Pentest von mobilen Apps, Devices und MDM

Mobile Lösungen bestehen selten nur aus der App. Apps, Endgeräte und MDM bilden ein gemeinsames Ökosystem und genau dort entstehen Risiken. Mobile Apps verarbeiten personenbezogene Informationen, Zugriffstoken und interne Daten direkt auf dem Gerät. Gleichzeitig speichern Smartphones und Tablets häufig sensible Inhalte (z. B. E-Mails, Dokumente) und bieten Zugänge ins Unternehmensnetzwerk über VPN, APIs oder PIM-Synchronisation. Da Geräte mobil eingesetzt werden, kommen Diebstahl- und Verlustszenarien als zusätzlicher Faktor hinzu.

MDM-Lösungen erhöhen die Sicherheit, können aber selbst zur Angriffsfläche werden. MDM-Server sind oft aus dem Internet erreichbar, bündeln unternehmenskritische Daten und steuern sicherheitsrelevante Richtlinien. Wenn Provisionierung, Compliance-Prüfungen oder Jailbreak-/Rooting-Erkennung nicht sauber greifen, kann im Worst-Case sogar ein kompromittiertes Gerät Zugriff auf Unternehmensressourcen erhalten.

Typische Risikofaktoren sind unter anderem:

• unzureichend geschützte lokale Daten
• manipulierbare Kommunikationswege oder fehlendes Certificate Pinning
• schwache Authentisierung oder fehlerhaftes Token-/Session-Handling
• unsichere Third-Party-Bibliotheken oder veraltete Komponenten
• unsichere Gerätekonfigurationen (z. B. fehlende Härtung, riskante Schnittstellen) und erhöhtes Diebstahlrisiko
• verwundbare MDM-Infrastruktur, unsaubere Registrierung/Provisionierung oder unzureichende Compliance-Prüfungen

Unser Pentest untersucht die Sicherheit in drei gleichwertigen Bereichen: App, Device und MDM – und betrachtet zusätzlich die Schnittstellen zwischen ihnen. SySS prüft Mobile Apps in der für den jeweiligen Store vorgesehenen Version und bewertet den Code, Konfigurationen und Sicherheitskontrollen nach anerkannten Standards wie der OWASP MASVS. Parallel analysieren wir ausgewählte Endgeräte aus Angreifer- und Nutzerperspektive, um Schwachstellen sowie sinnvolle Härtungsmaßnahmen sichtbar zu machen.

Im MDM-Modul prüfen wir die Infrastruktur und Prozesse, die Geräte ins Unternehmensnetz integrieren – inklusive Registrierung, Provisionierung, Richtlinien-Compliance und der Frage, ob kompromittierte Geräte dennoch Zugriff erhalten können.

Im Fokus des Mobile-Pentest stehen unter anderem:

• statische Analyse von Code, Konfiguration und Hardening
• dynamische Tests auf dem Endgerät inklusive Laufzeitmanipulation
• Bewertung der Netzwerkkommunikation und des Back-End-Verhaltens
• Prüfung von Authentisierung, Token-Handling und Rollenmodellen
• Identifikation von Logikfehlern und unerwarteten App-Reaktionen
• Analyse der MDM-Infrastruktur (Internet-Exponierung),Provisionierung/Registrierung und Jailbreak-/Rooting-Erkennung
• kritische Bewertung ausgerollter Gerätekonfigurationen zur Risikoreduktion

3. Dynamische Tests und Angriffssimulationen

Im laufenden Betrieb analysieren wir das Verhalten von Apps, Geräten und MDM-Komponenten unter realistischen Bedingungen. Dabei simulieren wir Angriffe aus unterschiedlichen Perspektiven – etwa als externer Angreifer, als autorisierter Benutzer oder im Rahmen von Verlust- und Diebstahlszenarien. So prüfen wir, wie robust Schutzmechanismen gegenüber Manipulationen, unerwarteter Nutzung oder kompromittierten Zuständen sind.

5. Analyse der Kommunikation und angebundener Systeme

Die Netzwerkkommunikation zwischen App, Endgerät, MDM und angebundenen Back-End-Systemen wird umfassend geprüft. Mittels Traffic-Analyse und protokollbasierter Tests identifizieren wir Schwachstellen in Verschlüsselung, Authentisierung und Systemanbindung – sowohl bei App-Back-Ends als auch bei MDM-Servern und Managementoberflächen.

1. Vorbereitung der Analyseumgebung

Zu Beginn richten wir eine kontrollierte Testumgebung ein, die je nach Prüfmodul vollständigen Zugriff auf App-, Device- oder MDM-Komponenten erlaubt. Dazu zählen unter anderem Geräte mit Root- oder Jailbreak-Rechten, definierte Testnutzer in der MDM-Umgebung sowie realistische Angreifer- und Nutzungsszenarien. Bestehende Schutzmechanismen wie Jailbreak-/Rooting-Erkennung oder Compliance-Prüfungen werden gezielt in die Analyse einbezogen.

2. Analyse von Konfigurationen, Richtlinien und Strukturen

Wir untersuchen sicherheitsrelevante Konfigurationen auf allen Ebenen der mobilen Infrastruktur. Dazu gehören App-Berechtigungen und Hardening-Maßnahmen, Geräteeinstellungen und Schnittstellen sowie MDM-Profile, Richtlinien und Provisionierungsprozesse.

4. Prüfung von Datenhaltung und Zugriffspfaden

Ein weiterer Schwerpunkt liegt auf dem Umgang mit sensiblen Informationen. Wir analysieren, wie Daten auf mobilen Endgeräten gespeichert, geschützt und voneinander getrennt werden und über welche Schnittstellen sie das Unternehmen verlassen können. Betrachtet werden lokale Speicherorte, App-Container, Backup-Mechanismen sowie durch das MDM gesteuerte Schutzfunktionen wie Zugriffsbeschränkungen oder Remote Wipe.

6. Erweiterte Angriffsszenarien, Data-Loss- und Privacy-Checks

Abschließend betrachten wir weiterführende Risiken wie Data-Loss-Szenarien, übermäßige Berechtigungen oder unerwünschte Wechselwirkungen zwischen App, Device und MDM. Bei Bedarf entwickeln wir eigene Tweaks, um Schutzmechanismen zu testen und Sicherheitslücken aufzudecken.

Webapp-Pentest

Wir analysieren serverseitige Funktionen, Autorisierungskonzepte und Anwendungslogiken, die mit Ihrer mobilen App interagieren. So identifizieren wir Schwachstellen, die sich über das Web-Front-End oder verbundene Back-End-Module ausnutzen lassen.

Cloud-Pentest

Wir untersuchen Cloud-Dienste, Identitäts- und Zugriffsmodelle sowie Konfigurationsparameter, die Ihre mobile App nutzt oder voraussetzt. Diese Analyse zeigt, wie stabil Ihre Workloads gegenüber typischen Cloud-Angriffstechniken sind.

WEBSERVICE/API-Pentest

Unsere Prüfung Ihrer Schnittstellen deckt Risiken in Authentisierung, Parameterverarbeitung und Back-End-Kommunikation auf. Dadurch werden Angriffspfade sichtbar, die direkt Einfluss auf das Verhalten Ihrer mobilen Anwendung haben.

Software-Pentest

Bei der Bewertung individueller Softwarelösungen prüfen wir Architektur, Logikflüsse und interne Schnittstellen unter praktischen Angriffsszenarien. Dadurch erkennen wir sowohl technische als auch konzeptionelle Schwachstellen, die das Zusammenspiel mit Ihrer mobilen App beeinträchtigen können.

Mobile Anwendungen sind heute ein zentraler Bestandteil digitaler Geschäftsmodelle – und damit ein entscheidender Faktor für die Sicherheit Ihrer gesamten IT-Landschaft. Ein professionell durchgeführter Mobile-Pentest zeigt, wie zuverlässig Ihre App, Devices und MDM gegenüber modernen Angriffsmethoden, manipulierter Nutzung und fehlerhaften Integrationen geschützt ist. Die Analyse liefert klare Erkenntnisse darüber, welche technischen und organisatorischen Risiken im Umfeld mobiler Anwendungen entstehen können und wie sich diese nachhaltig minimieren lassen.

Als führender Anbieter im Bereich technischer Sicherheitstests vereint SySS über 25 Jahre Erfahrung aus Projekten mit komplexen mobilen, cloudbasierten und unternehmenskritischen Architekturen. Unsere Expertise umfasst nicht nur Penetrationstests von WEBSERVICES und EMBEDDED-Geräten, sondern auch Disziplinen wie Red Teaming und digitale Forensik, deren Erkenntnisse direkt in die Analyse mobiler Anwendungen einfließen. Dadurch profitieren Sie von einem Sicherheitsniveau, das deutlich über die isolierte App-Prüfung hinausgeht und ein ganzheitlich belastbares Bild Ihrer mobilen Infrastruktur schafft.

Jetzt Kontakt aufnehmen