So scannst du IPA-Dateien vor der Installation auf Malware

VonScarlet iOS Team Aktualisiert am

Bevor du eine IPA-Datei von außerhalb des App Store installierst, können dir ein paar Minuten Prüfung eine manipulierte App ersparen, die Logins, Kontakte oder Standortdaten stiehlt. Diese Anleitung zeigt praktische Wege, eine IPA auf Malware zu prüfen, vom schnellen Online-Scan bis zum eigenen Blick in die Datei, und was zu tun ist, wenn du bereits etwas Verdächtiges installiert hast. Zuletzt geprüft: 27. Oktober 2026, anhand der VirusTotal- und MobSF-Dokumentation sowie Apples iPhone-Benutzerhandbuch für iOS 26.

Erst die Risiken

  • Kein Scan kann beweisen, dass eine IPA sicher ist. Scanner finden bekannte Bedrohungen; eine neue oder gut versteckte Modifikation kann jede Prüfung bestehen.
  • Wenn du eine Datei bei einem Online-Scanner hochlädst, teilst du sie. Laut VirusTotal-Dokumentation werden Ergebnisse „zwischen den prüfenden Partnern“ geteilt, und „der Inhalt eingereichter Dateien oder Seiten kann auch mit Premium-VirusTotal-Kunden geteilt werden“. Lade niemals eine IPA hoch, die deine eigenen Daten oder private Builds enthält.
  • Die Quelle zählt mehr als der Scan. Eine Datei direkt von der Release-Seite des Entwicklers ist deutlich risikoärmer als dieselbe App, erneut hochgeladen von einem Fremden.

Schnelle Checkliste

Prüfung Zeit Benötigt Was erkannt wird
Quellenrecherche 5 Minuten Einen Browser Gefälschte Seiten, erneute Uploads, Quellen mit schlechten Berichten
Datei-Hash 1 Minute Terminal, ein veröffentlichter Hash Jede Änderung an der Datei, nachdem der Herausgeber sie veröffentlicht hat
VirusTotal Ein paar Minuten Einen Browser Bekannte Malware, die Antivirus-Engines bereits erkennen
Blick in die IPA 10 Minuten Entpack-Tool, idealerweise ein Mac Zusätzliche, in die App eingeschleuste Bibliotheken
MobSF 15+ Minuten Docker oder die Online-Demo Riskante Berechtigungen, Tracker, fest einprogrammierte URLs und Schlüssel

Warum IPA-Dateien gefährlich sein können

Eine IPA-Datei ist ein ZIP-Archiv, das eine iOS-App enthält. Jeder, der die richtigen Tools hat, kann eine echte App nehmen, eigenen Code hinzufügen, sie neu verpacken und weitergeben. Das Ergebnis sieht aus und funktioniert wie das Original, aber der hinzugefügte Code kann im Hintergrund laufen, mit allen Berechtigungen, die du der App gibst. Das nennt man eine repackte oder modifizierte App, und das ist der Hauptweg, auf dem Malware außerhalb des App Store auf iPhones gelangt.

Sideloading-Tools signieren jede App vor der Installation mit einem neuen Zertifikat neu, sodass die Signatur auf deinem iPhone nichts darüber aussagt, wer die App erstellt hat. Deshalb solltest du die folgenden Prüfungen vor der Installation durchführen.

Methode 1: Die Quelle recherchieren

Mach das zuerst, denn es ist die einzige Prüfung, die etwas auffangen kann, das noch kein Scanner kennt.

  • Bevorzuge die eigene Release-Seite des Entwicklers, etwa die GitHub-Releases der App, gegenüber jedem Mirror.
  • Suche den genauen Datei- oder Quellennamen auf Reddit (r/sideloaded, r/jailbreak) nach Berichten über Probleme.
  • Sei vorsichtig bei brandneuen Websites, anonymen File-Hosting-Links und Telegram-Kanälen ohne Historie.
  • Sei besonders vorsichtig bei Seiten, die kostenpflichtige Apps kostenlos anbieten. Diese Dateien wurden immer von jemandem modifiziert, per Definition.

Unsere Liste der IPA-Bibliotheken und Repositories behandelt, worauf du bei einer Quelle achten solltest.

Methode 2: Den Datei-Hash prüfen

Manche Entwickler veröffentlichen neben ihrem Download einen SHA-256-Hash. Ein Hash ist eine Art Fingerabdruck der Datei: Ändert sich auch nur ein Byte, ist der Hash völlig anders. Wenn der Hash deiner Datei mit dem veröffentlichten übereinstimmt, hast du genau die Datei, die der Entwickler herausgegeben hat.

  • Mac: Öffne das Terminal und führe shasum -a 256 /path/to/app.ipa aus
  • Windows: Öffne PowerShell und führe Get-FileHash C:\path\to\app.ipa -Algorithm SHA256 aus
  • Linux: Führe sha256sum /path/to/app.ipa aus

Eine Übereinstimmung hilft nur, wenn der Hash vom Entwickler stammt, nicht von derselben Seite, die dir die Datei gegeben hat. Ein Hash auf einem Mirror beweist nur, dass die Datei die ist, die der Mirror hochgeladen hat.

Methode 3: Mit VirusTotal scannen

VirusTotal ist ein kostenloser Dienst, der eine Datei mit, laut eigener Dokumentation, „über 70 Antivirus-Scannern und URL-/Domain-Sperrlisten-Diensten“ abgleicht.

  1. Öffne virustotal.com auf deinem Computer.
  2. Wähle File, wähle die IPA aus und warte den Scan ab.
  3. Füge vor dem Hochladen den SHA-256-Hash der Datei in den Tab Search ein. Wenn jemand dieselbe Datei bereits gescannt hat, erhältst du die Ergebnisse, ohne selbst etwas hochzuladen.
  4. Lies dir die Namen der Erkennungen durch, nicht nur die Anzahl.

So interpretierst du das Ergebnis:

  • Mehrere Engines nennen dieselbe Malware-Familie: nicht installieren.
  • Ein oder zwei Treffer mit generischen Namen: könnte ein Fehlalarm sein. Laut VirusTotal-Dokumentation eignet sich der Dienst auch dafür, Fehlalarme zu erkennen, also „normale und harmlose Elemente, die von einem oder mehreren Scannern als bösartig eingestuft werden“. Sieh dir die Community-Kommentare zum Ergebnis an und prüfe die Quelle noch einmal.
  • Keine Treffer: bedeutet, dass keine Engine die Datei als Malware kennt. Das heißt nicht, dass die Datei garantiert sauber ist.

Methode 4: Ins Innere der IPA schauen

Da eine IPA eine ZIP-Datei ist, kannst du sie öffnen, ohne sie zu installieren.

  1. Kopiere die Datei und benenne die Kopie von app.ipa zu app.zip um.
  2. Entpacke sie. Darin befindet sich ein Payload-Ordner mit einem AppName.app-Ordner (auf einem Mac klickst du mit der rechten Maustaste darauf und wählst Paketinhalt anzeigen).
  3. Öffne Info.plist und prüfe die Bundle-ID und die Version. Sie sollten zu der App passen, die du erwartest.
  4. Schau im Frameworks-Ordner und im App-Ordner nach .dylib-Dateien. Eingeschleuster Code wird meist als zusätzliche dylib mit einem Namen hinzugefügt, der nichts mit der App zu tun hat.

Auf einem Mac mit den Xcode-Kommandozeilen-Tools kommst du mit zwei Befehlen noch weiter:

  • otool -L Payload/AppName.app/AppName listet die Bibliotheken auf, die das Hauptprogramm der App lädt. Ein Pfad zu einer Bibliothek innerhalb der App, die nicht zu ihren eigenen Frameworks gehört, ist ein Warnsignal.
  • codesign -dv --verbose=4 Payload/AppName.app zeigt, wer die Datei signiert hat. Vergleiche das mit dem Entwickler, den du erwartest, und bedenke dabei, dass viele IPAs unsigniert oder neu signiert verteilt werden.

Manche modifizierten Apps, wie zum Beispiel getweakte Apps, sollen zusätzliche dylibs enthalten. Dann geht es nicht um die Frage, ob eine vorhanden ist, sondern darum, ob du der Person vertraust, die sie hinzugefügt hat.

Methode 5: Tiefenanalyse mit MobSF

Mobile Security Framework (MobSF) ist ein kostenloses Open-Source-Tool. Laut README unterstützt der statische Analyzer App-Binärdateien einschließlich IPA-Dateien und listet Anwendungsfälle wie Malware-Analyse und Datenschutzanalyse auf. Ein MobSF-Bericht zu einer IPA zeigt Dinge wie angeforderte Berechtigungen, Netzwerkadressen und in der App gefundene Zeichenketten.

  • Selbst ausführen: Das README beschreibt ein Docker-Setup: docker pull opensecurity/mobile-security-framework-mobsf:latest, dann docker run -it --rm -p 8000:8000 opensecurity/mobile-security-framework-mobsf:latest, und öffne localhost:8000 in einem Browser.
  • Online: Das README verlinkt einen Online-Analyzer unter mobsf.live. Hier gilt die gleiche Datenschutz-Vorsicht wie bei VirusTotal: Du lädst die Datei auf den Server eines Dritten hoch.

Achte auf Berechtigungen, die die App eigentlich nicht benötigen sollte (ein Taschenrechner, der nach Kontakten fragt), sowie auf Netzwerkadressen, die nicht zum Entwickler der App gehören.

Wenn du bereits eine verdächtige App installiert hast

  1. Lösche die App: Halte das Symbol gedrückt, tippe auf App entfernen und dann auf App löschen.
  2. Prüfe Einstellungen > Allgemein > VPN & Geräteverwaltung und entferne jedes Profil, das du nicht kennst.
  3. Überprüfe die Berechtigungen unter Einstellungen > Datenschutz & Sicherheit und schau dir dort auch den App-Datenschutzbericht an, um zu sehen, welche Domains von Apps kontaktiert wurden.
  4. Ändere die Passwörter aller Konten, bei denen du dich innerhalb dieser App angemeldet hast, angefangen mit deiner Apple Account und deiner E-Mail.
  5. Falls du denkst, dass die Kompromittierung ernst war, sichere, was du brauchst, und setze das iPhone unter Einstellungen > Allgemein > iPhone übertragen oder zurücksetzen > Alle Inhalte und Einstellungen löschen zurück.

Schritt-für-Schritt-Anleitungen für jede Berechtigung findest du in unserem Guide zum Entziehen des Zugriffs von nicht vertrauenswürdigen Apps.

Gute Gewohnheiten

  • Lade Apps nach Möglichkeit immer von der eigenen Release-Seite des Entwicklers herunter.
  • Prüfe den Hash, wenn er veröffentlicht wird, und scanne jedes Mal mit VirusTotal.
  • Vergib Berechtigungen nur, wenn eine App sie für das benötigt, wofür du sie nutzt.
  • Nutze für das Sideloading eine separate Apple ID, falls dein Tool danach fragt, damit dein Hauptkonto nie gefährdet ist.

Für das größere Gesamtbild wirf einen Blick in unseren Sicherheitsguide zum iOS-Sideloading und in unseren Beitrag darüber, was du über Enterprise-Zertifikate wissen musst.

FAQ

Kann ich eine IPA auf meinem iPhone scannen?

Du kannst virustotal.com in Safari öffnen und die Datei aus der App „Dateien“ hochladen. Um ins Innere der IPA zu schauen und MobSF auszuführen, brauchst du aber einen Computer.

Schützt die Überprüfung des App Store auch sideloaded Apps?

Nein. Eine sideloaded IPA hat niemals die App Review durchlaufen, selbst wenn die Original-App im App Store verfügbar ist.

Reicht ein sauberes VirusTotal-Ergebnis aus?

Nein. Es bedeutet nur, dass keine Engine die Datei als bekannte Malware erkennt. Kombiniere es mit einer vertrauenswürdigen Quelle und einem Blick ins Innere der Datei.

Ähnliche Beiträge