Penetrationstest für mobile Anwendungen
Wir testen Ihre iOS- und Android-Apps so, wie ein Angreifer es täte: statische und dynamische Analyse, Runtime-Instrumentierung zum Aushebeln clientseitiger Controls und die Backend-API, auf die sich die App stützt. Die Abdeckung richtet sich nach dem OWASP-Projekt Mobile Application Security.
Was wir testen
Der Umfang basiert auf OWASP MASVS v2.1.0 mit seinen acht Control-Gruppen (Storage, Crypto, Auth, Network, Platform, Code, Resilience und Privacy) und wird nach OWASP MASTG getestet. Mobile Apps sind schlanke Clients über Server-APIs, daher gehört auch das Backend zum Umfang.
- Unsichere lokale Speicherung und schwache Kryptografie (MASVS-STORAGE / -CRYPTO)
- Authentifizierung, Session-Handling und Netzwerk-/TLS-Validierung (MASVS-AUTH / -NETWORK)
- Plattform-Interaktion: exportierte Komponenten, Deep Links, IPC und WebViews (MASVS-PLATFORM)
- Codequalität, hartkodierte Secrets und unsichere Build-Einstellungen (MASVS-CODE)
- Resilience: Root-/Jailbreak-Erkennung, Attestation und Anti-Tampering (MASVS-RESILIENCE)
- Datenschutz-Controls und die Backend-API, von der die App abhängt (MASVS-PRIVACY)
Statisch + dynamisch, mit Instrumentierung
Wir kombinieren statische Analyse (Dekompilierung, manuelle und automatisierte Code-Prüfung) mit dynamischen Tests (Runtime, TLS-Interception, Prüfung des Certificate Pinning). Clientseitige Controls lassen sich grundsätzlich umgehen, daher gilt: Der Server darf dem Client nicht vertrauen. Lässt sich das Pinning nicht umgehen, ist das selbst ein Befund zur Resilience.
- 1
Vorbereitung
Wir legen den Umfang fest (Apps, Versionen, Konten, die MAS-Grundlage) sowie die Testumgebung und unterzeichnen ein NDA.
- 2
Intelligence-Gathering
Wir profilieren die App, ihre Plattformintegrationen und ihr Backend, um die statische und dynamische Abdeckung zu planen.
- 3
Mapping
Wir bilden Komponenten, Deep Links, IPC, Speicherung und API-Aufrufe gegen die MASVS-Control-Gruppen ab.
- 4
Exploitation
Statische Prüfung plus Runtime-Instrumentierung (Frida/Objection), um client-seitige Controls auszuhebeln und Logik und Datenverkehr zu erreichen.
- 5
Berichterstattung & kostenloser Re-Test
Sie erhalten einen priorisierten Bericht. Behobene Probleme testen wir ohne Mehrkosten erneut, innerhalb des im Statement of Work festgelegten Zeitfensters.
Was Sie erhalten
Dieselbe Tiefe wie in unserem Beispielbericht, wobei jeder Befund den MAS-Standards zugeordnet ist, damit die Abdeckung auditierbar ist.
- Management Summary und Gesamtrisikoprofil
- Jeder Befund: Beschreibung, Auswirkung, Nachweis, Reproduktionsschritte und Behebung
- Umfangsbeschreibung über Apps, Versionen, APIs, Konten und die MAS-Grundlage
- Schweregrad bewertet mit CVSS 3.1 und in Geschäftsrisiko übersetzt
- Verweise auf die MASVS-Control-Gruppe, den MASTG-Test und CWE
- Kostenloser Re-Test behobener Probleme innerhalb des im SoW festgelegten Zeitfensters; optionale CycloneDX-SBOM
Gegründet auf OWASP MASVS & MASTG
Die Abdeckung richtet sich nach OWASP MASVS v2.1.0 (acht Control-Gruppen, einschließlich der in 2.1.0 ergänzten Privacy-Gruppe) und wird nach OWASP MASTG getestet, abgegrenzt mit den MAS Testing Profiles. Befunde werden mit CVSS 3.1 bewertet.