Privacy + Secure Tech Corner Channel 🛡️

Mit der Entwickler-Verifizierung rückt auf zertifizierten Geräten künftig jedoch vor allem eine Frage in den Vordergrund: Wer signiert – und ist dieser Signierer bei Google verifiziert? Daraus ergeben sich aus meiner Sicht zwei Szenarien:

Wenn der ursprüngliche Entwickler signiert und verifiziert ist: Der Entwickler veröffentlicht das APK mit seinem eigenen Schlüssel und hat sein Konto bei Google verifiziert. F-Droid kann dieses Original-APK ausliefern. Auf zertifizierten Geräten lässt sich die App installieren, weil die Signatur einem verifizierten Konto zugeordnet ist.
Wenn F-Droid selbst signiert: F-Droid baut die App und versieht sie mit dem eigenen Schlüssel. Damit diese APKs künftig auf zertifizierten Geräten akzeptiert werden, müsste sich F-Droid als Organisation bei Google verifizieren und die Paketnamen registrieren. Ohne diese Verifizierung blockiert das System die Installation. Das würde zusätzlichen organisatorischen Aufwand, mehr Verantwortung und Haftungsfragen nach sich ziehen – aktuell erscheint dieses Modell wenig realistisch.

Ein offizielles Statement von F-Droid zu Googles Plänen gibt es bislang nicht. In der Community wird das Thema diskutiert, doch konkrete Zusagen – etwa ob sich F-Droid selbst verifizieren will oder ob Prozesse angepasst werden – liegen bisher nicht vor.

F-Droid und andere App-Stores können ihre Repositories zwar weiterhin betreiben. Ob eine App auf zertifizierten Geräten installiert werden darf, hängt künftig jedoch nicht mehr vom Store ab, sondern allein davon, wer sie signiert hat – und ob dieser Signierer bei Google verifiziert ist. Das kann entweder der ursprüngliche Entwickler sein oder, falls F-Droid selbst signiert, F-Droid als Organisation. Auf nicht zertifizierten ROMs wie GrapheneOS greift diese Schranke nicht.
4. Custom-ROMs: Was gilt?

Die neue Pflicht greift nur auf zertifizierten Android-Geräten mit Play Protect und vorinstallierten Google-Apps. Custom-ROMs sind in der Regel nicht zertifiziert – damit fällt die Sperre dort formal nicht an. Das betrifft bspw. GrapheneOS, LineageOS, CalyxOS, oder /e/OS. Auch wenn man nachträglich GApps oder microG installiert, wird das ROM dadurch nicht plötzlich Play-Protect-zertifiziert. Apps aus F-Droid lassen sich weiter wie gewohnt installieren.

Wichtig ist die Einordnung: Auch wenn Custom-ROM-Nutzer vorerst unbeeinträchtigt sind, verschiebt sich das Gleichgewicht im gesamten Ökosystem. Die große Mehrheit nutzt zertifizierte Geräte – dort entscheidet künftig die Verifizierung des Signierers. Das kann dazu führen, dass sich Entwicklerressourcen stärker auf verifizierte Kanäle konzentrieren. Für Custom-ROM-Nutzer ändert sich kurzfristig wenig – langfristig hängt vieles davon ab, wie sich F-Droid, Projekte und Maintainer auf die neuen Rahmenbedingungen einstellen.
5. Sicherheit oder Kontrolle?

Google verkauft die neue Pflicht als »Sicherheitsmaßnahme«. Tatsächlich ändert sich an der technischen Prüfung nichts – Play Protect scannt schon heute alle Apps, egal woher sie kommen. Neu ist allein, dass ein Entwicklerkonto mit einer überprüften Identität verknüpft sein muss.

Damit entscheidet künftig nicht mehr die Qualität des Codes darüber, ob eine App installiert werden kann, sondern allein die Verifizierung des Entwicklers durch Google. Fehlt sie, blockiert das System die Installation – selbst wenn die App frei, quelloffen und technisch einwandfrei ist.

Das schafft Risiken: Ein gesperrtes Konto oder ein fehlerhaft zugeordneter Paketname kann ausreichen, um Updates zu verhindern. Anonyme oder kleine FOSS-Projekte, die keine Organisation gründen oder ihre Identität nicht preisgeben wollen, stoßen auf eine fast unüberwindbare Barriere. Die offene Verteilung wird damit faktisch eingeschränkt.

Kurz gesagt: Das Sicherheitsargument wirkt vorgeschoben. In Wirklichkeit vergrößert Google seinen Kontrollhebel und verschiebt die Norm – App-Installationen außerhalb des Play Store werden nicht mehr als regulär behandelt, sondern als Ausnahme unter Vorbehalt.

28 views22:38