 2026 werden Common-Criteria-Zertifizierungen künftig stärker auf europäischer Ebene koordiniert. Das Projekt markiert damit einen wichtigen Übergang von national organisierten Verfahren hin zu einem harmonisierten europäischen Rahmen.

Grundlage für den Einsatz in sicherheitskritischen Bereichen

Die Common Criteria (ISO/IEC 15408) sind ein international anerkannter Standard zur Bewertung der Sicherheit von IT-Produkten. Zertifizierte Produkte erfüllen definierte Sicherheitsanforderungen und schaffen damit eine belastbare Grundlage für den Einsatz in sensiblen und regulierten Umgebungen.

Eine entsprechende Zertifizierung ist – insbesondere im öffentlichen Sektor und in sicherheitskritischen Infrastrukturen – häufig Voraussetzung für den Einsatz von IT-Sicherheitslösungen.

Das Zertifikat wurde durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) unter der Nummer BSI-DSZ-CC-1267-2026 ausgestellt und ist fünf Jahre lang gültig.

Stimmen zum Projekt

„Die BSI-Zertifizierung für genugate 11.0 durch die BSI-akkreditierte Prüfstelle secuvera ist ein Meilenstein für genua und für unsere Kunden. Diese profitieren von deutlich höherem Datendurchsatz, optimierter Bedienung, weitreichender Automatisierung und einem noch einmal verbesserten Schutzniveau“, sagt Matthias Ochs, Geschäftsführer der genua GmbH. „Mit der erfolgreichen Common-Criteria-Evaluierung bestätigt secuvera, dass unsere Sicherheitsplattform genugate als Appliance und als virtualisierte Variante strenge internationale Standards erfüllt und nachweislich Schutz für die anspruchsvollsten Umgebungen der Welt bietet.“

„Die erfolgreiche Re-Zertifizierung der genugate 11 zeigt die hohe Qualität und Reife der Sicherheitsarchitektur von genua. Besonders hervorzuheben sind die anspruchsvollen augmentierten Anforderungen sowie moderne Patch-Management-Ansätze nach ISO/IEC TS 9569, die eine effiziente Integration von Updates in bestehende Zertifizierungen ermöglichen. Gleichzeitig unterstreicht das Projekt, wie entscheidend Erfahrung und methodische Tiefe in Common-Criteria-Evaluierungen sind – genau diese Expertise bringen wir als Prüfstelle ein“, sagt Tobias Glemser, Geschäftsführer von secuvera.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet für den international etablierten NESAS-Zertifizierungsrahmen (Network Equipment Security Assurance Scheme) eine nationale Umsetzung an. Mit OPNESAS wurde erstmals untersucht und praktisch umgesetzt, wie sich dieser Rahmen für einen konkreten Anwendungsfall eines privaten 5G-Campusnetzes nutzbar machen lässt. NESAS wurde ursprünglich für öffentliche Mobilfunknetze entwickelt und gilt als ein international anspruchsvolles Sicherheitsbewertungsschema im 5G-Umfeld.

„Das Projekt OPNESAS zeigt, dass sich der BSI NESAS-Zertifizierungsrahmen nicht auf öffentliche Mobilfunknetze beschränken muss, sondern auch für private 5G-Netze praxisnah umsetzbar ist. Entscheidend war dabei die enge Zusammenarbeit von Forschung, Prüfpraxis und Anwendung. Die gewonnenen Erkenntnisse leisten einen wichtigen Beitrag zur Weiterentwicklung von Sicherheits- und Nachweisverfahren im 5G-Umfeld“, sagt Sebastian Fritsch, Leiter der Prüfstelle bei secuvera und Projektleiter von OPNESAS.

Forschungsprojekt mit klarem Praxis- und Sicherheitsfokus

Das Forschungsprojekt OPNESAS wurde im Rahmen des BSI-Förderprogramms KoPa 45 initiiert und lief vom 31. Dezember 2022 bis zum 30. Juni 2025.

Hintergrund sind zunehmende Sicherheitsrisiken in 5G-Netzen, die sich aus Spezifikations-, Implementierungs-, Konfigurations- und Betriebsfehlern ergeben können und sowohl öffentliche als auch private Netze betreffen. OPNESAS zielte darauf ab, diese Risiken durch strukturierte Sicherheitsprüfungen und verbesserte Nachweisverfahren frühzeitig zu adressieren.

Als Praxis- und Anwendungspartner stellte die CampusGenius GmbH die Komponenten für ein reales 5G-Kernnetz zur Verfügung. Im Projekt wurde der 5G Core nach NESAS-Kriterien geprüft. CampusGenius entwickelt private 5G-Campusnetze für industrielle Anwendungen. Mit der Entscheidung für eine BSI NESAS-Zertifizierung ging CampusGenius bewusst über bestehende regulatorische Anforderungen hinaus, um einen transparenten und international anschlussfähigen Sicherheitsnachweis zu schaffen.

Das NESAS-Zertifikat wurde am 2. Februar 2026 unter der Nummer BSI-DSZ-NESAS-0003-2026 ausgestellt.

Rollen der Projektpartner

Die secuvera GmbH übernahm im Rahmen der BSI NESAS-Evaluierung die sicherheitstechnische Bewertung der 5G-Kernnetzkomponenten. secuvera zählt zu den wenigen vom BSI anerkannten BSI NESAS-Prüfstellen in Deutschland. Die Zertifizierung selbst wurde durch das BSI durchgeführt. Das Forschungsprojekt OPNESAS wurde von secuvera geleitet.

Die Montsecure GmbH, eine Ausgründung der Ruhr-Universität Bochum, brachte wissenschaftliche und methodische Expertise im Bereich der Netz- und Systemsicherheit in das Projekt ein. Hauptfokus von Montsecure war die Entwicklung des Testwerkzeugs SEAL, welches die 3GPP SCAS-Testfälle automatisiert.

Die Ruhr-Universität Bochum begleitete das Projekt aus wissenschaftlicher Sicht und unterstützte insbesondere die systematische Auswertung und Einordnung der im Projekt gewonnenen Erkenntnisse.

CampusGenius stellte primär das Product GeniusCore für das private 5G-Netz sowie für die Prüfung zur Verfügung.

Bedeutung über das Projekt hinaus

Nach aktueller Gesetzeslage dürfen öffentliche Mobilfunkoperatoren ab dem 1. Januar 2026 nur noch sicherheitszertifiziertes Equipment (nach BSI NESAS) einsetzen. Auch wenn private 5G-Campusnetze derzeit nicht unter diese regulatorischen NESAS-Vorgaben fallen, zeigt OPNESAS, dass der Zertifizierungsprozess nicht ausschließlich großen öffentlichen Netzbetreibern vorbehalten ist, sondern sich bei geeigneter methodischer Vorbereitung auch auf nicht-öffentliche Netze und kleinere Anbieter anwenden lässt. Die Projektergebnisse liefern darüber hinaus methodische Impulse für die Weiterentwicklung des deutschen BSI NESAS-Schemas sowie angrenzender internationaler Zertifizierungsansätze im 5G-Umfeld.

Über CampusGenius GmbH

CampusGenius entwickelt leistungsfähige 5G-Core-Software für private Mobilfunknetze. Der GeniusCore basiert auf drei zentralen Prinzipien: er vereint intuitive Bedienbarkeit für Betreiber und Integratoren, eine ressourceneffiziente Architektur für flexible On-Premise- und  Cloud-Installationen sowie Sicherheit als grundlegendes Designziel.

GeniusCore ist der erste 5G-Core für private Netzwerke, der vom Bundesamt für Sicherheit in der Informationstechnik (BSI) im Rahmen des NESAS-Frameworks bewertet und zertifiziert wurde und Kunden eine international ausgerichtete Sicherheitsgarantie bietet.

Als Anbieter für Core-Software unterstützt CampusGenius Partner und Systemintegratoren bei der Planung, Bereitstellung und dem Betrieb privater 5G-Netze und hilft Unternehmen dabei, sich durch praktische Implementierungen, Testumgebungen und Projekte in industriellen und missionskritischen Umgebungen mit privaten Mobilfunktechnologien vertraut zu machen.

Weitere Informationen zu CampusGenius finden Sie unter www.campusgenius.com

Über Montsecure GmbH

Montsecure bietet praktische 5G-Netzwerksicherheit durch innovative Tools, fachkundige Beratung und Schulungen auf Basis modernster Forschung.

SEAL bewertet die Sicherheit von Mobilfunknetzen, indem es Schwachstellen testet und Angriffe auf 5G-Kernnetzwerke simuliert. Es implementiert den 3GPP-Teststandard und eignet sich für die Evaluierungsschemata von BSI und GSMA NESAS. SEAL bietet schnelle Testzyklen und eine benutzerfreundliche Bedienung.

FELINE ist ein Fuzzing-Tool für 5G-Kernnetzwerke. Es verarbeitet OpenAPI-Spezifikationen, um Testsequenzen zu generieren, die reale Netzwerkinteraktionen widerspiegeln. FELINE ermöglicht umfassende Sicherheitstests und lässt sich nahtlos in CI/CD-Umgebungen integrieren.

Montsecure bietet Beratungsdienstleistungen an: NIS-2-Compliance für Betreiber, Penetrationstests von Mobilfunknetzen – sowohl privaten als auch von MNOs – sowie Interconnection-Sicherheit (SEPP, N32-Schnittstelle).

Weitere Informationen zu Montsecure finden Sie unter  www.montsecure.com

IT-Sicherheit und Performance auf höchstem Niveau

Die WDP MX^® ist eine IP-basierte KVM-Lösung, die den standortübergreifenden Zugriff auf Anwendungen, Informationsquellen und Computer ermöglicht. Sie integriert unterschiedlichste Systeme und Geräte in einem einzigen, unabhängigen IP‑Netzwerk – ganz ohne zusätzliche Software- oder Treiberinstallationen.
Über die multifunktionale smartTOUCH‑Tastatur mit Touchscreen und programmierbaren Tasten können Nutzer:innen ihre Quellen intuitiv steuern.

Die Plattform ist auf Hochverfügbarkeit im 24/7-Betrieb ausgelegt und kommt in zahlreichen sicherheitskritischen Arbeitsumgebungen – etwa in Leitstellen – und in Handelsräumen zum Einsatz. Sie wird vollständig in der Schweiz konzipiert, entwickelt und produziert.

Mit der erfolgreichen Common Criteria-Zertifizierung wurde der WDP MX^® nun von unabhängiger Stelle bescheinigt, dass sie internationalen Anforderungen an die IT-Sicherheit gerecht wird.

„Für uns als Anbieter von Lösungen, die täglich in hochsensiblen Bereichen im Einsatz sind, ist IT-Sicherheit von zentraler Bedeutung. Die erfolgreiche CC-Zertifizierung der WDP MX^®-Plattform ist ein wichtiger Meilenstein und ein sichtbares Zeichen unseres Qualitäts- und Sicherheitsanspruchs“, erklärt Armin Klingler, Chairman of the Board und CEO der WEY Group AG.

Strukturierte Evaluierung durch secuvera

Die Vorbereitung zur Zertifizierung und die Prüfung des Produkts erfolgten durch die secuvera GmbH. Die sicherheitstechnische Prüfung der WDP MX^®, Version 1.4.1, erfolgte dabei im Rahmen eines strukturierten Evaluierungsverfahrens unter Laborbedingungen. Getestet wurde in einer physisch und logisch isolierten Umgebung. Die Testkonfiguration umfasste unter anderem WDP MX^®-Server, IP-Remote-Transmitter und -Receiver, smartTOUCH-User-Interfaces sowie die zugehörige Infrastruktur.

Im Mittelpunkt der Evaluierung durch die secuvera GmbH standen die Überprüfung aller sicherheitsrelevanten Funktionen sowie eine detaillierte Schwachstellenanalyse. Das Ergebnis: Die WDP MX^® erfüllt sämtliche Anforderungen der international anerkannten Common Criteria (ISO/IEC 15408). Die Umsetzung des Produkts und alle vom Hersteller vorgesehenen Betriebsmaßnahmen stellen somit sicher, dass keine Angriffe mit einfachem Angriffspotenzial erfolgreich durchgeführt werden können.

 „Die WEYTEC distributionPLATFORM WDP MX^® ist ein technisch anspruchsvolles Produkt mit vielseitigen Anwendungsszenarien. Umso erfreulicher ist es, dass wir im Rahmen der sicherheitstechnischen Evaluierung alle relevanten Anforderungen erfolgreich nachweisen konnten“, so Sebastian Fritsch, Leiter der BSI-Prüfstelle für Common Criteria der secuvera GmbH.

Common Criteria als internationaler Sicherheitsstandard

Die Common Criteria (ISO/IEC 15408) gelten als weltweit anerkannter Standard für die Bewertung der Sicherheit von IT-Produkten. Sie bilden die Grundlage für gegenseitige Anerkennung im Rahmen der CCRA (Common Criteria Recognition Arrangement) und stärken das Vertrauen in zertifizierte Lösungen – insbesondere im behördlichen und kritischen Infrastruktur-Umfeld. Seit 2025 werden CC-Zertifizierungen in Europa einheitlich nach dem EUCC-Verfahren durchgeführt.

Über WEY Group AG
WEYTEC ist ein in der Schweiz ansässiges weltweites IT-Unternehmen, das praktisch alle seine Produkte und Dienstleistungen vor Ort in der Schweiz entwickelt und produziert. Als Spezialist für Hochleistungsarbeitsplätze auf dem Börsenparkett und in Kontrollräumen bedient WEYTEC verschiedenste Branchen (öffentliche Sicherheit, Stadtwerke & Energieversorgung, Verkehr & Transport, Luftfahrt, Industrie). So hat WEYTEC bereits mehr als 50.000 Arbeitsplätze an über 500 Kundenstandorten weltweit eingerichtet. Mit über 40 Jahren Kompetenz und Erfahrung bietet das Unternehmen Kunden und Partnern in 45 Ländern eine umfassende Palette an professionellen Dienstleistungen.

Weitere Informationen zu WEYTEC finden Sie unter: www.weytec.com