iOS/iPadOS 26 bringt eine neue Compliance-Herausforderung mit sich. Kein aktuelles physisches Gerät mit Version 26 lässt sich jailbreaken. Damit arbeiten Teams, die überprüfen müssen, wie mobile Apps sensible Daten im Ruhezustand und bei der Übertragung verarbeiten, jetzt praktisch im Blindflug. Ohne Nachweise im laufenden Betrieb können Organisationen nur schwer belegen, dass ihre mobilen Apps die Anforderungen von PCI, DSGVO, DORA und anderen Datenschutzvorgaben in den Märkten erfüllen, in denen sie tätig sind. 

Hohe Hürden – gerade für Finanzinstitute im EMEA-Rau

In Europa, dem Nahen Osten und Afrika trifft die Lücke bei Nachweisen im laufenden Betrieb auf ein regulatorisches Umfeld, das zunehmend eben diese Tests verlangt – und nicht nur Richtlinien auf dem Papier: 

  • PCI DSS v4.0.1: Die mit späterem Stichtag versehenen Anforderungen wurden am 31. März 2025 verpflichtend und erhöhen die Anforderungen, wie Zahlungsanwendungen eine fortlaufende Sicherheitsvalidierung nachweisen müssen. 
  • DORA: Der EU-Rechtsakt zur digitalen operativen Resilienz (DORA), seit Januar 2025 anwendbar, verpflichtet Finanzunternehmen, die Resilienz ihrer IKT-Systeme – einschließlich mobiler Kanäle – zu testen, wobei für bedeutende Institute bedrohungsgeleitete Penetrationstests (TLPT) erwartet werden. 
  • NIS2: Erweitert die Pflichten zum Cybersicherheits-Risikomanagement und zur Meldung auf wesentliche und wichtige Einrichtungen in der EU und erfasst damit viele Finanzmarktteilnehmer und deren Zulieferer. 
  • Artikel 32 DSGVO: Verlangt ausdrücklich, dass Organisationen die Wirksamkeit technischer Sicherheitsmaßnahmen regelmäßig testen, bewerten und evaluieren – die Validierung im laufenden Betrieb ist genau dieser Nachweis. 
  • Vorschriften zur operativen Resilienz im Vereinigten Königreich: FCA und PRA erwarten von Unternehmen den Nachweis, dass sie für wichtige Geschäftsdienste innerhalb der Auswirkungstoleranzen bleiben können – was voraussetzt, das tatsächliche Verhalten kritischer mobiler Kanäle zu kennen. 

Für britische Banken, Zahlungsdienstleister und Fintechs lautet die Frage nicht mehr, ob ihre mobile App getestet wurde. Sondern ob sich belegen lässt, dass kritische Customer Journeys, Zahlungsflüsse, Authentifizierungskontrollen und Drittkomponenten sich über die Releases hinweg wie erwartet verhalten haben. 

Wird iOS 26 PCI-Compliance-Probleme verursachen?

Auch wenn iOS 26 die PCI-Compliance nicht automatisch verunmöglicht, wird die Sicherheitsvalidierung mobiler Apps nach PCI DSS deutlich erschwert. Da das Betriebssystem Jailbreaks auf modernen Geräten unterbindet, beseitigt iOS 26 herkömmliche Wege für Laufzeittests. Ohne diese können Teams Schwierigkeiten haben nachzuweisen, dass PCI-relevante Kontrollen während der realen App-Ausführung wie erwartet funktioniert haben – insbesondere bei Zahlungsflüssen, Authentifizierung, Datenspeicherung, Netzwerkkommunikation und der Aktivität von Dritt-SDKs. 

Diese Lücke trifft Finanzinstitute am härtesten, die unter Druck stehen, mobile Apps schneller denn je zu veröffentlichen. Untersuchungen zeigen, dass die weltweiten Downloads von Finanz-Apps 2024 7,7 Milliarden erreichten, gegenüber 4,6 Milliarden im Jahr 2020. Das ist ein Anstieg um 67 % in nur vier Jahren. 

Trotz hoher Investitionen in AppSec- und Compliance-Werkzeuge gehen viele Finanz-Apps in Betrieb, ohne im laufenden Betrieb getestet worden zu sein. Dass die Teams das Testen auslassen, ist dabei gar nicht das wesentliche Problem – sondern, dass statische Scans, Checklisten und Verfahren auf physischen Geräten möglicherweise nicht zeigen, wie Apps sensible Daten, Authentifizierung, Zahlungsflüsse und Drittanbieter-Aktivität im laufenden Betrieb verarbeiten – besonders auf modernem iOS, wo tiefere Einblicke nur beschränkt möglich sind. 

Sicherheitsframeworks verlangen Nachweise im laufenden Betrieb 

Compliance-Vorschriften wie PCI DSS, die DSGVO und – für in der EU tätige Finanzunternehmen – DORA verpflichten Finanzinstitute, sensible Daten zu schützen, ob auf einem Gerät gespeichert oder über Mobilfunknetze übertragen. Diese Gesetze legen die Grundlinie für Verschlüsselung, Authentifizierung und Zugriffskontrolle fest. 

Sicherheitsframeworks und Leitlinien wie OWASP MASVS helfen zu definieren, was sichere mobile Apps leisten sollten. Sie legen Erwartungen für Bereiche wie Datenschutz, Netzwerkkommunikation, Authentifizierung, Sitzungsverwaltung und sichere Speicherung fest — doch Teams benötigen weiterhin Nachweise, dass sich diese Kontrollen in der App wie erwartet verhalten. 

Die Compliance-Validierung geht oft nicht so weit zu beweisen, dass diese Schutzmaßnahmen unter realen Bedingungen funktionieren. Ohne dynamische und interaktive Tests benötigen Teams Nachweise, dass sich die Kontrollen während der Ausführung wie erwartet verhalten – nicht nur den Beleg, dass solche Kontrollen existieren.

Reicht statisches Testen der Anwendungssicherheit für PCI aus? 

Die meisten Finanzdienstleister setzen auf statisches Application Security Testing (SAST), Software Composition Analysis (SCA), manuelle Compliance-Prüfungen und regelmäßige Penetrationstests. Diese Methoden können unsicheren Code und veraltete Bibliotheken erkennen, doch SAST allein reicht für die PCI-Compliance nicht aus, weil es nicht zeigt, wie sich die App nach der Bereitstellung verhält. 

Statisches App-Security-Testing kann helfen, unsicheren Code, offengelegte Geheimnisse, veraltete Bibliotheken und andere Risiken auf Paketebene zu erkennen. Doch die statische Analyse allein zeigt nicht, wie sich die App während der Laufzeit verhält – etwa im Umgang mit Berechtigungen, Sitzungen, Authentifizierung, lokalem Speicher, Netzwerkkommunikation, Aktivität von Dritt-SDKs und sensiblen Zahlungsdaten. Für PCI-relevante Abläufe benötigen Teams weiterhin Nachweise aus dem laufenden Betrieb, dass sich die Kontrollen vor dem Release wie erwartet verhalten. 

Deshalb ist es entscheidend, diese Schutzmaßnahmen bereits während der Entwicklung zu testen. Corellium Viper ermöglicht AppSec-Teams tiefgreifende, dynamische Tests in virtualisierten iOS-Umgebungen, während MATRIX™ Befunde automatisch Frameworks wie OWASP, DSGVO, PCI DSS und HIPAA zuordnet – so können Teams die Compliance frühzeitig validieren und die Laufzeitsicherheit mit jedem Build nachweisen. 

Laufzeittests unter Android sind weiterhin machbar

Unter Android können Sicherheitsteams und Penetrationstester oft tiefere Einblicke in Dateisystemaktivität, lokale Log-Persistenz und Sitzungsverhalten bei Anmeldung, Abmeldung oder App-Abstürzen gewinnen. Zwar lassen sich nicht alle Android-Geräte leicht rooten, doch die Plattform bietet in der Regel mehr Möglichkeiten zur Laufzeitinspektion über kompatible Testgeräte, Emulatoren und andere Testumgebungen – jede mit einem unterschiedlichen Maß an Sichtbarkeit und Nachweisen. Diese Flexibilität ermöglicht es Organisationen, die Anforderungen von PCI DSS und OWASP MASVS gründlicher zu validieren – einschließlich Verschlüsselung im Ruhezustand, sicherer Schlüsselverwaltung und Log-Handhabung –, wobei anzuerkennen ist, dass Qualität und Vollständigkeit der Nachweise je nach Testansatz variieren.

Kann man unter iOS 26 noch PCI-Laufzeittests durchführen?

Ja, aber Teams brauchen einen anderen Ansatz. Ein modernes iOS lässt sich auf physischen Geräten zunehmend schwerer inspizieren. Da Apple die Plattform härtet und von Jailbreaks genutzte Schwachstellen patcht, sind öffentliche Jailbreaks für aktuelle iOS-Versionen selten und für Sicherheitstests unzuverlässig geworden. Die Dateisysteminspektion ist eingeschränkt, der Speicherzugriff begrenzt und die Instrumentierung auf physischer Hardware schwierig. 

Ältere gejailbreakte Geräte unterstützen noch einige Test-Workflows, spiegeln aber nicht mehr die iOS-Versionen und Gerätemodelle wider, die Kunden in der Produktion einsetzen. 

Infolgedessen können Teams Schwierigkeiten haben, Laufzeitnachweise dafür zu erbringen, wie iOS-Apps sensible Daten, Authentifizierung, lokalen Speicher, Netzwerkaktivität und das Verhalten von Dritt-SDKs verarbeiten. Virtualisierte Umgebungen wie Corellium bieten AppSec-Teams eine Möglichkeit, aktuelle iOS-Versionen mit tieferem Inspektionszugriff zu testen, und helfen so, die von Verfahren auf physischen Geräten hinterlassene Nachweislücke zu schließen. 

Das Risiko: mutmaßliche Compliance ohne Überprüfung

Wenn das Verhalten im laufenden Betrieb nicht beobachtet werden kann, wird Compliance zur Vertrauens- statt zur Nachweisfrage. Sicherheitsteams nehmen dann vielleicht an, dass die Verschlüsselung funktioniert oder Logs ordnungsgemäß bereinigt werden – doch sie können es nicht bestätigen. 

Diese Lücke schafft regulatorische, reputationsrelevante und operative Risiken. Viele Institute geben mobile Apps frei, ohne zu wissen: 

  • welche Daten lokal gespeichert werden 
  • wie sich Dritt-SDKs verhalten 
  • ob Token korrekt ungültig gemacht werden 
  • ob Logs fortbestehen oder sensible Daten preisgeben 

Häufige Risiken mobiler Apps im Finanzwesen: 

  • unsachgemäße Verwendung von Anmeldedaten 
  • unzureichende Sicherheit der Lieferkette 
  • unsichere Authentifizierung / Autorisierung 
  • unzureichende Ein-/Ausgabevalidierung 
  • unsichere Datenspeicherung 

Mithilfe der OWASP Mobile Top 10 können Sicherheitsteams mobile Finanz-Apps an den häufigsten Bedrohungen und Schwachstellen der Branche messen. 

So validieren Sie die PCI-Compliance unter iOS 26

Um die PCI-Compliance unter iOS 26 zu validieren, prüfen wirksame mobile AppSec-Programme das Verhalten kontinuierlich – nicht nur während der Entwicklung, sondern in jedem Release-Zyklus. Dazu gehören: 

  • Dynamische Tests über Android-, iPadOS- und iOS-Versionen hinweg 
  • Überwachung des SDK-Verhaltens, der API-Aufrufe und der Netzwerkaktivität 
  • Inspektion der Sitzungsverwaltung, der Token-Speicherung und des Authentifizierungsverhaltens 
  • Überprüfung der Kontrollen für Verschlüsselung, lokale Speicherung und Datenübertragung 
  • Zuordnung der PCI- und MASVS-Anforderungen zu wiederholbaren CI/CD-Validierungs-Workflows 

Laufzeitnachweise erfordern, die App unter relevanten Geräte-, Betriebssystem-, Netzwerk-, Berechtigungs-, Sitzungs- und SDK-Bedingungen auszuführen und zu beobachten. Statische Scans können die Risikoerkennung unterstützen und Simulatoren funktionale Tests, aber keins von beiden ersetzt vollständig die Laufzeitvalidierung in repräsentativen mobilen Umgebungen. 

Laufzeitvalidierung ist für Finanz-Apps Grundvoraussetzung

Eine Mobile-Banking-App kann PCI DSS bestehen und dennoch personenbezogene Daten preisgeben. Sie kann die Anforderungen von OWASP MASVS erfüllen und dennoch die Authentifizierung falsch handhaben. Sie kann eine hohe Testabdeckung erreichen und dennoch Konten dem Risiko einer Übernahme aussetzen. Laufzeitsicherheit kann sich wie In-App-Schutz oder RASP darstellen. Teams im Finanzdienstleistungssektor müssen nachweisen, dass sich Sicherheitskontrollen während der Ausführung wie erwartet verhalten.

Von Compliance zu Vertrauen: das reale App-Verhalten beobachten

n der mobilen Finanzwelt ist die App ein kritischer, kundenseitiger Kontrollpunkt. Sie verarbeitet Identitäten, Transaktionen, Authentifizierung, Zahlungsflüsse und sensible Daten auf Geräten, die das Institut nicht vollständig kontrolliert. Ohne Laufzeitnachweise können Teams möglicherweise nicht belegen, dass sich diese Kontrollen während der Ausführung wie erwartet verhalten – besonders in modernen iPhone- und iPad-Umgebungen, in denen die tiefere Inspektion eingeschränkt ist. 

Eine mobile App auszuliefern ist kein Meilenstein. Nachzuweisen, dass sie sich sicher verhält, schon. 

Viper basiert auf der Mobile Security Platform von Corellium und bietet Finanzsicherheitsteams eine Möglichkeit, das Verhalten von iOS-Apps in kontrollierten virtuellen Geräteumgebungen zu validieren – einschließlich aktueller iOS-Versionen wie iOS 26 – ohne auf veraltete physische Jailbreak-Verfahren angewiesen zu sein. 

Teams können beobachten, wie Apps während der Laufzeit PCI-relevante Verhaltensweisen handhaben – etwa lokale Datenspeicherung, Sitzungsverwaltung, Token-Nutzung, Logging, Netzwerkaktivität und das Verhalten von Dritt-SDKs. Das hilft ihnen, Laufzeitnachweise zu erzeugen, die statische Scans und checklistenbasierte Prüfungen allein möglicherweise nicht liefern. 

In Kombination mit MATRIX™ verwandelt Viper die Laufzeitvalidierung in risikopriorisierte Compliance-Nachweise. Viper hilft Teams, das App-Verhalten während der Ausführung zu beobachten, während MATRIX diese Ergebnisse in Befunde, Schweregrade, Handlungsempfehlungen zur Behebung, Framework-Zuordnungen und auditunterstützende Berichte für Standards wie OWASP MASVS, PCI DSS, DSGVO und weitere geltende Anforderungen strukturiert. 

Gemeinsam helfen sie Finanzinstituten, von rohen Testergebnissen zu belastbaren Nachweisen zu gelangen, die AppSec-, Compliance- und Sicherheitsverantwortliche nutzen können, um Kontrollen zu validieren, Gegenmaßnahmen zu verfolgen und große Release-Entscheidungen zu unterstützen. 

Bereit, Ihre Finanz-App über PCI-Checklisten hinaus zu validieren?

Vereinbaren Sie einen Termin mit einem Corellium-Experten und erfahren Sie wie Viper Ihnen hilft, die PCI-Compliance unter iOS 26 nachzuweisen.