Ein Mobile-App-Penetrationstest untersucht eine Android- oder iOS-Anwendung, ihr Verhalten auf dem Gerät und die Kommunikation mit Backend-Systemen. Native, hybride und Cross-Platform-Apps bringen dabei eigene Risiken mit: Angreifer können die App-Datei analysieren, Laufzeitfunktionen verändern und auf Daten zugreifen, die lokal oder über Schnittstellen verarbeitet werden.
Was umfasst ein Mobile-App-Pentest?
Zur Anwendung gehören mehr als die sichtbaren Bildschirme. Ein sinnvoller Scope berücksichtigt App-Binary, lokale Daten, Betriebssystemfunktionen, Netzwerkkommunikation, Push-Nachrichten, Deep Links, WebViews und die verwendete API. Auch Update-, Signatur- und Verteilungsmechanismen können relevant sein. Der Test sollte festhalten, welche App-Version, Plattformen und Backend-Umgebungen geprüft wurden.
Welche Bereiche werden geprüft?
| Bereich | Beispiele |
|---|---|
| Lokale Speicherung | Tokens, personenbezogene Daten, Logs, Backups, Screenshots, Keychain und Android Keystore. |
| Kommunikation | TLS, Zertifikatsprüfung, sensible Daten in URLs und Verhalten bei manipuliertem Netzwerkverkehr. |
| Plattform | Berechtigungen, exportierte Komponenten, Zwischenablage, Tastatur-Caches, Deep Links, IPC und WebViews. |
| App-Logik | Anmeldung, Session, Mandantentrennung, In-App-Käufe, Offline-Funktionen und lokale Sicherheitsentscheidungen. |
| Manipulationsschutz | Reverse Engineering, Debugging, Hooking, Root-/Jailbreak-Erkennung und fest eingebaute Geheimnisse. |
| Backend | Objekt- und Funktionsberechtigungen, Token-Lebenszyklus, Rate Limits und Geschäftslogik. |
Obfuscation, Certificate Pinning und Root-Erkennung erschweren Analysen, bilden aber keine verlässliche Berechtigungsgrenze. Ein Angreifer kontrolliert sein Endgerät grundsätzlich. Kritische Entscheidungen müssen daher serverseitig erzwungen werden.
Wie läuft die Prüfung ab?
- Plattformen, Builds, Backend, Konten, Testgeräte und verbotene Aktionen abgrenzen.
- App-Paket, Manifest, Ressourcen, Bibliotheken und Konfiguration statisch analysieren.
- Die App auf realen oder geeigneten virtuellen Geräten ausführen und Datenflüsse beobachten.
- Laufzeitverhalten, lokale Speicherung und Plattformgrenzen kontrolliert manipulieren.
- Backend-Aufrufe mit verschiedenen Rollen und Objekten prüfen.
- Auswirkungen minimal nachweisen, bereinigen und Korrekturen erneut testen.
Welche Unterlagen und Zugänge werden benötigt?
Benötigt werden installierbare Builds, Testkonten verschiedener Rollen, Informationen zu Test- und Produktivsystemen sowie Ansprechpartner für mögliche Störungen. Quellcode, Debug-Builds und Architekturunterlagen erhöhen bei einem Grey- oder White-Box-Test die Abdeckung. Für iOS müssen Bereitstellung und Gerätefreigabe früh geklärt werden. Testdaten sollten echte Personen- und Zahlungsdaten ersetzen.
Reicht ein API-Pentest aus?
Nein. Ein API-Pentest findet serverseitige Berechtigungs- und Logikfehler, aber keine unsicheren App-Backups, Deep Links oder lokal gespeicherten Tokens. Umgekehrt bleibt ein reiner Client-Test unvollständig, wenn die API nicht gezielt manipuliert wird. Bei einer typischen Mobile-App sollten beide Perspektiven geplant und Überschneidungen im Scope transparent beschrieben werden.
Was gehört in den Bericht?
Jeder Befund sollte Plattform, App-Version, Voraussetzung, nachvollziehbare Schritte, Auswirkung und konkrete Abhilfe nennen. Screenshots allein reichen bei komplexen Datenflüssen nicht. Gute Empfehlungen unterscheiden zwischen Schutz auf dem Gerät und einer zwingenden serverseitigen Kontrolle. Ein Retest umfasst die korrigierte App und gegebenenfalls das geänderte Backend.
Vielen Dank für dein Feedback! Wir werden es prüfen und unseren Artikel anpassen.
Hast du Feedback zum Thema Mobile-App-Penetrationstest? Schreib uns!
Weitere Dienstleistungen
Zusätzliche IT-Sicherheitslösungen für umfassenden Schutz
Red Teaming
Simulation echter Angriffe auf Ihr Unternehmen inklusive Personen, Infrastruktur und Prozesse. Ein umfassender Ansatz zur Überprüfung Ihrer gesamten Sicherheitsstrategie.
Mehr erfahren
Phishing-Übungen
Praxisnahe Phishing-Simulationen zur Sensibilisierung Ihrer Mitarbeiter. Erhöhen Sie die Awareness und reduzieren Sie das Risiko erfolgreicher E-Mail-basierter Angriffe.
Mehr erfahren