DSGVO-Prüfung für Apps NIS2 für Softwareanbieter Tracker- & SDK-Check

App-Sicherheitsprüfung für Android und iOS

The Squad untersucht den ausgelieferten Build Ihrer Android- oder iOS-App auf Quellcode-Ebene: dekompilierter Code, eingebettete Schlüssel, Netzwerkkonfiguration, Drittanbieter-SDKs und jeder Datenfluss, der das Gerät verlässt. Menschliche Fachleute prüfen jeden Befund erneut. Sie erhalten einen schriftlichen Bericht mit den Belegen hinter jedem Ergebnis.

Was die Prüfung umfasst

Eine mobile App ist ein Paket aus Ihrem eigenen Code, Drittanbieter-Bibliotheken und Konfiguration, das der App-Store auf jedes Telefon ausliefert. Die Prüfung macht dieses Paket zum Untersuchungsgegenstand. Unsere selbst gebauten Agenten führen Tausende parallele Tests über Code, Abhängigkeiten, APIs, Konfigurationen und Angriffsflächen aus und korrelieren die Ergebnisse, um einzelne Signale von umfassenderen Sicherheitsproblemen zu trennen.

Fünf Bereiche bilden den Umfang jeder Prüfung:

Quellcode und Abhängigkeiten: Code, Drittanbieter-Bibliotheken und ihre Versionen.
Autorisierung und Aktionen: Berechtigungen, Datenzugriff und Missbrauchspfade.
API-Autorisierungslogik: Authentifizierung, Zugriffskontrolle und Vertrauensgrenzen.
Zugangsdaten und Datenflüsse: offengelegte Schlüssel, eingebettete SDKs, Flüsse an Dritte.
Fehlkonfigurationen und Bugs: unsichere Standardwerte, zu weite Berechtigungen, Softwarefehler.

Deep Scan des Builds, wie er ausgeliefert wird

Die Untersuchung dekompiliert das Binary, das der Store verteilt, und liest es. Das zeigt, was die App heute tatsächlich tut. Das kann von der Dokumentation, der Datenschutzerklärung und den Angaben zur Datensicherheit im Store abweichen. Jede Aussage in einem Bericht lässt sich auf einen konkreten Manifest-Eintrag, eine Berechtigung oder eine dekompilierte Klasse zurückführen.

Sie bestimmen, was wir untersuchen. Senden Sie einen GitHub-Link, ein Repository-Archiv, einen Paket-Build oder eine API-Spezifikation. Die Prüfung braucht keinen Zugriff auf Ihre Live-Systeme.

Typische Befunde einer App-Sicherheitsprüfung

Diese Befundklassen tauchen in den veröffentlichten Audits immer wieder auf:

Hartkodierte Schlüssel und Zugangsdaten: Cloud-API-Schlüssel, Push-Zugangsdaten und Backend-Tokens im installierbaren Paket.
Netzwerkkonfiguration: erlaubter Klartextverkehr, leere Network-Security-Config, fehlendes Certificate Pinning, benutzerinstallierte Zertifizierungsstellen in einer Zahlungs-App.
Backup und Speicherung: aktiviertes Android-Backup ohne Ausnahmen, lokal gespeicherte Daten ohne Verschlüsselung.
Zu weite Berechtigungen: Mikrofon oder Standort deklariert, ohne dass eine Funktion sie braucht.
Entwicklungsreste: Debug-Overlays und Staging-Backend-Domains im Produktiv-Build.

So läuft eine Prüfung ab

Vier Schritte tragen jede Prüfung. Senden: Sie übergeben das Material. Untersuchen: unser Team und ein, mehrere oder alle unsere Agenten arbeiten gemeinsam durch Quellcode, Konfiguration und Datenflüsse. Erneut prüfen: menschliche Fachleute kontrollieren jeden Befund, bevor er in den Bericht kommt. Belegen: wir dokumentieren die Untersuchung schriftlich, mit dem Beleg zu jedem Befund.

Der Bericht prüft die Ausnutzbarkeit, also was ein Angreifer mit einem Befund realistisch anfangen kann, gewichtet den Schweregrad wo anwendbar mit CVSS und gibt Hinweise zur Behebung. Die Tests folgen OWASP ASVS, den OWASP Top 10 und CWE. Jeder Bericht enthält einen Basis-Knowledge-Graph, der die Befunde verknüpft. Das Security-Angebot auf der Seite Zugang nennt eine Lieferzeit von 5 Werktagen.

Belege aus geprüften Apps

Unser öffentliches Verzeichnis führt 387+ geprüfte Android- und iOS-Apps und 262+ kritische Befunde, jeweils mit vollständigem Bericht. Diese Berichte zeigen die oben genannten Befundklassen in echten Apps:

Starbucks Österreich: Zwei hartkodierte Firebase-Schlüssel, einer wortgleich mit einer konkurrierenden Marke geteilt.
SoundCloud: Sieben hartkodierte produktive API-Zugangsdaten in einem installierbaren Paket.
Nike: Entwicklungs- und Produktiv-Push-Zugangsdaten beide hartkodiert im Play-Store-Build.
Strava: Eine Network-Security-Konfiguration, die existiert, aber leer ist, ohne Certificate Pinning.

Das vollständige Verzeichnis ansehen →

Starten Sie mit dem kostenlosen Check

Der kostenlose Check untersucht eine Domain von außen: ausschließlich lesend, von einer europäischen IP-Adresse aus, ohne Login und ohne Payloads. Ein Researcher sieht Ihre Anfrage durch und meldet sich innerhalb eines Werktags. Das Ergebnis ist eine erste externe Einschätzung und ersetzt keine Quellcode-Prüfung.

Eine vollständige App-Sicherheitsprüfung beginnt bei den Plänen auf der Seite Zugang.

Pläne und Preise ansehen → · The Squad kennenlernen → · Standards und Rahmenwerke →

Domain-Live-Test

Kostenloser Check

Der erste Check erfolgt ausschließlich lesend, von einer europäischen IP-Adresse aus, ohne Login und ohne Payloads. Ihre Systeme bleiben dabei unverändert.

Bevor die Prüfung beginnt, sieht ein Researcher Ihre Anfrage durch und meldet sich innerhalb eines Werktags. Sie erhalten einen kurzen schriftlichen Report mit unseren Funden, möglichen Angriffsszenarien, dem wirtschaftlichen Schaden und klaren nächsten Schritten, dazu einen Knowledge Graph zu allen Funden. Alles kostenlos.

Fragen zur App-Sicherheitsprüfung

Was kostet eine App-Sicherheitsprüfung?

Die Seite Zugang listet die Pläne von Starter bis Business mit ihren Preisen, dazu eine Enterprise-Option für individuelle Flächen. Jeder Plan nennt seinen Umfang und das, was Sie erhalten.

Welche Plattformen decken Sie ab?

Android- und iOS-Apps, zusammen mit den APIs und Backends, mit denen sie sprechen, im vereinbarten Umfang.

Brauchen Sie Zugriff auf unsere Produktivsysteme?

Nein. Sie bestimmen, was wir untersuchen, und senden uns das Material. Wir brauchen keinen Zugriff auf Ihre Live-Systeme.

Wer prüft die Befunde?

Menschliche Fachleute prüfen jeden Befund erneut, bevor er in den Bericht kommt. Agenten übernehmen die breite Testarbeit, Menschen entscheiden, was als Befund zählt.

Wird ein Kundenbericht öffentlich?

Private Daten, Umgebungen und Ergebnisse einer Kundschaft bleiben privat, solange sie die Veröffentlichung nicht schriftlich freigibt.