BSI TR-03174: Sicherheitsanforderungen an Finanz-Apps im Vergleich zur TR-03161
Was wäre euch unangenehmer: ein leergeräumtes Bankkonto oder eine offengelegte Patientenakte? Viele würden spontan das Konto nennen. Trotzdem gibt es für Gesundheits-Apps mit der BSI TR-03161 schon länger einen etablierten Prüfmaßstab, für DiGAs ist der Nachweis sogar Pflicht. Das Gegenstück für Finanz-Apps ist die BSI TR-03174 „Sichere Anwendungen im Finanzwesen“, seit Juni 2026 in Version 4.0.
Dieser Artikel erklärt, was die BSI TR-03174 verlangt, für wen sie gilt und warum sich Erfahrung aus dem Gesundheitswesen direkt übertragen lässt.
Was ist die BSI TR-03174?
Die BSI TR-03174 ist eine Technische Richtlinie des BSI mit Sicherheitsempfehlungen für Anwendungen im Finanzumfeld. Sie besteht aus drei Teilen: mobile Anwendungen, Web-Anwendungen und Hintergrundsysteme, alle in Version 4.0 vom 01.06.2026.
Die Empfehlungen sind nach MUSS, DARF NICHT, SOLL und KANN abgestuft. Eine SOLL-Anforderung darf nur entfallen, wenn ihr darlegt, dass dadurch kein Risiko entsteht oder sie technisch derzeit nicht umsetzbar ist.
TR-03174 und TR-03161 im Vergleich
| BSI TR-03161 | BSI TR-03174 | |
|---|---|---|
| Sektor | Gesundheitswesen | Finanzwesen und finanznahes Umfeld |
| Teile | Mobil, Web, Hintergrundsysteme | Mobil, Web, Hintergrundsysteme |
| Aktuelle Version | Teil 1: 3.0, Teil 2 und 3: 2.0 (25.03.2024) | alle Teile 4.0 (01.06.2026) |
| Verbindlichkeit | für DiGAs Pflicht | ausdrücklich keine regulatorische Pflicht |
| Zertifizierung | BSI-Zertifikat über anerkannte Prüfstelle | BSI-Zertifikat je Teil, freiwillig |
Beide Richtlinien nutzen dieselben Anforderungsbereiche und Kürzel, von Anwendungszweck (O.Purp) über Kryptographie (O.Cryp) und Authentisierung (O.Auth) bis Netzwerkkommunikation (O.Ntwk). Für Hintergrundsysteme verlangen beide wortgleich eine ISO-27001-Zertifizierung des Betreibers. Teil 3 der TR-03174 nennt die TR-03161 ausdrücklich als Quelle. Nur die TR-03161 kennt zusätzlich den Bereich „Kostenpflichtige Ressourcen“.
Der wichtigste Unterschied ist die Verbindlichkeit. Das BSI schreibt in der TR-03174: „Die Hinweise und Empfehlungen der TR stellen keine regulatorischen Pflichten dar.“
Für wen ist die TR-03174 relevant?
Das BSI richtet die TR „vor allem an einen nicht regulierten, heterogenen Adressatenkreis“, etwa digitale Haushaltsbücher, Finanz- und Kreditrechner oder Bezahl-Apps von Discountern. Für Banken und Zahlungsdienstleister ist sie eine Orientierungshilfe: PSD2, DORA und die Rundschreiben der BaFin gehen vor.
Relevant ist sie damit für:
- Fintechs und App-Anbieter, die Sicherheit ohne eigene Aufsicht belegbar machen wollen
- Regulierte Institute, die einen konkreten technischen Maßstab für Apps und Backends suchen
- Dienstleister, die Finanzanwendungen entwickeln oder betreiben
Bankkonto oder Patientenakte: Was schützt man eigentlich?
Die TR-03174 berücksichtigt bei der Risikobewertung ausdrücklich den „unmittelbar möglichen finanziellen Schaden“. Bei Daten der höchsten Kritikalität müssen die Maßnahmen alle Risikoszenarien ohne Restrisiko ausräumen.
Ehrlich eingeordnet: Ein finanzieller Schaden lässt sich meist beziffern und manchmal ausgleichen, eine offengelegte Diagnose nicht.
Für die Technik spielt die Rangfolge aber kaum eine Rolle. Verschlüsselte Speicherung, geschützte Schlüssel, sichere Sitzungen und überwachte Drittbibliotheken braucht die Banking-App genauso wie die DiGA.
Warum Health-Erfahrung im Finanzsektor trägt
Laut BSI-Liste sind für die TR-03174 derzeit fünf Prüfstellen anerkannt: PwC, TÜV Informationstechnik, secuvera, TÜV TRUST IT und SRC. Alle fünf sind auch für die TR-03161 anerkannt. Kryptographie und Verbindungen verweisen in beiden Richtlinien auf die BSI TR-02102.
Wer eine Gesundheits-App nach TR-03161 abgesichert hat, hat die meisten Muster also schon umgesetzt. Genau darauf bauen unsere Produkte auf.
Wie azuma unterstützt
Code prüfen mit azuma nori. Viele Empfehlungen lassen sich im Code nachweisen, etwa keine hartkodierten Schlüssel (O.Cryp_1), keine Debug-Reste (O.Source_6) oder keine ungewartete Drittanbieter-Software (O.TrdP_7). azuma nori prüft eure Codebasis lokal gegen alle drei Teile der TR-03174, derzeit als Preview, zusätzlich zur TR-03161 und TR-02102. Als GAP-Analyse oder bei jedem Release in der CI/CD-Pipeline, ohne dass der Quellcode eure Infrastruktur verlässt.
Authentisierung mit azuma doa. Die TR-03174 verlangt etwa Zwei-Faktor-Authentisierung aus unterschiedlichen Kategorien (O.Auth_2), Schutz vor wiederholten Fehlversuchen (O.Auth_4) und das sichere Beenden von Sitzungen im Backend (O.Auth_9). azuma doa ist als Health-IAM genau auf diese Anforderungen der TR-03161 ausgelegt: MFA, Device Binding, Passkeys/FIDO2 sowie sichere Session- und Token-Verwaltung. Damit eignet sich doa auch für Finanz-Apps.
ISO 27001, Backend-Monitoring oder Penetrationstests ersetzen beide Produkte nicht.
Erste Schritte Richtung TR-03174
- Teile bestimmen: Mobile App, Web-Anwendung, Backend? Web-Anwendung und Backend lassen sich laut TR kaum trennen, Teil 3 gehört fast immer dazu.
- Regulatorik einordnen: PSD2, DORA oder BaFin-Vorgaben gehen der TR vor.
- Schutzbedarf festlegen und sensible Daten nach Kritikalität einstufen.
- GAP-Analyse im Code, etwa mit azuma nori, und SOLL-Abweichungen begründen.
- Prüfstelle beauftragen, wenn ihr ein Zertifikat wollt.
Häufige Fragen
Ist die BSI TR-03174 Pflicht?
Nein. Laut BSI stellen ihre Empfehlungen keine regulatorischen Pflichten dar. Die Zertifizierung ist freiwillig.
Was ist der Unterschied zwischen TR-03174 und TR-03161?
Die TR-03161 gilt für das Gesundheitswesen und ist für DiGAs Pflicht, die TR-03174 für das Finanzwesen ist freiwillig. Der Aufbau ist weitgehend gleich.
Wer prüft nach der BSI TR-03174?
Vom BSI anerkannte Prüfstellen, derzeit PwC, TÜV Informationstechnik, secuvera, TÜV TRUST IT und SRC. Das Zertifikat stellt das BSI aus.
Erfüllt man mit der TR-03174 DORA?
Nein, nicht automatisch. DORA, PSD2 und BaFin-Vorgaben haben laut BSI Vorrang, die TR dient als Orientierungshilfe.
Wollt ihr wissen, wo eure Finanz-App gegenüber der BSI TR-03174 steht? Registriert euch für die kostenlose Testversion von azuma nori (drei ausgewählte Controls inklusive) oder nehmt Kontakt auf, auch zu azuma doa.
Stand: 27. Oktober 2026, BSI TR-03174 Version 4.0 vom 01.06.2026, Prüfstellen laut BSI-Liste vom 26.10.2026. Maßgeblich sind die aktuellen Veröffentlichungen des BSI.