Startseite › Rechtsgebiete › Medizintechnik
MedTech · Software · Produkthaftung
Medizintechnik: Produktsicherheit, Software und Cybersecurity
Medizintechnik-Hersteller müssen Produktsicherheit, Software, IT-Sicherheit und Haftung zugleich im Blick behalten. Wir beraten Hersteller, Zulieferer und Betreiber von der Entwicklung über die Zertifizierung bis zur Marktbeobachtung und schützen Innovationen gemeinsam mit unseren Patentanwälten.
Produktsicherheit beginnt in der Entwicklung
Ob Infusionspumpe, Implantat oder App: Medizinprodukte müssen die grundlegenden Sicherheits- und Leistungsanforderungen nach Anhang I der Verordnung (EU) 2017/745 (MDR) erfüllen. Der Hersteller muss Risiken über den gesamten Lebenszyklus beherrschen, das Risikomanagement nach EN ISO 14971 führen und die Gebrauchstauglichkeit nachweisen. Die Grundlagen zu Klassifizierung und Zertifizierung finden Sie auf unserer Seite Medizinprodukterecht.
Die technische Dokumentation nach Anhang II und III MDR ist das Rückgrat jeder Zertifizierung. Sie umfasst Zweckbestimmung, Design- und Herstellungsinformationen, Risikoanalyse, Verifizierung und Validierung, klinische Bewertung und den Plan zur Überwachung nach dem Inverkehrbringen. Lücken fallen spätestens im Audit der Benannten Stelle oder in einem Haftungsprozess auf.
Software als Medizinprodukt
Software ist ein Medizinprodukt, wenn sie nach ihrer Zweckbestimmung der Diagnose, Überwachung, Vorhersage oder Behandlung von Krankheiten dient. Für die Klasse gilt Regel 11 Anhang VIII MDR: Software, die Informationen für diagnostische oder therapeutische Entscheidungen liefert, ist mindestens Klasse IIa. Die Leitlinie MDCG 2019-11 hilft bei Abgrenzung und Klassifizierung.
Für Software-Updates gilt: Jede wesentliche Änderung kann eine erneute Bewertung durch die Benannte Stelle auslösen. Ein Änderungsmanagement, das Updates nach Sicherheits- und Leistungsrelevanz einordnet, spart Zeit und schafft Rechtssicherheit. KI-basierte Software unterliegt zusätzlich der KI-Verordnung, deren Pflichten für Medizinprodukte ab 2. August 2028 gelten.
Cybersecurity
Vernetzte Produkte und Software müssen nach Anhang I Abschnitte 17.2, 17.4 und 18.8 MDR gegen unbefugten Zugriff geschützt sein. Die Leitlinie MDCG 2019-16 konkretisiert, was das bedeutet: Security by Design, Bedrohungsanalyse, Mindestanforderungen an IT-Netze, Informationen für Betreiber und ein Prozess für Sicherheitsupdates und Schwachstellen über die gesamte Lebensdauer.
Der Cyber Resilience Act (VO (EU) 2024/2847) gilt nach Art. 2 Abs. 2 nicht für Produkte, die unter MDR oder IVDR fallen. Er wird aber relevant für Zubehör, Gateways, Apps ohne medizinische Zweckbestimmung und Komponenten, die Zulieferer separat in Verkehr bringen. Seine Meldepflichten für ausgenutzte Schwachstellen gelten seit 11. September 2026, die übrigen Pflichten ab 11. Dezember 2027. Der MDR-Reformvorschlag vom Dezember 2025 sieht vor, das Verhältnis beider Regelwerke klarer zu fassen und Meldewege für Sicherheitsvorfälle zu ergänzen.
Medizinprodukt nach MDR/IVDR
Cybersecurity nach Anhang I und MDCG 2019-16, kein CRA
Zubehör ohne Medizinzweck
Gateway, Wearable oder App für Lifestyle: regelmäßig CRA
Separat vertriebene Komponente
Software- oder Hardwarebaustein für Dritte: CRA prüfen
Betreiber im Krankenhaus
IT-Sicherheit nach MPBetreibV, BSI-Gesetz und NIS2-Umsetzung
Überwachung nach dem Inverkehrbringen
Hersteller müssen ihre Produkte systematisch beobachten (Post-Market Surveillance, Art. 83 ff. MDR), Trends auswerten und schwerwiegende Vorkommnisse sowie Sicherheitskorrekturmaßnahmen im Feld an das BfArM melden. Je nach Klasse sind ein PMS-Bericht oder ein regelmäßig aktualisierter Sicherheitsbericht (PSUR) zu erstellen. Bei Rückrufen begleiten wir die Abstimmung mit Behörde, Händlern und Kunden.
- Daten sammelnBeschwerden, Servicefälle, Literatur und Registerdaten erfassen
- BewertenVorkommnis, Trend oder Sicherheitslücke einordnen
- MeldenFristgerecht an das BfArM über das Meldeportal
- KorrigierenField Safety Notice, Update oder Rückruf umsetzen
- DokumentierenRisikomanagement, technische Dokumentation und PSUR aktualisieren
Pflichten der Betreiber
Krankenhäuser, Praxen und Pflegeeinrichtungen, die Medizinprodukte betreiben, unterliegen der Medizinprodukte-Betreiberverordnung. Die neu gefasste MPBetreibV gilt seit 20. Februar 2025. Sie regelt Einweisung, sicherheitstechnische und messtechnische Kontrollen, das Bestandsverzeichnis und verlangt in größeren Einrichtungen einen Beauftragten für Medizinproduktesicherheit. Für bestimmte Software sind seit August 2025 zusätzliche Pflichten zu IT-Sicherheit und Schulung zu beachten. Hersteller sollten ihre Betreiberinformationen darauf abstimmen.
Neue Produkthaftung
Mit dem Gesetz zur Modernisierung des Produkthaftungsrechts setzt Deutschland die Richtlinie (EU) 2024/2853 um. Der Bundestag hat es am 8. Oktober 2026 beschlossen, es gilt im Wesentlichen ab 9. Dezember 2026 für danach in Verkehr gebrachte Produkte. Software ist dann ausdrücklich ein Produkt, auch wenn sie nur heruntergeladen oder als Dienst bereitgestellt wird. Hersteller haften auch für Fehler, die durch fehlende Sicherheitsupdates entstehen, solange sie das Produkt noch kontrollieren.
Für Geschädigte gibt es Offenlegungspflichten und Beweiserleichterungen. Gerade bei komplexen Medizinprodukten kann das Gericht den Fehler oder die Ursächlichkeit vermuten. Eine lückenlose technische Dokumentation und ein belegbarer Update-Prozess werden damit zur besten Verteidigung.
Praxistipp: Prüfen Sie bis Dezember 2026 Ihre Lieferanten- und Softwareverträge: Regressregeln, Update-Pflichten, Haftungsfreistellungen und Versicherungsdeckung sollten zur neuen Produkthaftung passen.
Patente und Design für Medizintechnik
Geräte, Implantate, Instrumente und technische Software lassen sich durch Patente und Gebrauchsmuster schützen. Chirurgische und therapeutische Verfahren am Körper sind zwar nicht patentierbar, wohl aber die dafür eingesetzten Produkte. Die äußere Gestaltung eines Geräts oder einer Benutzeroberfläche schützt ein eingetragenes Design. Unsere Patentanwälte melden an, unsere Rechtsanwälte setzen die Rechte durch.
- VO (EU) 2017/745 (MDR)
- MPDG
- MPBetreibV
- MDCG 2019-16
- MDCG 2019-11
- VO (EU) 2024/2847 (CRA)
- RL (EU) 2024/2853
- ProdHaftG n. F.
- PatG
- DesignG
Praxisbeispiele aus unserer Beratung
Typische Fallkonstellationen aus unserer Beratung, anonymisiert und vereinfacht.
Software-Update mit neuer Funktion
Ein Hersteller von Beatmungsgeräten wollte per Update eine Alarmfunktion mit Trendanalyse ergänzen. Die Entwicklung hielt es für eine kleine Änderung.
Unser Vorgehen: Wir haben die Änderung nach den MDCG-Leitlinien zu wesentlichen Änderungen eingeordnet, die Abstimmung mit der Benannten Stelle vorbereitet und das Änderungsmanagement für künftige Updates angepasst.
Sicherheitslücke in vernetztem Gerät
Ein Sicherheitsforscher meldete einem Hersteller von Patientenmonitoren eine Schwachstelle in der Netzwerkschnittstelle. Mehrere Kliniken setzten die Geräte ein.
Unser Vorgehen: Wir haben die Meldepflichten gegenüber dem BfArM geprüft, die Sicherheitsmitteilung an Betreiber abgestimmt und den Prozess für Schwachstellenmeldungen nach MDCG 2019-16 neu aufgesetzt.
Lieferkette vor der neuen Produkthaftung
Ein Hersteller von Diagnosegeräten bezog Steuerungssoftware von einem Zulieferer außerhalb der EU und fragte, wer ab Dezember 2026 haftet.
Unser Vorgehen: Wir haben die Haftungsrisiken nach neuem Recht dargestellt, den Softwarevertrag um Update-Pflichten, Regress und Quellcode-Hinterlegung ergänzt und die Versicherungsdeckung prüfen lassen.
Häufige Fragen
Gilt der Cyber Resilience Act für Medizinprodukte?
Nein, Produkte unter MDR und IVDR sind ausgenommen. Zubehör ohne medizinische Zweckbestimmung und separat vertriebene Komponenten können aber erfasst sein.
Ab wann gilt die neue Produkthaftung?
Für Produkte, die ab 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden. Für ältere Produkte bleibt es beim bisherigen Produkthaftungsgesetz.
Ist jede Gesundheits-App ein Medizinprodukt?
Nein. Es kommt auf die Zweckbestimmung an. Eine App, die nur Fitnessdaten anzeigt, ist regelmäßig keines, eine App, die Therapieentscheidungen unterstützt, schon.
Können wir eine Benutzeroberfläche schützen?
Ja, über ein eingetragenes Design und, wenn die Software ein technisches Problem löst, gegebenenfalls über ein Patent. Daneben kommt urheberrechtlicher Schutz in Betracht.
Verwandte Rechtsgebiete
Sie haben eine konkrete Frage?
Schildern Sie uns kurz Ihr Anliegen. Wir melden uns in der Regel innerhalb eines Werktags und sagen Ihnen offen, wie wir die Lage einschätzen und was eine Beratung kostet.