--- title: "iOS-App-Pentest nach OWASP MASVS | Mr Cyber" url: https://mr-cyber.com/de/leistungen/ios-app-pentest language: de-DE description: "Manueller iOS-App-Pentest nach OWASP MASVS. Daten auf dem Gerät, Login, Backend-API und Datenschutz. Festpreis ab 2.900 €, Bericht in 5 Werktagen." --- # Penetrationstest für iOS-Apps Ein Penetrationstest für iOS-Apps prüft, ob Ihre iPhone- oder iPad-App Nutzerdaten auf dem Gerät, bei der Übertragung und im Backend zuverlässig schützt. Mr Cyber testet Datenspeicherung, Anmeldung, die API der App und Plattformfunktionen nach OWASP MASVS und MASTG – manuell, zum Festpreis und mit kostenlosem Retest. Festpreis **ab 2.900 €** · 3 Testtage · Retest inklusive [Festpreis berechnen](https://mr-cyber.com/de/angebot?service=ios) Lieber erst sprechen? [Gespräch buchen](https://mr-cyber.com/de/kontakt#book) Im App-Paket: ein fest eingebauter Schlüssel, der auch das Backend öffnet. - **3–8 Testtage**3 Testtage im Einstiegspreis - **OWASP MASVS**\+ 4 weitere Standards - **Bericht + Gespräch**innerhalb von 5 Werktagen - **Kostenloser Retest**innerhalb von 60 Tagen ## Für wen - Unternehmen, deren App Kunden-, Gesundheits- oder Zahlungsdaten verarbeitet - B2B-Apps, die Enterprise-Kunden an ihre Mitarbeitenden verteilen - Teams, die sich auf ISO 27001, SOC 2, NIS2 oder ein Kundenaudit vorbereiten - Apps vor einem großen Release, einer neuen Anmeldung oder einem neuen Backend ## Was wir testen ### Daten auf dem Gerät - Speicherung von Tokens, Zugangsdaten und personenbezogenen Daten - Keychain, Caches, Logs und Backups - Was nach dem Logout zurückbleibt ### Anmeldung & Sitzungen - Login, MFA und biometrische Entsperrung - Sitzungsdauer und Umgang mit Tokens - SSO- und OAuth-Abläufe in der App ### Netzwerk & Backend - Transportverschlüsselung und Zertifikatsprüfung - Berechtigungen in der Backend-API - Daten, die die App an Dritte sendet ### Plattform & App-Code - Deep Links, URL-Schemes und App-Erweiterungen - Berechtigungen und Datenschutzeinstellungen - In der App hinterlegte Schlüssel und Geheimnisse ### Härtung - Jailbreak-Erkennung und Manipulationsschutz, sofern Sie darauf setzen - Schutz der Geschäftslogik im Client ## So testen wir Ihre iOS-App. Fünf Phasen, ein Tester. Derselbe erfahrene Tester vom Scope bis zum Retest. Testtage im Einstiegspreis 3 Werktage bis zum Bericht 5 Tage für den kostenlosen Retest 60 In der Regel 3–8 Testtage, abhängig von Funktionen, Rollen und davon, ob die Backend-API im Scope ist. 1. Phase 1 ### Scope & Starttermin Preis und Starttermin online oder im Gespräch. NDA, unterschriebener Scope und schriftliche Freigabe kommen vor dem ersten Test. Termin nach Wahl 2. Phase 2 ### App-Analyse App-Paket, lokale Daten und Datenverkehr untersucht. Testtag 1 3. Phase 3 ### App- & API-Tests App und Backend gemeinsam getestet. Ab Testtag 2 4. Phase 4 ### Bericht & Abschlussgespräch Prüffähiger Bericht und Ticket-Datei, danach ein Gespräch. Innerhalb von 5 Werktagen 5. Phase 5 ### Kostenloser Retest Ihre Behebungen erneut getestet und schriftlich bestätigt. Innerhalb von 60 Tagen ## Methodik & Standards - OWASP MASVS - OWASP MASTG - OWASP Mobile Top 10 - OWASP API Security Top 10 (2023) - CVSS 3.1 ## So testen wir iOS-Apps Wir nutzen die App zuerst so wie Ihre Kunden und erfassen dann, welche Daten sie speichert, welche Backend-Aufrufe sie macht und welche Rollen es gibt. Anschließend prüfen wir jeden Bereich manuell nach dem [OWASP Mobile Application Security Verification Standard (MASVS)](https://mas.owasp.org/MASVS/), mit dem MASTG als Testleitfaden. ### App und Backend gemeinsam Die meisten ernsten Befunde in Mobile Apps liegen in der API hinter der App. Ist das Backend im Scope, testen wir es mit denselben Zugängen. So sehen Sie das Gesamtbild in einem Bericht. ### Kritische Befunde warten nicht auf den Bericht Finden wir während des Tests etwas Kritisches, erfahren Sie es noch am selben Tag – mit genug Details, damit Ihr Team sofort reagieren kann. ### Ergebnisse nach MASVS Jeder Befund ist der betroffenen MASVS-Kontrolle zugeordnet und erhält einen **CVSS-3.1**\-Wert (auf Wunsch CVSS 4.0) sowie eine Bewertung des Geschäftsrisikos. Ihre Entwickler wissen, was zuerst zu tun ist, und Ihre Prüfer sehen, welche Kontrollen getestet wurden. ## Was Sie erhalten - Management-Summary für Geschäftsleitung und Prüfer - Jeder Befund mit Reproduktion, Nachweis und Empfehlung - Zuordnung der Befunde zu den Kontrollen der OWASP MASVS - CVSS-3.1-Bewertung plus Geschäftsrisiko und priorisierter Maßnahmenplan - Abschlussgespräch mit Ihren App- und Backend-Entwicklern - Kostenloser Retest und aktualisierter Bericht ### Immer inklusive - Kostenloser Retest innerhalb von 60 Tagen - Abschlussgespräch mit Ihrem Team - NDA, AVV und Testfreigabe mit dem Angebot - Kritische Befunde noch am selben Tag gemeldet - Test-Stopp jederzeit auf Ihren Zuruf - Prüffähiger Bericht (PDF) - Importfertige Tickets für Jira, ServiceNow, GitLab, Azure DevOps und GitHub - E-Mail-Import für Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42 Pentest-Bericht · Admin & Söhne GmbH · MC-2026-016 Risiko: Hoch CVSS 3.1 · 8.2 Offen · Retest inklusive ### Schlüssel in der App erlaubt Push-Nachrichten an alle Kunden iOS-App von Admin & Söhne · Dienst für Kundennachrichten CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N #### Beschreibung Die App enthält den geheimen Schlüssel für den Dienst, der Push-Nachrichten an Kunden verschickt. Wer die App aus dem App Store lädt, kann ihn auslesen. Der Schlüssel ist nicht auf das beschränkt, was die App braucht: Er kann jedem Kunden beliebige Nachrichten aufs Handy schicken und die Kundenkontakte mit Namen, E-Mail-Adressen und Handynummern lesen. #### Reproduktion 1. Die öffentliche App aus dem App Store auf ein Testgerät laden. 2. Das App-Paket untersuchen: Der Schlüssel für den Nachrichtendienst ist darin gespeichert. 3. Mit der Admin-Person des Kunden die Rechte des Schlüssels prüfen: Er darf alle Kundenkontakte lesen und an alle Geräte senden. ``` App-Paket: Einstellungsdatei enthält den Nachrichtenschlüssel (gekürzt) Rechte des Schlüssels: Kundenkontakte lesen = ja an alle Geräte senden = ja Lesbare Kundenkontakte: 48.210 (Name, E-Mail, Handynummer) ``` #### Geschäftliche Auswirkung Eine gefälschte Nachricht „Ihr Paket wartet, bitte 1,99 EUR zahlen“ aus Ihrer eigenen App erreicht jeden Kunden. Kunden verlieren Geld und Vertrauen, Bewertungen und Support leiden, und die lesbare Kontaktliste ist eine Datenpanne, die nach DSGVO binnen 72 Stunden gemeldet werden muss. #### Empfehlung Den Schlüssel sofort sperren und einen neuen ausstellen, der auf dem Server bleibt. Die App bittet das eigene Backend um den Versand, nie den Nachrichtendienst direkt. Jeder Schlüssel erhält nur die nötigen Rechte, und eine Prüfung im Build schlägt fehl, wenn ein Geheimnis im App-Paket steckt. OWASP Mobile Top 10 2024: M1 Improper Credential Usage · CWE-798 (Use of Hard-coded Credentials) · OWASP MASVS-STORAGE ## Festpreis ab [2.900 €](https://mr-cyber.com/de/angebot?service=ios) 3 Testtage · Bericht in 5 Werktagen · Retest inklusive Leistungen ausschließlich für Unternehmen. · [Wie sich der Preis zusammensetzt](https://mr-cyber.com/de/preise) ## Häufige Fragen Was kostet ein Penetrationstest für eine iOS-App? Festpreise beginnen bei 2.900 € für eine App auf einer Plattform mit ein bis zwei Benutzerrollen. Backend-API, weitere Rollen oder eine zweite Plattform erhöhen den Aufwand. Das Anfrageformular zeigt Ihren verbindlichen Festpreis sofort, das schriftliche Angebot (PDF) erhalten Sie direkt nach Ihrer Anfrage per E-Mail. Was brauchen Sie von uns? Einen aktuellen Build (IPA oder TestFlight-Einladung), Testzugänge pro Rolle, die API-Umgebung, mit der die App spricht, und einen Notfallkontakt. Quellcode ist optional. Testen Sie Android gleich mit? Ja, wenn Sie beide Plattformen haben. Jede Plattform wird einzeln geprüft, weil sich Speicherung und Plattformfunktionen unterscheiden. Die gemeinsame Backend-API testen wir einmal. Merken unsere Nutzer etwas vom Test? Nein. Wir testen mit eigenen Testzugängen, idealerweise gegen ein Staging-Backend. Ist die Produktion im Scope, stimmen wir Zeitfenster und ausgeschlossene Aktionen vorab ab. Was unterscheidet den Test von einem automatischen App-Scan? Ein Scanner sucht in der App-Datei nach bekannten Mustern. Ein Tester prüft zusätzlich, wie App und Backend zusammenspielen, etwa ob ein Nutzer an die Daten eines anderen kommt. Genau dort liegen meist die ernsten Befunde.