Sicherheit mobiler Apps: Best-Practice-Checkliste für App-Betreiber

Das OWASP-Projekt Mobile Application Security behandelt technische Bereiche wie Speicherung, Kryptografie, Authentifizierung, Netzwerkkommunikation und Widerstandsfähigkeit gegen Reverse Engineering. App-Betreiber arbeiten meist auf einer anderen Ebene: Zugriffe, aktive Funktionen, verbundene Dienste und Änderungsmanagement.

Sicherheit, Datenschutz und Compliance überschneiden sich, beantworten aber unterschiedliche Fragen:

Eine App kann ihre Datenverarbeitung korrekt beschreiben und trotzdem zu weitreichende Zugriffe gewähren. Eine Store-Freigabe ist kein Sicherheitszertifikat. Dieser Leitfaden bietet eine operative Grundlage; sensible Daten, regulierte Prozesse oder umfangreicher eigener Code können eine qualifizierte Prüfung erfordern.

Geteilte Verantwortung lässt sich leichter handhaben, wenn sie ausdrücklich festgelegt ist.

GoodBarber reduziert die Infrastruktur- und Native-Engine-Arbeit, die ein Betreiber sonst selbst zusammenstellen müsste. Die Organisation entscheidet weiterhin, wer Zugriff benötigt, welche Bereiche privat sind und wie externe Dienste empfangene Daten verwenden.

Bestimmen Sie, was Sie schützen. Eine öffentliche Nachrichten-App hat ein anderes Risikoprofil als eine Schul-App mit Dokumenten für Mitarbeiter oder eine Commerce-App mit Kundendaten.

Erstellen Sie eine kurze Bestandsaufnahme von fünf Punkten:

• Personen: Administratoren, Redakteure, Mitglieder, Abonnenten, Kunden und externe Anbieter.
• Private Bereiche: geschützte Bereiche, Profile, interne Dokumente und unveröffentlichte Inhalte.
• Daten: Kontodaten, Nachrichten, Formularübermittlungen, Uploads, Standort- und Transaktionsinformationen.
• Verbindungen: eingebettete Seiten, Analytics, Werbung, Social Login, Automatisierungstools, eigene Feeds und APIs.
• Kritische Konten: App-Backoffice, Domainanbieter, Store-Konsolen und externe Dienste.

Fragen Sie bei jedem Punkt: Was würde passieren, wenn die falsche Person ihn sehen, ändern oder seine Funktion verhindern könnte? So erhalten die risikoreichsten Entscheidungen zuerst Aufmerksamkeit.

Der schnellste Weg in ein App-Projekt kann ein altes Konto mit mehr Berechtigungen als nötig sein. Geben Sie jedem Mitwirkenden ein eigenes Konto. Gemeinsame Zugangsdaten erschweren es, eine einzelne Person zu entfernen, eine Änderung zuzuordnen oder zu erkennen, wer noch Zugriff hat. Verwenden Sie für jedes kritische Konto ein einzigartiges, in einem Passwortmanager gespeichertes Passwort und aktivieren Sie überall, wo es verfügbar ist, die Multi-Faktor-Authentifizierung.

Je nach Tarif kann der Projektinhaber in GoodBarber Backoffice-Teammitglieder als Administratoren oder Nutzer hinzufügen und ihren Zugriff auf Inhalte, Nutzer, Zielgruppen und einzelne CMS-Bereiche anpassen. Nutzen Sie die Berechtigungen des Redaktionsteams für eine einfache Regel: Gewähren Sie nur den minimalen Zugriff, der für die aktuelle Arbeit einer Person erforderlich ist.

Wenden Sie dieselbe Disziplin außerhalb von GoodBarber an. Apple verteilt die Verantwortlichkeiten in App Store Connect auf Rollen und verlangt für die Anmeldung eine zweistufige Bestätigung oder Zwei-Faktor-Authentifizierung. Google empfiehlt die Bestätigung in zwei Schritten für jedes Konto mit Zugriff auf die Play Console. Entfernen Sie ehemalige Mitwirkende, reduzieren Sie veraltete Berechtigungen, prüfen Sie Wiederherstellungsmethoden und stellen Sie sicher, dass die Organisation — nicht ein unerreichbarer Dienstleister — die Inhaberkonten kontrolliert.

Die Authentifizierung beantwortet Wer ist diese Person? Die Autorisierung beantwortet Worauf darf sie zugreifen? Eine funktionierende Anmeldung beweist nicht, dass die dahinterliegenden Zugriffsregeln korrekt sind.

Mit der GoodBarber-Erweiterung Authentifizierung kann die gesamte App oder können ausgewählte Bereiche eine Anmeldung voraussetzen. Mit der Erweiterung Nutzergruppen gewährt der Betreiber anschließend ausgewählten Gruppen Zugriff auf private Bereiche.

Nehmen wir eine Schul-App mit gemeinsamen Nachrichten, einem Elternbereich und Dokumenten für Mitarbeiter. Drei Gruppen anzulegen ist nur der Konfigurationsschritt. Bei der Sicherheitsprüfung testen Sie die App als:

• Besucher ohne Konto;
• registrierter Elternteil;
• Mitarbeiter;
• gültiger Nutzer, der der falschen Gruppe zugewiesen ist.

Testen Sie mehr als das Menü. Öffnen Sie einen direkten Link, das Ziel einer Push-Benachrichtigung und ein altes Lesezeichen zum geschützten Bereich. Prüfen Sie verweigerten Zugriff genauso bewusst wie erfolgreichen. Bei bereits angemeldeten Nutzern können Änderungen der Gruppenrechte bis zu 24 Stunden benötigen; wiederholen Sie die Tests nach diesem Zeitraum.

Wenn die App stattdessen In-App-Käufe nutzt, testen Sie den Zugriff für Abonnenten und Nicht-Abonnenten einschließlich Vorschauinhalten. In-App-Käufe von GoodBarber sind nicht mit Authentifizierung und Nutzergruppen kompatibel: Es handelt sich um alternative Zugriffsarchitekturen. Testen Sie den für Ihre App geltenden Ablauf und halten Sie die Regeln leicht verständlich.

Jede aktive Funktion bringt zusätzliches Verhalten mit sich; manche fügen Geräteberechtigungen oder Komponenten von Drittanbietern hinzu. Folgen Sie dem Prinzip der minimalen Rechte: Fordern Sie nur Zugriff an, den eine tatsächlich genutzte Funktion benötigt.

Das Datenschutz-Center von GoodBarber erfasst die mit der App-Konfiguration verbundenen Berechtigungen. Die Plattform beschreibt außerdem einen bedingten Ansatz für integrierte Bibliotheken: Eine Komponente wird aufgenommen, wenn die zugehörige Funktion aktiv ist, und bei der Neukompilierung entfernt, wenn die Funktion deaktiviert wurde. Das reduziert unnötigen Code auf Plattformebene; der Betreiber entscheidet jedoch weiterhin, welche Funktionen zum Projekt gehören.

Prüfen Sie, ob jede Berechtigung eine sichtbare Funktion unterstützt, entfernen Sie veraltete Analytics-, Werbe- oder Social-Login-Dienste und klären Sie, ob eine deaktivierte Funktion einen neuen nativen Build erfordert, bevor ihre Komponente verschwindet. Nutzen Sie anschließend die Datenschutz-Checkliste für mobile Apps, um Datenschutzerklärung und Store-Angaben abzugleichen. Datenschutzkonsistenz unterstützt die Sicherheitsarbeit; sie ersetzt sie nicht.

Die deutlichste Grenze zeigt sich, wenn die App etwas öffnet, das GoodBarber nicht erstellt hat: eine Website, einen Formulardienst, eigenes JavaScript, eine API, eine Automatisierung oder ein Partnersystem.

Halten Sie für jede externe Oberfläche den Verantwortlichen fest und prüfen Sie:

• ob die URL HTTPS verwendet und auf die vorgesehene Domain zeigt;
• ob der Zugriff auf das Administrationskonto noch angemessen ist;
• ob kein vertraulicher Schlüssel oder Token im clientseitigen Code eingebettet ist; jeder für den Client sichtbare API-Schlüssel muss für die öffentliche Nutzung vorgesehen und so stark eingeschränkt sein, wie es der Anbieter zulässt;
• ob erfasste Informationen ausschließlich das erwartete Ziel erreichen;
• ob Anbieter, Plugin oder Skript noch gepflegt werden und die Verbindung widerrufen werden kann.

Dokumentieren Sie bei geschäftskritischen Inhalten und Diensten, was exportiert werden kann, wie sich der Zugriff wiederherstellen lässt und was die Organisation tut, wenn ein verbundener Anbieter ausfällt.

HTTPS schützt Daten bei der Übertragung. Es beweist nicht, dass das Ziel Daten sicher verarbeitet, seine Zugriffsrechte korrekt sind oder sein Code frei von Schwachstellen ist.

GoodBarber stellt automatisch SSL-Zertifikate für die standardmäßige PWA-Domain und verbundene eigene Domains bereit. Die HTTPS-Dokumentation verdeutlicht ebenfalls die Grenze: Ein Plattformzertifikat schützt die von GoodBarber verwaltete Webadresse. Prüfen Sie jeden externen Endpunkt separat.

Dieselbe Grenze gilt für eigene Entwicklungen. GoodBarber unterstützt Custom-Code-Bereiche, Widgets, Navigation und APIs. Die Dokumentation zu eigenem Code stellt jedoch klar, dass der Betreiber für externen Code verantwortlich ist. Lassen Sie Code, der sensible Informationen oder kritische Geschäftslogik verarbeitet, von einer qualifizierten Person prüfen.

Nicht jede Änderung erreicht eine installierte native App auf dieselbe Weise. Inhalte können sich automatisch aktualisieren, manche Einstellungen müssen veröffentlicht werden und eine neue Funktion oder Änderung an der Native Engine kann einen neuen Build erfordern. Prüfen Sie nach dem Hinzufügen oder Entfernen einer Funktion das Update-Panel und testen Sie den Ad-hoc-Build vor der Einreichung, wenn eine Neukompilierung nötig ist. Der Leitfaden zur Aktualisierung nativer Apps erklärt die einzelnen Wege; unser eigener Artikel zeigt, was sich unbemerkt verschlechtert, wenn eine App nicht aktualisiert wird.

Führen Sie einen kleinen Nachweis über wichtige Kontrollen:

Der Nachweis verhindert, dass „Das haben wir einmal geprüft“ zum dauerhaften Sicherheitsprozess wird.

Ein Vorfallsplan kann auf eine Seite passen. Bestimmen Sie, wer für App und Store-Konten verantwortlich ist, wer die Konfiguration ändern kann und welche Anbieter kontaktiert werden müssen.

Definieren Sie die ersten Maßnahmen im Voraus:

1. Sichern Sie die Fakten: Was wurde wann und von wem beobachtet?
2. Entziehen Sie dem betroffenen Nutzer oder Administrator den Zugriff.
3. Ersetzen Sie offengelegte Zugangsdaten, Tokens oder Schlüssel und deaktivieren Sie die betroffene Verbindung, wenn dies den Schaden verringert.
4. Kontaktieren Sie den GoodBarber-Support, wenn das Projekt oder die verwaltete Plattform betroffen sein könnte.
5. Fragen Sie qualifizierte Berater, ob Nutzer, Behörden, Stores oder Partner informiert werden müssen.

GoodBarber dokumentiert seine Sicherheits- und Backup-Maßnahmen auf Plattformebene in der Datenverarbeitungsvereinbarung. Gehen Sie nicht davon aus, dass sie ein eigenes System oder einen Drittanbieter abdeckt.

Nutzen Sie diese abschließende Kontrolle, um Maßnahmen schnell sichtbar zu machen.

• Jeder Mitwirkende im Backoffice benötigt sein Konto und seine aktuellen Berechtigungen weiterhin.
• Apple-, Google-, Domain- und externe Dienstkonten haben aktuelle Verantwortliche und einen starken Anmeldeschutz.
• Öffentliche, authentifizierte und geschützte Zugriffe wurden mit getrennten Konten getestet.
• Jede aktive Berechtigung unterstützt eine weiterhin genutzte Funktion.
• Externe Seiten, Formulare, Analytics, Automatisierungen und eigener Code haben einen benannten Verantwortlichen.
• Jedes externe Ziel verwendet HTTPS und die erwartete Domain.
• Im clientseitigen eigenen Code sind keine vertraulichen Zugangsdaten eingebettet; öffentliche API-Schlüssel sind angemessen eingeschränkt.
• Das Update-Panel und die aktuellen Store-Versionen wurden geprüft.
• Eine benannte Person koordiniert Vorfälle und kann kritische Zugriffe entziehen.
• Datum, Prüfer und Nachweise dieser Kontrolle wurden festgehalten.

Jeder nicht erfüllte Punkt wird zu einer Maßnahme mit Verantwortlichem und Frist. Bei einer sensiblen oder stark angepassten App kann der nächste Schritt eine unabhängige technische Prüfung sein statt einer weiteren Kontrolle der Einstellungen.

Erstellen Sie Ihre App, definieren Sie Zugriffsregeln und prüfen Sie ihre Sicherheitsbasis

Wie lässt sich eine mobile App absichern?

Listen Sie zunächst kritische Konten, private Bereiche, Daten und verbundene Dienste der App auf. Beschränken Sie administrative Zugriffe, testen Sie Authentifizierung und Autorisierung mit mehreren Profilen, entfernen Sie unnötige Berechtigungen, prüfen Sie externen Code und Anbieter, halten Sie die veröffentlichte App aktuell und bereiten Sie einen Kontaktplan für Vorfälle vor. Technische Tests sollten der Sensibilität und dem Anpassungsgrad der App entsprechen.

Ist eine No-Code-App weniger sicher als eine individuell entwickelte App?

Nicht grundsätzlich. Ein verwalteter App Builder kann Infrastruktur, Kompilierung und gängige Komponenten standardisieren. Individuelle Entwicklung bietet mehr Kontrolle, macht das Team aber für mehr Code, Dienste und Wartung verantwortlich. Sicherheit hängt von Plattform, Konfiguration, verbundenen Diensten und Prüfungen ab. Unser Artikel über die Grenzen von No-Code-App-Buildern untersucht diesen Kompromiss.

Sichert GoodBarber alles in meiner App ab?

Keine Plattform kann Entscheidungen und Dienste absichern, die sie nicht kontrolliert. GoodBarber verwaltet seine Plattforminfrastruktur und App-Engine und stellt Kontrollen für Teamzugriffe, Authentifizierung, Gruppen, Berechtigungen und HTTPS bereit. Der App-Betreiber konfiguriert diese Kontrollen und bleibt für externe Seiten, eigenen Code, verbundene Anbieter und projektspezifische Anforderungen verantwortlich.

Brauche ich einen professionellen Sicherheitstest für meine mobile App?

Möglicherweise. Holen Sie für besonders sensible oder regulierte Informationen, umfangreichen eigenen Code, kritische externe Systeme oder Abläufe, deren Missbrauch erheblichen Schaden verursachen könnte, eine fachliche Prüfung ein. Diese Checkliste ist weder ein Penetrationstest noch eine Zertifizierung.