GrapheneOS – Sicherheit auf Googles eigener Hardware
Ein Smartphone ohne Google-Dienste? Ausgerechnet auf einem Google Pixel?
Genau hier beginnt eine der interessantesten Ironien der heutigen Smartphone-Welt.
GrapheneOS ist ein freies, auf dem Android Open Source Project basierendes Betriebssystem, bei dem Sicherheit, Privatsphäre und die Kontrolle des Nutzers im Mittelpunkt stehen. Es versucht nicht, Android einfach nur von einigen Google-Apps zu befreien. Stattdessen wird das Betriebssystem an vielen Stellen gezielt gehärtet, um Angriffsflächen zu reduzieren und Apps möglichst wenig Macht über das Gerät und seine Daten zu geben.
Privacy bedeutet hier nicht Vertrauen – sondern Begrenzung
GrapheneOS verfolgt einen interessanten Ansatz: Eine Anwendung soll möglichst nur das sehen und tun können, was für ihre eigentliche Aufgabe notwendig ist.
Dafür erweitert das System die ohnehin vorhandene Android-Sandbox um zusätzliche Schutzmechanismen. Einer App kann beispielsweise der Netzwerkzugriff vollständig entzogen werden. Mit Storage Scopes lässt sich der Zugriff auf Dateien begrenzen, während Contact Scopes verhindern können, dass eine Anwendung gleich das komplette persönliche Adressbuch erhält. Auch der Zugriff auf verschiedene Sensoren lässt sich wesentlich genauer kontrollieren.
Hinzu kommen Maßnahmen gegen die Ausnutzung von Sicherheitslücken: eine stärker gehärtete App-Sandbox, zusätzliche Exploit-Schutzmechanismen, ein abgesicherter Browser namens Vanadium, Verified Boot und weitere Schutzmaßnahmen gegen Manipulation und dauerhafte Kompromittierung des Systems.
Das Ziel ist nicht, dem Nutzer das Gefühl von Sicherheit zu verkaufen.
Das Ziel ist, einem Angreifer das Leben tatsächlich schwerer zu machen.
Und Google?
Standardmäßig enthält GrapheneOS keine Google-Apps und keine Google Play Services.
Wer sie nicht benötigt, muss sie nicht installieren.
Wer jedoch auf Apps angewiesen ist, die Google Play Services benötigen, kann die offiziellen Google-Komponenten nachträglich installieren. Der entscheidende Unterschied: Unter GrapheneOS erhalten sie nicht ihre normalerweise tief im Betriebssystem verankerte Sonderstellung.
Google Play läuft stattdessen innerhalb der normalen App-Sandbox.
Damit werden die Google-Dienste im Grunde zu dem, was andere Anwendungen ebenfalls sind: Apps, deren Berechtigungen der Nutzer kontrollieren kann. Sie können sogar auf ein bestimmtes Benutzerprofil beschränkt werden. GrapheneOS verwendet Google Play auch nach einer Installation nicht als privilegiertes Backend des Betriebssystems.
Das ist vielleicht einer der bemerkenswertesten Unterschiede zu einem gewöhnlichen Android-Smartphone:
Google kann vorhanden sein – aber Google muss nicht mehr Hausherr sein.
Die große Ironie: Dafür braucht man ein Google Pixel
Und dann kommt der Moment, an dem die Geschichte beinahe absurd klingt.
Wer GrapheneOS offiziell nutzen möchte, benötigt ausgerechnet ein Google Pixel.
Ein Betriebssystem, das die Abhängigkeit von Google-Diensten massiv reduzieren kann, läuft derzeit ausschließlich auf Smartphones aus dem Hause Google.
Doch hinter diesem Widerspruch steckt weniger Ideologie als Technik.
GrapheneOS stellt sehr hohe Anforderungen an die Hardware eines unterstützten Smartphones. Dazu gehören unter anderem schnelle und langfristige Sicherheitsupdates, moderne Hardware-Sicherheitsfunktionen, ein sauber implementiertes Verified-Boot-System und vor allem die Möglichkeit, ein alternatives Betriebssystem zu installieren und anschließend den Bootloader wieder zu sperren.
Genau hier schneiden die Pixel-Geräte ungewöhnlich gut ab.
Nach der Installation von GrapheneOS kann der Bootloader wieder gesperrt werden. Das Gerät überprüft anschließend beim Start kryptografisch, ob das installierte Betriebssystem manipuliert wurde. Auf neueren Pixel-Generationen kann sogar der verwendete GrapheneOS-Schlüssel überprüft werden.
Anders gesagt:
Google liefert derzeit eine der besten technischen Grundlagen dafür, Google aus dem eigenen Smartphone weitgehend herauszuhalten.
Man kann eine gewisse Ironie darin erkennen.
Man kann es aber ebenso als Beweis dafür betrachten, dass gute Sicherheitshardware nicht automatisch bestimmen muss, wem der Nutzer seine Daten anvertraut.
Die Vorteile
Der größte Vorteil von GrapheneOS liegt nicht in einem einzelnen Privacy-Schalter. Es ist die Kombination vieler kleiner und großer Schutzmechanismen.
Das System reduziert unnötige privilegierte Dienste, verschärft die Isolation von Apps, bietet feinere Kontrolle über Netzwerk, Kontakte, Dateien und Sensoren und integriert zusätzliche Schutzmaßnahmen gegen die Ausnutzung unbekannter Sicherheitslücken.
Gleichzeitig bleibt GrapheneOS vergleichsweise nah am normalen Android-Erlebnis. Android-Apps können weiterhin verwendet werden und selbst Google Play lässt sich optional in einer eingeschränkten Umgebung installieren. Dadurch muss Datenschutz nicht zwangsläufig bedeuten, vollständig auf das bestehende Android-App-Ökosystem zu verzichten.
Für Menschen, die ihr Smartphone nicht grundsätzlich abschaffen möchten, aber die Kontrolle darüber zurückgewinnen wollen, ist genau das interessant.
Die Nachteile
GrapheneOS ist trotzdem keine magische Unsichtbarkeitsmaschine.
Wer sich mit seinem persönlichen Google-Konto anmeldet, Instagram verwendet, permanent seinen Standort an Apps übermittelt oder seine gesamte digitale Identität wieder auf dem Gerät zusammenführt, wird durch ein anderes Betriebssystem nicht plötzlich anonym.
Privacy bleibt auch hier eine Frage des eigenen Verhaltens.
Hinzu kommt die momentan sehr begrenzte Hardwareauswahl. Wer GrapheneOS nutzen möchte, muss derzeit ein kompatibles Pixel besitzen und das Betriebssystem selbst installieren. Der offizielle Web-Installer vereinfacht diesen Vorgang erheblich, trotzdem ist der Wechsel für technisch unerfahrene Nutzer zunächst eine größere Hürde als das Einschalten eines fertig eingerichteten Smartphones.
Auch bei Apps kann es Probleme geben.
Insbesondere einige Banking-, Finanz- oder sicherheitskritische Anwendungen überprüfen über Googles Play-Integrity- beziehungsweise Attestation-Systeme, ob ein von Google zertifiziertes Betriebssystem verwendet wird. Eine Anwendung kann GrapheneOS deshalb ablehnen, obwohl das Gerät technisch keineswegs unsicherer sein muss. GrapheneOS versucht bewusst nicht, solche Prüfungen durch Tricks oder Spoofing zu umgehen.
Das führt zu einer etwas grotesken Situation:
Ein besonders stark abgesichertes Betriebssystem kann von einer App als nicht vertrauenswürdig eingestuft werden, weil es nicht das Betriebssystem ist, das die App erwartet.
Komfort und Kontrolle gehen eben nicht immer Hand in Hand.