Mobile Security ist keine Checkbox am Sprintende, sie entscheidet ueber rechtliche und unternehmerische Risiken.
Security-Features haben kein sichtbares Ergebnis, solange alles gut laeuft. Deshalb landen sie oft am Ende des Backlogs.
Das ist menschlich, aber riskant. Eine kompromittierte App ist kein Imageproblem, sondern ein rechtliches und unternehmerisches Risiko, das schnell existenziell werden kann.
Wo mobile Apps typischerweise angreifbar sind
Unsichere Datenspeicherung ist der Klassiker: Tokens, Passwoerter oder sensible Nutzerdaten im Klartext im lokalen Speicher, kein Einzelfall, sondern in vielen Apps Standard. Dazu kommt eine schwache Transportschicht: HTTP statt HTTPS, fehlendes Certificate Pinning, keine Pruefung abgelaufener Zertifikate. Ueberprivilegierte APIs liefern mehr Daten zurueck, als der Client eigentlich braucht, was er nie sehen sollte, kann trotzdem abgegriffen werden. Und Hardcoded Secrets, also API-Keys oder Passwoerter direkt im Code, sind ein OWASP-Top-10-Dauerbrenner.
OWASP Mobile Top 10 als Kompass
Wer diese Liste kennt und aktiv dagegen testet, hat schon mehr getan als die meisten. Besonders relevant sind Improper Credential Usage, unzureichende Input- und Output-Validierung und Security Misconfiguration.
Threat Modeling vor dem ersten Code
Klingt nach grossem Enterprise-Prozess, ist aber im Kern simpel: Wer koennte die App angreifen? Wie? Was waere das Ziel, und wie wahrscheinlich und schlimm waere das jeweils? Diese Fragen zu Projektbeginn zu beantworten spart hinten raus deutlich mehr Aufwand als jedes nachtraegliche Security-Audit.
Checkliste: Keine sensiblen Daten im Klartext lokal gespeichert, alle Verbindungen ueber HTTPS inklusive Certificate Pinning, keine Secrets im Code, API-Responses liefern nur notwendige Daten, Auth-Tokens mit kurzer Lebensdauer, OWASP Mobile Top 10 vor Release durchgegangen, Penetration Test eingeplant.
Ein Beispiel, das zeigt, wie schnell es geht
Ein mittelstaendisches Unternehmen speicherte in einer internen App Zugangsdaten fuer ein Partnersystem im Klartext im lokalen Speicher, aus reiner Bequemlichkeit waehrend der Entwicklung, mit der Absicht, das „spaeter noch zu verschluesseln“. Das Feature ging live, das Verschluesseln geriet in Vergessenheit. Erst ein externer Penetrationstest deckte die Luecke auf, Monate spaeter. Der Fix dauerte eine Stunde, das Risiko in der Zwischenzeit war real. Genau solche Faelle zeigen, warum Security-Basics von Anfang an mitlaufen sollten, statt auf „spaeter“ verschoben zu werden.
markom.digital bietet Security-Assessments fuer mobile Apps an, von der strukturierten OWASP-Pruefung bis zum vollstaendigen Pen-Test in Zusammenarbeit mit Spezialisten.
