Android-App-Sicherheitscheckliste vor dem Google-Play-Launch

1. Sensible Daten und Rollen

Starte mit einer einfachen Liste. Welche Daten verarbeitet die App?

• E-Mail, Telefon, Name und Adresse;
• Zahlungsstatus, Bestellhistorie oder Lieferort;
• Fotos, Dateien oder Nachrichten;
• Gesundheits-, Wellness- oder Identitaetsdaten;
• Supportnotizen, Admin-Aktionen oder Einnahmen von Providern.

Danach klaerst du, wer was sehen oder aendern darf: Nutzer, Anbieter, Support, Admin, Kurier, Arzt, Lehrer, Haendler oder Finance-Rolle. Ein haeufiger Fehler: Die App versteckt einen Button, aber die API liefert die Daten trotzdem. Serverpruefungen sind wichtiger als versteckte Screens.

2. Geheime Zugangsdaten aus dem App-Paket entfernen

Alles in einer Android-App kann untersucht werden. Private API-Schluessel, Administrator-Token, Zahlungsschluessel, Datenbankzugang oder Signaturschluessel gehoeren nicht in die App.

Gute Muster:

• Zahlungen und privilegierte Aktionen laufen ueber das Backend;
• Zugangstoken sind moeglichst kurzlebig;
• oeffentliche SDK-Keys werden als oeffentlich behandelt;
• geleakte Keys werden schnell rotiert;
• signierte Builds enthalten keine Testadressen oder Entwicklungs-Schalter.

Dieser Punkt verhindert einen sehr normalen und teuren Launch-Fehler.

3. Berechtigungen minimieren

Nutzer sehen Berechtigungen, und Google Play achtet auf sensible Permissions. Frage nur an, was wirklich gebraucht wird, im passenden Moment und mit normaler Erklaerung.

Pruefe:

• Standort: genau oder ungefaehr, Vordergrund oder Hintergrund;
• Kamera und Medienzugriff;
• Kontakte und Kalender;
• Benachrichtigungen;
• Mikrofon und Bluetooth;
• Spezialberechtigungen mit starker Begruendung.

Wenn ein MVP ohne sensible Berechtigung funktionieren kann, lass sie weg. Zu viele Berechtigungen senken Vertrauen und koennen die Pruefung erschweren.

4. Lokalen Speicher schuetzen

Speichere sensible Daten nicht lokal, wenn es nicht noetig ist. Wenn lokaler Speicher gebraucht wird, nutze geeignete sichere Ablage, vermeide Zugangstoken im Klartext und definiere, was beim Abmelden geloescht wird.

Check:

• Zugangstoken liegen nicht in einfachen Dateien;
• privater Cache ist begrenzt;
• Screenshots und Logs zeigen keine privaten Inhalte;
• Logout loescht sensible lokale Daten;
• Backups enthalten keine Daten, die dort nicht hingehoeren.

Bei Gesundheit, privatem Chat und Finanzfunktionen muss das vor der Entwicklung geklaert werden.

5. Netzwerk und Serverzugriff

Der Server muss Berechtigungen bei jeder Anfrage pruefen. Die Android-App darf nicht der einzige Ort fuer Geschaeftsregeln sein.

Pruefe:

• API-Datenverkehr laeuft ueber HTTPS;
• Nutzer sehen nur eigene Datensaetze;
• Provider- und Admin-Rollen werden serverseitig geprueft;
• riskante Aktionen haben Limits;
• Uploads werden validiert;
• Zahlungsstatus wird serverseitig bestaetigt;
• Fehlermeldungen leaken keine privaten Details.

Bei Marketplaces und Lieferung sind Bestellbesitz, Adresssichtbarkeit und Provider-Aktionen besonders wichtig.

6. Authentifizierung und Wiederherstellung

Authentifizierung umfasst Registrierung, Login, Social Login, Passwort-Reset, Account-Loeschung, Session-Ablauf und Support-Wiederherstellung.

Ein einfaches MVP kann einen bewaehrten Provider nutzen. Risikoreichere Apps brauchen strengere Wiederherstellung, Geraetewechsel-Pruefung, zweiten Faktor oder zusaetzliche Bestaetigung fuer sensible Aktionen.

Bei privatem Chat, medizinischen Notizen, Zahlungen oder Admin-Zugriff gehoert Account-Recovery frueh in die Planung.

7. SDKs, Logs und Analytics

Drittanbieter-SDKs koennen Daten sammeln, Berechtigungen hinzufuegen, Performance beeinflussen und Store-Angaben veraendern. Behalte nur, was das Produkt wirklich braucht.

Vor Release:

• ungenutzte SDKs entfernen;
• Datenschutzanforderungen pruefen;
• keine personenbezogenen Daten, Zugangstoken oder privaten Texte in Ereignissen;
• Crash-Logs kontrollieren;
• ausfuehrliche Entwicklungs-Protokolle im Release abschalten.

Analytics soll helfen, ohne private Daten zu erfassen.

8. Play Integrity bei passendem Risiko

Android nennt Werkzeuge wie Play Integrity API und Credential Manager. Nicht jedes MVP braucht dasselbe Setup, aber Apps mit Zahlungen, Missbrauchsrisiko, bezahltem Content oder Marketplace-Funktionen sollten Integrity-Signale besprechen.

Diese Signale ersetzen keine Serverpruefungen. Sie sind ein zusaetzlicher Hinweis.

9. Den echten signierten Build testen

Entwicklungs-Builds koennen Probleme verdecken. Teste den signierten Build, der zu Google Play geht.

Durchgehen:

• Erstinstallation und erster Login;
• Passwort-Reset oder Social Login;
• Berechtigungen;
• Kauf, Buchung oder Bestellung;
• Logout und Account-Loeschung;
• langsames Netz oder Offline-Zustaende;
• Crash Reporting und Analytics;
• Admin-Aktionen, wenn sie Android-Nutzer betreffen.

Google baut mehr Hinweise fuer Entwickler ein, aber Probleme sollten vor der Einreichung auffallen.

Kosten und Umfang

Sicherheitsaufwand haengt von Daten und Workflows ab. Ein Content-MVP ist anders als Lieferung, Gesundheit, privater Chat oder Marketplace mit Auszahlungen.

Bei Appfyl startet ein fokussiertes MVP meist bei 15.000-20.000 EUR. Ein mittleres Produkt liegt oft bei 20.000-50.000 EUR. Groessere Apps mit Zahlungen, Rollen, Admin-Panel, sensiblen Daten, Monitoring und tieferen Tests koennen 50.000-100.000 EUR erreichen.

Darum schaetzen wir nach Workflows und Risiken, nicht nur nach Screens. Du kannst sie im Appfyl Briefing beschreiben.

Wie Appfyl damit arbeitet

Wir halten die erste Version praktisch. Ziel ist nicht, jedes Security-Tool zu kaufen, sondern teure Fehler nach dem Launch zu vermeiden.

Wir pruefen meist:

• sensible Daten und Rollen;
• Berechtigungen im Backend;
• App-Permissions und lokalen Speicher;
• Zahlungs-, Buchungs- oder Bestellstatus;
• Analytics und Logs;
• Verhalten des signierten Builds.

Fuer Gesundheit, Zahlungen oder private Kommunikation empfehlen wir vor dem Launch eine tiefere Pruefung.

Sehen Sie, wie Appfyl Funktionsumfang in veröffentlichte Produkte übersetzt. Appfyl Cases ansehen.

Nuetzliche Links

• Android Developers: Design for safety
• Android Developers: security tips
• OWASP MASVS
• Android Developers Blog: vulnerability remediation
• PTKD mobile app security checklist

Häufige Fragen