App-Sicherheit: Die Grundlagen, die bei Ihrer ersten App nicht verhandelbar sind

Die meisten Erstgründerinnen und -gründer denken erst über App-Sicherheit nach, wenn es sie einholt: eine abgelehnte App-Store-Einreichung wegen eines Datenschutzhinweises, eine wichtige Kundin, die in einem Verkaufsgespräch fragt "Wie genau schützen Sie eigentlich meine Daten?", oder eine Schlagzeile über ein Datenleck bei der Konkurrenz, die im ganzen Team plötzlich für Nervosität sorgt.

Die gute Nachricht: Sie müssen kein Sicherheitsexperte werden, um eine sichere App zu launchen. Sie müssen nur wissen, welche Fragen Sie dem Team stellen, das sie baut — und woran Sie eine präzise, selbstbewusste Antwort von einer ausweichenden unterscheiden. Das hier ist keine technische Checkliste zum Selbstumsetzen, sondern eine kurze Liste von Punkten, die Sie mit Ihrem Entwicklungspartner vor der Freigabe klären sollten.

Fünf Fragen vor der Launch-Freigabe

• Wie kommuniziert die App mit unseren Servern, und ist diese Verbindung durchgehend verschlüsselt?
• Sind irgendwo Passwörter, API-Schlüssel oder andere geheime Zugangsdaten direkt im Code der App hinterlegt?
• Wo werden Login-Sitzungen und Zugriffstoken auf dem Telefon der Nutzerin gespeichert, und könnte eine andere App darauf zugreifen?
• Brauchen wir für diese App Certificate Pinning, und falls nicht, warum nicht?
• Was passiert mit den Daten einer Nutzerin, wenn ihr Telefon verloren geht, gestohlen wird oder dessen Sicherheitsmechanismen umgangen wurden ("Jailbreak" oder "Root")?

Wenn Ihr Team alle fünf Fragen verständlich und ohne Ausweichen beantworten kann, sind Sie auf einem soliden Weg. Lautet die Antwort auf eine davon "Darüber müssen Sie sich keine Gedanken machen", lohnt sich eine Nachfrage.

Warum App-Sicherheit nicht dasselbe Thema ist wie Website-Sicherheit

Eine Website läuft auf einem Server, den Sie kontrollieren. Eine mobile App läuft auf Tausenden von Geräten, die Sie nicht kontrollieren — Telefonen, die verloren gehen, weiterverkauft, gejailbreakt oder mit anderen schädlichen Apps infiziert werden. Wer genug Geduld mitbringt, kann eine App technisch auseinandernehmen und hineinschauen. Das verändert, was "sicher" in der Praxis bedeutet: Das Ziel ist nicht, eine App unmöglich zu untersuchen zu machen, sondern sicherzustellen, dass diese Untersuchung nichts Wertvolles preisgibt — keine Passwörter, keine Kundendaten, keine Möglichkeit, sich als Ihr Dienst auszugeben.

Deshalb zählen die vier folgenden Punkte mehr als jede generische "Sicherheitscheckliste". Sie machen den Unterschied zwischen einer App, die bei genauerem Hinsehen nichts Verwertbares preisgibt, und einer, die den Schlüssel gleich mitliefert.

Die vier nicht verhandelbaren Grundlagen, einfach erklärt

1. Ist die Verbindung zwischen App und Servern wirklich privat?

Jede mobile App sendet ständig Informationen an einen Server und zurück — Login-Daten, Bestellungen, Nachrichten, Zahlungsinformationen. Ist diese Verbindung nicht ordentlich verschlüsselt, könnte theoretisch jeder im selben öffentlichen WLAN wie Ihre Nutzerin (ein Café, ein Flughafen, ein Coworking-Space) mitlesen.

Die Frage, die Sie stellen sollten: "Läuft jede Anfrage der App über HTTPS, ohne Ausnahmen für ältere oder 'historisch gewachsene' Teile der App?" Ein kompetentes Team antwortet hier ohne zu zögern mit Ja. Das ist eine Grundvoraussetzung, kein Nice-to-have — und niemals ein Punkt, bei dem man Ihnen einen Kompromiss zugunsten von Tempo oder Budget vorschlagen sollte.

2. Verstecken sich Geheimnisse in der App selbst?

App-Dateien können von jedem heruntergeladen und geöffnet werden, auch von Personen mit schlechten Absichten. Ist ein API-Schlüssel, ein Datenbankpasswort oder ein Admin-Zugang direkt im Code der App hinterlegt, liegt er praktisch offen zugänglich herum, bereit entdeckt zu werden. Das ist einer der häufigsten — und am leichtesten vermeidbaren — Fehler in der App-Entwicklung, meist entstanden, weil es der schnellste Weg war, in einer hektischen Bauphase etwas zum Laufen zu bringen.

Die Frage, die Sie stellen sollten: "Sind irgendwo Geheimnisse, Schlüssel oder Zugangsdaten fest im Code der App verankert, oder liegt alles Sensible serverseitig und damit außer Reichweite?" Sensible Vorgänge — ein Passwort prüfen, eine Karte belasten, auf Kundendaten zugreifen — gehören auf Ihre Server, niemals in die App selbst.

3. Wie speichert die App den Login auf dem Telefon?

Nach dem Login muss sich die App die Nutzerin "merken", damit sie nicht jedes Mal ihr Passwort neu eingeben muss. Dieses "Merken" geschieht über ein Token, und wo dieses Token gespeichert wird, ist entscheidend. Nachlässig gespeichert — etwa in einer einfachen Datei, die die App dazu gebracht werden kann preiszugeben — kann es von einer anderen schädlichen App auf demselben Telefon abgegriffen werden, besonders auf älteren oder kompromittierten Geräten.

Die Frage, die Sie stellen sollten: "Wo liegen Login-Token auf dem Gerät, und nutzen wir den eingebauten sicheren Speicher des Telefons — Keychain unter iOS, Keystore unter Android — statt einer einfachen Datei?" Das ist auf beiden Plattformen ein gelöstes Problem; es gibt keinen guten Grund, warum eine moderne App den riskanten Weg wählen sollte.

4. Brauchen wir Certificate Pinning?

Das ist der technischste der vier Punkte — und für die meisten ersten Apps tatsächlich optional. Genau deshalb lohnt es sich, danach zu fragen, statt es einfach vorauszusetzen. Certificate Pinning ist eine zusätzliche Schutzschicht gegen einen sehr spezifischen, ausgeklügelten Angriff: das Abfangen des Datenverkehrs zwischen App und Server über ein gefälschtes, aber technisch gültiges Zertifikat.

Für eine gewöhnliche Verbraucher-App reicht Standardverschlüsselung meist aus. Für eine App, die mit Geld, Gesundheitsdaten oder regulatorisch sensiblen Inhalten arbeitet, lohnt sich diese zusätzliche Schicht schnell.

Die Frage, die Sie stellen sollten: "Brauchen wir angesichts dessen, was unsere App verarbeitet, Certificate Pinning, und was ist der Kompromiss, wenn wir es einbauen?" Der ehrliche Kompromiss: Pinning macht die App widerstandsfähiger gegen Abfangversuche, bedeutet aber auch, dass jede Zertifikatsänderung ein App-Update erfordert — das bringt etwas laufenden Wartungsaufwand mit sich. Ein guter Partner erklärt Ihnen diesen Kompromiss, statt pauschal in die eine oder andere Richtung zu entscheiden.

Wie "sicher genug" bei einer ersten Veröffentlichung aussieht

Kein Budget der Welt macht eine mobile App vollständig unangreifbar — das kann niemand versprechen. Was Sie erreichen können, ist sicherzustellen, dass die wenigen Dinge, die wirklich Schaden anrichten — offengelegte Zugangsdaten, ungeschützte Token, unverschlüsselter Datenverkehr — sauber gelöst sind, während alles Weitere im Verhältnis dazu steht, was Ihre App tatsächlich tut und für wen.

Eine Budget-App für Freelancer und eine App für Krankenhaustermine brauchen nicht dasselbe Sicherheitsniveau, und ein Partner, der etwas anderes behauptet, bläht entweder das Angebot auf oder hat sich Ihr tatsächliches Risiko nicht angeschaut. Das richtige Sicherheitsniveau ist jenes, das dem entspricht, was Ihren Nutzerinnen und Ihrem Geschäft im Ernstfall wirklich schaden würde — nicht das theoretische Maximum und nicht das bequeme Minimum.

Warnsignale in den Antworten Ihres Entwicklungspartners

Ein paar Antworten, bei denen sich Nachhaken lohnt:

• "Sicherheit bauen wir später ein, sobald wir Nutzer haben." Manche Punkte — keine Geheimnisse fest im Code, saubere Token-Speicherung — kosten von Anfang an nichts extra, wenn man sie gleich richtig macht. Später nachzubessern bedeutet echten, abrechenbaren Mehraufwand.
• "Um die technischen Details müssen Sie sich nicht kümmern." Sie müssen die technischen Details nicht verstehen, aber ein guter Partner sollte das Ergebnis trotzdem einfach erklären können. Beruhigung ohne Erklärung ist keine Beruhigung.
• "So machen wir das schon immer." Als Ausgangspunkt in Ordnung, als Ende der Diskussion nicht. Fragen Sie nach, warum dieser Ansatz konkret zu Ihrer App passt.

Fazit

Sie müssen keinen Code prüfen oder einen Sicherheitsstandard lesen, um eine mobile App verantwortungsvoll zu launchen. Sie brauchen einen Entwicklungspartner, der diese vier Fragen als normalen Teil des Projekts behandelt, nicht als nachträgliches Aufräumen. Stellen Sie sie früh, im selben Gespräch, in dem es um Funktionen und Zeitpläne geht — und Sie wissen innerhalb weniger Minuten, ob Sie mit einem Team arbeiten, das das Thema ernst nimmt.

P2C entwickelt mobile Apps — iOS, Android und hybrid — und behandelt diese Grundlagen standardmäßig, damit Sie sich auf Ihr Produkt konzentrieren können, statt nach dem Launch Sicherheitslücken hinterherzujagen.