SSL-Pinning-Umgehung über Proxy: So fangen Sie den Traffic einer mobilen App ab, ohne den Test zu brechen

```html

Sie richten einen Proxy ein, verbinden das Gerät – und dennoch zeigt die Anwendung den Datenverkehr nicht an oder stürzt mit einem Fehler ab. Höchstwahrscheinlich liegt das Problem im SSL Pinning: einem Schutzmechanismus, den Entwickler absichtlich in die Anwendung einbauen, um das Abfangen von HTTPS-Anfragen zu verhindern. Dies ist eine große Herausforderung für alle, die das Verhalten konkurrierender Anwendungen analysieren, Werbeintegrationen testen oder die APIs von Marktplätzen untersuchen.

In diesem Leitfaden werden wir untersuchen, was SSL Pinning ist, warum es die Arbeit mit Proxys behindert und wie man es Schritt für Schritt umgehen kann, ohne unnötige Theorie.

Was ist SSL Pinning und warum wird es in Anwendungen integriert

SSL Pinning (oder Certificate Pinning) ist ein Sicherheitsmechanismus, bei dem eine mobile Anwendung im Voraus ein bestimmtes SSL-Zertifikat oder den öffentlichen Schlüssel des Servers „einbettet“. Bei jeder Verbindung überprüft die Anwendung: Stimmt das Zertifikat des Servers mit dem überein, das intern gespeichert ist? Wenn nicht, wird die Verbindung abgebrochen.

In einem normalen HTTPS-Schema vertrauen Browser oder Anwendungen jedem Zertifikat, das von einer vertrauenswürdigen Zertifizierungsstelle (CA) signiert wurde. Genau das nutzen Proxy-Tools wie Charles Proxy oder mitmproxy: Sie setzen ihr eigenes Zertifikat ein, entschlüsseln den Datenverkehr und leiten ihn weiter. Der Benutzer sieht den gesamten Datenaustausch im Klartext.

SSL Pinning bricht dieses Schema. Die Anwendung sieht das Zertifikat des Proxy-Tools, erkennt, dass es nicht mit dem „originalen“ Zertifikat des Servers übereinstimmt, und weigert sich zu arbeiten. Deshalb sehen Sie Fehler wie SSL handshake failed, Certificate verification failed oder einfach einen leeren Bildschirm in der Anwendung.

Entwickler implementieren SSL Pinning aus mehreren Gründen:

• Schutz vor Man-in-the-Middle (MITM)-Angriffen
• Verhinderung von Reverse Engineering der API
• Schutz vor Bots und automatisierten Anfragen
• Verbergen der internen Logik der Monetarisierung und Werbeintegrationen

Zu den Anwendungen, die SSL Pinning aktiv nutzen, gehören: Bankanwendungen, Marktplätze (Wildberries, Ozon), Werbe-SDKs (Facebook, TikTok), Zahlungssysteme und große E-Commerce-Plattformen. Deshalb ist das Umgehen von SSL Pinning so wichtig für Marketer, Arbitrageure und Wettbewerbsanalysten.

Warum funktioniert der Proxy nicht, wenn die Anwendung SSL Pinning hat

Wenn Sie einen Proxy auf Ihrem Telefon einrichten (zum Beispiel über die Wi-Fi-Einstellungen), wird der gesamte HTTP- und HTTPS-Datenverkehr über den Proxy-Server geleitet. Für HTTP funktioniert das problemlos – der Datenverkehr ist ohnehin unverschlüsselt. Aber für HTTPS muss das Proxy-Tool sich als Server ausgeben, indem es sein eigenes Zertifikat einfügt.

Hier entsteht der Konflikt. Normale Anwendungen akzeptieren dieses Zertifikat, wenn Sie das Root-Zertifikat des Proxy-Tools im Systemzertifikatsspeicher des Geräts installiert haben. Aber Anwendungen mit SSL Pinning ignorieren den Systemzertifikatsspeicher – sie überprüfen nur ihr „eingebettetes“ Zertifikat.

Es ist wichtig zu verstehen: Das Problem liegt nicht am Proxy-Server (residential, mobile oder datacenter). Der Proxy fungiert hier als Zwischenknoten zur Datenverkehrslenkung. Das Problem liegt in der Anwendung selbst, die sich weigert, das gefälschte Zertifikat zu akzeptieren. Daher muss die Lösung auf Anwendungsebene oder Geräteebene gesucht werden, nicht auf der Ebene des Proxy-Servers.

Es gibt mehrere Arten von SSL Pinning, die sich in der Schwierigkeit des Umgehens unterscheiden:

Pinning-Typ	Was wird überprüft	Schwierigkeit des Umgehens
Certificate Pinning	Vollständiges Serverzertifikat	Mittel
Public Key Pinning	Öffentlicher Schlüssel aus dem Zertifikat	Hoch
Hash Pinning	Hash des Zertifikats oder Schlüssels	Hoch
Network Security Config	Konfigurationsdatei Android (XML)	Niedrig–Mittel

Tools zum Abfangen von Datenverkehr: Charles, mitmproxy, Burp Suite

Bevor Sie mit dem Umgehen von SSL Pinning beginnen, müssen Sie ein Tool zum Abfangen von Datenverkehr auswählen. Alle funktionieren nach dem gleichen Prinzip: Sie richten einen lokalen Proxy-Server ein, über den der Datenverkehr des Geräts läuft. Der Unterschied liegt in der Benutzerfreundlichkeit, den Funktionen und den Kosten.

Charles Proxy

Das beliebteste Tool unter Marketers und Testern ohne tiefgehenden technischen Hintergrund. Es hat eine grafische Benutzeroberfläche, funktioniert unter Windows und macOS. Es ermöglicht, alle Anfragen und Antworten in einem praktischen Baum zu sehen, nach Domain zu filtern und Anfragen in Echtzeit zu bearbeiten. Kostenpflichtig, aber es gibt eine Testversion. Ideal für die Analyse von APIs von Marktplätzen und Werbe-SDKs.

mitmproxy

Ein kostenloses Open-Source-Tool. Funktioniert über die Befehlszeile, hat aber eine Weboberfläche (mitmweb). Sehr flexibel: Unterstützt Skripte zur automatischen Modifikation des Datenverkehrs. Gut geeignet für diejenigen, die die Analyse automatisieren oder das Abfangen in den Testpipeline integrieren möchten. Etwas schwieriger einzurichten als Charles.

Burp Suite

Ein professionelles Tool für Sicherheitstests. Hat eine kostenlose Community-Version mit grundlegenden Funktionen. Besonders nützlich für die detaillierte Analyse von Anfragen, Cookies und Sitzungen. Wird aktiv bei der Analyse von APIs von Wettbewerbern und der Untersuchung von Werbeintegrationen eingesetzt. Die Benutzeroberfläche ist komplexer als die von Charles, bietet aber erweiterte Möglichkeiten.

Tool	Benutzeroberfläche	Preis	Für wen
Charles Proxy	GUI (benutzerfreundlich)	Kostenpflichtig (~50 $)	Marketer, Analysten
mitmproxy	CLI + Web UI	Kostenlos	Technische Spezialisten
Burp Suite	GUI (komplex)	Free / Pro	Sicherheitstester

Für die meisten Aufgaben eines Marketers oder Arbitrageurs – die Analyse von Werbeanfragen, das Studium der API eines Marktplatzes, die Überwachung des Datenverkehrs einer Anwendung – ist Charles Proxy die optimale Wahl. Wenn Automatisierung oder die Arbeit ohne GUI erforderlich ist – dann ist mitmproxy die bessere Wahl.

Methoden zum Umgehen von SSL Pinning: von einfach bis fortgeschritten

Es gibt mehrere Ansätze zum Umgehen von SSL Pinning. Sie unterscheiden sich in der Schwierigkeit, den Anforderungen an das Gerät und der Zuverlässigkeit. Lassen Sie uns jeden Ansatz von dem einfachsten bis zum leistungsstärksten betrachten.

Methode 1: Zertifikat im Systemzertifikatsspeicher installieren (nur Android)

Der einfachste Weg – funktioniert jedoch nur für Anwendungen, die den Systemzertifikatsspeicher verwenden. Auf Android bis Version 7.0 wurden benutzerdefinierte Zertifikate gleichwertig mit Systemzertifikaten akzeptiert. Ab Android 7.0 ignorieren Anwendungen standardmäßig benutzerdefinierte CAs. Wenn die Anwendung benutzerdefinierte Zertifikate in network_security_config.xml ausdrücklich erlaubt – wird diese Methode funktionieren. Für die meisten modernen Anwendungen mit SSL Pinning wird dies jedoch nicht helfen.

Methode 2: Frida – dynamisches Patchen der Anwendung

Frida ist ein Tool zur dynamischen Instrumentierung von Anwendungen. Es ermöglicht das „Einfangen“ von Funktionsaufrufen innerhalb der Anwendung in Echtzeit und das Ändern ihres Verhaltens. Für das Umgehen von SSL Pinning gibt es fertige Skripte, die die Zertifikatsprüfung ohne Modifikation der APK deaktivieren. Erfordert Root auf Android oder Jailbreak auf iOS. Dies ist die zuverlässigste und vielseitigste Methode.

Methode 3: Patchen der APK (Android)

Dekomplilierung der APK-Datei mit apktool, Entfernen oder Modifizieren des SSL Pinning-Codes, erneute Erstellung und Signierung der Anwendung. Erfordert keinen Root, aber technische Fähigkeiten im Umgang mit Smali-Code. Funktioniert gut für Anwendungen mit einfacher Implementierung von Pinning über Network Security Config. Für Anwendungen mit nativen Code (C/C++) ist es deutlich schwieriger.

Methode 4: Objection – Wrapper über Frida für Anfänger

Objection ist ein Tool auf Basis von Frida mit einer benutzerfreundlicheren Befehlszeilenoberfläche. Es enthält integrierte Befehle zum Umgehen von SSL Pinning mit einem einzigen Befehl: android sslpinning disable. Geeignet für diejenigen, die nicht selbst Frida-Skripte schreiben möchten. Erfordert Root oder Jailbreak.

Methode 5: Verwendung eines Emulators mit Root

Anstelle eines physischen Geräts kann ein Android-Emulator (z.B. Genymotion oder der Standard-AVD aus Android Studio) mit aktiviertem Root-Zugriff verwendet werden. Dies ermöglicht die Installation von Systemzertifikaten und das Ausführen von Frida, ohne das Risiko einzugehen, das reale Telefon „zu bricken“. Eine bequeme Option für regelmäßige Tests in einer Arbeitsumgebung.

Schritt-für-Schritt-Umgehung von SSL Pinning auf Android

Lassen Sie uns das praktischste Szenario untersuchen: ein Android-Gerät oder Emulator mit Root, das Tool Objection + Frida, das Proxy-Tool Charles Proxy oder mitmproxy.

Schritt 1: Richten Sie das Proxy-Tool auf dem Computer ein

Starten Sie Charles Proxy oder mitmproxy. Standardmäßig hören sie auf Port 8888 (Charles) oder 8080 (mitmproxy). Merken Sie sich die IP-Adresse Ihres Computers im lokalen Netzwerk – sie wird für die Proxy-Konfiguration auf dem Gerät benötigt.

Schritt 2: Richten Sie den Proxy auf dem Android-Gerät ein

Gehen Sie zu den Wi-Fi-Einstellungen → wählen Sie Ihr Netzwerk → klicken Sie auf „Ändern“ → „Erweiterte Optionen“ → Proxy: Manuell. Geben Sie die IP des Computers und den Port des Tools an. Jetzt wird der gesamte Datenverkehr des Geräts über Ihren Proxy geleitet.

Schritt 3: Installieren Sie das Zertifikat des Proxy-Tools

Öffnen Sie den Browser auf dem Gerät und gehen Sie zu chls.pro/ssl (für Charles) oder mitm.it (für mitmproxy). Laden Sie das Zertifikat herunter und installieren Sie es. Auf Android mit Root verschieben Sie das Zertifikat zusätzlich in den Systemzertifikatsspeicher – dies ist für einige Anwendungen erforderlich.

Schritt 4: Starten Sie den Frida-Server auf dem Gerät

Laden Sie die benötigte Version des frida-servers von GitHub herunter (die Version muss mit der Version von Frida auf dem Computer übereinstimmen). Übertragen Sie die Datei auf das Gerät über ADB:

adb push frida-server /data/local/tmp/
adb shell "chmod 755 /data/local/tmp/frida-server"
adb shell "su -c /data/local/tmp/frida-server &"

Schritt 5: Verbinden Sie sich über Objection und deaktivieren Sie SSL Pinning

Installieren Sie Objection auf dem Computer über pip und starten Sie es, indem Sie den Paketnamen der Anwendung angeben:

pip install objection
objection -g com.example.app explore

Nach der Verbindung führen Sie in der Objection-Konsole den Befehl zum Deaktivieren von SSL Pinning aus:

android sslpinning disable

Danach öffnen Sie die Anwendung und beginnen mit der Interaktion. Der Datenverkehr erscheint in Charles oder mitmproxy im entschlüsselten Format.

Schritt 6: Für Anwendungen mit Network Security Config

Wenn die Anwendung network_security_config.xml verwendet, können Sie die APK über apktool dekompilieren, diese Datei finden und die Erlaubnis für benutzerdefinierte Zertifikate hinzufügen, dann die APK neu erstellen und signieren. Dies funktioniert ohne Root, erfordert jedoch das Deaktivieren der Überprüfung der Anwendungsunterschrift.

Schritt-für-Schritt-Umgehung von SSL Pinning auf iOS

Auf iOS ist die Situation komplizierter: Für die meisten Methoden ist ein Jailbreak erforderlich. Ohne ihn sind die Möglichkeiten eingeschränkt. Lassen Sie uns beide Optionen betrachten.

Option A: Mit Jailbreak (iOS 14-16, checkra1n / palera1n)

Schritt 1: Richten Sie den Proxy ein

Gehen Sie auf dem iPhone zu Einstellungen → Wi-Fi → Ihr Netzwerk → Proxy konfigurieren → Manuell. Geben Sie die IP des Computers und den Port von Charles/mitmproxy an.

Schritt 2: Installieren Sie das Zertifikat

Öffnen Sie Safari und gehen Sie zu chls.pro/ssl. Installieren Sie das Profil über Einstellungen → Allgemein → VPN und Geräteverwaltung. Aktivieren Sie es dann in Einstellungen → Allgemein → Zertifikatvertrauen aktivieren.

Schritt 3: Installieren Sie SSL Kill Switch 2 über Cydia/Sileo

SSL Kill Switch 2 ist ein Tweak für jailbroken iOS, der SSL Pinning global für alle Anwendungen deaktiviert. Finden Sie es in Cydia oder Sileo, installieren Sie es und starten Sie das Gerät neu. Danach werden die meisten Anwendungen die Zertifikate nicht mehr überprüfen, und der Datenverkehr wird in Charles sichtbar sein.

Schritt 4: Alternative – Frida + Objection auf iOS

Ähnlich wie bei Android: Installieren Sie den frida-server über Cydia, verbinden Sie sich über Objection auf dem Computer und führen Sie ios sslpinning disable aus. Diese Methode ist flexibler und funktioniert für Anwendungen, die SSL Kill Switch 2 nicht abdeckt.

Option B: Ohne Jailbreak (eingeschränkte Möglichkeiten)

Ohne Jailbreak ist es deutlich schwieriger, SSL Pinning auf iOS zu umgehen. Eine der Optionen ist die Verwendung des Tools Proxyman mit seiner Funktion für SSL Proxying für iOS ohne Jailbreak. Proxyman installiert ein spezielles Profil auf dem Gerät und verwendet eine VPN-Schnittstelle zum Abfangen des Datenverkehrs. Funktioniert für viele Anwendungen, aber nicht für alle mit striktem Pinning.

Eine andere Option ist die Verwendung des iOS-Simulators in Xcode. Der Simulator hat kein SSL Pinning auf Betriebssystemebene, und viele Anwendungen können darin ausgeführt werden (sofern sie den Simulator unterstützen). Dies ist jedoch nur für Tests geeignet, nicht für die Analyse von Produktionsanwendungen.

Welchen Proxy-Typ für das Testen mobiler Anwendungen wählen

Nachdem SSL Pinning umgangen wurde, läuft der Datenverkehr der Anwendung über Ihr Proxy-Tool (Charles, mitmproxy). Für einige Aufgaben ist es jedoch auch erforderlich, den Datenverkehr über einen externen Proxy-Server zu leiten – zum Beispiel, damit die Anwendung eine andere Region oder eine andere IP-Adresse „sieht“. Hier ist es wichtig, den richtigen Proxy-Typ auszuwählen.

Residential Proxies

Residential Proxies verwenden IP-Adressen von echten Haushaltsnutzern. Mobile Anwendungen, insbesondere Werbe-SDKs und Marktplätze, vertrauen solchen IPs deutlich mehr als den Adressen von Rechenzentren. Wenn Sie das Verhalten einer Anwendung je nach Region analysieren – bieten Residential Proxies das „reinste“ Bild, das dem eines echten Nutzers nahekommt.

Mobile Proxies

Mobile Proxies arbeiten über echte Mobilfunknetze (3G/4G/5G). Dies ist besonders relevant beim Testen mobiler Anwendungen: IPs aus Mobilfunknetzen genießen das höchste Vertrauen bei Facebook Ads SDK, TikTok und anderen Werbeplattformen. Wenn Ihr Ziel darin besteht, Werbeanfragen der Anwendung zu analysieren oder das Verhalten von SDKs in einer mobilen Umgebung zu testen, sind mobile Proxies die optimale Wahl.

Datacenter Proxies

Datacenter Proxies eignen sich für Aufgaben, bei denen Geschwindigkeit wichtiger ist als die „Natürlichkeit“ der IP: beispielsweise für das massenhafte Parsen öffentlicher APIs oder Leistungstests. Für die Analyse von Werbe-SDKs und geschützten Anwendungen sind sie weniger bevorzugt, da sie leicht von Anti-Fraud-Systemen erkannt werden.

Proxy-Typ	Vertrauen der Anwendungen	Geschwindigkeit	Bester Anwendungsfall
Residential	Hoch	Mittel	Analyse nach Regionen, Marktplätze
Mobile	Maximal	Mittel	Werbe-SDKs, Facebook, TikTok
Datacenter	Niedrig	Hoch	Parsen öffentlicher APIs, Lasttests

Praktische Szenarien: Arbitrage, E-Commerce, Marketing

Lassen Sie uns konkrete Aufgaben untersuchen, wegen derer Marketer und Arbitrageure SSL Pinning umgehen.

Szenario 1: Analyse des Werbe-SDKs von Facebook und TikTok

Arbitrageure, die mit Facebook Ads und TikTok Ads arbeiten, möchten oft verstehen, welche Daten das SDK an den Server überträgt: welche Ereignisse erfasst werden, wie die Attributionsanfragen gebildet werden, welche Parameter die Kampagnenoptimierung beeinflussen. Ohne Umgehung von SSL Pinning ist dies nicht möglich – beide SDKs verwenden Certificate Pinning.

Nach der Umgehung über Frida/Objection können alle SDK-Ereignisse in Charles gesehen werden: Installationen, Käufe, Registrierungen – und sichergestellt werden, dass das Tracking korrekt eingerichtet ist. Dies ist besonders wichtig bei der Einrichtung von CAPI (Conversions API) und der Überprüfung der Ereignis-Deduplizierung.

Szenario 2: Preisüberwachung auf Wildberries und Ozon über die Anwendung

Die Anwendungen Wildberries und Ozon verwenden SSL Pinning zum Schutz ihrer APIs. Verkäufer, die die Preise von Wettbewerbern über die mobile Anwendung (und nicht über die Web-Version) überwachen möchten, stoßen auf diesen Schutz. Nach der Umgehung von SSL Pinning können die Struktur der API-Anfragen untersucht und verstanden werden, welche Endpunkte für den Abruf von Daten zu Preisen, Verfügbarkeit und Bewertungen von Produkten verwendet werden.

Wichtig: Die erhaltenen Daten dürfen nur für persönliche Analysen verwendet werden. Automatisiertes Parsen durch das Wiedergeben von API-Anfragen verstößt gegen die Nutzungsbedingungen der meisten Plattformen.

Szenario 3: Testen von Werbekreativen aus verschiedenen Regionen

Marketer, die Werbung in Facebook Ads und TikTok Ads aus verschiedenen Regionen testen, möchten sehen, wie sich die Anwendung verhält, wenn sie über eine IP aus einem bestimmten Land verbunden ist. Die Kombination aus Umgehung von SSL Pinning + Residential Proxy aus der gewünschten Region ermöglicht es zu sehen, welcher Inhalt und welche Preise den Nutzern aus dieser Region angezeigt werden.

Szenario 4: QA-Testing der eigenen Anwendung

Wenn Sie Ihre eigene mobile Anwendung entwickeln oder mit einem Entwicklungsteam arbeiten, ist das Abfangen des Datenverkehrs mit Umgehung von SSL Pinning eine gängige Praxis im QA. Dies ermöglicht es, die Korrektheit der Anfragen zu überprüfen, Datenlecks zu finden und die Funktionalität von Analytics und Werbe-SDKs unter realen Bedingungen vor dem Release zu testen.

Szenario 5: Wettbewerbsanalyse im Bereich mobile Spiele und Anwendungen

Marketer von mobilen Spielen nutzen das Abfangen von Datenverkehr zur Analyse der Monetarisierung von Wettbewerbern: welche Angebote angezeigt werden, wie das System für In-App-Käufe funktioniert, welche Werbenetzwerke verwendet werden. Dies hilft, effektivere Strategien für UA (User Acquisition) und Monetarisierung zu entwickeln.

Checkliste: Überprüfen Sie die Einstellungen vor dem Test

Bevor Sie mit dem Abfangen des Datenverkehrs beginnen, stellen Sie sicher, dass alles korrekt eingerichtet ist. Hier ist die vollständige Checkliste:

Häufige Probleme und deren Lösungen

Problem	Ursache	Lösung
Datenverkehr erscheint nicht in Charles	Falsche IP/Proxy-Port	Überprüfen Sie die IP des Computers und den Port
SSL-Fehler in Charles	Zertifikat nicht installiert oder nicht aktiviert	Zertifikat neu installieren und aktivieren
Frida kann keine Verbindung herstellen	Versionskonflikt zwischen frida/frida-server	Synchronisieren Sie die Versionen
Objection deaktiviert Pinning nicht	Nativer Code (C/C++) mit Pinning	Verwenden Sie ein benutzerdefiniertes Frida-Skript
Anwendung stürzt nach dem Bypass ab	Anwendung überprüft die Integrität	Deaktivieren Sie auch die Root-Erkennung über Objection

Fazit

SSL Pinning ist ein ernsthafter Schutz, aber nicht unüberwindbar. Für die meisten praktischen Aufgaben eines Marketers oder Arbitrageurs reicht eine Kombination aus: Android-Emulator mit Root + Frida/Objection + Charles Proxy. Auf iOS – SSL Kill Switch 2 bei vorhandenem Jailbreak oder Proxyman ohne. Das Wichtigste ist, die Kette richtig einzurichten: Proxy-Tool auf dem Computer → Datenverkehr darüber → Umgehung von Pinning auf dem Gerät.

Denken Sie daran, dass das Umgehen von SSL Pinning in Drittanwendungen nur für persönliche Analysen und Forschungen zulässig ist. Automatisiertes Parsen und das Wiedergeben von API-Anfragen verstößt gegen die Nutzungsbedingungen der meisten Plattformen.

Wenn Ihr Ziel darin besteht, den Datenverkehr mobiler Anwendungen in verschiedenen Regionen zu analysieren oder das Verhalten von Werbe-SDKs aus bestimmten Ländern zu testen, benötigen Sie nicht nur das Umgehen von SSL Pinning, sondern auch einen hochwertigen Proxy-Server. Für die Arbeit mit Werbeplattformen (Facebook Ads, TikTok Ads) und Marktplätzen empfehlen wir die Verwendung von mobilen Proxies – sie genießen das höchste Vertrauen bei Anti-Fraud-Systemen und ermöglichen es, ein reales mobiles Umfeld korrekt zu emulieren.