# Deine App landet auf dem Handy jedes Angreifers. Wir öffnen sie zuerst.

> Ein Mobile-App-Penetrationstest untersucht eine iOS- oder Android-App und das Backend, mit dem sie spricht. Die Tester zerlegen die App per Reverse Engineering, prüfen, was sie auf dem Gerät speichert, schneiden ihren Netzwerkverkehr mit und greifen die APIs dahinter an, nach dem OWASP Mobile Application Security Verification Standard (MASVS). Zyberum testet App und API zusammen, weil die meisten ernsten Findings im Backend liegen.

App-Pentest für iOS und Android: lokale Datenspeicherung, Reverse Engineering, API-Kommunikation und Zugriffskontrolle im Backend nach OWASP MASVS.

Source: https://zyberum.com/de/mobile-app-pentest

Jeder kann deine App herunterladen, sie auseinandernehmen und zusehen, wie sie mit deinen Servern spricht. Genau das machen wir für iOS und Android und sagen dir, was ein Angreifer daraus lernt.

## Auf dem Gerät und dahinter

### Reverse Engineering

Was die App dekompiliert verrät: API-Keys, versteckte Endpunkte, Debug-Funktionen, hartcodierte Secrets.

### Daten auf dem Gerät

Was gespeichert wird, wo, und wie gut es geschützt ist, wenn das Handy verloren geht oder gerootet ist.

### Netzwerkverkehr

Transportverschlüsselung, Certificate Pinning und was sich unterwegs verändern lässt.

### Backend-API

Zugriffskontrolle und Business-Logik der API: die Stelle, an der die Daten anderer Nutzer abfließen.

### Authentifizierung

Login, Biometrie, Tokens und wie Sessions überleben.

### Gerätekommunikation

Bei Companion-Apps: Bluetooth-Pairing und Befehle an dein IoT-Gerät.

## Wenn die App das Einfallstor ist

## FAQ

**Testet ihr die App oder das Backend?**

Beides. Die App ist die Landkarte, im Backend liegen die Daten. Wer nur die App testet, verpasst die Findings mit der größten Auswirkung.

**Braucht ihr den Quellcode?**

Nein, ein Test-Build reicht. Mit Quellcode kommen wir in derselben Zeit tiefer.

**Reicht eine Plattform?**

Wenn iOS und Android dasselbe Backend nutzen, gelten die API-Findings für beide. Plattformspezifische Themen wie der lokale Speicher brauchen einen Test pro Plattform.

---
Zyberum GmbH. Canonical page: https://zyberum.com/de/mobile-app-pentest