Zum Inhalt springen

Penetrationstest für iOS-Apps

Ein Penetrationstest für iOS-Apps prüft, ob Ihre iPhone- oder iPad-App Nutzerdaten auf dem Gerät, bei der Übertragung und im Backend zuverlässig schützt. Mr Cyber testet Datenspeicherung, Anmeldung, die API der App und Plattformfunktionen nach OWASP MASVS und MASTG – manuell, zum Festpreis und mit kostenlosem Retest.

Festpreis ab 2.900 € · 3 Testtage · Retest inklusive

Festpreis berechnen

Lieber erst sprechen? Gespräch buchen

Admin & Söhne Anmelden AdminSoehne.app Info.plist Assets.car config.json "apiKey": AS-7f3c…e91 jede Anfrage der App api.admin-soehne.example X-Api-Key: AS-7f3c…e91
Im App-Paket: ein fest eingebauter Schlüssel, der auch das Backend öffnet.
  • 3–8 Testtage3 Testtage im Einstiegspreis
  • OWASP MASVS+ 4 weitere Standards
  • Bericht + Gesprächinnerhalb von 5 Werktagen
  • Kostenloser Retestinnerhalb von 60 Tagen

Für wen

  • Unternehmen, deren App Kunden-, Gesundheits- oder Zahlungsdaten verarbeitet
  • B2B-Apps, die Enterprise-Kunden an ihre Mitarbeitenden verteilen
  • Teams, die sich auf ISO 27001, SOC 2, NIS2 oder ein Kundenaudit vorbereiten
  • Apps vor einem großen Release, einer neuen Anmeldung oder einem neuen Backend

Was wir testen

Daten auf dem Gerät

  • Speicherung von Tokens, Zugangsdaten und personenbezogenen Daten
  • Keychain, Caches, Logs und Backups
  • Was nach dem Logout zurückbleibt

Anmeldung & Sitzungen

  • Login, MFA und biometrische Entsperrung
  • Sitzungsdauer und Umgang mit Tokens
  • SSO- und OAuth-Abläufe in der App

Netzwerk & Backend

  • Transportverschlüsselung und Zertifikatsprüfung
  • Berechtigungen in der Backend-API
  • Daten, die die App an Dritte sendet

Plattform & App-Code

  • Deep Links, URL-Schemes und App-Erweiterungen
  • Berechtigungen und Datenschutzeinstellungen
  • In der App hinterlegte Schlüssel und Geheimnisse

Härtung

  • Jailbreak-Erkennung und Manipulationsschutz, sofern Sie darauf setzen
  • Schutz der Geschäftslogik im Client
Festpreis berechnen

Lieber erst sprechen? Gespräch buchen

So testen wir Ihre iOS-App. Fünf Phasen, ein Tester.

Derselbe erfahrene Tester vom Scope bis zum Retest.

Testtage im Einstiegspreis
3
Werktage bis zum Bericht
5
Tage für den kostenlosen Retest
60

In der Regel 3–8 Testtage, abhängig von Funktionen, Rollen und davon, ob die Backend-API im Scope ist.

  1. Phase 1

    Scope & Starttermin

    Preis und Starttermin online oder im Gespräch. NDA, unterschriebener Scope und schriftliche Freigabe kommen vor dem ersten Test.

    Termin nach Wahl

  2. Phase 2

    App-Analyse

    App-Paket, lokale Daten und Datenverkehr untersucht.

    Testtag 1

  3. Phase 3

    App- & API-Tests

    App und Backend gemeinsam getestet.

    Ab Testtag 2

  4. Phase 4

    Bericht & Abschlussgespräch

    Prüffähiger Bericht und Ticket-Datei, danach ein Gespräch.

    Innerhalb von 5 Werktagen

  5. Phase 5

    Kostenloser Retest

    Ihre Behebungen erneut getestet und schriftlich bestätigt.

    Innerhalb von 60 Tagen

Methodik & Standards

  • OWASP MASVS
  • OWASP MASTG
  • OWASP Mobile Top 10
  • OWASP API Security Top 10 (2023)
  • CVSS 3.1

So testen wir iOS-Apps

Wir nutzen die App zuerst so wie Ihre Kunden und erfassen dann, welche Daten sie speichert, welche Backend-Aufrufe sie macht und welche Rollen es gibt. Anschließend prüfen wir jeden Bereich manuell nach dem OWASP Mobile Application Security Verification Standard (MASVS), mit dem MASTG als Testleitfaden.

App und Backend gemeinsam

Die meisten ernsten Befunde in Mobile Apps liegen in der API hinter der App. Ist das Backend im Scope, testen wir es mit denselben Zugängen. So sehen Sie das Gesamtbild in einem Bericht.

Kritische Befunde warten nicht auf den Bericht

Finden wir während des Tests etwas Kritisches, erfahren Sie es noch am selben Tag – mit genug Details, damit Ihr Team sofort reagieren kann.

Ergebnisse nach MASVS

Jeder Befund ist der betroffenen MASVS-Kontrolle zugeordnet und erhält einen CVSS-3.1-Wert (auf Wunsch CVSS 4.0) sowie eine Bewertung des Geschäftsrisikos. Ihre Entwickler wissen, was zuerst zu tun ist, und Ihre Prüfer sehen, welche Kontrollen getestet wurden.

Was Sie erhalten

  • Management-Summary für Geschäftsleitung und Prüfer
  • Jeder Befund mit Reproduktion, Nachweis und Empfehlung
  • Zuordnung der Befunde zu den Kontrollen der OWASP MASVS
  • CVSS-3.1-Bewertung plus Geschäftsrisiko und priorisierter Maßnahmenplan
  • Abschlussgespräch mit Ihren App- und Backend-Entwicklern
  • Kostenloser Retest und aktualisierter Bericht

Immer inklusive

  • Kostenloser Retest innerhalb von 60 Tagen
  • Abschlussgespräch mit Ihrem Team
  • NDA, AVV und Testfreigabe mit dem Angebot
  • Kritische Befunde noch am selben Tag gemeldet
  • Test-Stopp jederzeit auf Ihren Zuruf
  • Prüffähiger Bericht (PDF)
  • Importfertige Tickets für Jira, ServiceNow, GitLab, Azure DevOps und GitHub
  • E-Mail-Import für Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42
Festpreis berechnen Zum Bericht
Pentest-Bericht · Admin & Söhne GmbH · MC-2026-016
Risiko: Hoch CVSS 3.1 · 8.2 Offen · Retest inklusive

Schlüssel in der App erlaubt Push-Nachrichten an alle Kunden

iOS-App von Admin & Söhne · Dienst für Kundennachrichten

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

Beschreibung

Die App enthält den geheimen Schlüssel für den Dienst, der Push-Nachrichten an Kunden verschickt. Wer die App aus dem App Store lädt, kann ihn auslesen. Der Schlüssel ist nicht auf das beschränkt, was die App braucht: Er kann jedem Kunden beliebige Nachrichten aufs Handy schicken und die Kundenkontakte mit Namen, E-Mail-Adressen und Handynummern lesen.

Reproduktion

  1. Die öffentliche App aus dem App Store auf ein Testgerät laden.
  2. Das App-Paket untersuchen: Der Schlüssel für den Nachrichtendienst ist darin gespeichert.
  3. Mit der Admin-Person des Kunden die Rechte des Schlüssels prüfen: Er darf alle Kundenkontakte lesen und an alle Geräte senden.
App-Paket: Einstellungsdatei enthält den Nachrichtenschlüssel
  (gekürzt)
Rechte des Schlüssels: Kundenkontakte lesen = ja
an alle Geräte senden = ja
Lesbare Kundenkontakte: 48.210 (Name, E-Mail, Handynummer)

Geschäftliche Auswirkung

Eine gefälschte Nachricht „Ihr Paket wartet, bitte 1,99 EUR zahlen“ aus Ihrer eigenen App erreicht jeden Kunden. Kunden verlieren Geld und Vertrauen, Bewertungen und Support leiden, und die lesbare Kontaktliste ist eine Datenpanne, die nach DSGVO binnen 72 Stunden gemeldet werden muss.

Empfehlung

Den Schlüssel sofort sperren und einen neuen ausstellen, der auf dem Server bleibt. Die App bittet das eigene Backend um den Versand, nie den Nachrichtendienst direkt. Jeder Schlüssel erhält nur die nötigen Rechte, und eine Prüfung im Build schlägt fehl, wenn ein Geheimnis im App-Paket steckt.

OWASP Mobile Top 10 2024: M1 Improper Credential Usage · CWE-798 (Use of Hard-coded Credentials) · OWASP MASVS-STORAGE

Festpreis ab

2.900 €

3 Testtage · Bericht in 5 Werktagen · Retest inklusive

Leistungen ausschließlich für Unternehmen. · Wie sich der Preis zusammensetzt

Festpreis berechnen

Lieber erst sprechen? Gespräch buchen

Häufige Fragen

Was kostet ein Penetrationstest für eine iOS-App?
Festpreise beginnen bei 2.900 € für eine App auf einer Plattform mit ein bis zwei Benutzerrollen. Backend-API, weitere Rollen oder eine zweite Plattform erhöhen den Aufwand. Das Anfrageformular zeigt Ihren verbindlichen Festpreis sofort, das schriftliche Angebot (PDF) erhalten Sie direkt nach Ihrer Anfrage per E-Mail.
Was brauchen Sie von uns?
Einen aktuellen Build (IPA oder TestFlight-Einladung), Testzugänge pro Rolle, die API-Umgebung, mit der die App spricht, und einen Notfallkontakt. Quellcode ist optional.
Testen Sie Android gleich mit?
Ja, wenn Sie beide Plattformen haben. Jede Plattform wird einzeln geprüft, weil sich Speicherung und Plattformfunktionen unterscheiden. Die gemeinsame Backend-API testen wir einmal.
Merken unsere Nutzer etwas vom Test?
Nein. Wir testen mit eigenen Testzugängen, idealerweise gegen ein Staging-Backend. Ist die Produktion im Scope, stimmen wir Zeitfenster und ausgeschlossene Aktionen vorab ab.
Was unterscheidet den Test von einem automatischen App-Scan?
Ein Scanner sucht in der App-Datei nach bekannten Mustern. Ein Tester prüft zusätzlich, wie App und Backend zusammenspielen, etwa ob ein Nutzer an die Daten eines anderen kommt. Genau dort liegen meist die ernsten Befunde.

Passende Leistungen

NIS2 & Compliance

iOS-App-Pentest: Festpreis in Sekunden

Wählen Sie aus, um Ihre Anfrage zu starten. Sie erhalten Ihren verbindlichen Festpreis sofort und das schriftliche Angebot (PDF) direkt nach Ihrer Anfrage per E-Mail.

Festpreis berechnen

Lieber erst sprechen? Gespräch buchen