Enterprise-Security und Datenschutz

Was umfasst Enterprise-Security bei mobilen Apps?

Enterprise-Security beschreibt einen Entwicklungsansatz, bei dem Sicherheit von Beginn an als Anforderung mitgeplant wird, nicht als nachträgliche Ergänzung. Dazu zählen verschlüsselte Datenübertragung über TLS zwischen App und Backend, sichere Speicherung sensibler Daten auf dem Gerät über Keychain (iOS) beziehungsweise Keystore (Android) statt einfacher lokaler Dateien, moderne Authentifizierungsverfahren wie OAuth 2.0 und JSON Web Tokens sowie serverseitige Absicherung der API gegen typische Angriffsmuster wie Brute-Force-Versuche oder unautorisierten Datenzugriff. Als Orientierung dient dabei der OWASP Mobile Application Security Verification Standard (MASVS), ein anerkannter Kriterienkatalog für die Absicherung mobiler Anwendungen, der Bereiche wie Datenspeicherung, Kryptografie, Authentifizierung und Netzwerkkommunikation systematisch abdeckt. Ergänzend regelt die Datenschutz-Grundverordnung (DSGVO), welche personenbezogenen Daten überhaupt erhoben, wie lange sie gespeichert und wie sie verarbeitet werden dürfen.

Warum Sicherheitslücken in Apps besonders teuer werden

Mobile Apps speichern häufig besonders sensible Informationen – Zugangsdaten, Zahlungsinformationen, persönliche oder gesundheitsbezogene Daten – und sind dabei potenziell einer größeren Angriffsfläche ausgesetzt als klassische Webanwendungen, da das Gerät selbst verloren gehen, gestohlen oder kompromittiert werden kann. Ein Sicherheitsvorfall bedeutet neben dem unmittelbaren Schaden auch DSGVO-Meldepflichten, mögliche Bußgelder und einen Vertrauensverlust bei Nutzern, der sich in Bewertungen und Deinstallationen niederschlägt. Für Unternehmen, die Apps im B2B- oder Enterprise-Umfeld einsetzen, kommt hinzu, dass Geschäftskunden vor einem Rollout häufig eigene Sicherheitsprüfungen verlangen – eine App, die diese nicht besteht, verzögert oder verhindert die Einführung.

So löst Provimedia das

Provimedia integriert Sicherheitsanforderungen bereits in die Konzeptionsphase eines Projekts, nicht erst kurz vor dem Launch. Ausgangspunkt ist eine Einordnung, welche Daten die App tatsächlich verarbeitet und welches Schutzniveau daraus resultiert – eine App mit Zahlungsdaten oder Gesundheitsinformationen benötigt andere Absicherung als eine reine Content-App ohne Nutzerkonten.

Sicherheitsmaßnahmen im Detail

• Verschlüsselte Datenübertragung über TLS zwischen App und Backend, ohne Ausnahmen für einzelne Endpunkte
• Sichere lokale Speicherung sensibler Daten über Keychain (iOS) beziehungsweise Keystore (Android) statt unverschlüsselter Dateien
• Moderne Authentifizierung über OAuth 2.0 und JSON Web Tokens inklusive Token-Ablauf und sicherem Refresh-Mechanismus
• Serverseitige Absicherung der API gegen Brute-Force-Angriffe, Rate-Limiting und konsequente Eingabevalidierung
• Orientierung am OWASP Mobile Application Security Verification Standard als anerkannter Prüfrahmen
• Datenschutzkonzept nach DSGVO-Grundsätzen: Datenminimierung, klare Zweckbindung und dokumentierte Löschfristen
• Auftragsverarbeitungsverträge mit allen eingebundenen Drittanbietern, etwa für Push-Benachrichtigungen oder Crash-Reporting

Vor größeren Rollouts, insbesondere im Enterprise-Umfeld, unterstützt Provimedia zudem bei der Vorbereitung auf Sicherheitsprüfungen durch den Kunden oder dessen IT-Abteilung, indem die getroffenen technischen und organisatorischen Maßnahmen nachvollziehbar dokumentiert werden.

Datenschutz als Teil der Architektur, nicht als Checkliste

Datenschutzkonformität lässt sich nicht nachträglich per Checkliste erzeugen, wenn die zugrunde liegende Architektur nicht dafür ausgelegt ist. Provimedia berücksichtigt deshalb bereits bei der Datenmodellierung, welche Informationen überhaupt notwendig sind, wo sie gespeichert werden und wer Zugriff darauf erhält – nach dem Prinzip der Datensparsamkeit. Das reduziert nicht nur rechtliche Risiken, sondern auch die Angriffsfläche im Fall eines Sicherheitsvorfalls, da schlicht weniger sensible Daten vorhanden sind, die überhaupt kompromittiert werden könnten.

Typische Ergebnisse für Kunden

Kunden erhalten eine App, die Sicherheitsprüfungen von Geschäftspartnern und IT-Abteilungen standhält, statt bei der Einführung an fehlender Dokumentation oder unzureichender Absicherung zu scheitern. Sensible Daten sind sowohl bei der Übertragung als auch auf dem Gerät geschützt, und die Datenschutzkonformität ist von Beginn an Teil der Architektur statt eines nachträglichen Reparaturprojekts. Das schafft Vertrauen bei Endnutzern ebenso wie bei Geschäftskunden, die vor einem Rollout selbst Verantwortung für die eingesetzten Systeme tragen.