--- title: "Android-App-Pentest nach OWASP MASVS | Mr Cyber" url: https://mr-cyber.com/de/leistungen/android-app-pentest language: de-DE description: "Manueller Android-App-Pentest nach OWASP MASVS. Gerätedaten, Login, Backend-API und App-Komponenten. Festpreis ab 2.900 €, Bericht in 5 Werktagen." --- # Penetrationstest für Android-Apps Ein Penetrationstest für Android-Apps prüft, ob Ihre App Nutzerdaten auf dem Gerät, bei der Übertragung und im Backend zuverlässig schützt. Mr Cyber testet Datenspeicherung, Anmeldung, nach außen freigegebene App-Komponenten und die API der App nach OWASP MASVS und MASTG – manuell, zum Festpreis und mit kostenlosem Retest. Festpreis **ab 2.900 €** · 3 Testtage · Retest inklusive [Festpreis berechnen](https://mr-cyber.com/de/angebot?service=android) Lieber erst sprechen? [Gespräch buchen](https://mr-cyber.com/de/kontakt#book) Aus der APK entpackt: ein Backend-Schlüssel im Klartext, der bei jeder Anfrage mitgeht. - **3–8 Testtage**3 Testtage im Einstiegspreis - **OWASP MASVS**\+ 4 weitere Standards - **Bericht + Gespräch**innerhalb von 5 Werktagen - **Kostenloser Retest**innerhalb von 60 Tagen ## Für wen - Unternehmen, deren App Kunden-, Gesundheits- oder Zahlungsdaten verarbeitet - B2B-Apps, die Enterprise-Kunden auf verwalteten Geräten ausrollen - Teams, die sich auf ISO 27001, SOC 2, NIS2 oder ein Kundenaudit vorbereiten - Apps vor einem großen Release, einer neuen Anmeldung oder einem neuen Backend ## Was wir testen ### Daten auf dem Gerät - Speicherung von Tokens, Zugangsdaten und personenbezogenen Daten - Shared Preferences, Datenbanken, Logs und Backups - Was nach dem Logout zurückbleibt ### Anmeldung & Sitzungen - Login, MFA und biometrische Entsperrung - Sitzungsdauer und Umgang mit Tokens - SSO- und OAuth-Abläufe in der App ### Netzwerk & Backend - Transportverschlüsselung und Zertifikatsprüfung - Berechtigungen in der Backend-API - Daten, die die App an Dritte sendet ### Plattform & App-Komponenten - Activities, Services und Content Provider, die anderen Apps offenstehen - Deep Links, Intents und WebViews - Berechtigungen und in der App hinterlegte Geheimnisse ### Härtung - Root-Erkennung und Manipulationsschutz, sofern Sie darauf setzen - Schutz der Geschäftslogik im Client ## So testen wir Ihre Android-App. Fünf Phasen, ein Tester. Derselbe erfahrene Tester vom Scope bis zum Retest. Testtage im Einstiegspreis 3 Werktage bis zum Bericht 5 Tage für den kostenlosen Retest 60 In der Regel 3–8 Testtage, abhängig von Funktionen, Rollen und davon, ob die Backend-API im Scope ist. 1. Phase 1 ### Scope & Starttermin Preis und Starttermin online oder im Gespräch. NDA, unterschriebener Scope und schriftliche Freigabe kommen vor dem ersten Test. Termin nach Wahl 2. Phase 2 ### App-Analyse App-Paket, lokale Daten und Datenverkehr untersucht. Testtag 1 3. Phase 3 ### App- & API-Tests App und Backend gemeinsam getestet. Ab Testtag 2 4. Phase 4 ### Bericht & Abschlussgespräch Prüffähiger Bericht und Ticket-Datei, danach ein Gespräch. Innerhalb von 5 Werktagen 5. Phase 5 ### Kostenloser Retest Ihre Behebungen erneut getestet und schriftlich bestätigt. Innerhalb von 60 Tagen ## Methodik & Standards - OWASP MASVS - OWASP MASTG - OWASP Mobile Top 10 - OWASP API Security Top 10 (2023) - CVSS 3.1 ## So testen wir Android-Apps Wir nutzen die App zuerst so wie Ihre Kunden und erfassen dann, welche Daten sie speichert, welche Komponenten sie anderen Apps öffnet, welche Backend-Aufrufe sie macht und welche Rollen es gibt. Anschließend prüfen wir jeden Bereich manuell nach dem [OWASP Mobile Application Security Verification Standard (MASVS)](https://mas.owasp.org/MASVS/), mit dem MASTG als Testleitfaden. ### App und Backend gemeinsam Die meisten ernsten Befunde in Mobile Apps liegen in der API hinter der App. Ist das Backend im Scope, testen wir es mit denselben Zugängen. So sehen Sie das Gesamtbild in einem Bericht. ### Kritische Befunde warten nicht auf den Bericht Finden wir während des Tests etwas Kritisches, erfahren Sie es noch am selben Tag – mit genug Details, damit Ihr Team sofort reagieren kann. ### Ergebnisse nach MASVS Jeder Befund ist der betroffenen MASVS-Kontrolle zugeordnet und erhält einen **CVSS-3.1**\-Wert (auf Wunsch CVSS 4.0) sowie eine Bewertung des Geschäftsrisikos. Ihre Entwickler wissen, was zuerst zu tun ist, und Ihre Prüfer sehen, welche Kontrollen getestet wurden. ## Was Sie erhalten - Management-Summary für Geschäftsleitung und Prüfer - Jeder Befund mit Reproduktion, Nachweis und Empfehlung - Zuordnung der Befunde zu den Kontrollen der OWASP MASVS - CVSS-3.1-Bewertung plus Geschäftsrisiko und priorisierter Maßnahmenplan - Abschlussgespräch mit Ihren App- und Backend-Entwicklern - Kostenloser Retest und aktualisierter Bericht ### Immer inklusive - Kostenloser Retest innerhalb von 60 Tagen - Abschlussgespräch mit Ihrem Team - NDA, AVV und Testfreigabe mit dem Angebot - Kritische Befunde noch am selben Tag gemeldet - Test-Stopp jederzeit auf Ihren Zuruf - Prüffähiger Bericht (PDF) - Importfertige Tickets für Jira, ServiceNow, GitLab, Azure DevOps und GitHub - E-Mail-Import für Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42 Pentest-Bericht · Admin & Söhne GmbH · MC-2026-017 Risiko: Mittel CVSS 3.1 · 6.8 Offen · Retest inklusive ### App akzeptiert gefälschte Sicherheitszertifikate Android-App von Admin & Söhne · api.admin-soehne.example CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N #### Beschreibung Beim Verbindungsaufbau zum Shop-Server prüft die Android-App nicht, ob das Sicherheitszertifikat echt ist. Wer im selben öffentlichen WLAN sitzt, etwa im Café oder im Zug, kann sich als Shop-Server ausgeben. Die App schickt ihm dann Passwort und Sitzung des Kunden und übernimmt veränderte Antworten. #### Reproduktion 1. Ein Testhandy mit der App mit einem Test-WLAN verbinden, das der Tester kontrolliert. 2. Der App ein selbst erstelltes Zertifikat für api.admin-soehne.example vorlegen. 3. Die App meldet sich ohne jede Warnung an, die Anmeldedaten sind für den Tester sichtbar. ``` Verbindungsprotokoll der App (Testgerät) TLS: Zertifikatsaussteller "Tester Lab CA" (nicht vertrauenswürdig) → akzeptiert POST /v2/login {"email":"test-a@…","password":""} ``` #### Geschäftliche Auswirkung Kunden, die im öffentlichen WLAN einkaufen, kann das Konto unbemerkt übernommen werden. Angreifer sehen dann Bestellungen und gespeicherte Adressen oder bestellen in ihrem Namen. Jedes betroffene Konto enthält personenbezogene Daten eines Kunden, jeder Fall ist also ein DSGVO-relevanter Vorfall. #### Empfehlung Den eigenen Code entfernen, der die Zertifikatsprüfung überspringt, und die Standardeinstellungen von Android für sichere Verbindungen nutzen. Certificate Pinning für die Shop-API erwägen. Ein Test in der Release-Pipeline schlägt fehl, wenn die App ein nicht vertrauenswürdiges Zertifikat akzeptiert. OWASP Mobile Top 10 2024: M5 Insecure Communication · CWE-295 (Improper Certificate Validation) · MITRE ATT&CK T1557 (Adversary-in-the-Middle) ## Festpreis ab [2.900 €](https://mr-cyber.com/de/angebot?service=android) 3 Testtage · Bericht in 5 Werktagen · Retest inklusive Leistungen ausschließlich für Unternehmen. · [Wie sich der Preis zusammensetzt](https://mr-cyber.com/de/preise) ## Häufige Fragen Was kostet ein Penetrationstest für eine Android-App? Festpreise beginnen bei 2.900 € für eine App auf einer Plattform mit ein bis zwei Benutzerrollen. Backend-API, weitere Rollen oder die iOS-Version erhöhen den Aufwand. Das Anfrageformular zeigt Ihren verbindlichen Festpreis sofort, das schriftliche Angebot (PDF) erhalten Sie direkt nach Ihrer Anfrage per E-Mail. Was brauchen Sie von uns? Einen aktuellen Build (APK oder AAB oder Zugang über einen geschlossenen Test-Track), Testzugänge pro Rolle, die API-Umgebung, mit der die App spricht, und einen Notfallkontakt. Quellcode ist optional. Testen Sie iOS gleich mit? Ja, wenn Sie beide Plattformen haben. Jede Plattform wird einzeln geprüft, weil sich Speicherung und Plattformfunktionen unterscheiden. Die gemeinsame Backend-API testen wir einmal. Merken unsere Nutzer etwas vom Test? Nein. Wir testen mit eigenen Testzugängen, idealerweise gegen ein Staging-Backend. Ist die Produktion im Scope, stimmen wir Zeitfenster und ausgeschlossene Aktionen vorab ab. Was unterscheidet den Test von einem automatischen App-Scan? Ein Scanner sucht in der App-Datei nach bekannten Mustern. Ein Tester prüft zusätzlich, wie App und Backend zusammenspielen, etwa ob ein Nutzer an die Daten eines anderen kommt. Genau dort liegen meist die ernsten Befunde.