Ihre mobile App, geprüft auf dem Gerät und dahinter
Wir testen Ihre iOS- und Android-Apps zusammen mit den APIs und Diensten, mit denen sie kommunizieren, in einem Umfang und nach Regeln, die Sie schriftlich freigeben. Danach zeigen wir, was wir gefunden haben, warum es wichtig ist und was Sie zuerst beheben sollten.
Überblick
Was ein Mobile-Test abdeckt
Eine mobile App läuft auf einem Gerät, das Sie nicht kontrollieren, in den Händen aller, die sie herunterladen. Was sie speichert, sendet oder voraussetzt, lässt sich in Ruhe untersuchen. Ein sinnvoller Test betrachtet deshalb die App selbst, ihren Umgang mit der Plattform und das Backend, dem sie vertraut.
Wir prüfen, wie die App Daten auf dem Gerät und bei der Übertragung behandelt, wie sie Benutzer authentifiziert und Sitzungen verwaltet, was sie anderen Apps auf dem Gerät preisgibt und wie die APIs dahinter Zugriffe durchsetzen. Befunde in der App und im Backend berichten wir gemeinsam, weil ein Angreifer sie auch gemeinsam nutzen würde.
Wo es hilft, orientieren wir uns an einer anerkannten Referenz, zum Beispiel dem OWASP Mobile Application Security Verification Standard (MASVS) und dem OWASP Mobile Application Security Testing Guide (MASTG), oder an Anforderungen Ihrer Kunden oder Prüfer.
Für wen es gedacht ist
Unternehmen, die eigene mobile Apps veröffentlichen oder von einer Agentur entwickeln lassen und wissen wollen, wie App und Backend standhalten: vor einem Release, nach einer größeren Änderung oder weil Kunden, Partner oder Rahmenwerke wie ISO/IEC 27001, PCI DSS oder SOC 2 unabhängige Tests erwarten.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
iOS- und Android-Apps
Native und plattformübergreifende Apps, die Ihnen gehören oder die Sie testen lassen dürfen, auf einer oder beiden Plattformen, aus dem Store oder als bereitgestellter Build.
Datenspeicherung und Datenschutz
Was die App auf dem Gerät ablegt, wo und wie lange, unter anderem Zugangsdaten, Tokens, personenbezogene Daten und Logs.
Netzwerkkommunikation
Wie die App mit ihren Servern und Drittdiensten kommuniziert und ob dieser Verkehr so geschützt ist, wie Sie es vorsehen.
Authentifizierung und Sitzungen
Anmeldung, biometrische Funktionen und Gerätebindung, Sitzungsverwaltung und Berechtigungen, geprüft in der App und auf der Serverseite.
Backend und APIs
Die APIs und Dienste, von denen die App abhängt, geprüft auf Zugriffskontrolle, Eingabeverarbeitung und Geschäftslogik, denn dort liegt meist das Entscheidende.
Plattformintegration und Widerstandsfähigkeit
Berechtigungen, Links, Kommunikation zwischen Apps und die eingebauten Schutzmaßnahmen gegen Manipulation und Reverse Engineering.
So läuft der Auftrag ab
Kickoff und Scoping
Wir legen Apps, Versionen, Plattformen, Backend-Endpunkte, Testkonten und Ausschlüsse fest. Eine Vertraulichkeitsvereinbarung kann schon vor dem ersten Termin unterzeichnet werden.
Angebot und Freigabe
Ein Angebot, danach die schriftliche Freigabe durch eine dazu berechtigte Person für die Apps und jedes betroffene Backend, und Rules of Engagement: Umgebungen, Testfenster, Ansprechpartner und das Vorgehen bei kritischen Funden.
Testdurchführung
Wir testen App und Backend im vereinbarten Rahmen, bevorzugt in einer Test- oder Staging-Umgebung. Was nicht bis zum Bericht warten kann, melden wir sofort.
Übergabe der Ergebnisse
Ein Management-Bericht mit Risikobewertung und ein technischer Bericht mit nachvollziehbaren Befunden und Hinweisen zur Behebung, gemeinsam besprochen mit Ihren Entwicklern und Product Ownern.
Nachtest und Abschluss
Wir prüfen Ihre Korrekturen in einem neuen Build und schließen das Projekt mit einem Feedbackgespräch ab. Auf Wunsch mit einem Zertifikat über das Projekt, das jeder auf unserer Website prüfen kann.
Was Sie erhalten
- Vereinbarter Umfang und Rules of Engagement
- Management-Bericht mit Risikobewertung
- Technischer Bericht mit Befunden, Nachweisen und Hinweisen zur Behebung für Entwickler
- Priorisierte Empfehlungen für App und Backend
- Ergebnisse des Nachtests für die behobenen Befunde
- Optionales Zertifikat über das erfolgreiche Projekt, prüfbar unter /verify
Fragen
Testen Sie nur die App oder auch das Backend?
Beides, sofern Sie nichts anderes wünschen. Viele der wichtigsten Befunde liegen in den APIs, die die App aufruft, deshalb empfehlen wir, sie einzubeziehen. Gehört das Backend einem Dritten, brauchen wir dessen Zustimmung, bevor es in den Umfang aufgenommen werden kann.
Was brauchen Sie von uns?
Builds der App für die betroffenen Plattformen, Testkonten mit den Rollen, die abgedeckt werden sollen, die Backend-Endpunkte und einen Ansprechpartner auf Ihrer Seite. Quellcode oder Designunterlagen sind optional und machen den Test gründlicher.
Können Sie gegen die Produktivumgebung testen?
Wir bevorzugen eine Test- oder Staging-Umgebung, die der Produktion entspricht. Steht nur die Produktion zur Verfügung, legen wir Grenzen in den Rules of Engagement fest und besprechen das verbleibende Risiko mit Ihnen, bevor wir beginnen.
Ist das Zertifikat eine Compliance-Zertifizierung?
Nein. Es belegt, dass das Projekt stattgefunden hat und abgeschlossen wurde, und jeder kann es auf unserer Website prüfen. Es zertifiziert die App nicht nach einer Norm oder einem Gesetz.
Verwandte Leistungen
- Offensive SicherheitPenetrationstestsPenetrationstests von Black Fox Security: Black-, Grey- und White-Box-Tests im vereinbarten Umfang, Management- und Technikbericht sowie Nachtest Ihrer Korrekturen.
- Beratung und ReaktionDevSecOps und sichere EntwicklungDevSecOps von Black Fox Security: sichere Entwicklung, Bedrohungsmodellierung, Code-Review, Sicherheit in CI/CD, Abhängigkeits- und Secret-Scans, Schulung.
- Managed SecuritySchwachstellenmanagementRegelmäßige Schwachstellenprüfungen von Black Fox Security: Scans, Triage, Priorisierung nach Ausnutzbarkeit und Exposition, Nachverfolgung und Trendberichte.
- Managed SecuritySystemhärtungSystemhärtung von Black Fox Security: Endgeräte, Server und Netzwerke, sichere Konfigurationsbaselines, Aufbau von Monitoring und persönliche Sicherheit.
Sagen Sie uns, welche App getestet werden soll
Nennen Sie uns die App, die Plattformen und das, was Ihnen daran Sorgen macht. Wir melden uns mit Umfang und Angebot.