MOBILE ANWENDUNGEN

Penetrationstests für mobile Anwendungen

Ihre App läuft auf einem Gerät, das Sie nicht kontrollieren — ein Angreifer erhält also Binary, lokalen Speicher und Datenverkehr. Wir testen alle drei, dazu das Backend, mit dem die App spricht.

Die Tests folgen dem Verifikationsstandard OWASP MASVS und dem Testleitfaden MASTG, sodass die Abdeckung messbar ist und nicht davon abhängt, wer gerade getestet hat.

Angebot für Mobile-Test

SIE VERTRAUEN UNS

MOBILE ANWENDUNGEN

Was wir auf iOS und Android testen

Ein Mobile-Projekt umfasst weit mehr als die Bildschirme, die ein Nutzer sieht. Wir arbeiten auf einem echten Gerät mit einem echten Build, dekompilieren und instrumentieren bei Bedarf und verfolgen jeden Weg, den ein Angreifer von einem gestohlenen oder gerooteten Telefon aus nehmen könnte.

Ist die App nur ein Thin Client, liegt das eigentliche Risiko meist in der dahinterliegenden API — die gehört ebenfalls in den Umfang.

Abdeckung nach MASVS-Kategorien

Bereich	Wonach wir suchen
Datenspeicherung	Geheimnisse in Shared Preferences, unverschlüsselte Datenbanken, sensible Daten im externen Speicher, Daten, die Backups überleben.
Transport	Klartextverkehr, fehlende Zertifikatsprüfung, zur Laufzeit umgehbares TLS-Pinning.
Zugangsdaten und Sitzungen	Fest einkompilierte API-Schlüssel, Tokens in Logs, wiederverwendbare Session-Tokens, Biometrie ohne Schutzwirkung.
Binary-Schutz	Debugfähige Release-Builds, fehlende Root-/Jailbreak-Erkennung, Widerstand gegen Repackaging und Manipulation.
Plattform-Schnittstellen	Exportierte Komponenten, Deeplink-Missbrauch, JavaScript-Bridges in WebViews, Path Traversal über Content Provider.
Lieferkette	Trojanisierte SDKs, Dependency Confusion, unsigniertes dynamisches Nachladen von Code.

Jede Zeile verlinkt das passende Kapitel im Haxoris Wiki, wo wir die Schwachstelle samt Ausnutzung und Behebung dokumentieren.

Wie ein Mobile-Projekt abläuft

Für eine typische App zwei bis vier Wochen inklusive Retest.

Scoping

Wir klären Plattformen, Build, Testkonten und ob das Backend im Umfang liegt. Den Festpreis erhalten Sie vor dem Start.

Statische Analyse

Wir dekompilieren den Build, prüfen Manifest und Berechtigungen und suchen nach Geheimnissen, schwacher Kryptografie und Debug-Artefakten im Release.

Dynamische Tests

Auf einem echten Gerät: Laufzeit-Instrumentierung, Verkehrsmitschnitt, Pinning-Bypass, Speicherprüfung und Missbrauch exportierter Schnittstellen.

Backend-Tests

Die APIs, auf denen die App aufsetzt, mit derselben Gründlichkeit wie eine Webanwendung — Autorisierung, IDOR, Rate Limits und Geschäftslogik.

Bericht und Retest

Befunde mit Nachweisen und Behebung, danach ein kostenloser Retest nach Ausrollen Ihrer Fixes.

Was Sie erhalten

Jedes Mobile-Projekt enthält:

iOS und Android auf echtem Gerät getestet

Bericht den MASVS-Kategorien zugeordnet

Reproduktionsschritte, denen Ihre Entwickler folgen können

Kostenloser Retest nach Umsetzung der Fixes

Backend-API-Tests, sofern im Umfang

Durchführung durch OSCP- und eMAPT-zertifizierte Tester

REFERENZEN

Das sagen unsere Kunden über uns

„Das Team ging professionell und unvoreingenommen an die Penetrationstests heran und hielt eine offene Kommunikation mit unseren DevOps‑, Frontend‑ und Backend‑Teams aufrecht, um eine saubere Isolation der Produktionsumgebung sicherzustellen. Umfang und Expertise der Tests waren beeindruckend – sogar im Vergleich mit anderen Top‑Anbietern. Die Tiefe der Schwachstellenprüfung und die Ergebnisse zeigten unsere Stärken und Verbesserungsfelder klar auf und halfen uns, das Sicherheitsniveau weiter zu steigern.“

Amerge

„Die Entscheidung, mit Haxoris Penetrationstests für unsere Web‑Anwendung durchzuführen, war ausgezeichnet. Dank ihres professionellen Ansatzes, gründlicher Tests und hervorragender Kommunikation konnten wir mehrere Schwachstellen identifizieren und beheben. Ihr detaillierter Abschlussbericht gab uns einen klaren Überblick über den Sicherheitszustand der Anwendung und konkrete Empfehlungen zum Schutz. Wir empfehlen Haxoris jedem Unternehmen – die Leistungen sind äußerst professionell und die Ergebnisse übertrafen unsere Erwartungen.“

Ultima Payments

„Professionelle Dienstleistungen, kundenorientierter Ansatz – wir würden sie definitiv wieder beauftragen :)“

Digital Systems

„Wir haben Haxoris mit Penetrationstests unserer Web‑Anwendungen gemäß ISO 27001 und PCI DSS beauftragt. Ihr Vorgehen war an unseren geschäftlichen Bedürfnissen ausgerichtet. Wir schätzen zudem den kundenorientierten Ansatz und die Flexibilität.“

Piano

Penetrationstests für mobile Apps — häufige Fragen

01 Brauchen Sie den Quellcode?

Nein. Standardmäßig testen wir Black Box aus dem Release-Build. Wenn Sie Quellcode oder einen Debug-Build bereitstellen können, nutzen wir ihn — Grey-Box-Tests finden in derselben Zeit mehr — Voraussetzung ist es aber nicht.

02 Testen Sie iOS und Android?

Ja. Die meisten Kunden testen beide Plattformen, denn sie versagen unterschiedlich: Android eher über exportierte Komponenten und Speicher, iOS über falsche Keychain-Nutzung und Jailbreak-Erkennungs-Bypass.

03 Ist die Backend-API enthalten?

Sie kann es sein und sollte es meist. Eine mobile App ist oft ein Thin Client über einer API, in der die eigentliche Autorisierungslogik liegt. Wir definieren den Umfang ausdrücklich, damit klar ist, was abgedeckt wurde.

04 Was kostet ein Penetrationstest einer mobilen App?

Eine App auf einer Plattform beginnt bei rund 2.000 €. Beide Plattformen samt Backend umfassen typischerweise 8 bis 15 Personentage. Nach einem kurzen Scoping-Gespräch nennen wir einen Festpreis.

05 Können Sie eine noch nicht veröffentlichte App testen?

Ja, und das ist der bessere Zeitpunkt. Senden Sie uns einen signierten Build — TestFlight, APK oder internen Track — und wir testen ihn, bevor er Ihre Nutzer erreicht.

Lassen Sie Ihre mobile App testen

Nennen Sie uns die Plattformen und grob, was die App tut — wir melden uns mit Festpreis und Termin. Penetrationstests für Anwendungen

Kostenloses Scoping-Gespräch buchen