Gesundheits-App-Sicherheit: Worauf du achten solltest

Deine Gesundheitsdaten sind sensibel. Wenn du sie einer App anvertraust, vertraust du darauf, dass dieses Unternehmen sie ordnungsgemäß schützt. Aber wie bewertest du Sicherheit, wenn du kein Sicherheitsexperte bist?

Hier sind die wichtigsten Sicherheitsfunktionen, auf die du bei einer Gesundheits-App achten solltest.

Datenverschlüsselung

Im Transit

Wenn Daten zwischen deinem Gerät und den Servern der App bewegt werden, sollten sie verschlüsselt sein. Das ist Standardpraxis (HTTPS) und wird von jeder modernen App erwartet.

Worauf achten: Die App sollte HTTPS für alle Verbindungen verwenden. Das ist Grundvoraussetzung.

Im Ruhezustand

Auf Servern gespeicherte Daten sollten ebenfalls verschlüsselt sein. Selbst wenn jemand physischen Zugang zu einem Server erhält, bleiben verschlüsselte Daten geschützt.

Worauf achten: Aussage in Datenschutzrichtlinie oder Sicherheitsdokumentation, dass Daten im Ruhezustand verschlüsselt sind.

Ende-zu-Ende (E2E)

Einige Apps bieten Ende-zu-Ende-Verschlüsselung, bei der Daten auf deinem Gerät verschlüsselt werden und nur du die Schlüssel hältst. Das Unternehmen kann deine Daten nicht lesen, selbst wenn es gezwungen wird.

Worauf achten: Explizite Aussagen über E2E-Verschlüsselung und wer Entschlüsselungsschlüssel hält.

Hinweis: E2E-Verschlüsselung schränkt einige Funktionen ein — zum Beispiel ist serverseitige KI-Verarbeitung möglicherweise nicht möglich. Es gibt einen Kompromiss zwischen Privatsphäre und Funktionalität.

Authentifizierung

Starke Passwortanforderungen

Die App sollte sichere Passwörter erfordern und schwache ablehnen.

Multi-Faktor-Authentifizierung (MFA)

Die Option, einen zweiten Faktor zu erfordern (SMS-Code, Authenticator-App) fügt erhebliche Sicherheit hinzu.

Worauf achten: MFA sollte verfügbar sein, idealerweise mit Authenticator-Apps statt nur SMS.

Biometrische Optionen

Auf unterstützten Geräten bietet Fingerabdruck- oder Gesichtserkennung bequemen, sicheren Zugang.

Sitzungsverwaltung

Gute Apps ermöglichen dir, aktive Sitzungen zu sehen und zu beenden, dich remote abzumelden und Sitzungs-Timeouts festzulegen.

Zugriffskontrollen

Wer kann deine Daten sehen?

Innerhalb des Unternehmens, wer hat Zugang zu Nutzerdaten? Best Practice ist, den Zugang auf diejenigen zu beschränken, die ihn wirklich brauchen.

Worauf achten: Aussagen über Zugriffskontrollen und Mitarbeiter-Zugangsbeschränkungen.

Drittanbieter-Zugang

Welche Drittanbieter haben Zugang zu deinen Daten? Unterauftragsverarbeiter, Cloud-Anbieter, Analyse-Tools?

Worauf achten: Klare Offenlegung von Drittanbietern und welche Daten sie erhalten.

Datenschutz-Standort

Server-Standort

Wo befinden sich die Server? EU-Server haben anderen rechtlichen Schutz als US-Server.

Worauf achten: Spezifisches Land, nicht nur "sichere Rechenzentren."

Jurisdiktion

Welche Gesetze gelten für deine Daten? Daten in der EU unterliegen der DSGVO. Daten in den USA unterliegen anderen (oft schwächeren) Schutzbestimmungen.

Cloud-Anbieter

Welcher Cloud-Anbieter hostet die Daten? Große Anbieter (AWS, Google Cloud, Azure) haben starke Sicherheit, sind aber auch US-Unternehmen, die US-Recht unterliegen.

Worauf achten: Offenlegung von Cloud-Anbietern und EU-spezifische Hosting-Entscheidungen.

Incident-Response

Benachrichtigung bei Verstößen

Wenn ein Verstoß auftritt, wirst du umgehend benachrichtigt? DSGVO erfordert Benachrichtigung innerhalb von 72 Stunden bei signifikanten Verstößen.

Sicherheits-Audits

Gibt es regelmäßige Sicherheitsbewertungen? Drittanbieter-Penetrationstests?

Worauf achten: Aussagen über Sicherheits-Audits, SOC 2-Zertifizierung oder Ähnliches.

Warnzeichen

Achte auf:

Keine Sicherheitsdokumentation. Wenn ein Unternehmen Sicherheit nicht diskutiert, nimmt es sie vielleicht nicht ernst.

Vage Behauptungen. "Bankensicherheit" ohne Einzelheiten ist Marketing, keine Information.

Keine MFA-Option. Im Jahr 2026 ist fehlende MFA eine erhebliche Lücke.

Unklarer Datenstandort. Zurückhaltung zu sagen, wo Daten gespeichert sind.

Fragen zum Stellen

Bevor du einer Gesundheits-App deine Daten anvertraust:

Sind Daten im Transit und im Ruhezustand verschlüsselt?
Ist Multi-Faktor-Authentifizierung verfügbar?
Wo befinden sich Server physisch?
Welche Cloud-Anbieter werden verwendet?
Welche Drittanbieter haben Zugang zu Daten?
Gibt es regelmäßige Sicherheits-Audits?
Wie ist der Prozess bei Sicherheitsvorfällen?

Der Vidanis-Ansatz

Sicherheit ist bei Vidanis fundamental:

EU-Datenspeicherung. Alle Daten in Deutschland.

Verschlüsselung. Daten im Transit und im Ruhezustand verschlüsselt.

Authentifizierung. MFA verfügbar; starke Passwortanforderungen.

Eingeschränkter Zugang. Strenge interne Zugriffskontrollen.

Keine US-Abhängigkeiten. Wir leiten Gesundheitsdaten nicht über US-Cloud-Anbieter.

DSGVO-Konformität. Vollständige Einhaltung der europäischen Datenschutzanforderungen.

Deine Gesundheitsdaten verdienen ernsthafte Sicherheit. Stelle schwierige Fragen, bevor du irgendeiner App vertraust.