Android-App für Kunden: Woran erkennt man, ob der Entwickler wirklich sicheren Code schreibt?

Stellt dem Entwickler eine simple Frage: „Wenn ein Nutzer mit gerootetem Smartphone die App startet oder ich den Datenverkehr über einen Proxy mitschneide kann ich dann Kundentokens im Klartext sehen?“ Wenn darauf herumgedruckst wird taugt das Sicherheitskonzept nichts. Ihr könnt die APK-Datei auch selbst testweise auf einem Testgerät installieren und mit gängigen Open-Source-Vulnerability-Scannern prüfen.

Wo läuft eigentlich das Backend bzw. die API, an die die App angebunden ist, und wer hat diesen Server geprüft? Bei mobilen Apps fliegen Daten fast nie direkt vom Smartphone weg, sondern über Autorisierungslücken in der Backend-API. Wurde die Schnittstellensicherheit separat getestet?

Wenn Sie in Deutschland klinische Daten und geschäftliche Bestellungen verarbeiten, müssen Sie gemäß DSGVO das Prinzip 'Privacy by Design' nachweisen können. Verlangen Sie vom Entwickler eine ausgefüllte Checkliste zur Einhaltung der OWASP Mobile Application Security Verification Standards (MASVS). Die sollen zu jedem Punkt aufschreiben, welche Maßnahmen sie ergriffen haben, und das Ganze unterschreiben. Dann merken Sie sofort, ob sie bereit sind, offizielle Verantwortung zu übernehmen.

Wenn Entwickler behaupten, „alles ist sicher“, hat das absolut nichts zu bedeuten. Die meisten Freelancer kopieren einfach fertige Code-Snippets aus dem Netz und hinterlegen die API-Keys im Klartext. Solange kein unabhängiger Dritter drübergeschaut hat sollte man niemals glauben, dass so eine App sicher ist.

schaut als erstes mal in den handyeinstellungen bei den app-berechtigungen nach. naja wenn ne app, die nur bestellungen aufnimmt zugriff auf dateien standort oder kontakte will, hat der entwickler einfach blind n template kopiert. unnötige berechtigungen sind das größte risiko.

Prüft der Google Play Store die Apps beim Hochladen nicht sowieso schon auf Sicherheit? Muss man denn trotzdem noch extra Sicherheitstests machen lassen wenn der Store die Freigabe erteilt hat?

Wir haben letztes Jahr eine ähnliche B2B-App abgenommen. Die Entwickler haben große Töne gespuckt, aber wir haben trotzdem 2.500 EUR für einen unabhängigen Mobile-Pentest in die Hand genommen. Im Bericht kam raus, dass Passwörter für die Backend-Server im Klartext in der APK vergessen wurden und Session-Tokens unbegrenzt gültig waren. Hätten wir das Geld nicht investiert, hätten wir jetzt einen riesigen Skandal am Hals.

Der billige Weg stellt sich oft im Nachhinein als teuer heraus. Ein nicht getestetes Backup ist kein Backup.

ich sehe das anders. halt wenn ihr es zum ersten Mal macht, fangt klein an die Skalierung kommt später.

aus Erfahrung weiß ich das.

Bei mir war es genau umgekehrt, deshalb schreibe ich das. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

ich möchte kurz warnen dann also verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Ich stimme zu.

du hast recht ich bin denselben Weg gegangen und scheut euch nicht zu fragen, wer nicht fragt zahlt am Ende mehr.

Meine Frage ist geklärt, vielen Dank. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Da hast du recht. Die Zeit die ihr braucht, um ein Problem zu erkennen bestimmt direkt dessen Kosten.

Da ist mir noch ein Punkt unklar. Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste.

Das war's, entschuldige, wenn ich zu lang war.

Das wusste ich nicht. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Ich fasse kurz zusammen was bisher gesagt wurde. Wenn ihr es zum ersten Mal macht fangt klein an, die Skalierung kommt später.

Viel Erfolg.