Reverse Engineering
Was die App dekompiliert verrät: API-Keys, versteckte Endpunkte, Debug-Funktionen, hartcodierte Secrets.
Mobile-App-Pentest
Deine App landet auf dem Handy jedes Angreifers. Wir öffnen sie zuerst.
Jeder kann deine App herunterladen, sie auseinandernehmen und zusehen, wie sie mit deinen Servern spricht. Genau das machen wir für iOS und Android und sagen dir, was ein Angreifer daraus lernt.
- iOS und Android
- OWASP MASVS
- App plus Backend-API
Kurz gesagt
Ein Mobile-App-Penetrationstest untersucht eine iOS- oder Android-App und das Backend, mit dem sie spricht. Die Tester zerlegen die App per Reverse Engineering, prüfen, was sie auf dem Gerät speichert, schneiden ihren Netzwerkverkehr mit und greifen die APIs dahinter an, nach dem OWASP Mobile Application Security Verification Standard (MASVS). Zyberum testet App und API zusammen, weil die meisten ernsten Findings im Backend liegen.
Was wir testen
Auf dem Gerät und dahinter
Daten auf dem Gerät
Was gespeichert wird, wo, und wie gut es geschützt ist, wenn das Handy verloren geht oder gerootet ist.
Netzwerkverkehr
Transportverschlüsselung, Certificate Pinning und was sich unterwegs verändern lässt.
Backend-API
Zugriffskontrolle und Business-Logik der API: die Stelle, an der die Daten anderer Nutzer abfließen.
Authentifizierung
Login, Biometrie, Tokens und wie Sessions überleben.
Gerätekommunikation
Bei Companion-Apps: Bluetooth-Pairing und Befehle an dein IoT-Gerät.
Case Studies
Wenn die App das Einfallstor ist
IoTAPI-Sicherheit
Case Study: Root auf dem Saugroboter und fremde Kameras
Voller Root-Zugriff auf dem Gerät und Zugriff auf die Live-WebRTC-Kamera fremder Nutzer über die Cloud-API.
Wir haben einen Saugroboter mit Kamera getestet: Root-Zugriff auf dem Gerät und Lücken in der Cloud-API, die die Live-Kamera fremder Nutzer öffneten. Was schieflief.
Case Study lesenIoTMQTT
Case Study: Smarte Bewässerung, die jeder steuern konnte
Über MQTT konnten wir die Geräte anderer Kunden sehen und aktivieren und orten, wo sie installiert sind.
Wir haben ein smartes Bewässerungssystem getestet: Durch ein fehlerhaftes MQTT-Setup konnten wir Geräte anderer Kunden sehen, schalten und ihren Standort ermitteln.
Case Study lesenFAQ
FAQ zum App-Pentest
Testet ihr die App oder das Backend?
Beides. Die App ist die Landkarte, im Backend liegen die Daten. Wer nur die App testet, verpasst die Findings mit der größten Auswirkung.
Braucht ihr den Quellcode?
Nein, ein Test-Build reicht. Mit Quellcode kommen wir in derselben Zeit tiefer.
Reicht eine Plattform?
Wenn iOS und Android dasselbe Backend nutzen, gelten die API-Findings für beide. Plattformspezifische Themen wie der lokale Speicher brauchen einen Test pro Plattform.
Jetzt starten
Dein App-Pentest, in 15 Minuten abgestimmt
Sag uns, welche Plattformen, was die App macht und welches Backend sie nutzt. Nach dem Gespräch bekommst du ein Festpreisangebot.
- iOS, Android oder beides
- Festpreisangebot nach dem Gespräch
- Ein Test-Build und Test-Accounts reichen uns
Dein Gespräch führst du mitTom ZaubermannGründer & CEO, Zyberum
Oder schreib uns
Wir antworten innerhalb eines Werktags.