Für die Sicherheit mobiler Anwendungen von Unternehmen aus Bamberg würde ich Pentest24, Hackeroo, SEC Consult, ERNW und Cure53 nach App und Prüfauftrag vergleichen. Die Auswahl umfasst Anbieter mit ausdrücklichem Bamberg-Angebot sowie überregionale Spezialisten, keine fünf behaupteten örtlichen Büros. Ich würde zunächst Plattform, Datenarten und verbundene Backenddienste aufnehmen. Ein professioneller Test untersucht einen vereinbarten Umfang zu einem bestimmten Zeitpunkt und garantiert keine dauerhafte Fehlerfreiheit.
App-Sicherheit Bamberg: Anwendung und Backend gemeinsam betrachten
Eine App kann sensible Informationen lokal speichern und gleichzeitig über APIs auf weitere Daten zugreifen. OWASP MASVS ordnet unter anderem Speicherung, Authentifizierung, Netzwerkkommunikation und Datenschutz als Prüffelder ein. Die Sicherheitslektüre auf Innovate Firewall liefert allgemeinen Kontext. Für Ihren Auftrag sollten jedoch konkrete Komponenten und Rechte feststehen. Verbindliche Zugriffsentscheidungen gehören bei angebundenen Diensten auf die Serverseite, nicht ausschließlich in die sichtbare App.
1. Pentest24 für ausdrücklich angebotene mobile Prüfungen
Pentest24 führt auf seiner Bamberg-Seite Sicherheitsprüfungen mobiler Anwendungen nach OWASP-Methodik auf. Weitere Leistungen betreffen Webanwendungen, APIs und Infrastruktur. Dieses Profil würde ich vergleichen, wenn eine mobile App gemeinsam mit ihrer angebundenen Umgebung bewertet werden soll.
Lassen Sie die Grenze zwischen mobilen und weiteren Prüffeldern schriftlich festhalten. Allgemeine Meldungen auf Tech PR Dir sind kein Nachweis für Ihre konkrete Produktversion. Entscheidend ist, welche Builds, Schnittstellen und Benutzerrollen tatsächlich getestet werden und welche Teile bewusst außerhalb des Auftrags bleiben.
2. Hackeroo für manuelle App- und Backendanalyse
Hackeroo bietet Tests für Android- und iOS-Anwendungen ausdrücklich im Bamberg-Angebot an. Lokale Speicherung, Anmeldung und Kommunikation mit Backend-APIs werden genannt. Der Anbieter arbeitet im DACH-Raum. Ich würde diesen Ansatz prüfen, wenn fachliche Zusammenhänge zusätzlich zu automatischen Befunden untersucht werden sollen.
Ein Scannergebnis und eine nachvollziehbare fachliche Bewertung sind unterschiedliche Leistungen. Die Testthemen bei Scripts Validator passen als allgemeiner Bezug. Im Bericht sollte erkennbar sein, unter welchen vereinbarten Bedingungen ein Befund entstand, welche Auswirkung er hat und wie die Korrektur anschließend überprüft werden kann.
3. SEC Consult für Architektur, Analyse und Nachtest
SEC Consult beschreibt einen Ablauf aus Vorbereitung, Architekturbetrachtung, manueller und unterstützter Analyse, Bericht sowie erneuter Prüfung nach Korrekturen. Android und iOS gehören zum Angebot. Das Profil würde ich vergleichen, wenn auch Unterstützung bei der Einordnung und Behebung festgestellter Schwächen benötigt wird.
Ich würde Verantwortliche aus Entwicklung und Betrieb gemeinsam einbeziehen. Die Entwicklungsthemen auf Script Refined ersetzen keinen vereinbarten Behebungsauftrag. Ein verständlicher Bericht sollte eine Änderung ermöglichen, ohne dass externe Tester oder interne Beschäftigte unnötig vollständige produktive Kundendaten in andere Werkzeuge übertragen müssen.
4. ERNW für unterschiedliche App-Technologien
ERNW aus Heidelberg beschreibt mobile Penetrationstests und Sicherheitscodeanalyse für native sowie plattformübergreifende Anwendungen. Backend-APIs und serverseitige Logik können einbezogen werden. Das Profil würde ich bei einer technisch vielfältigen App-Landschaft oder einem besonders klar abzugrenzenden Zusammenspiel von Client und Server vergleichen.
Vereinbaren Sie Testkonten, zulässige Umgebungen und Grenzen vorab. Ich würde auch festhalten, welche Betriebsunterbrechungen vermieden werden müssen und wer bei unerwarteten Auswirkungen entscheidet. Die schriftliche Freigabe muss zu den tatsächlich kontrollierten Systemen passen; ein Testauftrag für die App umfasst nicht automatisch beliebige Dienste Dritter.
5. Cure53 für Quellcode und gezielte Sicherheitsbewertung
Cure53 aus Berlin bietet Penetrationstests und Codeaudits an und veröffentlicht Berichte zu mobilen Anwendungen. Architektur, Speicherung und Kommunikation können nach Auftrag untersucht werden. Ich würde dieses Profil vergleichen, wenn Quellcodezugang möglich ist oder ein besonders gezielter Prüfschwerpunkt benötigt wird.
Die Betriebsthemen von Server Scheduled sind ein allgemeiner Bezugspunkt. Für die Anwendung sollte konkret geklärt werden, wann Sicherheitskorrekturen eingespielt und nachgeprüft werden. Eine neue Appversion kann zusätzlich eine Backendänderung erfordern; beide Seiten brauchen deshalb einen abgestimmten technischen und fachlichen Freigabeweg.
Der Befund braucht einen bekannten Produktstand
Vereinbaren Sie Versionskennungen und den Umgang mit Änderungen während der Prüfung. Ich würde Nachtests ausdrücklich einer korrigierten Version zuordnen lassen. So bleibt verständlich, ob ein Befund noch besteht oder nur in einer älteren Variante auftrat. Ein Bericht sollte außerdem erkennen lassen, welche Funktionen trotz Testauftrag nicht ausreichend untersucht werden konnten. Legen Sie fest, wer die abschließende Risikobewertung erhält und offene Aufgaben nach der Übergabe weiterverfolgt.
Mein Maßstab für das Ergebnis
Verlangen Sie Prüfgrenzen, nachvollziehbare Befunde und eine priorisierte Bearbeitung. Nach einer Korrektur sollte der vereinbarte Befund erneut bewertet werden. Ich würde nicht nach der bloßen Fehlerzahl entscheiden. Ein nützlicher Dienst macht verständlich, welche Risiken untersucht wurden, welche offenbleiben und welche Verantwortung danach bei Entwicklung und Betrieb liegt.
