Fazit, Ergebnisse & Testverfahren

Hakan Ekmen, CEO von umlaut zum diesjährigen Service-App-Test:

Fazit von Josefine Milosevic, Redakteurin

Auch wer beim Mobilfunktarif spart, muss nicht auf Service verzichten. Neben den Netzbetreibern bieten auch alle namhaften Discountanbieter die praktische Selbstverwaltung via App. Und hier legen sich die Protagonisten richtig ins Zeug. Die Qualität der Apps hat sich im Vergleich zum Vorjahr nochmals gesteigert, alle von uns getesteten Anbieter schneiden unterm Strich mindestens mit „sehr gut“, drei sogar mit „überragend“ - namentlich Congstar, Smartmobil und Blau.

Congstar holt sich knapp vor Smartmobil den Gesamtsieg, beim Sicherheitscheck teilen sich beide mit der Note „überragend“ den ersten Platz. Blau schneidet bei der Sicherheit mit „sehr gut“ ab, bei der Funktionalität mit „überragend“ und belegt mit der Gesamtnote „überragend“ Platz drei im Endergebnis.

Aldi und Lidl bauen ihre Featureliste immer weiter aus und sichern sich hier wie auch bei der Sicherheit jeweils ein „sehr gut“. Noch besser präsentiert sich Otelo mit einer überragenden Funktionalität und sehr guter Sicherheit.

So haben wir getestet

Während die Funktionalität und die Handhabung der Service-Apps bei connect getestet wurden, überprüfte unser Partner umlaut deren Sicherheit.

umlaut hat die Anwendungen in vier Sicherheitskategorien geprüft: Datenschutz, ­Verbindungssicherheit und Verschlüsselung, Identitätsdiebstahl sowie Sicherheit des Quellcodes. Die Angriffsszenarien orientierten sich an den Richtlinien zur sicheren Programmierung von Apps des Bundesamts für Sicherheit in der Informationstechnik (BSI) und des Open Web Application Security ­Projects (OWASP). Viele Tests hat umlaut selbst entwickelt, das Testing pro App nahm mehrere Tage in Anspruch.

Zudem hat umlaut neue Tests in allen Ka­tegorien hinzugefügt sowie mehrere Tests verschärft, um aktuelle Entwicklungen im ­Security-Bereich abzudecken. Alle Resultate wurden zur Kontrolle von zwei Ingenieuren verifiziert. Aus Sicherheitsgründen haben wir jedoch auf die genaue Beschreibung der einzelnen Schwachstellen verzichtet, um ­etwaigen kriminellen Handlungen vorzubeugen.

Wie gut die App-Hersteller den Datenschutz umgesetzt haben, war in unserem Test der wichtigste Aspekt und wurde demnach mit den meisten Punkten gewichtet. Geprüft haben wir in dieser Kategorie, ob die Apps personenbezogene Daten wie Log-in- und sensible, personenbezogene Daten ausreichend geschützt im lokalen Speicher der App und im externen Smartphonespeicher ablegen.

Das schließt auch die Identifika­tionsdaten zwischen Server und App ein. Denn wenn die App diese Identifikations­daten nicht löscht, könnte eine bösartige App sie unter Umständen auslesen und so das Nutzerkonto übernehmen. Zusätzlich wurde geprüft, ob sich sensible Daten per Screen-shot festhalten oder kopieren lassen und welche Berechtigungen die App erfordert.

Die Verschlüsselung ist essenziell

Wie gut der Datenfluss zwischen App und Server abgesichert ist, war ebenfalls ein Kriterium. Es wurde überprüft, ob sowohl die Anwendungen als auch ihre Server mit aktuellen Verschlüsselungsmethoden arbeiten und ob sie den gesamten Datenverkehr ausschließlich gesichert übertragen. Punktabzug gab es, wenn eine App unnötige Informationen an den Server sendet oder personenbezogene Daten nicht DSGVO-konform überträgt. Überdies wurde der korrekte Umgang mit TLS-Zertifikaten als digitalem Identitätsnachweis untersucht.

In der Kategorie „Identitätsdiebstahl“ hat umlaut versucht, die eigenen Rechte innerhalb der App auszuweiten. Gelänge es Angreifern in diesem Szenario, bestimmte Autorisierungsmechanismen der Apps zu umgehen, könnten sie auf Daten anderer Anwender zugreifen. Theoretisch wären davon alle Kunden betroffen, die die be­treffende App verwenden.

Zudem wurden Maßnahmen zur Passwort-Sicherheit und -Wiederherstellung sowie Funktionen zum Schutz der Log-in- und Log-out-Mechanismen untersucht.

Kritisch ist auch, wenn eine Anwendung keinen Schutz gegen Klonung besitzt. Angreifer könnten dann eine exakte Kopie der Applikation erstellen, alle persön­lichen Daten entnehmen und sich als Nutzer ausweisen. Der Quellcode kann ebenfalls ein Einfallstor für Angriffe sein. Aus diesem Grund wurde in den Tests kontrolliert, ob wichtige App-Funktionen sicher programmiert sind, aber auch, ob die Komponenten von Drittanbietern sicher sind und ob die App wichtige Daten verschleiert.

So testen wir Funktionalität

Navigation / Handhabung (250 von 500 Punkten):

Übersichtliche Startseite: Die Startseite sollte einen schnellen Überblick über die wichtigsten Funktionen und Informationen liefern.

Transparente Menüstruktur: Wie schnell sind wichtige Informationen etwa zu Kontostand, Persönliche Daten, Datenkontrolle oder Vertragsübersicht auffindbar? Gibt es Schnellzugriffe auf häufig genutzte Funktionen wie Rechnungszahlung, Tarifoptionen und Kundenservice.

Personalisierung: Sind Inhalte auf den Nutzer zugeschnitten? Werden oft verwendete Funktionen hervorgehoben oder spezielle Angebote ­basierend auf dem Nutzerverhalten angezeigt?

Einfache Bedienung: Sind die Menüpunkte klar und verständlich? Sind die Basis-Funktionen mit wenigen Klicks erreichbar? Werden Tools wie zum Beispiel Dashboards, Drag & Drop oder Wischgesten verwendet, die eine schnelle Navigation unterstützen?

Welche Bauart liegt vor? Wie sind die Service-Apps erstellt? Sind die einzelnen Funktionen als native, hybride oder Web-Apps programmiert? Die Bauart der Anwendungen spielt eine wesentliche Rolle für Reaktionsschnelligkeit und Leistung.

Funktionsumfang (200 von 500 Punkten):

Werden die wichtigsten Funktionen für eine ­umfassende Service-App angeboten?

Konto- und Vertragsverwaltung: Vollständige Einsicht in Vertragsdetails und Rechnungen.

Datenverbrauch: Wird der Datenverbrauch in Echtzeit angezeigt?

Tarifwechsel: Ist die direkte Buchung von Tarifoptionen und Zusatzpaketen möglich?

Standortbasierte Dienste: Anzeige der ak­tuellen Netzabdeckung und Signalstärke am ­aktuellen Standort.

Sicherheitsfunktionen/Log-in-Schutz: ­Zwei-Faktor-Authentifizierung und andere Sicherheitsmechanismen zum Schutz des Kontos.

Geräteservice: Werden Reparatur, Austausch und Rückgabe via App angeboten?

Support und Hilfe: Direkte Kontaktmöglich­keiten per Chat, E-Mail oder Telefon? Funktion zur Meldung von Netzproblemen oder anderen technischen Schwierigkeiten? FAQs: Zugriff auf häufig gestellte Fragen und detaillierte Hilfetexte. Konfigurationshilfe für Hardware?

Angebote und Promotions: Gibt es exklusive Angebote, die nur über die App verfügbar sind? Rabattaktionen: Informationen über zeitlich ­begrenzte Aktionen oder Sonderkonditionen.

Gestaltung/Design: (50 von 500 Punkten)

Transparenz: Sind die Inhalte klar und übersichtlich dargestellt, oder ist das Display über­laden? Wird Raum verschenkt?

Eingängige Symbole: Verwendung von klaren und verständlichen Symbolen, um Funktionen und Kategorien zu kennzeichnen?Werden wichtige Informationen und Aktionen durch größere Schriftarten oder farbliche Akzente hervorgehoben?

Lässt sich die Menüstruktur an die eigenen ­Bedürfnisse anpassen?

Design: Ist das Layout einheitlich?