DiGA-Benchmark 2026: Erreichbarkeit, Transportsicherheit und Statuskommunikation der DiGAs im BfArM-Verzeichnis

Grundgesamtheit

Gemessen wurden alle 60 DiGAs, die am 06.07.2026 im BfArM-Verzeichnis dauerhaft oder vorläufig gelistet waren, und zwar exakt unter den dort hinterlegten URLs: der Produkt-Website und, wo gelistet, der Web-App. Beim Abgleich am 19.10.2026 waren 4 DiGAs neu aufgenommen; sie wurden nicht gemessen. DiGAs, die bis zur Veröffentlichung aus dem BfArM-Verzeichnis gestrichen wurden, werden nicht namentlich genannt. Betroffen: 1; sie bleibt in den Summen.

Erhebung und Ausfalldefinition

Gemessen von einem Server bei Hetzner in Helsinki (Finnland): alle fünf Minuten ein Abruf je URL mit sprechendem User-Agent, robots.txt respektiert, Zeitlimit zehn Sekunden. Jeder Abruf baut die Verbindung neu auf, wie bei einem Erstbesuch. Ein Fehlversuch ist ein HTTP-Status ab 500, ein Netzwerkfehler oder eine Zeitüberschreitung; Antworten mit 4xx gelten als erreichbar. Ein Ausfall zählt nur, wenn auch die Wiederholung 30 Sekunden später fehlschlägt.

Störungen des Messservers

Fallen mindestens 3 Hosts von mindestens 3 verschiedenen Herstellern in derselben Runde ohne Antwort aus, werten wir das als Störung auf unserer Seite und streichen die Runde für alle. Endpoints, die in mehr als 1,00 % der Runden ausfallen, lösen das nicht aus. Ausfälle mehrerer DiGAs eines einzelnen Herstellers bleiben echte Ausfälle. Gestrichen wurden 17 von 8352 Runden. Die Regel ist mechanisch; von Hand wurde nichts entfernt.

Bewertung

Bewertbar ist ein Endpoint, der im Fenster mindestens einmal erfolgreich geantwortet hat und in mindestens 80 % der Runden gemessen wurde. Eine DiGA mit mehreren Endpoints wird nach ihrem schwächsten bewertbaren Endpoint bewertet. Genannt werden DiGAs ab 99,90 % Verfügbarkeit. Die Reihenfolge ergibt sich aus bis zu 100 Punkten:

• Antwortzeit, Median (bis 50 Punkte): ≤ 200 ms: 50 · ≤ 400 ms: 40 · ≤ 800 ms: 30 · ≤ 1500 ms: 20 · ≤ 3000 ms: 10 · darüber: 0
• TLS (bis 20 Punkte): TLS 1.3: 20 · TLS 1.2: 10 · sonst: 0
• Sicherheits-Header (je 5 Punkte): Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy
• Gleichstand: kleineres p95, dann kleineres p50, dann alphabetisch.

Statusseiten

Erhoben am 19.10.2026. Pro DiGA: (1) DNS-Abfrage und ein einzelner Abruf von status.<registrierbare Domain> jeder im BfArM-Verzeichnis gelisteten URL; (2) Startseite der Produkt-Website auf Links mit „Status“ geprüft, unter Beachtung der robots.txt. Alle Treffer manuell verifiziert. Nicht geprüft: abweichende Firmendomains, Statusseiten hinter Login, Status-Hinweise in Apps. „Keine“ heißt: mit dieser Methode keine öffentliche Statusseite auffindbar.

Infrastruktur

Netzbetreiber und dessen Registrierungsland aus der IP-zu-AS-Zuordnung (Team Cymru), Stand 19.10.2026. Weicht die Region der IP-Adresse ab, steht sie in Klammern dahinter.