Mehrschichtiges Framework zum Schutz mobiler Anwendungen Sicherheit mobiler Apps verbessern

Anbieter zum Thema

Security-Insider

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Build38 GmbH

Smartphones und Tablets haben unser Leben maßgeblich verändert. Tag für Tag greifen wir wie selbstverständlich zu unseren digitalen Begleitern und nutzen diverse Apps – etwa um Online-Shopping zu betreiben oder Überweisungen zu tätigen. Dies wissen auch Cyberkriminelle, die nahezu ständig versuchen, sich Zugriff auf die Geräte zu verschaffen, um gezielt an persönliche oder berufliche Daten zu gelangen.

Damit es erst gar nicht zu einer Gefährdung sensibler Daten von Nutzern mobiler Anwendungen kommt, müssen schon während der App-Entwicklung die richtigen Weichen hinsichtlich Security gestellt werden. Dazu zählen etwa Aspekte wie eine geschützte Kommunikation zwischen Applikation und Anwendungsserver oder die sichere Datenspeicherung. Dieser Prozess ist äußerst aufwendig und bedarf der Unterstützung von Spezialisten – zumindest dann, wenn keine eigenen Security-Vorkehrungen getroffen wurden oder interne Experten zur Verfügung stehen.

Inzwischen gibt es jedoch bereits professionelle Sicherheits-Frameworks, die sich einfach und schnell während der Entwicklungsphase integrieren lassen. Mit einer solchen Lösung können Entwickler nicht nur eine unbefugte Analyse, Manipulation, Vervielfältigung und Nutzung der sicherheitsrelevanten Teile einer mobilen Anwendung verhindern, sondern sparen noch dazu einiges an Zeit. Um zu garantieren, dass Dritte zu keinem Zeitpunkt auf sensitive Benutzerinformationen zugreifen können, sollte ein entsprechendes Framework essenzielle Features mitbringen.

Erhöhung des Sicherheitsniveaus von Apps

Die Entwicklung einer mobilen App läuft in der Regel nach einem konkreten Schema ab. Dabei wird das Thema Sicherheit leider oft vernachlässigt und eher der Fokus auf die User Experience gelegt. Dass dies zu kurz gedacht ist, veranschaulichen die immer wiederkehrenden Nachrichten hinsichtlich Angriffen auf Apps und deren Nutzer. Daher ist es wichtig, dass Security direkt von Anfang eine zentrale Rolle spielt und Security-Features nicht erst im Nachgang implementiert werden, damit von vornherein Risiken und Schwachstellen verhindert werden. Eine geeignete Lösung sollte also auf jeden Fall den Shift Left Security-Ansatz abdecken. Dies bedeutet, dass die Sicherheit so früh wie möglich in den Software-Entwicklungszyklus miteinbezogen werden sollte. Fallen bereits in der Definitionsphase Probleme auf, ist deren Beseitigung zu diesem frühen Zeitpunkt deutlich günstiger als nach der App-Veröffentlichung. Wird die Sicherheit von vornherein eingeplant, müssen nicht erst im Nachgang zahlreiche Stunden investiert werden, um herauszufinden, was an der App ein Sicherheitsproblem ausgelöst hat. Hinzu kommt, dass der Shift Left Security-Ansatz ein entscheidender Schritt zur Einhaltung von branchenspezifischen Richtlinien wie zum Beispiel der eIDAS- oder der DiGA-Verordnung ist.

Was Security-Frameworks leisten

Durch die Integration eines erprobten Frameworks können Apps nach dem Trust On First Use (TOFU)-Prinzip prüfen, ob die Laufzeitumgebung des Smartphones sicher genug ist, sodass die App bedenkenlos darin laufen kann. Abgesehen von dem grundsätzlichen Sicherheitsgedanken erfüllt man damit unter anderem einen wesentlichen Bestandteil der Zahlungsdiensterichtlinie PSD2. Eine weitere wichtige Sicherheitsinstanz bietet der Einsatz der Runtime Application Self Defense (RASP)-Technologie, die dafür sorgt, dass sich Apps im Falle eines aktiven Angriffs eigenständig schützen können. Allein ist diese Technologie aber nicht ausreichend. Auch Vorkommnisse an SIEM- oder XDR-Systemen müssen weiterleitbar sein. Dies ist notwendig, um den App-Betreibern ein umfassendes Sicherheitslagebild zu verschaffen, das zeigt, ob es eine Attacke oder eine Manipulation gibt und – wenn ja – wie der Angreifer dabei genau vorgeht.

Darüber hinaus sollte ein Security-Framework das Klonen einer App und seiner Daten nicht zulassen. Kopiert ein Hacker zum Beispiel eine Nahverkehrs-App samt der darin abgespeicherten Monats- oder Jahresfahrkarten, kann es zu immensen Umsatzeinbußen kommen. Gerade solch bekannte Missbrauchstypen werden auch zukünftig vorhanden sein und sollten unbedingt rechtzeitig unterbunden werden. Als weitere signifikante Eigenschaft einer adäquaten Lösung ist die Abhörsicherheit der Kommunikation zwischen der App und dem Anbieter zu nennen. Niemand sollte Einblick in den Datenverkehr haben – vor allem nicht im Finanz- oder Gesundheitsbereich.

Unter dem Strich hat ein entsprechendes App-Security-Framework natürlich auch die Aufgabe, dafür zu sorgen, dass die Richtlinien der Europäischen Datenschutz-Grundverordnung (EU-DSGVO) eingehalten werden und sensible Daten für Dritte nicht lesbar oder gar kopierbar sind.

Über den Autor: Torsten Leibner ist „Head of Product Management and Technology“ und Co-Founder von Build38.

(ID:47039169)