GrapheneOS härten Das mobile Souveränitäts-Protokoll

Google Play Services ist das mächtigste Stück Software auf jedem Android-Smartphone. Es hat Systemrechte, läuft im Hintergrund, greift auf GPS, Mikrofon, Kontakte, Netzwerk zu und kommuniziert permanent mit Google-Servern. Auf einem normalen Android ist es praktisch ein zweites Betriebssystem mit Root-Zugriff.

GrapheneOS entmachtet dieses System komplett. Die Sandboxed Google Play Implementation behandelt Google Play Services wie jede andere App: Keine Systemrechte, keine privilegierten APIs, kein automatischer Hintergrund-Zugriff. Du installierst Google in einen Käfig und entscheidest, wann er gefüttert wird.

Die Architektur der Entmachtung

Auf Stock-Android läuft Google Play Services als System-Partition-App mit UID 1000 und hat Zugriff auf nahezu alle Sensoren und Daten ohne explizite Benutzer-Genehmigung. Unter GrapheneOS läuft dieselbe App als reguläre User-Space-Applikation mit einer zufälligen UID und muss für jeden Zugriff explizit um Erlaubnis bitten.

Das bedeutet: Wenn du Google Play installierst, um eine Banking-App zu nutzen, dann kann Google nur auf die Daten zugreifen, die du explizit freigibst. Und auch nur in dem Profil, in dem du es installiert hast. Deine anderen Profile bleiben unsichtbar.

Installation im Legacy-Profil

Die Installation von Sandboxed Google Play sollte niemals im Owner-Profil oder einem Profil mit sensitiven Daten erfolgen. Der empfohlene Workflow ist die Isolation in einem dedizierten Legacy-Profil.

Standard-Android kennt nur binäre Permissions: Entweder eine App hat Zugriff auf deine Fotos oder sie hat keinen. Entweder sie sieht dein komplettes Telefonbuch oder gar nichts. GrapheneOS führt eine chirurgische Präzision ein, die in der mobilen Welt ihresgleichen sucht.

Storage Scopes und Contact Scopes sind zwei Features, die das Permission-System von Grund auf neu definieren. Sie geben dir granulare Kontrolle darüber, welche Daten eine App sehen darf, ohne ihre Funktionalität zu zerstören.

Storage Scopes: Daten-Quarantäne

WhatsApp möchte Zugriff auf deine Medien. Auf Stock-Android bedeutet das: WhatsApp kann jedes Foto, jedes Video, jede Datei auf deinem Gerät durchsuchen. Auch das Foto deines Seed-Phrase-Backups. Auch Screenshots deiner Wallet-Adressen.

Mit Storage Scopes definierst du exakt, welche Ordner eine App sehen darf. WhatsApp bekommt Zugriff auf /Pictures/WhatsApp/ und nichts sonst. Die App funktioniert, aber deine sensiblen Daten bleiben unsichtbar.

Contact Scopes: Das Phantom-Telefonbuch

Die Contact-Permission ist einer der invasivsten Zugriffe, den eine App haben kann. Social-Media-Apps scannen dein komplettes Telefonbuch, laden es auf ihre Server und verknüpfen dein soziales Netzwerk. Auch wenn du das nicht willst.

GrapheneOS Contact Scopes lösen dieses Problem elegant: Die App glaubt, Zugriff auf deine Kontakte zu haben, sieht aber nur eine selektive Liste, die du definierst. Oder eine komplett leere Liste. Sie kann keine Kontakte schreiben, nur lesen was du explizit freigibst.

Ein einzelnes Gerät, drei vollständig isolierte Welten. GrapheneOS User-Profile sind keine simplen Account-Wechsel wie bei iOS. Jedes Profil ist eine eigenständige Sandbox mit eigener Verschlüsselung, eigenen App-Instanzen, eigenen Netzwerk-Permissions. Apps in einem Profil können nicht einmal sehen, welche Apps in anderen Profilen installiert sind.

Die folgende Architektur ist unser Vorschlag für Bitcoin-Souveräne, die ihr Smartphone sowohl für kritische Operationen als auch für den Alltag nutzen.

Die Isolation verstehen

Wenn du im Sovereign-Profil die BitBoxApp öffnest und parallel im Legacy-Profil WhatsApp läuft, dann können diese Apps nicht miteinander kommunizieren. WhatsApp kann nicht scannen, welche Apps im anderen Profil installiert sind. Es kann nicht auf den Speicher des Sovereign-Profils zugreifen. Es weiß nicht einmal, dass dieses Profil existiert.

Diese Trennung ist kryptografisch erzwungen. Jedes Profil hat seinen eigenen Verschlüsselungsschlüssel, der beim Entsperren des Profils abgeleitet wird. Daten zwischen Profilen sind auf Kernel-Ebene getrennt.

Cross-Profile-Notifications

GrapheneOS erlaubt optional Cross-Profile-Notifications. Das bedeutet: Du kannst dich im Sovereign-Profil befinden und trotzdem Benachrichtigungen aus dem Legacy-Profil sehen. Das ist praktisch, um wichtige Banking-Alerts nicht zu verpassen. Aber Vorsicht: Aktiviere dies nur vom Legacy-Profil zum Owner/Sovereign, nicht umgekehrt. Und nur für unkritische Apps.

Die Software-Ebene ist nur die halbe Wahrheit. Dein Smartphone kommuniziert permanent mit Mobilfunkmasten, und diese Kommunikation findet auf einer Ebene statt, die das Betriebssystem kaum kontrollieren kann: dem Baseband-Prozessor. GrapheneOS gibt dir Werkzeuge, um diese Angriffsfläche zu minimieren.

LTE-only: Der Baseband-Killswitch

2G- und 3G-Netzwerke sind Sicherheitsreliquien. Sie haben bekannte Schwachstellen, die von IMSI-Catchern (auch Stingrays genannt) ausgenutzt werden können. Diese Geräte simulieren Mobilfunkmasten und können dein Telefon dazu bringen, sich mit ihnen zu verbinden, unverschlüsselt zu kommunizieren und Standortdaten preiszugeben.

GrapheneOS bietet einen LTE-only-Modus. Er deaktiviert 2G, 3G und 5G — nicht nur die alten Netze: Das Projekt nennt als Zweck, sowohl Alt-Code (2G, 3G) als auch sehr neuen Code (5G) aus der Angriffsfläche zu nehmen. Die Voraussetzung gehört dazu: Telefonie funktioniert im LTE-only-Modus nur mit VoLTE beim Mobilfunkanbieter oder mit VoWi-Fi über WLAN. Wer beides nicht hat, kann nach dem Umschalten nicht mehr telefonieren. Und das Projekt selbst ordnet den Gewinn vorsichtig ein: Der Modus ist kein Vertraulichkeitsschutz für Anrufe und SMS, er hält nur die Latte für einen Teil der Abhörverfahren höher.

Memory Tagging Extension (MTE)

Pixel 8 und neuere Modelle mit ARMv9-Architektur unterstützen Memory Tagging Extension (MTE). Dies ist eine Hardware-Funktion, die Speicherfehler wie Use-after-free und Out-of-bounds-Zugriffe erkennt und den Vorgang abbricht — das Projekt beschreibt die Erkennung als wahrscheinlichkeitsbasiert und als zuverlässig nur so lange, wie der Speicher nicht erneut vergeben wurde. Diese Fehlerklassen sind die Grundlage für die meisten Exploits gegen mobile Apps.

Auf unterstützter Hardware nutzt GrapheneOS das Speicher-Tagging von sich aus — für den Systemkern, für den gehärteten Allokator und damit für Apps, die ihn verwenden. Einzuschalten ist daher nichts. Der einzige Schalter auf App-Ebene wirkt in die andere Richtung: Der Exploit protection compatibility mode nimmt einer einzelnen App unter anderem das Speicher-Tagging wieder weg, damit sie läuft. Bei Wallets und Passwort-Managern bleibt er deshalb aus.

Theorie ist gut, aber klare Regeln sind besser. Die folgende Matrix zeigt, welche Apps in welches Profil gehören und welche Kombinationen absolute No-Gos darstellen. Diese Regeln basieren auf dem Prinzip: Je mehr Angriffsfläche eine App hat, desto weiter weg von deinen kritischen Assets muss sie sein.

Vanadium als Ausnahme

Vanadium ist der GrapheneOS-eigene Browser, ein gehärteter Chromium-Fork mit zusätzlichen Sicherheits-Flags und strengerer Site-Isolation. Er ist die einzige Browser-Empfehlung für das Sovereign-Profil. Brave und Firefox haben zwar gute Privacy-Features, aber mehr Angriffsfläche und werden nicht vom GrapheneOS-Team gepflegt.

Sicherheit ist kein Zustand, sondern ein Prozess. Die folgenden Prüfungen solltest du monatlich durchführen, um sicherzustellen, dass dein Setup nicht erodiert. Apps werden aktualisiert, Permissions ändern sich, neue Features schleichen sich ein. Ein regelmäßiges Audit hält dein Zero-Trust-Fundament intakt.