Vorwort: Dieser Thread ist ein Copy and Paste von Bitte melde dich an, um diesen Link zu sehen. . Da diese Zusammenfassung sehr umfangreich ist und schwer in eigene Wort zu fassen ist, habe diese Posts einfach kopiert. Alle Credits und Ehre gehören natürlich dem Autor Mike Kuketz.

Android ohne Google: Take back control! Teil1

Android ohne Datenkrake

Die Artikelserie »Bitte melde dich an, um diesen Link zu sehen.« aus dem Jahr 2014 hat einen großen Anteil an der Erfolgsgeschichte dieses Blogs. Viele tausende von Menschen wollten damals erfahren, wie man sich von Google befreit und wieder die Herrschaft und Kontrolle über sein Android-Gerät zurückerlangt.

Nach nunmehr fünf Jahren ist es Zeit für eine Neuauflage der Artikelserie. Vieles hat sich geändert. Teilweise zum Positiven, teilweise aber auch zum Negativen. Auch die Artikelserie »Take back control!« erfordert viel Geduld und die Bereitschaft, sich von der eigenen Bequemlichkeit, und natürlich auch von der Indoktrination der Hersteller, zu verabschieden.

Das hochgesteckte Ziel der Artikelserie »Take back control!« lässt sich mit einem Satz zusammenfassen: Ihr als Anwender sollt die Herrschaft und Kontrolle über euer Android-Gerät und eure Daten zurückgewinnen. Schritt für Schritt werde ich euch an dieses Ziel heranführen. Denn es muss endlich Schluss sein mit proprietären Apps und (Google-)Diensten, die uns unsere Unabhängigkeit und Selbstbestimmung über unsere Daten lediglich vorgaukeln.

Google ist schon lange evil

Direkt nach dem Einschalten unseres Androiden werden wir aufgefordert ein Google-Konto anzulegen oder das bereits bestehende mit dem Gerät zu verknüpfen. Wir werden in die Cloud gedrängt und sollen uns keine Sorgen um unsere Daten machen, sondern vielmehr den Anbietern bzw. Google »blind« vertrauen. Sozusagen als Gegenleistung erhalten wir ein perfekt aufeinander abgestimmtes Ökosystem, das an Einfachheit und Bequemlichkeit, aber auch Perfidität kaum zu übertreffen ist.

Googles Strategie, mit benutzerfreundlichen Produkten und Diensten den Markt zu erobern, ist also aufgegangen. Der Erfolg gibt ihnen Recht. Doch bei dieser Erfolgsgeschichte gilt es sich stets vor Augen zu führen, welcher Preis dafür von den eigentlichen Nutzern gezahlt wurde. Diese bezahlten und bezahlen nämlich mit den von ihnen »produzierten« Daten. Dieses »Bezahlen mit Daten« nehmen sie jedoch nicht wahr, denn ihnen fehlt die Transparenz, um zu sehen, was eigentlich bei der Smartphonenutzung »hinter ihrem Rücken« geschieht.

Google ist wie ein Junkie, ständig auf der Suche nach neuen Datenquellen, die die bereits angehäuften Datenschätze weiter anwachsen lässt. Google will alles wissen. In einem Interview mit James Bennet hat Aufsichtsratschef Eric Schmidt gesagt:

Zitat

With your permission you give us more information about you, about your friends, and we can improve the quality of our searches. We don’t need you to type at all. We know where you are. We know where you’ve been. We can more or less know what you’re thinking about.

Diese bereits im Jahr 2010 getätigte Bemerkung ist heute aktueller denn je. Android und andere Google-Produkte bzw. Dienste sind perfekt ineinandergreifende Zahnrädchen, die dem Nutzer eine Illusion der Kontrolle über seine Daten vortäuschen. Google setzt auf Bitte melde dich an, um diesen Link zu sehen., um Datenschutz-Einstellungen zu verstecken, diese missverständlich darzustellen oder den Nutzer mit irreführenden Formulierungen vom Schutz seiner Privatsphäre abzuhalten.

Die bittere Realität und kleine Lichtblicke

Im Jahr 2019 ist die Marktdominanz von Android erdrückend. In den letzten drei Jahren lag der Marktanteil von Android im Smartphone-Segment kontinuierlich über 85% – man könnte auch sagen: Googles mobiles Betriebssystem Android beherrscht den Markt wie kein anderes. Lediglich iOS spielt noch eine Rolle und kostet Android ein paar Marktanteile.

Die Marktdominanz von Android ist gewaltig und verhindert faktisch fast jede Neuentwicklung. Es ist daher wenig verwunderlich, dass alternative mobile Betriebssysteme wie Sailfish OS oder Bitte melde dich an, um diesen Link zu sehen. vom Markt kaum wahrgenommen werden und so schnell wie sie eingeführt wurden auch wieder vom Markt verschwinden bzw. keine Rolle spielen.

Diese Marktdominanz von Google weckt unweigerlich das Gefühl von Hilfosigkeit. Oder weiter gedacht: Ohne Alternativen würde die Hilflosigkeit unweigerlich in Resignation enden. Doch es gibt Hoffnung. Über die letzten Jahre sind diverse Alternativen zu Google-Diensten entstanden. Projekte wie die Nextcloud, Bitte melde dich an, um diesen Link zu sehen., mailbox.org und weitere sind nicht nur ein Hoffnungsschimmer, sondern bieten einen echten Ausweg aus Googles Ökosystem. Wer diese kennenlernen möchte, dem sei der Beitrag »Bitte melde dich an, um diesen Link zu sehen.« ans Herz gelegt.

Im Folgenden befassen wir uns speziell mit Android und welche Alternativen und Möglichkeiten wir haben, um uns nicht nur aus Googles Fangarmen zu befreien, sondern wie wir insgesamt einen selbstbestimmten Umgang mit unseren Daten auf dem Smartphone erreichen können.

Was wir erreichen können

Bevor wir die Kontrolle über unseren Androiden zurückerlangen, sollte eine Problematik der Smartphone-Welt nicht unerwähnt bleiben: Die fehlende Überprüfbarkeit bzw. Transparenz der proprietären Hardwarechips (bspw. Basebands). Selbst wenn wir auf einem Smartphone ausschließlich quelloffene Software einsetzen, wird die Vertrauenswürdigkeit direkt von der zugrunde liegenden Hardware beeinflusst. Diese Überlegung führt im Kontext der Artikelserie allerdings zu weit, da dies insbesondere dann relevant wird, wenn sich ein (staatlicher) Geheimdienst Zugriff verschaffen möchte. Die Kombination quelloffene Software und (halb-)offene bzw. proprietäre Hardware wird uns aber zumindest vor den allgegenwärtigen Datenkraken wie Google und Co. schützen.

Daher möchte ich auch diesmal den obligatorischen Hinweis nicht auslassen und unmissverständlich klar machen: Das Projekt »Take back control!« schützt nicht vor der gezielten Überwachung durch Geheimdienste oder andere Organisationen, die euch ins »Visier« genommen haben.

Ungeachtet dieser »Einschränkungen« wollen wir aber mit unserem Projekt Folgendes erreichen:

• Die (fast) vollständige Kontrolle über die eigenen Daten
• Die unabhängige und selbstbestimmte Nutzung des Geräts
• Die Abkopplung von Googles Ökosystem
• Den Ausstieg aus der Werbemaschinerie der Hersteller
• Den Schutz gegen Werbe-Profiling

Letztendlich muss unser hochgestecktes Ziel sein, die Herrschaft und die Kontrolle über unsere Daten zurückzugewinnen – auch wenn dabei immer ein »blinder Fleck« bleibt. Denn sobald ihr Daten mit anderen Menschen austauscht, sei es über E-Mail oder Messenger, so gibt es schlichtweg keine Garantie, dass die übermittelten Daten vom Empfänger sensibel behandelt werden oder nicht direkt nach Erhalt in der Microsoft-Cloud landen bzw. die Kontaktdaten via Google-Konto synchronisiert werden.

Letztendlich bedeutet das: Selbst wenn ihr mit euren Daten verantwortungsvoll umgeht und ausschließlich Dienste und Software einsetzt, mit denen ihr die Kontrolle behaltet, seid ihr eben immer externen Einflüssen ausgesetzt. Das soll unser Ziel allerdings nicht schmälern, sondern uns ins Bewusstsein rufen, dass der Schutz der eigenen Bitte melde dich an, um diesen Link zu sehen. von unterschiedlichen Faktoren abhängig ist.

Die Komponenten

Unser hochgestecktes Ziel von einem »freien Android« lässt sich nur dann erreichen, wenn wir alle dafür notwendigen Komponenten einbeziehen und zu einem Ganzen zusammenfügen. Erst das Zusammenspiel als »Ganzes« lässt uns unsere Unabhängigkeit und Datenkontrolle zurückerlangen. Nach meiner Auffassung sind dafür folgende Komponenten notwendig:

• Betriebssystem: Die zentrale Softwarekomponente unseres Androiden basiert auf dem freien Betriebssystem LineageOS. Diese Android-Betriebssystemvariante steht für viele Bitte melde dich an, um diesen Link zu sehen. zur Verfügung, wird von einer aktiven Community stetig weiterentwickelt und enthält von Haus aus keine Google-Apps. Im Rahmen der Artikelserie »Take back control!« habe ich mich im Vorfeld für das BQ Aquaris X Pro entschieden. Anhand dieses Geräts werde ich den Unlock-Vorgang und die Installation von LineageOS beschreiben. Ihr könnt der Artikelserie selbstverständlich auch dann folgen, wenn ihr kein BQ Aquaris X (Pro) habt.
• App-Store: Viele Anwender kennen lediglich den Bitte melde dich an, um diesen Link zu sehen. als Bezugsquelle für neue Apps. Als Alternative werden wir für unser Projekt F-Droid verwenden, in dem ausschließlich »freie« und »quelloffene« Apps zum Download angeboten werden. Wer später unbedingt Apps aus dem Google Play Store beziehen möchte, der kann auf Alternativen wie den Bitte melde dich an, um diesen Link zu sehen. oder Yalp-Store zurückgreifen.
• Apps: Wir werden ausschließlich auf freie und quelloffene Apps aus Bitte melde dich an, um diesen Link zu sehen. zurückgreifen. Vom Angebot der dort verfügbaren FOSS-Apps profitieren insbesondere kritische Anwender, die Wert auf Apps legen, die ohne Tracker auskommen bzw. sensibel mit den (eingespeisten) Daten umgehen.
• Dienste: Unabhängig von Googles Ökosystem werden wir nur dann, wenn wir uns auch auf anderen Ebenen bzw. Diensten von Google verabschieden. So gilt es bspw. alternative Dienste für E-Mails, Google Maps etc. zu benutzen.
• Tools: Zusätzliche Kontrolle über Android erhalten wir mit Tools wie Bitte melde dich an, um diesen Link zu sehen., Magisk oder Bitte melde dich an, um diesen Link zu sehen..
• Korrekte Einstellungen: Mit der Installation von LineageOS allein ist es nicht getan. Erst die Aktivierung der Geräteverschlüsselung und ein ausreichend langer Entsperr-PIN schützt eure Daten auch vor physischen Angreifern. Kurzum: Auch die Einstellungen des Systems spielen eine Rolle, denn auch in LineageOS begegnen wir kritischen Voreinstellungen.
• Gesunder Menschenverstand: Die Technik allein kann euch nicht vor Googles Datensammelwut beschützen. Es bedarf auch gesunden Menschenverstands, damit all die oben genannten Komponenten auch funktionieren.

Über die Komponenten, Tools etc. dürft ihr gerne vorab im Bitte melde dich an, um diesen Link zu sehen. diskutieren.

Hinweis

In den kommenden Teilen der Artikelserie werde ich auf die hier nur kurz vorgestellten Komponenten ausführlich eingehen. Ihr solltet beachten, dass euch ein Wechsel zu einem alternativen System (LineageOS) nicht zwangsläufig vor dem ungewollten Abfluss sensibler Daten schützt. Es bedarf weiterer Anpassungen und der korrekten Anwendung der oben verlinkten Tools. Berücksichtigt dies bitte, falls ihr Tools wie Bitte melde dich an, um diesen Link zu sehen. bereits vor der ausführlichen Darstellung, in weiteren Teilen der Artikelserie, einsetzen wollt.

Fazit

Der Weg zu mehr Kontrolle über das Android-Gerät und die eigenen Daten ist steinig. Es ist oftmals nicht leicht, die liebgewonnene, selbst anerzogene Bequemlichkeit und damit den Ausbruch aus dem Google-Ökosystem zu wagen.

Ob es dem Einzelnen letztendlich gelingen wird, sich ein (großes) Stück informationelle Selbstbestimmung zurückzuerobern, liegt einzig und allein am Willen des Einzelnen, zu lernen und Eigenverantwortung zu übernehmen. Der innere Schweinehund wird dabei euer größter Feind sein.

Im kommenden Teil beschäftigen wir uns zunächst mit der Installation von LineageOS – exemplarisch vorgestellt an einem Bitte melde dich an, um diesen Link zu sehen..

Hinweis

Sollte euer Gerät nicht von LineageOS unterstützt werden oder ihr eine Installation nicht wagt, aber dennoch mehr Kontrolle über eure Daten anstrebt, dann solltet ihr einen Blick auf die Artikelserie »Android unter Kontrolle« werfen. Dort wird euch ein alternativer Weg aufgezeigt, Googles Datensammelwut zu begrenzen.

Bitte melde dich an, um diesen Link zu sehen.

Befreiung aus der Umklammerung

Mit der Artikelserie »Take back control!« sollt ihr als Anwender Schritt für Schritt die Herrschaft und Kontrolle über euer Android-Gerät bzw. eure Daten zurückgewinnen. Ein erster Schritt in Richtung Unabhängigkeit ist der Wechsel des herstellereigenen Android-Systems. Damit entledigen wir uns nicht nur der Bitte melde dich an, um diesen Link zu sehen., wie vorinstallierten Apps und Diensten, sondern befreien uns ebenfalls aus Googles enger Umklammerung.

Dieser Befreiungsschlag gelingt uns mit dem freien Android-Betriebssystem LineageOS – eine Modifikation von Googles Android und der direkte Nachfolger des erfolgreichen Bitte melde dich an, um diesen Link zu sehen.. Mit solch einem Custom-ROM bzw. alternativen System koppeln wir uns von den herstellereigenen Android-Systemen ab. Der Einsatz von LineageOS soll uns dem Ziel, die Datenherrschaft auf dem Android wiederzuerlangen, einen Schritt näher bringen.

Vorwort: Soll ich oder soll ich nicht?

Die Wiedererlangung der Datenhoheit im Android-Universum ist kein Ziel, das sich mal eben so an einem freien Wochenende erreichen lässt. Bevor ihr also mit dem Gedanken spielt, die Artikelserie in die Praxis umzusetzen bzw. die Installation von LineageOS wagt, solltet ihr fairerweise die möglichen Nebenwirkungen kennen:

• Garantieverlust des Geräts
• Unlösbare, technische Schwierigkeiten
• Bitte melde dich an, um diesen Link zu sehen. des Geräts
• Bestimmte Apps werden unter Umständen nicht lauffähig sein
• Verminderung der Kamera-Qualität
• Einschränkung der Funktionalität
• Verlust jeglicher Daten
• […]

Der Weg zu mehr Selbstbestimmung ist steinig und voller unvorhersehbarer Stolpersteine. Bevor ihr euch also in das Abenteuer »Take back control!« stürzt, solltet ihr euch die Frage stellen, ob ihr die dafür notwendigen Eigenschaften mitbringt:

• Durchhaltevermögen bzw. Geduld und ausreichend Zeit
• Bereitschaft, sich von der eigenen Bequemlichkeit zu verabschieden
• Grundlegendes technisches Verständnis bzw. die Bereitschaft, sich dieses anzulesen
• Rückschläge nicht als Niederlage ansehen
• Die Bereitschaft (immer) lernen zu wollen

Wenn ihr bei einem oder mehreren Punkten Zweifel hegt, dann solltet ihr von einer Umsetzung besser absehen – es ist kein Zuckerschlecken. Mit der Artikelserie kann ich euch natürlich an die Hand nehmen und euch die Richtung weisen, den Weg müsst ihr allerdings alleine gehen.

Hinweis

Sollte euer Gerät nicht von LineageOS unterstützt werden oder ihr eine Installation aus den oben genannten Gründen nicht wagt, aber dennoch mehr Kontrolle über eure Daten anstrebt, dann solltet ihr einen Blick auf die Artikelserie »Bitte melde dich an, um diesen Link zu sehen.« werfen. Dort wird euch ein alternativer Weg aufgezeigt, die Datensammelwut von Google und den Apps zu begrenzen.

LineageOS

Offiziell werden Android-Smartphones mit einem sog. Stock-ROM ausgeliefert, das von Werk ab vorinstalliert ist und meist unterschiedliche Modifizierungen und Erweiterungen der Gerätehersteller beinhaltet. Die meisten Android-Geräte bzw. Stock-ROMs werden insbesondere im Hinblick auf Sicherheitsupdates von vielen Herstellern meist nur stiefmütterlich behandelt und irgendwann sogar komplett verstoßen. Damit entsteht zwangsläufig ein »Vakuum« in der Android-Welt, das viele oder die meisten Geräte anfällig für kritische Bitte melde dich an, um diesen Link zu sehen. macht. Über solche Schwachstellen sind Angreifer unter anderem in der Lage, die Kontrolle über das Gerät zu erlangen, den Nutzer auszuspionieren oder unbemerkt Daten abfließen zu lassen. Die Entdeckung einer kritischen Schwachstelle würde bereits genügen, um auf einen Schlag Millionen von Geräten verwundbar zu machen. Solche schwerwiegenden Schwachstellen sind nicht gerade selten, sondern treten in regelmäßigen Abständen auf. Allein im Jahr 2018 wurden 611 Schwachstellen in Android identifiziert – im Jahr 2017 sogar 842.

Doch in der Android-Welt existiert ein Ausweg aus diesem Sicherheits- und Datenschutzdilemma: Sogenannte Bitte melde dich an, um diesen Link zu sehen.. Diese ROMs werden meist von privaten Entwicklern ohne kommerzielles Interesse für die unterschiedlichsten (alten) Geräte bereitgestellt.

Das prominenteste Custom-ROM ist LineageOS, der direkte Nachfolger des bekannten Bitte melde dich an, um diesen Link zu sehen., dessen Entwicklung Ende 2016 eingestellt wurde. Der große Vorteil von Custom-ROMs und insbesondere LineageOS ist die zeitnahe Bereitstellung von Sicherheitsupdates für viele ältere Geräte und damit auch für Geräte, die von den Herstellern schon längst nicht mehr mit Updates versorgt werden. Ein Custom-ROM wie LineageOS bietet deshalb die Möglichkeit, auch in die Jahre gekommene Geräte mit aktuellen Sicherheitsupdates und neuen Android-Versionen zu versorgen.

Warum LineageOS?

Mit knapp 2 Millionen weltweiten Installationen zählt LineageOS zum meistverbreitetsten Custom-ROM. Allerdings sollte man sich von der Bitte melde dich an, um diesen Link zu sehen. nicht »blenden« lassen – nur ein Teil der 250 dort gelisteten Geräte wird aktiv gepflegt. Ob euer Gerät nicht nur von LineageOS unterstützt, sondern auch aktiv von einem sog. Maintainer gepflegt wird, könnt ihr mit einem Klick auf das Gerät herausfinden. Wenn ihr dort auf folgende Warnung in einem roten Kästchen trefft:

Zitat

The <Device> is no longer maintained. A build guide is available for developers that would like to make private builds, or even restart official support.

ist die Installation nicht empfehlenswert. Alternativ könnt ihr euch im XDA-Forum umschauen, ob Entwickler dort aktiv gepflegte Custom-ROMs für euer Gerät bereitstellen – persönlich würde ich ausschließlich LineageOS einsetzen wollen.

Ausschlaggebend für die Wahl von LineageOS war und ist letztendlich die Verfügbarkeit für eine einigermaßen breite Palette von ca. 60 Android-Geräten. Nur so schaffen wir es, möglichst viele Anwender zu erreichen, die sich die »Datenherrschaft« bzw. die Kontrolle auf ihrem Gerät zurückerobern wollen.

Hinweis

Neben LineageOS existieren noch weitere Bitte melde dich an, um diesen Link zu sehen. – die meisten Projekte wurden mittlerweile allerdings eingestellt. Erwähnenswert ist noch das Custom-ROM /e/, das auf LineageOS basiert.

Gerätewahl

Den Unlock-Prozess bzw. das Aufspielen von LineageOS möchte ich an anhand des Bitte melde dich an, um diesen Link zu sehen. demonstrieren. Aus folgenden Gründen habe ich mich für das Gerät entschieden:

• Es wird offiziell von LineageOS (Aquaris X Pro) unterstützt – und nach meiner Einschätzung wird dies auch eine ganze Weile so bleiben, Bitte melde dich an, um diesen Link zu sehen..
• Das Gerät hat gemessen an den heutigen Standards mit 5,2 Zoll ein eher kompaktes Format.
• Der Preis liegt um die 230,- €. Wer gebraucht zuschlagen möchte, findet das Gerät bereits unter 200,- €.
• Der Hersteller BQ legt dem Nutzer keine Steine beim Entsperren des Bootloaders in den Weg.
• Die Hardware stammt aus Mitte 2017 und hat mit 3 bzw. 4 GB RAM genug Reserven für zukünftige Android-Versionen.
• Die Hardware-Komponenten lassen sich vergleichsweise »einfach« austauschen.

Ihr könnt der Artikelserie selbstverständlich auch dann folgen, wenn ihr kein BQ Aquaris X Pro habt. Den Unlock-Vorgang werde ich allerdings explizit an diesem Modell demonstrieren – und dieser unterschiedet sich bei jedem Hersteller bzw. Gerät. Das LineageOS-Projekt stellt für die offiziell unterstützten Geräte jeweils eine Anleitung zur Verfügung, die alle Schritte bis zur Installation von LineageOS umfasst.

Hinweis

Auch in der näheren Auswahl stand das Bitte melde dich an, um diesen Link zu sehen. und Xiaomi Mi A1. Wenn ihr also eine Neuanschaffung plant, dann könnt ihr euch die drei genannten Geräte näher anschauen.

Bei der Neuanschaffung eines Geräts kann euch leider niemand sagen, wie lange das Gerät von den LineageOS-Maintainern gepflegt wird. Natürlich möchte man, dass ein Gerät so lange wie möglich mit (Sicherheits-)Updates versorgt wird – eine Garantie kann euch allerdings niemand geben. Gerne wird in diesem Zusammenhang der Tipp gegeben, man solle sich an der Bitte melde dich an, um diesen Link zu sehen. orientieren und ein Gerät aus den Top 10 erwerben. Mehr als ein Anhaltspunkt ist dies allerdings nicht, da einige der dort aufgelisteten Geräte nur noch gebraucht erhältlich sind. Darüber hinaus ist auch bei den Top 10 nicht gewährleistet, dass diese weiterhin gepflegt werden.

Insgesamt ist die Gerätewahl ein schwieriges Thema – wer dazu noch Tipps hat, kann diese gerne im Kommentarbereich platzieren.

Garantie und Gewährleistung

Fast alle Gerätehersteller warnen explizit vor dem Entsperren des Bootloaders. Ihr solltet diese geräte- bzw. herstellerspezifischen Hinweise in jedem Fall auch beachten. So weisen die Hersteller bspw. darauf hin, dass mit dem Entsperr-Vorgang sämtliche Daten vollständig gelöscht werden – was auch so stimmt und ihr beachten solltet.

Viele der Hersteller garnieren ihre Warnhinweise zusätzlich mit Formulierungen, wie:

Zitat

»Wenn Sie Ihr Gerät »entsperren« verlieren sie automatisch die Garantie.«

Manche Hersteller gehen sogar noch weiter und schreiben, dass man mit dem Entsperren des Gerätes, gleichzeitig auch die Gewährleistung verliert. Naturgemäß wird hierdurch der Anwender zunächst einmal verunsichert und nimmt Abstand vom Entsperren des Gerätes.

Ich kann euch leider keine Auskunft darüber geben, wie Hersteller / Händler reagieren, wenn sie ein Gerät eingesendet bekommen, dass noch in der Gewährleistungszeit ist, allerdings ein Custom-ROM aufgespielt hat. Je nach Hersteller / Händler wird hier vermutlich ganz unterschiedlich verfahren. Folgendes gilt in diesem Zusammenhang:

Zitat

Wenn ihr ein Custom-ROM einspielt, verliert ihr (je nach Hersteller und Herstellererklärung) eure Ansprüche auf die freiwilligen Garantien des Herstellers. Davon streng zu trennen ist aber die Gewährleistung, die man so einfach nicht verliert. Denn grundsätzlich hat das Entsperren des Bootloaders ja keine Auswirkungen auf die Hardware, für die die Gewährleistung primär gilt.

Doch diesbezüglich ein Hinweis: Es soll Geräte (Samsung Knox) geben, bei dem der Unlockvorgang auch mal ein paar Dioden / Kontakte des Gerätes durchschmelzen lässt. In einem solchen Fall lässt sich natürlich sehr gut streiten, ob der Nutzer, weil ja dann eine (wie auch immer geartete und nachweisbare) Hardwareveränderung eingetreten ist, nicht sogar die Gewährleistung verliert.

Wie Gerichte diese Fälle beurteilen würden, ist mir nicht bekannt. Bisher wurde das Thema bzw. die »Praxis mancher Hersteller« nicht gerichtlich thematisiert.

Hinweis

Die FSFE meint, die gesetzliche Gewährleistung würde durch das Rooten bzw. Aufspielen eines Custom-ROMs, Bitte melde dich an, um diesen Link zu sehen..

Bootloader entsperren | Custom-Recovery-System

Bevor die Installation von LineageOS überhaupt möglich ist, muss der Bootloader entsperrt, ein Firmware-Update durchgeführt und ein Custom-Recovery-System aufgespielt werden. Alle Schritte sind nachfolgend erklärt. Die Ausgangslage ist ein frisch ausgepacktes BQ Aquaris X Pro.

Vorarbeiten (fastboot)

Zunächst solltet ihr prüfen, ob Bitte melde dich an, um diesen Link zu sehen. bereits auf dem Rechner installiert ist. Fastboot erlaubt das Einspielen von Images direkt auf die Partition des internen Speichers eines Geräts – dafür werden wir später in den Fastbootmodus wechseln. Eine Kurzanleitung zur Installation von fastboot für Windows und Linux:

• Windows: Im XDA-Forum wird für Windows Bitte melde dich an, um diesen Link zu sehen. (2 MB) mit adb und Bitte melde dich an, um diesen Link zu sehen. im Gepäck angeboten. Zusätzlich benötigt ihr noch die gerätespezifischen Treiber (runterscrollen zu »Drivers USB«) für das BQ Aquaris X Pro.
• Linux: Für nahezu jede bekannte Linux-Distribution stehen vorgefertigte Pakete für die Tools adb und fastboot zur Verfügung. Auf Debian GNU/Linux genügt bspw. folgender Befehle, um das entsprechende Paket inkl. Tools zu installieren:
  Code

  sudo apt-get install android-tools-fastboot

   

Hinweis

Eine ausführliche Anleitung für Windows, macOS und Linux Bitte melde dich an, um diesen Link zu sehen..

Sobald fastboot einsatzbereit ist können wir das BQ Aquaris X Pro erstmals in Betrieb nehmen. Nach dem ersten Einschalten muss das Gerät zunächst über einen Assistenten eingerichtet werden. Wir gehen wie folgt vor:

• Sprache auf Deutsch (Deutschland) einstellen
• Die SIM-Karte legen wir vorerst noch nicht ein, sondern überspringen den Vorgang
• Wir wählen Als neues Gerät einrichten
• Kein Netzwerk
• Die weiteren Abfragen sind nicht relevant, dort könnt ihr beliebig wählen

Nach dem Abschluss startet das System zum ersten Mal in die Benutzeroberfläche.

Unlock des Bootloaders

Der Bootloader stellt eine spezielle Software dar, die direkt in die Bitte melde dich an, um diesen Link zu sehen. des Android-Geräts integriert ist. Nach dem Einschalten übernimmt er die Kontrolle über den Startvorgang des Android-Systems – vergleichbar mit einem BIOS am PC. Viele Hersteller implementieren software- und hardwareseitige Beschränkungen (sog. Locks), um den Bootloader vor Manipulationen bzw. Veränderungen zu schützen.

Da es nicht möglich ist, mit einem gesperrten Bootloader systemrelevante Modifikationen durchzuführen, muss der Bootloader zunächst entsperrt werden. Nur mit einem entsperrten Bootloader sind wir in der Lage, ein Custom-Recovery-System zu installieren, mit dessen Hilfe wir dann ein alternatives Betriebssystem wie LineageOS aufspielen können.

Damit der Bootloader des BQ Aquaris X Pro entsperrt werden kann, müssen zunächst die Entwickleroptionen freigeschaltet werden. Öffnet dazu die »Einstellungen« selektiert dann »Über das Telefon« und tippt mehrere Male hintereinander auf die Build-Nummer. Nach der Freischaltung wird ein Hinweisfenster erscheinen, das euch bestätigt, dass die Entwickleroptionen freigeschaltet wurden:

Zitat

Du bist jetzt Entwickler!

Wer für diesen Vorgang eine bebilderte Anleitung bevorzugt, wird Bitte melde dich an, um diesen Link zu sehen. fündig.

Danach erscheint in den Einstellungen unter »System« die neue Schaltfläche »Entwickleroptionen«. Öffnet diese und aktiviert den Schieberegler OEM-Entsperrung – die Warnung wird mit einem Ok bestätigt. Anschließend schaltet ihr das Gerät komplett aus.

Haltet nun die Lautstärke-Taste »Leiser« und die Ein-/Aus-Taste gleichzeitig gedrückt, bis ein Bildschirm mit weißem Hintergrund erscheint. Ihr befindet euch nun im Fastbootmodus, in dem einige Informationen zur Bootloader-Version etc. angezeigt werden. Verbindet euer Gerät nun über ein USB-Kabel mit dem Computer und prüft, ob das System über fastboot angesprochen werden kann:

fastboot devices

Nach erfolgreicher Rückmeldung (bspw. BL087003 fastboot) könnt ihr den Bootloader mittels fastboot entsperren:

fastboot flashing unlock

Auf dem Display wird eine Warnung erscheinen – während dem Vorgang werden sämtliche (Nutzer-)Daten auf dem Gerät gelöscht. Mit den Lautstärketasten navigiert ihr auf Yes und bestätigt den Vorgang anschließend mit der Ein-/Aus-Taste. Sobald der Vorgang abgeschlossen ist, bootet ihr erneut in den Fastbootmodus und setzt dort einen weiteren Befehl ab:

fastboot flashing unlock_critical

Mit dem zweiten Befehl erlauben wir das Flashen / Beschreiben von kritischen Partitionen (Modem, OEM, Bootloader etc.). Auch diese Warnung müsst ihr erneut mit einem Yes bestätigen und den Vorgang damit abschließen.

Euer Bootloader sollte nun entsperrt bzw. unlocked sein. Startet erneut in den Fastbootmodus (Lautstärke-Taste »Leiser« und Ein-/Aus-Taste gleichzeitig drücken) und setzt folgenden Befehl ab:

fastboot oem device-info

Als Ausgabe solltet ihr dann erhalten:

(bootloader) Device tampered: false
(bootloader) Device unlocked: true
(bootloader) Device critical unlocked: true
(bootloader) Charger screen enabled: true
(bootloader) Display panel: OKAY [ 0.058s]
finished. total time: 0.058s

Firmware-Update

Damit LineageOS (16.x / Android Pie) einwandfrei auf dem BQ Aquaris X Pro läuft, müssen wir zunächst die Firmware-Version (mindestens 2.x) aktualisieren. Wer vorhin aufgepasst hat, der konnte im Fastbootmodus die Firmware-Version ablesen. Auf meinem Gerät war die Version Build Number: 1.6.0_20180130-1827 vorinstalliert.

Zunächst laden wir die aktuelle Firmware für das BQ Aquaris X Pro Bitte melde dich an, um diesen Link zu sehen. herunter. Für den Artikel habe ich die Version 2.7.1 (Android 8.1.0 Oreo) installiert. Nach dem Download solltet ihr die MD5-Hashsumme prüfen und damit sicherstellen, dass die Firmware-Datei nicht beschädigt oder verändert wurde:

md5sum /Downloads/Image.zip

Die Ausgabe sollte dann mit der Angabe auf der Webseite übereinstimmen:

MD5: E6DB5A0443018F6E597F0256A9C7F874

Anschließend müsst ihr die Zip-Datei entpacken und euer Gerät erneut in den Fastbootmodus versetzen. Wechselt bzw. navigiert zum entpackten Ordner und führt je nach Betriebssystem das entsprechende Skript aus:

• Windows: Rechtsklick auf die Datei »8953_fastboot_all_images.bat« und Als Administrator ausführen auswählen. Anschließend wird sich eine Kommandozeile öffnen und der Flashvorgang wird gestartet. Solltet ihr bereits Administrations-Rechte haben, dann solltet ihr »Als Administrator ausführen« weglassen.
• Linux: Auf der Konsole könnt ihr einfach das folgende Skript ausführen und den Flashvorgang damit starten:
  Code

  ./8953_fastboot_all_images.sh

   

Der Vorgang wird nur kurze Zeit in Anspruch nehmen und erneut alle Daten auf dem Gerät löschen. Zur Kontrolle könnt ihr danach nochmal in den Fastbootmodus wechseln und die Firmware-Version kontrollieren:

Build Number: 2.7.1_20190513_1448

Hinweis

Wie ihr ein Firmware-Update einspielt, nachdem LineageOS bereits installiert ist, wird hier beschrieben.

Team Win Recovery Project (TWRP)

Für die Installation eines alternativen Betriebssystems benötigen wir ein Custom-Recovery-System. Wir nehmen hierfür das Bitte melde dich an, um diesen Link zu sehen. (TWRP). Da der Bootloader bereits entsperrt ist können wir TWRP in die vorhandene Recovery-Partition schreiben. Anschließend steht TWRP parallel zum Fastbootmodus zur Verfügung und ermöglicht unter anderem eben die Installation von LineageOS bzw. anderen Custom-ROMs.

Zunächst laden wir die aktuelle TWRP-Version für das BQ Aquaris X Pro herunter (twrp-3.3.1-0-bardock_pro.img) und versetzen unser Gerät erneut in den Fastbootmodus. Anschließend wird das Custom-Recovery-System geflasht:

fastboot flash recovery twrp-3.3.1-0-bardock_pro.img

Der Vorgang ist schnell abgeschlossen und wird nach erfolgreichem Abschluss mit einem »OKAY« bestätigt:

sending 'recovery' (35104 KB)...
OKAY [ 0.973s]
writing 'recovery'...
OKAY [ 0.180s]
finished. total time: 1.153s

Installation von LineageOS

• Bootloader entsperrt: Check
• Firmware aktualisiert: Check
• Custom-Recovery-System installiert: Check

Es sind nun alle Voraussetzungen für die Installation von LineageOS erfüllt. Wie sagt man doch so schön: »Viele Wege führen nach Rom«. Genau so verhält es sich mit der Installation von LineageOS. Im Folgenden halte ich mich an die Bitte melde dich an, um diesen Link zu sehen..

Schritt für Schritt zum Custom-ROM

Die nachfolgend aufgezeigten Schritte können je nach verwendeter Version von TWRP und Co. variieren. Für die Installation habe ich das LineageOS-Image »lineage-16.0-20190524-nightly-bardockpro-signed.zip« vom 24.05.2019 genommen. Es handelt sich dabei um die LineageOS Version 16.0 bzw. Android Pie. Die optional verfügbaren Google Apps installieren wir nicht – schließlich wollen wir die Kontrolle über unsere Daten zurückgewinnen:

• Download LineageOS: Ladet euch zunächst das Bitte melde dich an, um diesen Link zu sehen. für das BQ Aquaris X Pro herunter. Es handelt sich dabei um eine Zip-Datei, dessen Integrität ihr anschließend mit der SHA256-Hashsumme auf der Webseite überprüfen solltet:
  Code

  sha256sum /Downloads/LineageOS-Build.zip

   
• Recovery: Anschließend bootet ihr in den Custom-Recovery-Mode bzw. TWRP. Schaltet das Gerät zunächst vollständig aus. Haltet nun die Lautstärke-Taste »Lauter« und die Ein-/Aus-Taste gleichzeitig gedrückt bis eine weiße Hinweisschrift erscheint – wartet kurz ab, nach 5 Sekunden wird das Gerät in TWRP booten.
• Löschen: Eigentlich ist unser System komplett jungfräulich, dennoch werden wir nochmal alles löschen bzw. formatieren. Selektiert Wipe und dort Format Data. Bestätigt den Vorgang indem ihr yes eintippt und bestätigt. Danach rufen wir erneut Wipe und dort Advanced Wipe auf. Selektiert die Cache- und System-Partition und bestätigt den Vorgang mit einem Wisch nach rechts.
• Sideload LineageOS: Mittels ADB Sideload wird das LineageOS-Image anschließend auf das Gerät kopiert und installiert. Verbindet euer Gerät also erneut mittels USB-Kabel mit eurem Rechner und selektiert in TWRP Advanced -> ADB Sideload. Bestätigt den Vorgang mit einem Wisch nach rechts. Das Gerät befindet sich anschließend im Sideload-Modus und wartet auf die Übertragung eines Images. Auf eurem Rechner wird die Übertragung über die Konsole / Kommandoeingabe gestartet:
  Code

  adb sideload /Downloads/lineage-16.0-20190524-nightly-bardockpro-signed.zip

   

Herzlichen Glückwunsch – damit ist die Installation von LineageOS abgeschlossen.

LineageOS aktuell halten

Mit dem Wechsel auf LineageOS ist es natürlich nicht getan. Es gilt vielmehr auch hier, das System stets auf aktuellem Stand zu halten. Derzeit wollen wir noch kein Update einspielen, da ihr im Idealfall die neueste Version bereits installiert habt. Dennoch werde ich den Vorgang kurz beschreiben:

LineageOS (LOS) Updater starten:

• Navigiert zu »Einstellungen -> System -> Über das Telefon -> LineageOS-Updates«
• Tippt zunächst auf den Refresh-Button oben rechts in der Anzeige
• Anschließend ladet ihr das neueste Update bzw. Image herunter.
• Nach dem erfolgreichen Download wird euch das System fragen, ob ihr den Recovery-Mode (Bitte melde dich an, um diesen Link zu sehen.) booten wollt. Dies solltet ihr bejahen.
• Euer Gerät wird neu starten, TWRP aufrufen und das Update automatisch durchführen.

Danach wird das System selbst neu starten und ihr könnt euch wie gewohnt anmelden.

Weitere System-Einstellungen | Google: Root of all evil

Die Installation von LineageOS ist damit abgeschlossen – eine SIM-Karte haben wir bisher nicht eingelegt. Selbst wenn wir keine Google Apps installieren ist LineageOS über gewisse Schnittstellen bzw. Mechanismen (bspw. Captive Portal Check) weiterhin mit Google verbandelt. Diese Abhängigkeiten gilt es aufzulösen, damit Google im Idealfall kein einziges Datenpaket mehr von unserem Gerät erhält. Im weiteren Verlauf der Artikelserie werde ich darauf ausführlich eingehen.

Fazit

Der erste große Schritt in Richtung Unabhängigkeit und Datenhoheit ist geschafft. Auf eurem Gerät werkelt nun das alternative Android-System LineageOS. Doch Vorsicht: Auch hier ist nicht alles Gold was glänzt und wir müssen an ein paar Stellen nachbessern. Zum Beispiel übermittelt die Telefon-App von LineageOS bei einer Suche Bitte melde dich an, um diesen Link zu sehen. – aus Datenschutzperspektive ist das natürlich mehr als unschön.

Damit wir den ausgehenden Datenverkehr des Systems und der Apps kontrollieren können, werden wir die Firewall AFWall+ installieren. Doch bevor wir AFWall+ nutzen können, müssen wir zunächst Bitte melde dich an, um diesen Link zu sehen. auf unserem Gerät erlangen. Im kommenden Teil der Artikelserie werde ich die Unterschiede zwischen LineageOS SU und Bitte melde dich an, um diesen Link zu sehen. beleuchten – beide Root-Lösungen haben ihre Vor- und Nachteile. Für die Artikelserie wird letztendlich dann Magisk zum Einsatz kommen.

Bitte melde dich an, um diesen Link zu sehen.

Root-Rechte

Durch die Installation von LineageOS haben wir uns von den herstellereigenen Android-Systemen losgesagt. Doch allein der Wechsel zu einem alternativen Betriebssystem schützt uns nicht zwangsläufig vor dem ungewollten Abfluss sensibler Daten. Vielmehr bedarf es weiterer Anpassungen des Systems und dem Einsatz elementarer Apps wie Bitte melde dich an, um diesen Link zu sehen. und AdAway. Doch bevor wir diese nutzen können, müssen wir zunächst Bitte melde dich an, um diesen Link zu sehen. auf unserem Gerät erlangen.

Bei LineageOS gibt es aktuell zwei gangbare Wege, um Root-Rechte auf dem System zu erlangen. Der eine Weg führt über das von LineageOS bereitgestellte AddonSU, der andere Weg über Bitte melde dich an, um diesen Link zu sehen.. Beide Varianten werden im vorliegenden Beitrag vorgestellt und die Vor- und Nachteile beleuchtet.

Root: Verantwortungsvoller Umgang

Root als Besonderheit bei Unix- bzw. Linux-Derivaten ist vergleichbar mit Administrator-Rechten unter Windows. Bei Unix-artigen Systemen wird das Benutzerkonto »root« bei der Installation des Systems angelegt. Dieser Benutzer ist grundsätzlich nicht für die tägliche Arbeit mit dem System gedacht, da er weitreichende Rechte besitzt und damit eine Gefahr für das System darstellen kann.

Aus Sicherheitsgründen ist der Root-Zugriff daher standardmäßig auf jedem Android-System deaktiviert – und das ist auch gut so. Root-Zugang solltet ihr nur dann freischalten, wenn ihr mit dieser »Macht« verantwortungsvoll umgehen könnt. Ansonsten kann Root zu einem Sicherheitsrisiko werden und schadhaften Apps wären Tür und Tor geöffnet. Die Gefahren von einem fahrlässigen Umgang mit Root wären unter anderem:

• Aushebeln der Sicherheitsmechanismen: Apps mit Root-Zugriff können auf jegliche Bitte melde dich an, um diesen Link zu sehen. (Kontakte, SMS-Nachrichten, Standort usw.) bzw. Informationen auf dem Dateisystem ungehindert zugreifen und diese verändern. Dabei spielt es grundsätzlich keine Rolle, ob die App vor der Installation um Zugriffserlaubnis »gebeten« hat. Apps mit Root-Rechten hebeln den in Android integrierten Sicherheitsmechanismus bzw. das Sandbox-Prinzip aus und können, vereinfacht ausgedrückt, »tun was sie wollen«. Es ist daher von entscheidender Bedeutung nur jene Apps zu installieren, denen man auch »vertrauen« kann. Restzweifel können und sollten niemals gänzlich ausgeräumt werden. Vielmehr gilt es das Risiko so gering wie möglich zu halten.
• Modifikation des Systems: Mittels Dateimanagern oder Terminal ist der Zugriff auf geschützte bzw. systemrelevante Android-Dateien möglich. Durch das Löschen oder die Veränderung solcher Dateien kann das System unter Umständen nachhaltig beschädigt werden – eine Neuinstallation des Systems ist dann oftmals unausweichlich.
• Hardwareschäden: Ausgewählte Apps und Systemerweiterungen in Custom-ROMs ermöglichen den Zugriff auf die Hardware des Geräts. So lässt sich bspw. der CPU-Takt beeinflussen, was wiederum zur Instabilität bzw. zum kompletten Einfrieren des Systems führen kann. Bei falscher Anwendung sind solche Apps in der Lage, bleibende Hardwaredefekte auszulösen.

Root ist deshalb nur dann empfehlenswert, wenn ihr mit dieser »Macht« verantwortungsvoll umgeht. Tut ihr das nicht, besteht die Gefahr, dass genau das Gegenteil von dem eintritt, was das Projekt »Take back control!« eigentlich verfolgt. Der sorglose Umgang mit Root und die Installation von dubiosen Apps kann letztendlich zu einem kompletten Kontrollverlust über eure Daten führen.

Root ein generelles Sicherheitsrisiko?

Gerade beim Thema Root gehen nicht nur die Meinungen stark auseinander, sondern es werden oftmals auch falsche Informationen verbreitet. So wird bspw. die Frage

Zitat

Ist das Rooten eines Android-Systems ein Sicherheitsrisiko bzw. gefährlich?

pauschal mit einem »Ja« beantwortet. Aus technischer Sicht ist die Antwort allerdings etwas vielschichtiger. Mit Bitte melde dich an, um diesen Link zu sehen., AddonSU oder einer vergleichbaren Modifikation lassen sich unter Android Root-Rechte erlangen bzw. verwalten. Das bedeutet: Es ist möglich vollen Zugriff auf das Betriebssystem und dessen Ressourcen zu erlangen. Diverse Apps wie Bitte melde dich an, um diesen Link zu sehen. setzen diese Root-Rechte voraus, um überhaupt funktionieren zu können.

Eine weit verbreitete Meinung geht nun davon aus, dass nach dem Rooten eines Geräts jede App Root-Rechte hat und beliebig Aktionen durchführen kann – also sozusagen das Android-Berechtigungskonzept und Sandbox-Prinzip komplett umgehen kann. Das ist so allerdings nicht korrekt. Sobald eine App Root-Rechte verlangt, werdet ihr von Magisk / AddonSU gefragt, ob ihr diese autorisieren wollt oder nicht. Ihr könnt also temporär oder dauerhaft festlegen, ob ihr einer App den Zugriff auf den su-Befehl (substitute user) zugesteht, mittels dem Apps Root-Rechte erlangen können. Modifikationen wie Magisk bzw. AddonSU sind sozusagen Vermittler bzw. eine Art Türvorsteher, um den nicht autorisierten Zugriff auf Root zu verhindern.

Halten wir also fest: Apps haben nicht per se Root-Rechte oder können einfach auf jede Ressource im System zugreifen. Um Root-Rechte zu erlangen, muss eine App zunächst dafür autorisiert sein – und diese Autorisierung erfolgt über Magisk / AddonSU bzw. den Nutzer. Der Vermittler nimmt also su-Anfragen von Apps entgegen, verwendt dabei ein Polkit-ähnliches Konzept, um festzustellen, ob die App berechtigt ist diese Anfrage zu stellen und gewährt bzw. blockiert anschließend den Zugriff auf Root.

Wie kann man sich diesen Vorgang in der Praxis vorstellen? Ein Beispiel: Ihr möchtet mit der App Bitte melde dich an, um diesen Link zu sehen. eine Datei mit Root-Rechten bearbeiten. Damit Amaze diese Aktion durchführen kann benötigt es allerdings Root-Rechte, die dann bei Magisk / AddonSU angefragt werden. Ihr könnt anschließend entscheiden, ob ihr der App diese Root-Rechte (temporär) gewährt oder verweigert. Im Hintergrund passiert dabei Folgendes: Amaze wird zunächst mit eingeschränkten Nutzerrechten gestartet – eine Android-App wird niemals mit kompletten Root-Rechten gestartet, da dies ein erhebliches Sicherheitsrisiko darstellen würde. Eine gewisse Teilaufgabe (hier das Bearbeiten einer Datei) erfordert allerdings Root-Rechte. Via Magisk / AddonSU wird Amaze nun der Zugriff auf die Datei gewährt und damit gezielt für diese Aktion die benötigten Root-Privilegien erteilt. Es ist also überflüssig Apps mit Root-Rechten zu starten. AddonSU arbeitet also mit einem Polkit-ähnlichen Konzept, um Apps für bestimmte Programmaktionen Root-Rechte zu gewähren. Damit wird die potenzielle Angriffsfläche erheblich reduziert.

Zusammengefasst: Ein Smartphone zu rooten bedeutet nicht, dass nun fortan jede App mit Root-Rechten beliebige Aktionen auf dem System durchführen kann. Lediglich Magisk / AddonSU kann diese Root-Rechte bei Bedarf anfragenden Apps zugestehen. Ist der Zugriff auf den su-Befehl erlaubt, erteilt Magisk / AddonSU anschließend partielle Root-Rechte für App-Aktionen, die erhöhte Rechte erforderlich machen. Alle anderen Aktionen einer App werden über die eingeschränkten Nutzerrechte durchgeführt.

Banking-Apps und Co.: Root-Erkennung

Einige Apps prüfen vor dem Start, ob euer Android-System gerootet ist und verweigern anschließend den Dienst. Insbesondere Banking-Apps haben solche Root-Erkennungsmechanismen integriert, da viele Banken gerootete Android-Geräte pauschal als »Sicherheitsproblem« einstufen. Leider ist das zu kurzsichtig und wird den individuellen Rahmenbedingungen nicht gerecht.

Vielmehr ist das Vorgehen der Banken paradox. Einerseits stufen sie gerootete Geräte per se als »Sicherheitsproblem« ein, prüfen allerdings nicht, welchen Stand / Level die Sicherheitsupdates auf dem jeweiligen Gerät haben. Streng genommen gilt:

• Gerootete Geräte können ein Sicherheitsproblem für Banken bzw. den Nutzer darstellen
• Geräte, die keine aktuellen Sicherheitsupdates installiert haben, stellen ein Sicherheitsproblem für Banken bzw. den Nutzer dar

Das Vorgehen der Banken ist demnach nicht nur kurzsichtig, sondern auch inkonsequent und sogar fahrlässig. Würde eine Banking-App den Start auf Android-Geräten verweigern, die keine aktuellen Sicherheitsupdates installiert haben, so wären die Apps vermutlich auf über 95% der Geräte nicht mehr lauffähig.

Magisk vs. LineageOS AddonSU

Sowohl Magisk als auch das Bitte melde dich an, um diesen Link zu sehen. eignen sich grundsätzlich für die Erlangung von Root-Rechten auf eurem LineageOS-System. Wie immer liegt der Teufel allerdings im Detail, weshalb die Vor- und Nachteile beider Lösungen berücksichtigt werden sollten.

AddonSU verändert das Dateisystem und fügt der Systempartition des Androiden neue Dateien hinzu. Eine modifizierte Systempartition kann seit der Einführung von Googles SafetyNet-Dienst allerdings zu einem Problem werden. SafetyNet soll Bitte melde dich an, um diesen Link zu sehen. wie Root erkennen und soll den App-Anbieter vor potentiellem Missbrauch schützen. Insbesondere bei der Nutzung von Custom-ROMs oder gerooteten Geräten entwickelt sich SafetyNet immer mehr zu einem Ärgernis. Unter anderem verweigern Apps wie Netflix, Snapchat, Banking-Apps und Co. den Dienst, wenn der SafetyNet-Check fehlschlägt. Da AddonSU die Datei /system/bin/su bzw. /system/xbin/su anlegt, wird der SafetyNet-Check anschlagen und eine Root-Modifikation melden – die App wird dann unter Umständen nicht starten.

Eine weitere Problematik in Zusammenhang mit AddonSU (speziell mit dem BQ Aquaris X Pro) tritt auf, wenn eine App mit Root-Rechten versucht, die System-Partition zu beschreiben. AdAway kann bspw. die Hosts-Datei nicht schreiben und AFWall+ das Start-Datenleck-Skript nicht ablegen, das mögliche Datenlecks während des Systemstarts verhindern kann. Die Ursache des Problems fasst ein BQ-Aquaris-X-Pro-Maintainer wie folgt zusammen:

Zitat

Yes, it’s a known issue and it’s nothing that can we do in our side. BQ has a write protection on system partition. Each time that you try to mount system as rw, you’ll hang this issues.

Das Problem lässt sich zwar mit Boardmitteln umgehen, ist allerdings leider wenig komfortabel in der Handhabung, da der Vorgang praktisch bei jedem Update der Hosts-Datei von AdAway wiederholt werden muss.

Aufgrund dieser »Einschränkungen« von AddonSU wird in der Artikelserie Magisk zum Einsatz kommen. Im Folgenden werden die Vor- und Nachteile der beiden Varianten noch kurz zusammengefasst.

Vorteile

Die Vorteile von Magisk:

• Systemless-Root: Magisk nimmt bei der Installation keine Veränderungen an der /system-Partition vor, sondern integriert sich in das Boot-Image des Androiden. Alle Änderungen (Unroot) lassen sich, ohne Rückstände zu hinterlassen, wieder entfernen.
• SafetyNet: Die »Sicherheitsprüfungen« von SafetyNet werden bestanden bzw. Magisk kann diese umgehen. Mit dem Magisk-Modul Magisk-Hide kann unter anderem der Root-Zugriff vor Apps »verschleiert« werden.
• OTA-Updates: Nach Systemupdates von LineageOS ist es nicht notwendig den Root-Vorgang zu wiederholen. Magisk bringt entsprechende Skripte mit, die Magisk nach dem Einspielen eines Updates wieder in das Boot-Image integrieren.
• Erweiterungen: Magisk bietet eine Reihe von Erweiterungen bzw. Modulen, mit denen sich die Funktionalität erweitern lässt. Dadurch wird unter anderem auch das Einspielen von Hosts-Dateien (AdAway) ermöglicht, wenn Sicherheitsmechanismen wie Bitte melde dich an, um diesen Link zu sehen. aktiv sind.

Die Vorteile von AddonSU:

• Schlank: AddonSU verändert bzw. ergänzt nur ein paar Dateien auf der /system-Partition des Androiden. Das ist äußerst effizient, um Root-Rechte zu erlangen.
• OTA-Updates: Nach Systemupdates von LineageOS ist es nicht notwendig den Root-Vorgang zu wiederholen.

Nachteile

Die Nachteile von Magisk:

• Codebasis: Im Vergleich zu AddonSU basiert Magisk und die dazugehörige Manager-App auf hunderten Zeilen von Quellcode. Damit bietet es insgesamt eine größere Angriffsfläche als AddonSU.

Die Nachteile von AddonSU:

• SafetyNet Fail: AddonSU kann die SafetyNet-Checks nicht umgehen. Unter anderem wird die Root-Erkennung positiv ausfallen und diverse Apps werden den Dienst verweigern.
• System-Partition: Bei einigen Systemen ist das Beschreiben der System-Partition nicht ohne weitere Hilfsmittel bzw. den Umweg über das Terminal möglich. Solche Sicherheitsfeatures dienen eigentlich dem Schutz vor der unautorisierten Veränderung von Dateien durch Schadsoftware, verhindern allerdings auch, dass Apps wie AdAway und AFWall+ einwandfrei funktionieren. AddonSU bietet hierfür leider keine Lösung.

Magisk oder AddonSU?

Um der Artikelserie »Take back control!« weiter folgen zu können, ist das Rooten des Geräts empfehlenswert, da für einige Apps wie AFWall+ Root-Rechte vorausgesetzt werden. Grundsätzlich eignet sich sowohl Magisk als auch AddonSU für den Praxiseinsatz. Welches der beiden Varianten ihr den Vorzug gebt, hängt von euren individuellen Ansprüchen ab. Wenn ihr auf Apps aus dem Google Play Store nicht verzichten wollt bzw. könnt, dann solltet ihr euch für Magisk entscheiden, um bei Bedarf Bitte melde dich an, um diesen Link zu sehen. umgehen zu können. Bezieht ihr eure Apps allerdings vornehmlich aus dem freien F-Droid Store und scheut auch das Terminal nicht, um bspw. Bitte melde dich an, um diesen Link zu sehen. temporär zu deaktivieren, könnt ihr AddonSU in Betracht ziehen.

Da sich beide Root-Eingriffe wieder einfach rückgängig machen lassen, ist eure Entscheidung nicht in Stein gemeißelt. Ihr könnt jederzeit zur anderen Lösung greifen. Für die Artikelserie habe ich mich aus den oben genannten Gründen bzw. Vorteilen für Magisk entschieden.

Persönlich setze ich AddonSU ein. Das hat mehrere Gründe:

• Ich beziehe meine Apps ausschließlich aus dem F-Droid Store. Da gibt es keine SafetyNet-Checks, die umgangen werden müssen.
• Für mich stellt es kein Problem dar, Skripte für das Terminal zu schreiben bzw. bei Bedarf die Sicherheitsmechanismen von Android temporär auszuhebeln, um bspw. die Hosts-Datei von einem AdBlocker aktualisieren zu lassen.
• AddonSU ist vergleichsweise »simpel« und bietet insgesamt eine geringere Angriffsfläche als Magisk.

Auf Wunsch vieler Leser, hier der Vorgang für das Aushebeln der Sicherheitsmechanismen, wenn SuperSU installiert ist – ADB benötigt dazu Root-Rechte und das Gerät muss mit dem Rechner verbunden sein:

adb root
adb disable-verity
Ausgabe: Verity disabled on /vendor
Ausgabe: Verity disabled on /
adb reboot
adb root
adb shell
mount -o remount,rw /
mount -o remount,rw /vendor

Anschließend könnt ihr die Filterlisten in AdAway aktualisieren. Je nach Gerät und Build wird das nicht bei jedem funktionieren, daher empfehle ich weiterhin die Verwendung von Magisk. Anschließend solltet ihr neu starten und Bitte melde dich an, um diesen Link zu sehen. wieder aktivieren:

adb root
adb enable-verity

Hinweis

Solltet ihr das Rooten eures Geräts – aus welchen Gründen auch immer – ablehnen, könnt ihr der Artikelserie »Android unter Kontrolle« ab Bitte melde dich an, um diesen Link zu sehen. folgen.

Magisk

Magisk ist eine Modifikation für Android, deren Quellcode für jeden einsehbar ist. Im Gegensatz zu herkömmlichen Root-Methoden verändert Magisk die /system-Partition nicht. Das ermöglicht die Nutzung von Apps, die aufgrund von SafetyNet-Checks ihren Dienst auf Custom-ROMs oder gerooteten Geräten verweigern.

Vorarbeiten

Die Installation von Magisk setzt nahtlos dort an, wo der Bitte melde dich an, um diesen Link zu sehen. endete: Mit der erfolgreichen Installation von LineageOS. Bootet das Gerät nun zum ersten Mal. LineageOS wird zunächst die /data-Partition verschlüsseln und euch dann mit dem Einrichtungsassistenten begrüßen. Folgendes solltet ihr bei der Ersteinrichtung beachten:

• Verbindet euch nicht mit einem WLAN, das tun wir erst nach der Installation von AFWall+.
• Bei der Auswahl »Standortdienste« entfernt ihr bitte das Häkchen bei Erlaubt Apps, die um Ihre Erlaubnis gebeten haben,[...].
• Im Fenster »LineageOS-Funktionen«
  • entfernt ihr bitte das Häkchen bei Helfen LineageOS zu verbessern,[...]
  • und ergänzt das Häkchen bei Aktivieren Sie den Datenschutz,[...]
    

Für die Installation von Magisk müssen wir das Gerät zunächst ausschalten und in den Custom-Recovery-Mode versetzen. Haltet dazu die Lautstärke-Taste »Lauter« und die Ein-/Aus-Taste gleichzeitig gedrückt bis eine weiße Hinweisschrift erscheint – wartet kurz ab, nach 5 Sekunden wird das Gerät in TWRP booten.

Installation Magisk

Vor der Installation laden wir zunächst die notwendigen Dateien von der GitHub-Projektseite unter Releases:

• Magisk: Ladet euch die aktuelle Magisk-Version herunter (aktuell v19.2). Die Datei nennt sich Magisk-v19.2.zip.
• Magisk-Manager: Zusätzlich benötigt ihr noch die Magisk-Manager-App. Aktuell in der Version 7.2.0 heißt die Datei MagiskManager-v7.2.0.apk.

Für die Installation von Magisk geht ihr wie folgt vor:

• TWRP starten und das Gerät via USB mit dem Rechner verbinden
• Öffnet das Menü Advanced und tippt dort auf ADB Sideload
• Wischt einmal von links nach rechts über den Bildschirm und versetzt euer Gerät damit in den Sideload-Modus. Auf eurem Rechner wird die Übertragung über die Konsole / Kommandoeingabe gestartet:
  Code

  adb sideload Magisk-v19.2.zip

   

Nachdem der Vorgang abgeschlossen ist, könnt ihr das System mit einem Fingertipp auf Reboot System neu starten.

Installation Magisk-Manager

Verbindet das Gerät erneut via USB-Kabel mit eurem Rechner. Anschließend öffnet ihr die Quick-Settings – wischt dazu einfach mit dem Finger oben am Bildschirmrand nach unten:

Tippt auf Gerät wird über USB aufgeladen und selektiert dort Folgendes:

Das BQ Aquaris X Pro wird anschließend im Dateimanager erscheinen und ihr könnt direkt auf Dateiebene auf das Gerät zugreifen. Kopiert die Datei MagiskManager-v7.2.0.apk in das Download-Verzeichnis auf dem Gerät. Startet anschließend die App Dateien und tippt auf die eben übertragene Datei:

Vor der Installation des Magisk-Managers wird in Android eine Warnung erscheinen. Dieser Mechanismus soll davor schützen, dass man versehentlich Apps aus »unbekannten Quellen« (fernab des Google Play Stores) installiert und sich darüber Schadsoftware einfängt. Der Hinweis wird mit einem Fingertipp auf Weiter bestätigt und die Installation abgeschlossen:

Herzlichen Glückwunsch – damit ist die Installation von Magisk abgeschlossen.

Erste Schritte

Grundsätzlich ist eine weitere Konfiguration von Magisk zunächst nicht notwendig. Im Laufe der Artikelserie werde ich allerdings immer mal wieder auf Magisk zurückgreifen und auf ein paar Einstellungen eingehen. Im Folgenden werfen wir dennoch kurz einen Blick auf die Benutzeroberfläche von Magisk.

Startet die App Magisk-Manager zum ersten Mal. Direkt im Hauptmenü werden euch die aktuelle Versionsnummer von Magisk und des Magisk-Managers angezeigt. Die zwei grünen Häkchen bestätigen die erfolgreiche Installation von Magisk bzw. die Erlangung von Root-Rechten auf dem Gerät:

Über das interne Menü könnt ihr anschließend den Unterpunkt Magisk Hide auswählen:

Dort werden euch alle installierten Apps vom Gerät aufgelistet. Wenn ihr hinter einer App das Häkchen setzt, wird Magisk versuchen den Root-Zugang vor der jeweiligen App zu »verschleiern«. Eine Garantie, dass die Root-Verschleierung bei jeder App funktioniert, gibt es natürlich nicht. Mittlerweile ist Magisk so bekannt, dass App-Entwickler schon Erkennungsmechanismen für Magisk in ihre Apps integrieren. Letztendlich ist es ein fortwährendes Katz-und-Maus-Spiel zwischen Google, den App-Entwicklern und der Magisk-Community.

Unter Einstellungen könnt ihr den Superuser-Zugriff bei Bedarf beschränken. Die Optionen reichen von komplett deaktivieren über

• Nur Apps
• Nur ADB
• bis hin zur Standardeinstellung: Apps und ADB

In jedem Fall solltet ihr die Option »Automatisch beantworten« auf Nachfragen einstellen bzw. voreingestellt lassen. Würdet ihr hier bspw. Gewähren auswählen, würde jede App, die Root-Rechte erlangen möchte, diese automatisch und ohne Rückfrage gewährt bekommen – das kommt einem Kontrollverlust gleich.

Auf weitere Einstellungen von Magisk werde ich im Rahmen der Artikelserie eingehen, sobald diese erforderlich sind.

Hinweis

Weitere Informationen zu Magisk findet ihr bei IzzyOnDroid: Bitte melde dich an, um diesen Link zu sehen..

Fazit

Es gibt gute Gründe fürs Rooten von Android. Doch dieser Eingriff ins System ist nicht ungefährlich und hat auch seine Schattenseiten. Wenn ihr mit dem Root-Zugriff nicht verantwortungsvoll umgeht, hebelt ihr wichtige Teile von Androids Sicherheitskonzept aus – dessen solltet ihr euch stets bewusst sein.

Durch die Einführung von Googles SafetyNet-Dienst kann es sogar vorkommen, dass die Alltagstauglichkeit des Smartphones durch den Root-Zugriff eingeschränkt wird. Eine möglicher Ausweg aus diesem Dilemma ist Magisk. Es bleibt abzuwarten, wie lange Google noch an der Seitenlinie steht und Magisk durch Anpassungen am System nicht komplett vom Spielfeld verbannt.

Im kommenden Beitrag der Artikelserie »Bitte melde dich an, um diesen Link zu sehen.« werden wir das Android-Firewall-Frontend AFWall+ installieren und konfigurieren. Ursprünglich sollten uns Firewalls primär vor »Gefahren« von außen schützen. Dieser primäre Einsatzzweck von Firewalls hat sich jedoch zunehmend gewandelt. Firewalls auf Android dienen fast ausschließlich der Überwachung und Kontrolle ausgehender Datenverbindungen.

Bitte melde dich an, um diesen Link zu sehen.

Firewall

Im letzten Teil der Artikelserie »Take back control!« haben wir uns mithilfe von Magisk Root-Rechte auf unserem Android-System verschafft. Dieser Schritt war notwendig, da Apps wie AFWall+ und AdAway Root-Rechte zwingend voraussetzen.

An dieser Stelle sollten wir uns nochmal ins Gedächtnis rufen, dass uns ein Wechsel zu einem alternativen Betriebssystem wie LineageOS nicht zwangsläufig vor dem ungewollten Abfluss sensibler Daten schützt. Vielmehr bedarf es weiterer Anpassungen, damit wir das Android-Smartphone »selbstbestimmt« nutzen können. Eine wichtige Komponente unserer Abwehrstrategie ist die Verwendung einer Firewall, mit der wir den Datenverkehr des Androiden kontrollieren. Ursprünglich sollten uns Firewalls primär vor »Gefahren« von außen schützen. Dieser primäre Einsatzzweck von Firewalls hat sich jedoch zunehmend gewandelt. Firewalls auf Client-Systemen dienen nunmehr vermehrt der Überwachung und Kontrolle ausgehender Datenverbindungen.

Für Android existieren verschiedene Firewall-Lösungen – nennenswert sind allerdings nur zwei: Bitte melde dich an, um diesen Link zu sehen. und AFWall+. Im vorliegenden Beitrag stelle ich euch die Installation und Konfiguration von AFWall+ vor. Die Firewall entspricht eher dem Grundgedanken der Artikelserie »Take back control!«, da sie mehr Freiheiten bietet.

AFWall+

AFWall+ ist ein Bitte melde dich an, um diesen Link zu sehen. für die aus der GNU/Linux-Welt bekannte Firewall iptables. Sie ermöglicht die Kontrolle darüber, welche App oder Systemdienst Zugriff auf das Datennetzwerk über 2G/3G/LTE/5G, Roaming, WiFi oder VPN haben soll. Sie ist aus meiner Sicht ein essentieller Bestandteil eines jeden gerooteten Android-Geräts, um den ungewollten Abfluss von Informationen zu kontrollieren.

AFWall+ ist in seiner Basis-Funktionalität relativ einfach zu bedienen, sofern man das Konzept einer Firewall einmal verstanden hat. Kompliziert wird es erst mit speziellen Anwendungsfällen, die über Bitte melde dich an, um diesen Link zu sehen. abgebildet werden. Wer eine benutzerfreundliche Alternative zu AFWall+ sucht oder sein Gerät nicht rooten kann / möchte, der sollte einen Blick auf NetGuard werfen.

Digitaler Türvorsteher

Nicht nur Android-Apps sind in der Regel äußert »telefonierfreudig«, sondern auch Systemkomponenten. Wie häufig euer System und eure Apps »nach Hause« telefonieren ist abhängig von unterschiedlichen Faktoren. Auf zwei entscheidende möchte ich kurz eingehen:

• App-Store: Ein großer Nachteil der überwiegend proprietären Apps, die sich im Google Play Store befinden, ist die mit ihrer Bitte melde dich an, um diesen Link zu sehen. verbundene Intransparenz der Datenverarbeitung. Denn bei diesen proprietären Apps wissen wir nicht und können es auch oftmals nicht überprüfen, was sie eigentlich (ohne unser Wissen) so anstellen – sprich, welche Daten sie an den Hersteller bzw. Dritte übermitteln. Eine weitere Problematik von proprietären Apps ist die oftmals schwer überprüfbare »Überwachung« des Nutzers durch Tracker- und Werbemodule, wie Andreas Itzchak Rehberg (Izzy) in seiner lesenswerten Analyse »Was hat es mit den Modulen in Android Apps auf sich?« aufzeigt. Das bedeutet: Gerade derjenige, der seine Apps vornehmlich aus kommerziellen App-Stores wie dem Play Store bezieht, der sollte den ausgehenden Datenverkehr zwingend mit einer Firewall kontrollieren – oder besser: Auf einen Großteil der Apps verzichten und überwiegend auf Apps aus dem Bitte melde dich an, um diesen Link zu sehen. zurückgreifen.
• System: Es sind jedoch nicht die Apps alleine, die eure Daten größtenteils ungeniert abfragen und übermitteln. Auch euer System bzw. unterschiedliche Dienste auf dem System erfassen ständig Daten und übermitteln diese an den (Smartphone-)Hersteller – allen voran Google selbst. Auf handelsüblichen Android-Smartphones sind bspw. die Google-Play-Dienste bereits vorinstalliert, die im Hintergrund eine Vielzahl von Informationen erfassen und an Google übermitteln. Dieser ausgehende »Schnüffelverkehr« lässt sich ebenfalls über eine Android-Firewall reglementieren und eindämmen. Doch auch hier gilt: Der Verzicht auf das »Original-System« bzw. Bitte melde dich an, um diesen Link zu sehen. ist langfristig die klügere Variante, um die Datenhoheit über sein Smartphone zu behalten. Insbesondere aber auch deshalb, weil die offiziellen Stock-ROMs oftmals nur kurz mit Sicherheitsupdates versorgt werden. Eben aus diesen Gründen haben wir bereits LineageOS installiert.

Es gibt also gute Gründe für den Einsatz einer Firewall auf einem Android-System. Natürlich kann man sich trefflich darüber streiten, ob all diese Verbindungen per se »schädlich« sind oder zum Ziel haben, unsere Daten zu »verraten« – ein mulmiges Gefühl ist jedenfalls immer da. Denn eines sollte man sich immer vor Augen führen. Mit jeder neuen Verbindung, die unser Smartphone mit den entsprechenden Servern herstellt, wird, ob wir wollen oder nicht, zumindest unsere IP-Adresse, die eine personenbezogene Information von uns darstellt, an die entsprechenden Organisationen übermittelt. Die Übermittlung und weitere Verarbeitung dieser Information erfolgt, ohne dass wir hierüber (ausreichend) informiert wurden bzw. werden. Alleine diese Tatsache ist aus datenschutzrechtlicher Sicht nicht gerade unproblematisch.

Installation

Als Installationsmedium nutzen wir direkt das APK-File von AFWall+, das über Bitte melde dich an, um diesen Link zu sehen. angeboten wird. Das hat einen einfachen Grund: Im späteren Verlauf der Artikelserie werden wir F-Droid in Betrieb nehmen und können darüber anschließend nahtlos Updates für AFWall+ einspielen:

• Download: Bezieht zunächst die neueste Version von AFWall+ von der F-Droid -Seite. Klickt unten bei »Packages« auf Download APK (Version 3.1.0) und sichert die Datei zunächst auf eurem Rechner.
• PGP-Signatur: Optional könnt ihr die PGP-Signatur der heruntergeladenen APK-Datei prüfen und so sicherstellen, dass die Datei nicht beschädigt oder verändert wurde. Dazu müsst ihr zunächst den öffentlichen F-Droid-Signing-Key importieren:
  Code

  gpg --keyserver pgp.mit.edu --recv-keys 0x41e7044e1dba2e89

  Anschließend kann der Fingerabdruck geprüft werden:

  Code

  gpg --verify dev.ukanth.ufirewall_17111.apk.asc dev.ukanth.ufirewall_17111.apk

  Ist der Haupt- und Unter-Fingerabdruck identisch mit jenen auf der Bitte melde dich an, um diesen Link zu sehen.?

  Code

  Haupt-Fingerabdruck = 37D2 C987 89D8 3119 4839 4E3E 41E7 044E 1DBA 2E89
  Unter-Fingerabdruck = 802A 9799 0161 1234 6E1F EFF4 7A02 9E54 DD5D CE7A

   
• Installation: Sofern die PGP-Signatur übereinstimmt, könnt ihr die APK-Datei via USB-Kabel auf das Gerät kopieren. Auf eurem Gerät könnt ihr die Datei anschließend antippen und die Installation starten. Vor der Installation von AFWall+ wird in Android eine Warnung erscheinen. Dieser Mechanismus soll davor schützen, dass man versehentlich Apps aus »unbekannten Quellen« (fernab des Google Play Stores) installiert und sich darüber Schadsoftware einfängt. Der Hinweis wird mit einem Fingertipp auf Weiter bestätigt und die Installation abgeschlossen.
• Initialer Start: Beim Start von AFWall+ wird die App prüfen, ob sie für bestimmte Operationen Root-Rechte erlangen kann. Magisk wird diese Abfrage abfangen und euch die Wahl überlassen, ob sich die App Root-Rechte verschaffen darf. In unserem Fall ist dies natürlich gewünscht – daher bestätigen wir die Abfrage mit einem Tipp auf Gewähren:

AFWall+ in der Praxis

AFWall+ vollständig zu überblicken und alle Funktionen (bspw. CustomScripts) zu beherrschen, stellt zunächst eine nicht zu unterschätzende Herausforderung dar. Vermutlich werde ich es in meiner Darstellung nicht schaffen, alle potenziell aufkommenden Fragen abschließend zu beantworten bzw. euch eine vollständige Anleitung über die Bedienung dieser komplexen App an die Hand zu geben. In meiner Ausführung werde ich auf die wichtigsten Funktionen eingehen und die elementaren Einstellungen der AFWall+ besprechen.

Da jedes Android-Smartphone inklusive der darauf installierten Apps für sich gesehen praktisch einzigartig ist, kann ich es euch nicht abnehmen, eigene Erfahrungen mit der AFWall+ zu sammeln. Diese könnt ihr sehr gerne auch über die Kommentar-Funktion des Blogs oder im Forum mit anderen Lesern teilen und diskutieren.

Hinweis

Erfahrungsgemäß treten bei der Einführung von neuen Android-Versionen immer mal wieder Probleme mit AFWall+ auf. Die nachfolgende Anleitung bezieht sich daher auf Android Pie – also Android 9.

Das User-Interface

Unmittelbar nach dem Start werden alle installierten Apps eingelesen und untereinander aufgelistet. Systemkomponenten bzw. vorinstallierte Apps lassen sich relativ einfach anhand der grünen (oder auch mal gelben) Schriftfarbe identifizieren. In der Spalte über den Apps sind die verschiedenen Netzwerk-Interfaces erkennbar, die es euch ermöglichen, Apps entsprechend der Verbindungsart (WLAN, mobile Datenverbindung über 2G/3G/LTE/5G, VPN, LAN oder Roaming) zu reglementieren.

Die AFWall+ bietet hierfür zwei unterschiedliche Betriebsmodi an. Als Nutzer könnt ihr zwischen dem White-List- und dem Black-List-Modus wählen:

• White-List-Modus: Ausschließlich selektierte Apps (mit einem Häkchen) dürfen WLAN-, mobile Daten oder ein anderes Interface zur Kommunikation nutzen, um darüber eine Datenverbindung aufzubauen. Demzufolge dürfen alle Apps, bei denen ihr kein Häkchen gesetzt habt, auch nicht nach »außen« kommunizieren.
• Black-List-Modus: Hier verhält es sich genau umgekehrt. Hierbei gilt es nämlich alle Apps zu selektieren (anzuhaken), die nicht nach »außen« über das entsprechende Interface kommunizieren dürfen.

Im Auslieferungszustand arbeitet die AFWall+ nach dem White-List-Prinzip, was ich auch genauso beibehalte und jedem empfehlen kann. Die Basisfunktionalität ist somit schnell erklärt: Alle Apps die ihr mit einem Häkchen verseht, dürfen eine Verbindung in das Internet bzw. vom Gerät nach »außen« aufbauen.

Basiskonfiguration

Über die drei Pünktchen im oberen rechten Rand der AFWall+ gelangt ihr in ein weiteres Optionsmenü, worüber ihr die »Einstellungen« erreicht. Meine vorgeschlagenen Einstellungen sind wie folgt:

• Sprache umstellen: Wenn die AFWall+ noch in englischer Sprache läuft, könnt ihr die Sprache unter dem Punkt »Languages/Plugins« in German ändern.
• APP-UID: Bei Android wird jeder App eine eindeutige ID (Bitte melde dich an, um diesen Link zu sehen.) vom System zugewiesen, anhand derer ihr das »Verhalten« einer App nachvollziehen könnt. Damit eine Zuordnung über das Firewall-Log später einfacher gelingt, solltet ihr ein Häkchen unter »Benutzeroberfläche« -> APP-UID-Anzeige setzen.
• Interfaces | IPv6: Unter dem Eintrag »Regel/Verbindung« solltet ihr prüfen, ob das Häcken bei Aktive Regeln gesetzt ist. Wenn ja, wird bei jeder Änderung des Netzwerkzustands (bspw. WLAN An / Aus) die in AFWall+ definierten Regeln erneut geladen. Weiterhin könnt ihr Netzwerk-Interfaces aktivieren bzw. deaktivieren, über die später die Apps kommunizieren sollen. Ich setze bspw. ein Häkchen bei VPN-Steuerung, weil ich oftmals eine VPN-Verbindung aufbaue und gewisse Apps darüber dann auch mit der Außenwelt kommunizieren dürfen. Ob ihr die Unterstützung für IPv6 aktiv lasst, müsst ihr individuell für euch entscheiden – persönlich deaktiviere ich den IPv6-Support.
• Datenlecks beim Systemstart verhindern: Die durchaus sinnvolle Funktion soll verhindern, dass Apps während des Boot-Vorgangs Verbindungen nach »außen« aufbauen. Ein AFWall+-Skript klinkt sich deshalb in einer frühen Boot-Phase als systemd-Skript in das System ein und kann das Datenleck unterbinden. Für die Aktivierung setzt ihr unter »Experimentell« das Startverzeichnis für das Skript auf /data/adb/service.d/. Anschließend dürft ihr das Häkchen bei Start-Datenleck beheben nicht vergessen.
• DNS-Requests: Damit AFWall+ alle DNS-Anfragen den entsprechenden Apps sauber zuordnen kann, solltet ihr DNS via netd deaktivieren. Öffnet dazu das Menü »Binärdateien« und wählt bei DNS-Proxy den Eintrag DNS über netd deaktivieren.

Empfohlene Regelsätze

Nach einer Erstinstallation von AFWall+ steht ihr vor der Herausforderung zu entscheiden, welche Apps tatsächlich Internetzugriff benötigen bzw. bekommen sollten. Weiterhin gilt es vermeintliche Abhängigkeiten von Apps zu ihren »Helper-Apps« aufzulösen, um diesen gegebenenfalls auch den Zugriff nach »außen« zu erlauben. Generell gilt: Ihr solltet nur jenen Apps Internet-Zugriff gestatten, bei denen dies auch wirklich notwendig ist.

Ausgehend von einer »frischen« LineageOS-Installation schlage ich folgende Whitelist-Regeln für eure AFWall+ vor:

• (Root) – Apps mit Root-Rechten: Ein Häkchen bei dieser Systemregel ist Pflicht. Sie wird unter anderem für die DNS-Namensauflösung benötigt.
• (NTP) – Internet-Zeitserver: Ermöglicht die Zeitsynchronisation, falls ihr die Funktion »Autom. Datum/Uhrzeit« aktiviert habt.
• Updater: Für LineageOS erscheinen in der Regel kontinuierlich Updates. Das Whitelisting der App »Updater« soll uns auf neue Updates hinweisen, die wir bei Bedarf dann einspielen.
• Medienspeicher, Download-Manager […]: Auch bei dieser Regel solltet ihr ein Häkchen setzen. Ansonsten könnt ihr via Browser bspw. keine Dateien herunterladen. Bei dieser Freigabe handelt es sich um eine »Helper-App«. Einige eurer Apps werden nur dann korrekt funktionieren, wenn ihr solche Helper-Apps identifiziert und entsprechend freischaltet.

Anschließend könnt ihr die Firewall zum ersten Mal aktivieren. Tippt dazu auf die drei Pünktchen und wählt anschließend Firewall aktivieren. Nach der initialen Konfiguration (ohne zusätzliches Häkchen bei VPN-Interface) ergibt sich folgendes Bild:

Im Einzelfall kann es notwendig werden, weiteren »Helper-Apps« den Zugriff auf das Internet zu erlauben. Für den »Normalgebrauch« sollten jedoch die oben dargestellten Regelsätze zunächst einmal ausreichen. Erfahrungsgemäß werdet ihr aber besonders bei Apps mit Video- oder Audioinhalten auf erste Schwierigkeiten stoßen, da viele Android-Apps hierfür die Systemkomponente »(Medien) – Medienserver« benötigen. Erst nachdem dieser App ebenfalls der Internetzugriff erlaubt ist, kann die Darstellung bzw. Wiedergabe von Video- und Audioinhalten bei einigen Apps gelingen.

Logging-Funktion

Um entsprechende Abhängigkeiten von Apps zu ihren Helper-Apps zu identifizieren oder um sich einfach mal vor Augen zu führen, welche Anfragen nach »draußen« von der AFWall+ blockiert werden, stellt das Firewall-Protokoll ein Hilfsmittel dar. Standardmäßig ist in der AFWall+ diese Protokollierung nicht aktiv. Deshalb müsst ihr diese über »Einstellungen -> Protokoll« zunächst einmal aktivieren. Hierfür setzt ihr einfach ein Häkchen bei Protokolldienst einschalten. Wenn ihr zusätzlich ein Hinweisfenster eingeblendet haben wollt, mit dem euch in Echtzeit angezeigt wird, was die Firewall alles blockt, könnt ihr ebenfalls ein Häkchen bei Meldungen einblenden setzen.

Anschließend könnt ihr das Protokoll über »Einstellungen -> Protokoll anzeigen« einsehen. Über das Menü habe ich Zur alten Ansicht wechseln ausgewählt, um die IP-Adressen einzusehen:

Wie wir dem Bild entnehmen können, versucht das neu installierte LineageOS über die UKW-Radio-App und den Chrome-Browser Verbindungen zu Google-Adressen aufzunehmen. Das ist insofern fraglich, weil die Apps nicht einmal gestartet wurden. Daher nochmal zur Erinnerung: Allein der Wechsel zu einem alternativen Betriebssystem wie LineageOS schützt uns nicht zwangsläufig vor dem ungewollten Abfluss von Informationen bzw. dem Kontakt mit Datensammlern wie Google.

Keine Sorge, in einem weiteren Teil der Artikelserie werden wir diese Datenschleudern identifizieren und deaktivieren. Mit der AFWall+ habt ihr nun eine erste »Grundimmunisierung« vor solch unliebsamen Verbindungen.

Hinweis

Ein weiteres Hilfsmittel zur Identifikation von Netzwerkverbindungen ist die App Net Monitor.

Captive Portal Check deaktivieren

Ihr werdet es sicherlich bemerkt haben, beim WLAN-Symbol in der Android-Menüleiste wird ein kleines Kreuz angezeigt. Jedes Mal wenn sich euer Android-Gerät mit einem WLAN verbindet, führt das System einen Bitte melde dich an, um diesen Link zu sehen. durch. Android will damit sicherstellen, dass sich euer Gerät nicht nur mit einem WLAN Access Point verbunden hat, sondern tatsächlich auch Ziele im Internet erreichen kann. Üblicherweise ist der Captive Portal Check immer dann sinnvoll, wenn ihr euch in einem Hotel befindet und der Zugang zum Internet zunächst über einen Coupon oder Ähnliches freigeschaltet werden muss. Dass der Check fehlgeschlagen ist, könnt ihr nun an einem kleinen Ausrufezeichen oder »X« direkt am unteren Rand des WLAN-Symbols erkennen – AFWall+ blockt die entsprechenden Pakete einfach.

Android sendet zur Prüfung eine Anfrage an die Adresse »connectivitycheck.gstatic.com«. Ist die Anfrage erfolgreich bzw. wird mit dem HTTP Response-Code 204 beantwortet, besteht Zugang zum Internet. Mit dieser Anfrage übermittelt das System Informationen zur IP-Adresse des Anschlusses, dem Zeitpunkt des Internet-Zugangs und welcher Browser aktuell verwendet wird an Google.

Ihr habt nun zwei Möglichkeiten, um der Übermittlung an Google aus dem Weg zu gehen:

• Ihr nutzt Bitte melde dich an, um diesen Link zu sehen. bzw. eine gleichwertige Alternative
• oder deaktiviert den Connectivity-Check vollständig

Um den Connectivity-Check unter Android Pie zu deaktivieren, benötigt ihr Root-Rechte für die ADB. Öffnet daher zunächst Magisk navigiert zu den Einstellungen und wählt bei Superuser-Zugriff Apps und ADB. Anschließend öffnet ihr die Systemeinstellungen von Android und navigiert zu System -> Entwickleroptionen. Setzt dann ein Häkchen bei Lokales Terminal. Anschließend öffnet ihr die Terminal-App, autorisiert den Root-Zugriff (bei Anfrage) und gebt folgende Befehle ein:

su
su
pm disable com.android.captiveportallogin

settings put global captive_portal_detection_enabled 0
settings put global captive_portal_server localhost
settings put global captive_portal_mode 0

reboot

Den Befehl »su« (substitute user identity – Wechsel zum Benutzer root) müsst ihr vermutlich aufgrund von SELinux zweimal eingeben. Erst dann werden die Befehle angenommen bzw. ausgeführt. Nach einem Neustart wird der Captive Portal Check deaktiviert sein und das kleine Kreuz am WLAN-Symbol verschwinden.

Hinweis

Die Deaktivierung des Captive Portal Checks kann dazu führen, dass ihr in Hotels die Login-Seite zum WiFi nicht mehr angezeigt bekommt. Bisher ist mir dieses Problem allerdings noch nicht untergekommen – eventuell hat jemand einen Lösungsvorschlag, wie man sich dennoch einloggen kann.

CustomScripts: Nur für Nerds!

Erfahrene Anwender können über CustomScripts der AFWall+ den vollen Funktionsumfang der iptables-Firewall ansteuern. Bevor ihr aber wild herumexperimentiert, solltet ihr euch vor diesem nicht unkomplizierten Unterfangen zunächst ausführlich über iptables und der hierbei gebotenen Möglichkeiten informieren. Eine gute Informationsquelle ist der Bitte melde dich an, um diesen Link zu sehen. und auch der offizielle Einstieg in die CustomScripts im AFWall+-Wiki.

Hinweis

Ein falscher Umgang mit iptables bzw. CustomScripts kann euer Smartphone für sämtliche Netzwerkverbindungen von jetzt auf gleich komplett sperren. Eine Aufhebung dieser Sperrung ist nicht so einfach möglich bzw. nur dann, wenn ihr euch vorher ausreichend informiert habt. Die nachfolgenden Ausführungen sollen euch aufzeigen, wie ihr CustomScripts wirkungsvoll einsetzen könnt.

Startup- und Shutdown-Skript

Das Skript »iptables.sh« wird immer ausgeführt, wenn die Firewall gestartet wird bzw. die Regelsätze neu geladen werden. Alle Befehle sind kommentiert – ihr solltet das Regelwerk bitte keinesfalls einfach kopieren und bei euch einsetzen, sondern euch zuvor eingehend mit iptables befassen und an eure Bedürfnisse anpassen:

## iptables.sh
## AFWall+ CustomScript & some tweaks
## Mike Kuketz
## www.kuketz-blog.de
## Changes: 25.09.2018
##
## iptables -L
## iptables -S
## iptables -L -t nat

####################
# Tweaks #
####################
## Kernel
# Disable IPv6
echo 0 > /proc/sys/net/ipv6/conf/wlan0/accept_ra
echo 1 > /proc/sys/net/ipv6/conf/all/disable_ipv6
echo 1 > /proc/sys/net/ipv6/conf/default/disable_ipv6
# Privacy IPv6 Address
echo 2 > /proc/sys/net/ipv6/conf/all/use_tempaddr
echo 2 > /proc/sys/net/ipv6/conf/default/use_tempaddr
## System
# Disable Captive Portal - Android Pie 9
pm disable com.android.captiveportallogin
settings put global captive_portal_detection_enabled 0
settings put global captive_portal_server localhost
settings put global captive_portal_mode 0
# Disable Global NTP Server
settings put global ntp_server 127.0.0.1

####################
# iptables #
####################
IPTABLES=/system/bin/iptables
IP6TABLES=/system/bin/ip6tables

####################
# Defaults #
####################
# IPv4 connections
$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP
$IPTABLES -P OUTPUT DROP

# IPv6 connections
$IP6TABLES -P INPUT DROP
$IP6TABLES -P FORWARD DROP
$IP6TABLES -P OUTPUT DROP

#####################
# Special Rules #
#####################
# Allow loopback interface lo
$IPTABLES -A INPUT -i lo -j ACCEPT
$IPTABLES -A "afwall" -o lo -j ACCEPT

# Set a specific DNS-Server (dismail.de AdBlocking DNS-Server) for all networks except home WiFi (192.168.150.0/24)
$IPTABLES -t nat -I OUTPUT ! -s 192.168.150.0/24 -p tcp --dport 53 -j DNAT --to-destination 80.241.218.68:53
$IPTABLES -t nat -I OUTPUT ! -s 192.168.150.0/24 -p udp --dport 53 -j DNAT --to-destination 80.241.218.68:53

# Force a specific NTP (ntp0.fau.de), Location: University Erlangen-Nuernberg
$IPTABLES -t nat -A OUTPUT -p tcp --dport 123 -j DNAT --to-destination 131.188.3.222:123
$IPTABLES -t nat -A OUTPUT -p udp --dport 123 -j DNAT --to-destination 131.188.3.222:123

# Allow captive portal check (captiveportal.kuketz.de) $IPTABLES -A "afwall" -d 185.163.119.132 -p tcp --dport 80 -j ACCEPT
$IPTABLES -A "afwall" -d 185.163.119.132 -p tcp --dport 443 -j ACCEPT

#####################
# Incoming Traffic #
#####################
# Allow all traffic from an established connection
$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Alle Pakete ordentlich zurückweisen
$IPTABLES -A INPUT -p tcp -j REJECT --reject-with tcp-reset
$IPTABLES -A INPUT -j REJECT --reject-with icmp-port-unreachable

Und das Shutdown-Skript, zum Deaktivieren / Herunterfahren der Firewall:

## iptables_off.sh
## AFWall+ shutdown actions
## Mike Kuketz
## www.kuketz-blog.de

####################
# iptables         #
####################
IPTABLES=/system/bin/iptables
IP6TABLES=/system/bin/ip6tables 
####################
# Purge/Flush      #
####################
# Flush/Purge all rules
$IPTABLES -F
$IPTABLES -t nat -F
$IPTABLES -t mangle -F
$IP6TABLES -F
$IP6TABLES -t nat -F
$IP6TABLES -t mangle -F

# Flush/Purge all chains
$IPTABLES -X $IPTABLES -t nat -X
$IPTABLES -t mangle -X
$IP6TABLES -X $IP6TABLES -t nat -X
$IP6TABLES -t mangle -X

####################
# Defaults         #
####################
# Allow IPv4 connections $IPTABLES -P INPUT ACCEPT
$IPTABLES -P FORWARD ACCEPT  $IPTABLES -P OUTPUT ACCEPT

# Deny IPv6 connections  $IP6TABLES -P INPUT DROP  $IP6TABLES -P FORWARD DROP  $IP6TABLES -P OUTPUT DROP

Hinweis

Als Speicherort für eure CustomScripts eignet sich der Pfad »/data/local/«.

Datensammler wirksam blockieren

Über die Option »Skript festlegen« binde ich noch weitere Skripts ein. Unter anderem blockiere ich mit Hilfe des Bitte melde dich an, um diesen Link zu sehen. alle ausgehenden Verbindungen zu Google und Facebook:

bash asn_ipfire.sh --afwall "Google,Facebook"

Die Skripts werden jeweils als eigene Zeile unter Skripte festlegen eingetragen:

Der Inhalt von block_google.sh:

#####################
# Block Google #
#####################

/system/bin/iptables -A "afwall" -d 8.8.4.0/24 -j REJECT
/system/bin/iptables -A "afwall" -d 8.8.8.0/24 -j REJECT
/system/bin/iptables -A "afwall" -d 8.34.208.0/20 -j REJECT
/system/bin/iptables -A "afwall" -d 8.35.192.0/20 -j REJECT
/system/bin/iptables -A "afwall" -d 23.236.48.0/20 -j REJECT
/system/bin/iptables -A "afwall" -d 23.251.128.0/19 -j REJECT
/system/bin/iptables -A "afwall" -d 35.184.0.0/12 -j REJECT
/system/bin/iptables -A "afwall" -d 35.200.0.0/14 -j REJECT
/system/bin/iptables -A "afwall" -d 35.204.0.0/15 -j REJECT
/system/bin/iptables -A "afwall" -d 63.88.73.0/24 -j REJECT
[...]

Und der Inhalt von block_facebook.sh:

#####################
# Block Facebook #
#####################

/system/bin/iptables -A "afwall" -d 31.13.24.0/21 -j REJECT
/system/bin/iptables -A "afwall" -d 31.13.64.0/18 -j REJECT
/system/bin/iptables -A "afwall" -d 45.64.40.0/22 -j REJECT
/system/bin/iptables -A "afwall" -d 66.220.144.0/20 -j REJECT
/system/bin/iptables -A "afwall" -d 69.63.176.0/20 -j REJECT
/system/bin/iptables -A "afwall" -d 69.171.224.0/19 -j REJECT
/system/bin/iptables -A "afwall" -d 74.119.76.0/22 -j REJECT
/system/bin/iptables -A "afwall" -d 103.4.96.0/22 -j REJECT
/system/bin/iptables -A "afwall" -d 157.240.0.0/17 -j REJECT
/system/bin/iptables -A "afwall" -d 173.252.64.0/18 -j REJECT
/system/bin/iptables -A "afwall" -d 179.60.192.0/22 -j REJECT
/system/bin/iptables -A "afwall" -d 185.60.216.0/22 -j REJECT
/system/bin/iptables -A "afwall" -d 204.15.20.0/22 -j REJECT

Sobald die neuen Regelsätze geladen sind, passiert Folgendes: Wann immer euer Browser oder eine andere (System-)App dazu angewiesen wird, von den externen IP-Adressen (Google, Facebook) Inhalte zu laden, wird die Verbindung von der AFWall+ verworfen bzw. die anfragende App bekommt ein »-j REJECT«. Technisch gesehen bekommt die anfragende App ein sogenanntes ICMP-destination-unreachable-Paket übermittelt und weiß damit, dass keine Verbindung mehr aufgebaut werden kann. Externe Inhalte auf Webseiten oder Apps, die von Google oder Facebook stammen bzw. dort gehostet werden, fallen den CustomScripts damit zum »Opfer«. Als positiver Nebeneffekt werden Webseiten etwas schneller geladen und das Datenvolumen entlastet.

Hinweis

Sobald ihr alle IP-Adressen von Google blockiert, könnt ihr selbstverständlich auch keinen Google-Dienst mehr nutzen bzw. es werden euch auch keine Captchas mehr auf Webseiten eingeblendet – das kann unter Umständen dazu führen, dass ihr die Google-Captchas nicht mehr lösen könnt. Solltet ihr also alle Google-IP-Adressen blockieren, dann solltet ihr gerade bei Registrierungsprozessen für Webseiten damit rechnen, dass dies via mobilen Browser nicht funktioniert. Als Alternative könnt ihr in solchen Fällen auf den Tor Browser am Desktop ausweichen bzw. Bitte melde dich an, um diesen Link zu sehen. benutzen.

Fazit

Wie heißt es so schön:

Vertrauen ist gut – Kontrolle ist besser.

Für die Artikelserie »Take back control!« stellt AFWall+ ein unverzichtbares Werkzeug dar. Mir war es deshalb ein besonderes Anliegen, das iptables-Firewall-Interface ausführlich vorzustellen. Es sollte nämlich durch die vorstehenden Ausführungen deutlich werden, dass selbst ein alternatives bzw. »freies« System wie LineageOS uns per se nicht vor dem Aufbau von Datenverbindungen nach »außen« bzw. zu Google und Co. schützt.

Bereits in der Standardkonfiguration leistet AFWall+ wertvolle Dienste. Aber erst die CustomScripts und die zusätzlichen kleinen Tweaks, wie zum Beispiel das Umleiten aller (mobilen) DNS-Anfragen an den Anbieter meines Vertrauens oder das Blockieren der IP-Adressräume bekannter Datensammler, sind das Tüpfelchen auf dem i.

Im nachfolgenden Beitrag der Artikelserie werden wir den alternativen App-Store Bitte melde dich an, um diesen Link zu sehen. in Betrieb nehmen. Ein Mekka für kritische Anwender, die Wert auf freie und quelloffene Anwendungen bzw. FOSS-Apps legen.

Bitte melde dich an, um diesen Link zu sehen.

App-Store mit Klasse

Durch die Installation von LineageOS haben wir uns von den herstellereigenen Android-Systemen losgesagt und mit Bitte melde dich an, um diesen Link zu sehen. die Kontrolle über den ausgehenden Datenverkehr übernommen. Unsere Reise ist allerdings noch lange nicht beendet, denn um uns weiter von Google zu befreien bzw. die Herrschaft und Kontrolle zurückzuerlangen, müssen wir uns vom Google Play Store lossagen.

Die meisten Apps aus dem Google Play Store beinhalten ein überdurchschnittliches Maß an Tracker- und Werbemodulen. Auf absehbare Zeit wird sich an diesem Geschäftsmodell vermutlich auch nichts ändern, da Android quasi ein Selbstbedienungsladen für Daten ist, mit dem (fragwürdige) Entwickler jede Menge Umsatz machen. Indirekt verdient natürlich auch Google kräftig mit – auf eine Besserung können Android-Nutzer daher vergeblich warten.

Im vorliegenden Beitrag möchte ich euch daher den Alternativen App-Store Bitte melde dich an, um diesen Link zu sehen. vorstellen. F-Droid ist eine verbraucherfreundliche Alternative zu Googles Play Store, in dem ausschließlich »freie« und »quelloffene« Apps zum Download angeboten werden. Die beiden Eigenschaften »frei« und »Bitte melde dich an, um diesen Link zu sehen.« bedeuten grundsätzlich nichts anderes, als dass der App-Quellcode von jedem eingesehen, genutzt, verändert und weiterentwickelt werden darf. Mit dem strengen »Free-Open-Source-Software (FOSS)«-Konzept hebt sich F-Droid damit deutlich vom Google Play Store und anderen, vergleichbaren Stores ab.

F-Droid Store

Langfristig sollte euer Ziel sein, die proprietären Apps aus dem Google Play Store durch quelloffene Apps aus dem F-Droid Store zu ersetzen, die weder ungefragt sensible Daten übermitteln, noch mit Bitte melde dich an, um diesen Link zu sehen. vollgestopft sind. Nach meiner Erfahrung ist es deutlich weniger Arbeit, von vornherein auf datenschutzfreundliche Apps zurückzugreifen, als den datenhungrigen Apps bzw. Diensten »Benehmen« beizubringen. Aus diesem Grund sollte die Hauptquelle für eure Apps der F-Droid Store sein, denn in der Artikelserie »Take back control!« geht es im Wesentlichen auch um die Gewährleistung von Transparenz.

Die Intransparenz der Datenverarbeitung

Eine größtmögliche Kontrolle über unsere Daten können wir nach meiner Ansicht nach nur dann erreichen, wenn wir bzw. andere Personen (außer dem App-Entwickler) in der Lage sind, die Funktionsweise der installierten Apps nachzuvollziehen. Außerdem zeigt ein Entwickler mit der Offenlegung des Bitte melde dich an, um diesen Link zu sehen., dass bei ihm nicht (nur) finanzielle Interessen im Vordergrund stehen und signalisiert damit auch, im Hinblick auf den Programmcode, nichts »verbergen« zu wollen. Diese Offenheit ist ein essenzieller Schritt zu mehr Transparenz der Anwendung.

Und ja, mir ist bewusst, dass manche Apps so komplex sind, dass auch die vorstehend beschriebene Offenheit der Entwickler kein Garant dafür ist, dass im Quellcode der App nicht irgendwelche mysteriösen Code-Schnipsel versteckt sind, deren Sinnhaftigkeit und Bedeutung man sich nur schwerlich erklären kann. Daher kann man sich auch bei diesen Apps nie 100%ig sicher sein, durch die App ausspioniert zu werden. Daher sollten wir auch den FOSS-Apps nicht blind vertrauen.

Trotz alledem stellt meiner Ansicht nach die Offenlegung des Quellcodes einen Weg in die richtige Richtung dar, denn somit ermöglicht man jemandem mit den entsprechenden Ressourcen, den Code selbst nachzuprüfen und ggf. an seine Bedürfnisse anzupassen. Ein großer Nachteil der überwiegend proprietären Apps, die sich im Google Play Store befinden, ist deshalb die mit ihrer Proprietät verbundene Intransparenz der Datenverarbeitung. Denn bei diesen proprietären Apps wissen wir nicht und können es auch oftmals nicht überprüfen, was sie eigentlich (ohne unser Wissen) so anstellen.

Unter Referenzen liste ich diverse Bitte melde dich an, um diesen Link zu sehen. auf. Über die Hälfte der dort gelisteten Einträge betrifft proprietäre Apps aus dem Google Play Store. Vor diesem Hintergrund ist es nach meiner Auffassung essentiell, so viele Apps wie möglich aus dem F-Droid Store zu beziehen, auch wenn wir dort bei der App-Auswahl klare Abstriche machen müssen. Dass dieses nicht immer leicht ist, ist mir bewusst. Im Sinne der Artikelserie »Take back control!« aber ein erstrebenswertes und notwendiges Ziel.

Besonderheiten des F-Droid Stores

Mit dem F-Droid Store hat sich ein alternativer App-Store etabliert. Vom Angebot der dort verfügbaren FOSS-Apps profitieren insbesondere kritische Anwender, die Wert auf freie und quelloffene Anwendungen legen. Die im Vergleich zum Google Play Store geringere App-Auswahl im F-Droid Store mag euch auf den ersten Blick ein wenig »verschrecken«. Apps, die ihr bisher aus dem Google Play Store kennt, werdet ihr mit hoher Wahrscheinlichkeit vergeblich in F-Droid suchen. Im F-Droid Store werdet ihr jedoch zu den meisten Apps von Google Play auch brauchbare quelloffene Alternativen finden, denen ihr unbedingt eine Chance geben solltet

Gerade Anwender, bei denen Datenschutz bzw. der Geheimnisschutz eine wichtige Rolle spielt, wie bspw. Anwälte oder Ärzte, sollten alleine aus berufsethischen Gründen immer darauf achten, keine (proprietären) Apps zu installieren, bei denen die Datenverarbeitung intransparent ist und damit immer die Gefahr besteht, dass Apps auf Informationen ihrer Mandanten bzw. Patienten zugreifen, was wiederum u.a. auch mit strafrechtlichen und berufsrechtlichen Konsequenzen verbunden sein kann.

Trotz der Sympathie, die ich F-Droid Store entgegenbringe, möchte ich an dieser Stelle aber auch nicht verschweigen, dass dieser alternative App-Vertriebskanal auch ein paar Besonderheiten und »Mankos« hat, die im Nachfolgenden kurz dargestellt werden:

• Benutzung auf eigene Gefahr: In den Bitte melde dich an, um diesen Link zu sehen. zum F-Droid Store weisen die Betreiber darauf hin, dass sie trotz aller Anstrengungen nicht vollständig gewährleisten können, dass keine Schadsoftware über den F-Droid Store angeboten wird:
  

  Zitat

  Although every effort is made to ensure that everything in the repository is safe to install, you use it AT YOUR OWN RISK.
  

  Vor der Veröffentlichung einer App prüfen die F-Droid-Betreiber jedoch den Quellcode der jeweils einzustellenden App auf potenzielle Sicherheits- bzw. »Datenschutz«-Probleme. Stellen sie keine Probleme fest, kompilieren sie diese und stellen die App im F-Droid Store bereit. Weil dieses Prozedere kein tiefes bzw. vollständiges »Code-Audit« darstellt, sollte man den F-Droid Store nicht als Garant für einen schadsoftwarefreien Marktplatz verstehen. Vielmehr müssen wir auch diesen Apps immer ein gesundes Misstrauen entgegenbringen. Denn die Frage, ob eine App schadhaft ist oder nicht, lässt sich oftmals erst durch ausgiebige und umfangreiche Langzeittests der App beantworten. Diese kann und will der F-Droid-Betreiber (verständlicherweise) nicht leisten. Ein erstes »Manko« des F-Droid Stores ist daher, dass eine neu einzustellende App grundsätzlich nicht vollumfänglich geprüft wird bzw. werden kann. Dieses ist, jedenfalls nach Angaben von Google bspw. beim Google Play Store anders. Bevor eine neue App in den Google Play Store aufgenommen wird, prüfen u.a. sog. Bitte melde dich an, um diesen Link zu sehen. diese automatisch auf »Schadsoftware«. Dabei werden die Apps in einer virtuellen Umgebung (ähnlich wie bei Antivirenscannern) zur Ausführung gebracht und abgeschirmt vom Hauptsystem auf ihr Verhalten und ihre Funktionsweise untersucht. Diese Maßnahme klingt sehr vielversprechend, aber wie die nachfolgend dargestellten Beispiele verdeutlichen sollen, kann auch Google einen schadsoftwarefreien Store dadurch nicht gewährleisten:

  • Bitte melde dich an, um diesen Link zu sehen. (Februar 2019)
  • Fake-App in Googles Play Store sollte Kryptogeld stehlen (Februar 2019)
  • Bitte melde dich an, um diesen Link zu sehen. (Januar 2018)
  • Eine Million Android-Nutzer laden falschen WhatsApp-Messenger aus Google Play (November 2017)
  • Bitte melde dich an, um diesen Link zu sehen. (April 2014)
  • […]

  Für den F-Droid Store ist mir hingegen bisher nicht bekannt, dass dort eine schadhafte App gefunden wurde. Ein wenig überspitzt gesagt, lässt sich deshalb der Schluss ziehen, dass F-Droid damit eigentlich der »schadsoftwarefreie« Store zu sein scheint.

• Verschleppte (Sicherheits-)Updates: Im Gegensatz zum Google Play Store haben App-Entwickler im F-Droid Store praktisch keine Kontrolle / keinen Einfluss über den Release- und Update-Prozess ihrer App. Vielmehr sind sog. Maintainer für das Einstellen der Releases und Updates der Apps in den F-Droid Store verantwortlich. Falls der Maintainer also nachlässig ist oder gerade »verhindert« ist, kann dies zur Folge haben, dass im schlimmsten Falle auf bekanntgewordene Sicherheitslücken in Apps nicht zeitnah reagiert wird, obwohl der Entwickler diese bereits geschlossen hat. Zumindest können wir uns bei einigen Apps darauf verlassen, dass ein App-Maintainer keine Veränderungen am Quellcode vorgenommen hat, die sich womöglich negativ auf unsere Daten oder Geräte auswirken können. F-Droid unterstützt nämlich reproduzierbare Builds (engl. Reproducible Builds).
• Schwachstellen: Wie jede Software hat auch F-Droid mit Fehlern zu kämpfen, die zu Sicherheitslücken führen können. Anfang 2015 hat ein Bitte melde dich an, um diesen Link zu sehen. in der F-Droid App und der Service-Infrastruktur diverse Sicherheitslücken identifiziert, die jedoch alle zeitnah behoben wurden. Sicherheitslücken lassen sich generell nicht vermeiden. Vielmehr muss man einfach damit rechnen, dass jede Software irgendwelche Lücken hat. Entscheidend ist deshalb umso mehr ein professioneller Umgang nach Bekanntwerden etwaiger Sicherheitslücken. Da das F-Droid-Team professionell und offen mit den gefundenen Sicherheitslücken umgeht, ist dieses ein gutes Indiz dafür, dass sich das Team seiner Verantwortung bewusst ist. Weiterhin positiv hervorzuheben sind die kontinuierlich durchgeführten Security Audits. Der letzte Audit ist bspw. auf den September 2018 datiert.

Trotz der vorstehend dargestellten, von mir als »Mankos« angesehenen Aspekte, möchte ich eine Besonderheit bzw. »Service« des F-Droid Stores nicht unerwähnt lassen. Diese Besonderheit ist den im F-Droid Store aufgenommenen FOSS-Apps geschuldet. Aufgrund der Tatsache, dass grundsätzlich jedermann bei FOSS-Apps in der Lage ist, unter Einhaltung bestimmter Vorgaben, den Quellcode zu verändern, macht auch das F-Droid-Team von dieser Option von Zeit zu Zeit gerne Gebrauch. So entfernt es manchmal (eigenmächtig) sogenannte »Antifeatures« aus der ursprünglichen App-Version. Zu den Antifeatures in Apps zählt das F-Droid-Projekt unter anderem:

• Ads (Werbung)
• Tracking
• NonFreeNet (nutzt unfreie Dienste im Netz)
• NonFreeAdd (empfiehlt unfreie Add-ons)
• NonFreeDep (hängt von unfreien Komponenten ab – etwa von den Google Play Services)
• UpstreamNonFree (es fehlen Funktionalitäten, da unfreie Komponenten entfernt werden mussten)
• NonFreeAssets (enthält unfreie Komponenten – meist Multimedia-Daten, die unter unfreier Lizenz stehen)

Ein prominentes Beispiel, in dem das Team des F-Droid Stores tätig wurde und entsprechende Antifeatures aus der entsprechenden App entfernt hat, war der Bitte melde dich an, um diesen Link zu sehen.. Diesbezüglich gab das Team die Mitteilung aus:

Zitat

Several proprietary parts were removed from the original Telegram client, including Google Play Services for the location services and HockeySDK for self- updates. Push notifications through Google Cloud Messaging and the automatic SMS receiving features were also removed.

Die Vorgehensweise des F-Droid-Teams auf Services bzw. Funktionen, die dem »Datenschutz« nicht gerade zuträglich sind, zu verzichten bzw. diese aus dem Quellcode zu entfernen, hat mich zusätzlich in meiner Entscheidung bestärkt, F-Droid als App-Quelle für die Artikelserie »Take back control!« zu wählen.

Inbetriebnahme F-Droid

Zunächst müsst ihr euch den F-Droid Store als APK-File auf den Rechner laden. Öffnet dazu einfach die F-Droid-Seite und klickt auf den Button Bitte melde dich an, um diesen Link zu sehen..

• Download: Bezieht zunächst die neueste Version von F-Droid direkt über die Webseite. Klickt auf den Button mit der Aufschrift Download F-Droid.
• PGP-Signatur: Optional könnt ihr die PGP-Signatur der heruntergeladenen APK-Datei prüfen und so sicherstellen, dass die Datei nicht beschädigt oder verändert wurde. Dazu müsst ihr zunächst den öffentlichen F-Droid-Signing-Key importieren:
  Code

  gpg --keyserver pgp.mit.edu --recv-keys 0x41e7044e1dba2e89

  Anschließend kann der Fingerabdruck geprüft werden:

  Code

  gpg --verify FDroid.apk.asc FDroid.apk

  Ist der Haupt- und Unter-Fingerabdruck identisch, mit jenen auf der Bitte melde dich an, um diesen Link zu sehen.?

  Code

  Haupt-Fingerabdruck = 37D2 C987 89D8 3119 4839 4E3E 41E7 044E 1DBA 2E89
  Unter-Fingerabdruck = 802A 9799 0161 1234 6E1F EFF4 7A02 9E54 DD5D CE7A

• Installation: Sofern die PGP-Signatur übereinstimmt könnt ihr die APK-Datei via USB-Kabel auf das Gerät kopieren. Auf eurem Gerät könnt ihr die Datei anschließend antippen und die Installation starten. Vor der Installation von F-Droid wird in Android eine Warnung erscheinen. Dieser Mechanismus soll davor schützen, dass man versehentlich Apps aus »unbekannten Quellen« (fernab des Google Play Stores) installiert und sich darüber Schadsoftware einfängt. Der Hinweis wird mit einem Fingertipp auf Weiter bestätigt und die Installation abgeschlossen.

F-Droid in Aktion

Nach dem ersten Start der F-Droid-App werden euch zunächst keine Apps angezeigt. Ihr müsst zunächst die sogenannten Paketquellen (eine Liste verfügbarer Apps mit ihren Beschreibungen) aktualisieren, indem ihr mit einem Finger von oben nach unten über den Bildschirm wischt:

Am oberen Bildschirmrand erscheint dann der Hinweis »Paketquellen werden aktualisiert«. Je nach Internetverbindung und Auslastung der F-Droid-Server kann der Vorgang ein bis zwei Minuten in Anspruch nehmen. Damit dieser Vorgang in Zukunft automatisch geschieht, selektieren wir am unteren Bildschirmrand das Menü »Optionen«. Empfehlenswerte Einstellungen:

• [Optional] Über Mobilfunk: Slider ganz nach links (um das Datenvolumen zu schonen)
• Automatisches Aktualisierungsintervall: Täglich

Unter Paketquellen solltet ihr zusätzlich F-Droid Archive selektieren:

Anschließend könnt ihr nach Apps stöbern, wofür sich das Menü »Kategorien« am unteren Bildschirmrand anbietet. Die Apps sind jeweils in unterschiedlichen Kategorien, wie bspw. Internet, Multimedia oder Navigation geordnet:

Wenn ihr eine App gefunden habt und installieren wollt, dann klickt zunächst einfach auf den blauen Download-Pfeil neben dem App-Namen und stoßt damit den Download an. Sobald sich die App auf eurem Gerät befindet, verwandelt sich der Pfeil in einen Button mit der Beschriftung Installieren. Ihr werdet anschließend nochmal gefragt, ob ihr die App tatsächlich installieren wollt und bekommt alle Berechtigungen einer App aufgelistet. Auch wenn uns bisher kein »Missbrauch« von Berechtigungen einer F-Droid App bekannt ist, so solltet ihr die Berechtigungen grundsätzlich vor jeder Installation prüfen:

App-Vorschläge

Aufgrund der Intransparenz der gesamten Datenverarbeitung eines Smartphones ist es extrem aufwendig zu ermitteln, welche Daten das Smartphone (tatsächlich) verarbeitet bzw. versendet. Das Gleiche gilt natürlich auch für die eingesetzten Apps aus dem Google Play Store. Die meisten dieser Apps sind, wie bereits dargestellt, Closed-Source und erlauben deshalb (Bitte melde dich an, um diesen Link zu sehen.) keinen Einblick in die eigentliche Datenverarbeitung bzw. welche Daten bei der Nutzung übermittelt werden.

Es wäre eine Illusion zu glauben, dass App-Anbieter stets zu unseren eigenen Gunsten unsere Daten verarbeiten. Vielmehr sollte jedem, der die heutigen Geschäftsmodelle der Anbieter und Hersteller kennt, bewusst sein, dass vielmehr das Gegenteil der Fall ist. Sehr häufig tauschen die »Protagonisten« die von uns gesammelten Daten untereinander zu kommerziellen Zwecken aus, ohne dass wir es merken, geschweige denn verhindern könnten. Insofern ist es essentiell und für jeden datenschutzbewussten Anwender schon fast eine Pflicht, für sich selbst zu hinterfragen, ob er nicht vielleicht besser auf die proprietären Apps verzichten will.

Daher sollte unser Ziel sein, so viele Apps wie möglich durch datenschutzfreundliche Alternativen zu ersetzen. Um aufzuzeigen, was meiner Ansicht nach eine »datenschutzfreundliche« App ausmacht, habe ich die wesentlichen Kriterien einer datenschutzfreundlichen App zusammengefasst:

• Im Optimalfall keine Kommunikation der App mit Hersteller bzw. Anbieter (auch nicht etwa zur Übertragung von »bedeutungslosen« Telemetrie-Daten)
• Transparenz durch offenen Quellcode und ggf. entsprechender transparenter Datenschutzerklärung
• Einfordern der (nur) notwendigen Zugriffs-Berechtigungen, die erforderlich sind, damit die App entsprechend ihrer Zweckbestimmung funktioniert
• Datensparsamkeit (Verarbeitung von so wenig Daten wie möglich bzw. nur die Daten, die wirklich für die Funktionalität der App notwendig sind)
• Widerspruchsmöglichkeiten gegen entsprechende Datenverarbeitungen
• Apps, die dabei helfen, dass wir unsere Daten nicht jedem offenlegen müssen

Das sind natürlich hohe Maßstäbe, die ich hier ansetze. In diesem Zusammenhang sollten wir uns vielleicht aber nochmal das erklärte Ziel der Artikelserie vor Augen führen: Zurückerlangen der Herrschaft und Kontrolle über unsere Daten.

Hinweis

In diesem Zusammenhang ist die Arte-Reportage »Software-Rebellen: Die Macht des Teilens« interessant. Sie zeigt auf, wie anonyme Entwickler und bekannte Persönlichkeiten versuchen, einer neuen Art des Wissenskapitalismus entgegenzuwirken.

Empfehlenswerte Apps

Auf die Gefahr hin, dass dieser Teil des Beitrags seine Aktualität zu schnell verliert, verweise ich an dieser Stelle auf die Bitte melde dich an, um diesen Link zu sehen.. Dort werden alle datenschutzfreundlichen Apps aus dem F-Droid Store aufgelistet und ständig aktualisiert. Ein Auszug:

Die App-Auswahl soll lediglich die »Basics« abdecken, um euch den Umstieg auf datenschutzfreundliche Apps etwas zu erleichtern. In F-Droid gibt es natürlich noch weitaus mehr Apps und weitere Alternativen zu entdecken. Geschmäcker sind bekanntlich verschieden und nicht jede von mir empfohlene App wird dem Einzelnen gefallen. Daher ist mein Rat an euch, im F-Droid Store zu stöbern und selbst weitere Apps zu finden, die euren Geschmack am ehesten Treffen.

Weitere App-Stores

Wer einen Großteil seiner Apps ausschließlich aus dem F-Droid Store bezieht, der kommt dem hehren Ziel, die Herrschaft und Kontrolle über die eigenen Daten auf einem Smartphone zu haben, ein gutes Stück näher.

Die Umstellung auf den F-Droid Store ist zugegebenermaßen nicht einfach. Das liegt weniger an einer schlechten Bedienbarkeit dieses Stores, sondern vielmehr am vergleichsweise geringen App-Angebot. Aktuelle (Blockbuster-) Spiele oder »Trend-Apps«, wie bspw. WhatsApp werden wir im F-Droid Store nicht finden, denn wie dargestellt finden wir im F-Droid Store grundsätzlich nur freie und quelloffene Apps.

Aurora Store | Yalp Store

Üblicherweise wird der Google Play Store über die App »Play Store« angesteuert. In F-Droid finden wir allerdings eine Alternative, die auf Google-Abhängigkeiten verzichtet und auch für Nutzer eines Custom-ROMs interessant sein kann, falls kein Google Services Framework installiert ist. Die in F-Droid verfügbaren Apps Bitte melde dich an, um diesen Link zu sehen. oder Yalp Store ermöglichen den Download von Apps (bzw. APKs) direkt über den Google Play Store. Allerdings befinden wir uns bei der Nutzung dieser Apps in einem Graubereich bzw. in einem rechtlich noch nicht abschließend geklärten Bereich. Dieses insbesondere deshalb, weil der Aurora Store | Yalp Store nicht offiziell von Google angeboten bzw. von Google stammt, sondern bei dieser App / bei diesem Dienst lediglich die Play Store API zum Zugriff genutzt wird. Dies stellt im Grunde ein Bitte melde dich an, um diesen Link zu sehen. des Play Stores dar:

You agree not to access (or attempt to access) Google Play by any means other than through the interface that is provided by Google, unless you have been specifically allowed to do so in a separate agreement with Google. You specifically agree not to access (or attempt to access) Google Play through any automated means (including use of scripts, crawlers, or similar technologies) and shall ensure that you comply with the instructions set out in any robots.txt file present on the Google Play website.

Dass wir uns bei der Nutzung von Apps wie Aurora | Yalp oder Diensten wie APKPure, die die APKs vom Playstore herunterladen, durchaus in einer rechtlich hoch umstrittenen Grauzone befinden, wird deutlich, wenn wir uns ein Bitte melde dich an, um diesen Link zu sehen. und die darauf entbrannte Diskussion auf areamobile anschauen. Ohne sich vorliegend intensiv mit den ganzen dort angerissenen rechtlichen Implikationen auseinandersetzen zu wollen, ist es meiner Ansicht nach für die Beantwortung der Frage nach der Legalität der Nutzung dieser Dienste essenziell, differenziert vorzugehen. Es gilt nämlich zu aller erst die Frage zu beantworten, welche »Urheberrechte« (von wem) bei dem Herunterladen von Apps aus dem Play Store mit diesen Diensten potenziell verletzt werden.

Dabei spielt es meiner Ansicht nach eine große Rolle, danach zu unterscheiden, wie bzw. mit welchen Lizenzbedingungen die Apps veröffentlicht wurden. Handelt es sich um »proprietäre« Software, die ausschließlich im Google Play Store angeboten wird, dürfte eine Verletzung von Urheberrechten durchaus naheliegen. Anders sieht es jedoch bei FOSS-Apps aus, die bspw. sowohl im Play Store, aber auch im F-Droid Store oder auf der Webseite des Entwicklers eingestellt wurden. Lädt man diese App mittels etwaiger Dienste wie Aurora | Yalp aus dem Play Store herunter, dürfte man zunächst einmal nicht das Recht des eigentlichen Urhebers (des App-Entwicklers), der die App ja eigentlich »offen« und »frei« gestaltet hat, verletzen. Vielmehr stehen hier maßgeblich die (vermeintlichen) Rechte von Google in Frage, die der Urheber Google einräumen musste, damit er seine Apps in den Play Store einstellen durfte.

Um sich gar nicht erst dieser vorstehend aufgezeigten Problematik auszusetzen, solltet ihr deshalb besser komplett auf die Apps im Google Play Store verzichten und auf Apps aus dem F-Droid Store zurückgreifen. Ist euch das – aus welchen Gründen auch immer – nicht möglich, kann der Aurora Store bzw. Yalp Store eine Alternative zum Play Store darstellen und ist für alle jene interessant, die Custom-ROMs wie LineageOS benutzen, allerdings auf die Installation der proprietären Bitte melde dich an, um diesen Link zu sehen. lieber verzichten:

Realität vs. Wunschgedanken

Persönlich komme ich vollständig ohne Apps aus dem Google Play Store aus. Vor ein paar Jahren war dies für viele datenschutzsensible Nutzer noch undenkbar, weil das Angebot an Apps in F-Droid noch relativ überschaubar war. Im Jahr 2019 hat sich die Situation etwas gebessert. Dennoch gibt es auch weiterhin Apps, die lediglich im Play Store angeboten werden. Es wäre daher realitätsfern, einfach davon auszugehen, dass jeder mit den im F-Droid angebotenen Apps auskommt.

Wer also für seine »Lieblingsapp« aus dem Google Play Store keine Alternative in F-Droid findet, der wird nicht umhinkommen, einen Teil seiner Apps weiterhin aus dem Play Store zu beziehen. Da mit den Apps aus dem Play Store vielfach auch ein »Kontrollverlust« einhergeht, werde ich euch in weiteren Teilen der Artikelserie aufzeigen, wie ihr diesen mit Apps wie AdAway oder Bitte melde dich an, um diesen Link zu sehen. minimieren könnt.

Fazit

Mit dem F-Droid Store erhalten wir Zugriff auf FOSS-Apps, die uns als Alternative zu bekannten Apps dienen sollen. Insbesondere profitieren wir als kritischer Anwender von den freien und quelloffenen Anwendungen, die im F-Droid Store angeboten werden. Damit gelingt es uns, ein großes Stück Datenherrschaft auf unserem Smartphone zurückzuerlangen.

Idealerweise könnt ihr euch komplett vom Google Play Store lossagen. Wem das nicht gelingt und wer auf seinem Gerät auf die zusätzliche Installation von GAPPS lieber verzichtet, der findet im Bitte melde dich an, um diesen Link zu sehen. | Yalp Store eine mögliche Alternative – bewegt sich damit allerdings in einem rechtlichen Graubereich.

Im nachfolgenden Beitrag der Artikelserie werden wir uns dem Tracking- und Werbeblocker Bitte melde dich an, um diesen Link zu sehen. widmen. AdAway ist vergleichbar mit einem lokalen Pi-hole, der direkt auf dem Gerät arbeitet. Für alle jene, die auch weiterhin Apps aus dem Play Store beziehen, stellt AdAway eine effektive Möglichkeit dar, die integrierten Tracker- und Werbemodule »unschädlich« zu machen.

Bitte melde dich an, um diesen Link zu sehen.

Datensammelwut

Im letzten Teil der Artikelserie habe ich euch den F-Droid Store vorgestellt, in dem ihr Bitte melde dich an, um diesen Link zu sehen. und quelloffene Apps beziehen könnt, die euch weder tracken, noch Werbung einblenden. Eine allgemeine Empfehlung der Artikelserie »Bitte melde dich an, um diesen Link zu sehen.« lautet daher:

Apps lediglich aus dem F-Droid Store beziehen.

Dieser Ratschlag lässt sich allerdings nicht immer 1:1 in die Praxis umsetzen. Viele Nutzer sind noch immer auf Apps aus dem Play Store angewiesen bzw. finden keine brauchbare Alternative im F-Droid Store. Leider sind Apps aus dem Google Play Store nicht gerade für ihre Datensparsamkeit bekannt – sondern eher das Gegenteil. Die meisten Apps aus dem Google Play Store beinhalten Software-Bausteine von Drittanbietern, die dem Nutzer Werbung einblenden oder seine Aktivität auf Schritt und Tritt verfolgen. Als normaler Nutzer hat man allerdings keinen Einblick in die App bzw. sieht es ihr von »außen« nicht an, ob dadurch ein Risiko für die Sicherheit und Privatsphäre entsteht.

Da mit den Apps aus dem Play Store vielfach ein »Kontrollverlust« einhergeht, werde ich euch im vorliegenden Beitrag die App Bitte melde dich an, um diesen Link zu sehen. aus dem F-Droid Store vorstellen. Mit dieser App lässt sich der Kontrollverlust minimieren, indem die Auslieferung von (schädlicher) Werbung und dem Abfluss von persönlichen Daten an zweifelhafte Drittanbieter ein Riegel vorgeschoben wird.

AdAway

AdAway ist ein quelloffener Werbe- bzw. Trackingblocker für Android, der ursprünglich von Dominik Schürmann entwickelt wurde – aktuell wird AdAway von Bruce Bujon entwickelt. Auf Basis von Filterlisten werden Verbindungen zu Werbe- und Trackingnetzwerken auf die lokale Geräte-IP-Adresse umgeleitet. Diese Umleitung verhindert das Nachladen der Werbung bzw. die Übersendung von (sensiblen) Daten an Drittanbieter.

Im Play Store lässt sich AdAway übrigens nicht finden, da Google Werbeblocker nicht mehr zulässt – diese verstoßen schlicht gegen das Geschäftsmodell von Google. Oder anders formuliert: Eine App, die eure Privatsphäre und Sicherheit effektiv schützt, indem sie das Nachladen (schadhafter) Werbung verhindert und den Abfluss personenbezogener Daten unterbindet, wird von Google nicht toleriert.

Mit der Nutzung von AdAway gehen diverse Vorzüge einher:

• Reduktion Datenverbrauch: Das Öffnen, Verbinden und Schließen von (App-)Verbindungen zu Servern im Internet bedeutet zwangsläufig, dass Daten versendet und empfangen werden. Während dies im heimischen WLAN aufgrund einer Flatrate für die meisten vermutlich zu verschmerzen ist, zeichnet sich bei der Nutzung der mobilen Daten oftmals ein anderes Bild. AdAway blockiert das Nachladen von Werbung, Tracking-Code und anderen Ressourcen. Dadurch wird wertvolle Bandbreite gespart und euer mobiler Datentarif wird nicht unnötig belastet.
• Schnelleres Gerät: Die Darstellung von Werbung, die Ausführung von nachgeladenem Tracking-Code und im Grunde jeder (unnötige) Verbindungsaufbau kostet CPU-Leistung. Werden diese Ressourcen jedoch nicht nachgeladen bzw. durch AdAway blockiert, wird nicht nur euer Akku länger halten, sondern euer Gerät wird auch schneller auf eure Eingaben reagieren.
• Schutz der Privatsphäre: Ein großer Nachteil der überwiegend proprietären Apps, die sich im Google Play Store befinden, ist die mit ihrer Bitte melde dich an, um diesen Link zu sehen. verbundene Intransparenz der Datenverarbeitung. Denn bei diesen proprietären Apps wissen wir nicht und können es auch oftmals nicht überprüfen, was sie eigentlich (ohne unser Wissen) so anstellen. Wenn wir es mit AdAway allerdings schaffen, einen Großteil der (App-)Verbindungen zu Trackern und Werbenetzwerken zu unterbinden, dann kann sich dies positiv auf unsere Privatsphäre auswirken.

AdAway blockiert Werbung und Tracker übrigens nicht nur im Browser, sondern App-übergreifend – also in allen Apps, die ihr auf dem Gerät installiert habt.

Konzept | Technischer Hintergrund

Am Beispiel von In-App-Werbung möchte ich kurz erläutern, wie AdAway technisch funktioniert. Angenommen ein App-Entwickler hat in seiner App ein Werbemodul integriert. Bei jedem Start der App oder auch während der Laufzeit kontaktiert die App bzw. das integrierte Modul die Adresse:

werbung.server1.de

Dieser Domainname muss allerdings zunächst in eine IP-Adresse übersetzt werden, damit die Werbung anschließend von dort nachgeladen werden kann. Dieser Service wird vom Domain Name System (DNS) erledigt – einer der wichtigsten Dienste im Internet, der für ebendiese Übersetzung zuständig ist. Das Prinzip dahinter kennt jeder: Ihr gebt im Browser eine URI ein (also den Domainnamen), dieser wird dann von einem DNS-Server in die zugehörige IP-Adresse übersetzt. Namen lassen sich eben leichter merken als IP-Adressen. In eurem Router sind daher üblicherweise DNS-Server von eurem Provider hinterlegt oder ihr habt manuell eigene eingetragen, die dann anschließend die Adresse »werbung.server1.de« in eine IP-Adresse übersetzen.

Dieses DNS-Prinzip macht sich AdAway nun zunutze. In seinem Speicher verwaltet AdAway eine Liste mit Domainnamen, die entweder Werbung ausliefern, den Nutzer tracken oder sonstwie eine negative Auswirkung auf Sicherheit und Privatsphäre haben können. Habt ihr AdAway installiert, wird die DNS-Abfrage zunächst mit der intern hinterlegten Liste abgeglichen. Befindet sich die Adresse

werbung.server1.de

in der Liste bzw. kommt es zu einem Treffer, wird die IP-Adresse nicht wie üblich aufgelöst, sondern euer Gerät bzw. die App erhält sinngemäß die Antwort: »Nicht erreichbar« – die Übersetzung in die korrekte IP-Adresse wird von AdAway also unterdrückt. Die Folge: Die Werbung kann nicht von der eigentlichen Quelle bzw. IP-Adresse nachgeladen werden. Anstatt der Werbung sieht der Nutzer einen Platzhalter bzw. einfach nichts. Ein einfaches Prinzip, das die Werbung noch vor der Auslieferung – ja sogar noch vor der Übersetzung in die IP-Adresse – blockiert:

Installation

Die Installation von AdAway (Root-Rechte erforderlich) erfolgt ganz bequem über den F-Droid Store – dort verstößt die App nicht gegen fragwürdige Geschäftsmodelle, wie es bei Google der Fall ist. Mit einem Tipp auf Installieren ist die Installation von AdAway binnen Sekunden erledigt:

Anpassung via Magisk

Aufgrund der schreibgeschützten System-Partition des Aquaris X Pro kann die Bitte melde dich an, um diesen Link zu sehen. nicht einfach von AdAway modifiziert werden. Dies ist allerdings notwendig, damit alle Domains, die später nicht erreichbar sein sollen, dort hinterlegt werden können. Magisk bietet dafür eine Lösung an. Öffnet den Magisk-Manager und ruft die Einstellungen auf. Dort tippt ihr einmal auf Systemlose Hosts-Datei aktivieren:

Hinweis

Vor dem ersten Start von AdAway solltet ihr der App innerhalb AFWall+ den Zugriff auf das Internet erlauben.

Konfiguration

Die Konfiguration von AdAway ist binnen weniger Minuten erledigt. Bereits im Auslieferungszustand werden viele Werbe- und Trackingdomains blockiert. Durch das Hinzufügen von weiteren Filterlisten können wir das Ergebnis nochmal verbessern.

Initialer Start

Unmittelbar nach dem Start wird euch AdAway zunächst fragen, ob ihr Bitte melde dich an, um diesen Link zu sehen. (via Sentry) an den Entwickler senden möchtet. Dabei handelt es sich um folgende Informationen:

• Crash report and application failures,
• Application usage. Both kinds of report does not contains any personal data.

Anschließend könnt ihr AdAway mit einem Tipp auf AKTIVIERE WERBEBLOCKER direkt starten. AdAway wird dann die aktuellen (Block-)Listen herunterladen und die Hosts-Datei aktualisieren.

Einstellungen

Über den Menüpunkt Einstellungen könnt ihr diverse Optionen von AdAway konfigurieren. Unter anderem lässt sich festlegen, dass die (Block-)Listen täglich aktualisiert werden sollen. Der Download und die Installation kann automatisch im Hintergrund erfolgen.

Standardmäßig leitet AdAway alle geblockten Hostnamen an die IP-Adresse 127.0.0.1 um. Aus Geschwindigkeitsgründen solltet ihr dies ändern, da die Umleitung zu 127.0.0.1 (localhost) tatsächlich Netzwerkverkehr verursacht. Tippt auf den Eintrag Umleitungs-IP und konfiguriert dort die Adresse:

0.0.0.0

Blacklists | Filterlisten hinzufügen

Über den Menüpunkt Hosts-Quellen könnt ihr weitere Filterlisten hinzufügen. Standardmäßig sind in AdAway drei (Block-)Listen aktiv. Über das Plus-Zeichen könnt ihr noch weitere Listen hinzufügen, die nicht in AdAway enthalten sind. Mein Vorschlag wäre, zu den bereits bestehenden Listen, noch folgende hinzuzufügen:

• Bitte melde dich an, um diesen Link zu sehen.

Hinweis

Im AdAway-Wiki findet ihr weitere Vorschläge bzw. Filterlisten.

Ihr könnt natürlich auch noch weitere Filterlisten bzw. (Block-)Listen aktivieren. Mögliche Überschneidungen werden automatisch von AdAway entfernt – doppelte Einträge wären für die Abarbeitung der Filterlisten nämlich zu ineffizient. Nach dem Hinzufügen der Filterlisten wird AdAway diese zunächst einmal von den Quellen nachladen und zu einer großen Liste zusammenfassen – ihr müsst euch also einen Augenblick gedulden.

Durch die Aktivierung der Filterlisten kann es zum sogenannten »Overblocking« kommen. Das bedeutet: Es werden fälschlicherweise Domains gefiltert, die für die Funktionalität einer App erforderlich sind. Ihr müsst dann im Einzelfall entscheiden, ob ihr die Domain in AdAway freigebt bzw. auf die Whitelist setzt. Weitere Informationen zu diesem Thema findet ihr unter Ziffer 4.2.

AdAway in Aktion

Die Konfiguration von AdAway ist abgeschlossen bzw. könnt ihr diese an eure Bedürfnisse anpassen. Leider bietet AdAway keine Möglichkeit an, die Anzahl der blockierten Domains darzustellen – über 100.000 Domains sollten es allerdings sein.

Blockierte Domains

Wie bereits angedeutet kann das Phänomen des Overblockings eintreten, was unter Umständen dazu führen kann, dass eine App bzw. bestimmte Funktion nicht mehr korrekt funktioniert. Persönlich konnte ich das bisher nicht beobachten – allerdings bin ich diesbezüglich auch nicht der geeignete Maßstab, da ich gezielt auf die Dienste von Google, Facebook und Co. verzichte.

Sollte eine App also nicht wie gewohnt funktionieren, solltet ihr diese zunächst über den Menüpunkt DNS-Anfragen aufzeichnen die DNS-Aufzeichnung aktivieren und anschließend jene App öffnen, die nicht funktioniert. Anschließend öffnet ihr nochmal den Menüpunkt DNS-Anfragen aufzeichnen und tippt auf den Button ERGEBNISSE ANZEIGEN. Alle protokollierten DNS-Anfragen werden euch dann aufgelistet. Als Beispiel erlaube ich die Domain »media.kuketz.de«, indem ich auf das Häkchen in der Mitte tippe. Diese Auswahl wird sich AdAway anschließend merken und die Domain auf die Whitelist setzen:

Whitelist einer Domain | App

Über den Menüpunkt Ihre Listen könnt ihr die selbst hinzugefügten Domains einsehen. AdAway unterscheidet zwischen drei unterschiedlichen Varianten:

• Negativliste: Ihr könnt selbst Domains hinzufügen, die AdAway blockieren soll. Das ist gewissermaßen eine Ergänzung zu den bereits bestehenden (Block-)Listen, die ihr selbst beeinflussen könnt.
• Positivliste: Wie bereits angedeutet kann es unter Umständen zum Overblocking-Effekt kommen. Falls dies Eintritt, könnt ihr eine Domain über die Positivliste wieder erreichbar machen. Die Positivliste gilt immer vor den Filterlisten – die Domain ist also wieder erreichbar, selbst wenn sie in einer der Filterlisten aufgeführt ist.
• Umleitungen: Bei Bedarf könnt ihr für bestimmte Domains IP-Umleitungen aktivieren. Die Domain »facebook.com« könntet ihr bspw. auf die IP-Adresse 193.99.144.80 (heise.de) zeigen lassen. Ruft ihr die Domain »facebook.com« anschließend im Browser auf werdet ihr auf heise.de umgeleitet.

Abschließender Hinweis

Für die reine Funktionserbringung einer App ist die Einbindung von Werbung bzw. die Übersendung von Daten an Tracking-Unternehmen nicht erforderlich. Diese Software-Bausteine von Drittanbietern landen übrigens nicht einfach per Geisterhand in einer App, sondern werden bewusst bzw. aktiv von den Entwicklern dort integriert. Oftmals wissen die Entwickler leider selbst nicht, welche Daten diese Bausteine bzw. Module (in der Fachsprache auch Bitte melde dich an, um diesen Link zu sehen. genannt) eigentlich genau erfassen. Damit opfern Anbieter und Entwickler ihre Nutzer leichtfertig auf dem Altar der grenzenlosen Datensammelwut, ungeachtet der damit verbundenen Risiken für die Sicherheit und Privatsphäre ihrer Nutzer.

Mit AdAway könnt ihr diese unerwünschte Datenübermittlung minimieren. In der Praxis funktioniert das Prinzip des DNS-Blockings außerordentlich gut – der überwiegende Teil von unerwünschten Tracking- und Werbedomains wird gefiltert, was sich insgesamt natürlich positiv sowohl auf die Sicherheit als auch Privatsphäre auswirkt.

Dennoch solltet ihr euch nicht in Sicherheit wiegen und nun glauben, dass ihr damit alle Tracker- bzw. Datenschutzprobleme löst. Unter Umständen kann es vorkommen, dass eine Tracking- bzw. Werbedomain noch so unbekannt bzw. neu ist, dass sie noch nicht den Weg auf eine der (Block-)Listen gefunden hat. In diesem Fall ist die Wahrscheinlichkeit hoch, dass wiederum ungewollt Daten an fragwürdige Drittanbieter abfließen. Der langfristig beste Schutz gegen den ungewollten Datenabfluss ist ein Verzicht auf die meisten Apps, die im Google Play Store angeboten werden. Mit dem F-Droid Store hat sich glücklicherweise ein alternativer App-Store etabliert, der insbesondere kritische Anwender adressiert, die Wert auf freie und quelloffene Anwendungen legen. In der Bitte melde dich an, um diesen Link zu sehen. für die unterschiedlichsten Anwendungszwecke.

Fazit

Im Google Play Store befindet sich ein ganzes Arsenal an »Pseudo-Security-Apps« wie Virenscanner, die den Nutzer in falsche Sicherheit wiegen. AdAway hingegen kann die Sicherheit und Privatsphäre tatsächlich wirksam schützen. Das Paradoxe: AdAway ist vom Google Play Store ausgeschlossen, da die Blockierung von Trackern und Werbung gegen das Geschäftsmodell von Google verstößt. Eine App, die die Auslieferung von Google-Werbung und -Tracking blockiert ist Google verständlicherweise ein Dorn im Auge.

Im nachfolgenden Beitrag der Artikelserie »Take back control!« werde ich euch zeigen, wie man »Big-Brother-Apps« aus dem Google Play Store in eine Art geschlossene Umgebung bzw. Gefängnis sperrt – möglich ist das mit Bitte melde dich an, um diesen Link zu sehen.. Damit kann man unter anderem vermeiden, dass diese Apps auf sensible Daten (Kontakte etc.) zugreifen.

Bitte melde dich an, um diesen Link zu sehen.

Big Data

Die Erhebung, Verarbeitung und Analyse möglichst vieler Informationen ist das Kerngeschäft von Big Data. Auf Persönlichkeitsrechte wird in dieser intransparenten und von Algorithmen bestimmten Datenverarbeitung kaum Rücksicht genommen. Insbesondere in der Android-Welt wird dieses Dilemma deutlich: Apps greifen ungeniert auf personenbeziehbare Daten zu und übersenden diese ungefragt an die unterschiedlichsten Protagonisten. Genau davor will die Artikelserie »Bitte melde dich an, um diesen Link zu sehen.« schützen.

Ein weiteres Puzzleteil zur Erreichung dieses Ziels ist die App Shelter, die ausgewählte Android-Apps in eine Sandbox einsperrt und ihnen damit den Zugriff auf Telefonbuch, Kalender, Bilder und andere Daten entzieht. Neugierigen Apps kann so der Zugang zu sensiblen Nutzerdaten versperrt werden.

Shelter

Shelter ist eine quelloffene App für Android, die über den bereits vorgestellten Bitte melde dich an, um diesen Link zu sehen. bezogen werden kann. Alternativ kann die App auch über GitHub oder den Google Play Store heruntergeladen werden.

Zur Trennung von Apps nutzt Shelter die Android-Arbeitsprofile, die Google bereits 2015 eingeführt hat, um private Daten von geschäftlichen Inhalten bzw. Apps zu trennen. Das Arbeitsprofil ist quasi ein speziell isolierter Bereich, in den bspw. besonders datenhungrige Apps untergebracht werden können. Neben der normalen Umgebung, in dem sich im Normalfall alle Apps befinden, richtet Shelter also einen weiteren Arbeitsbereich ein, der logisch vom anderen Bereich getrennt ist. Aus diesem Bunker (engl. Shelter) können Apps nicht auf Daten zugreifen, die in der normalen Umgebung liegen – allerdings auf all jene Daten von Apps, die ebenfalls im Shelter untergebracht bzw. eingesperrt sind.

Die Funktionen von Shelter kurz zusammengefasst:

• Besonders neugierige bzw. datenhungrige Apps werden über das Arbeitsprofil isoliert, damit sie nicht auf Daten außerhalb des Profils zugreifen können. Denkbar ist bspw. die Einsperrung von WhatsApp in den »Bunker«, um den Zugriff auf die sensiblen Kontakte im Telefonbuch zu vermeiden.
• Apps, die ständig Hintergrundprozesse anstoßen und dadurch die Akkuleistung reduzieren, können im Shelter »eingefroren« werden.
• Durch die Verwendung des Arbeitsprofils entstehen zwei voneinander getrennte Umgebungen. Theoretisch ist es dadurch möglich, eine App zweimal auf demselben Gerät zu installieren.

Installation

Via Bitte melde dich an, um diesen Link zu sehen. ganz einfach und bequem installieren als auch aktualisieren:

Damit Shelter das Arbeitsprofil anlegen und anschließend Apps verwalten kann, muss sie über Administrationsrechte verfügen. Dies ist natürlich nicht ganz unkritisch, da Shelter damit Rechte erlangt, die einer herkömmlichen App aus Sicherheitsgründen nicht gewährt werden:

Nach dem ersten Start der App blendet Shelter eine Warnung ein. Der Entwickler warnt vor der Nutzung auf Geräten, auf denen Shelter abstürzen oder diese komplett unbrauchbar machen kann. In Kombination mit LineageOS konnte ich bisher keine derartigen Probleme beobachten:

Nach ein paar weiteren Bestätigungen richtet Shelter das Arbeitsprofil ein. Anschließend habt ihr zwei voneinander getrennte Bereiche bzw. Umgebungen, die nicht nur logisch, sondern auch visuell voneinander getrennt sind.

Getrennte (Arbeits-)Bereiche

Innerhalb der App-Übersicht werden nach der Installation von Shelter zwei Reiter sichtbar. Unter dem Reiter »Privat« sind alle Apps aufgelistet, die ihr bisher installiert habt. Der andere Reiter »Geschäftlich« ist das neu angelegte Arbeitsprofil, das auf die Nutzerdaten aus dem Bereich »Privat« keinen Zugriff hat. Ihr könnt mit einem Wisch nach rechts bzw. links zwischen den beiden Bereichen wechseln:

Zur Veranschaulichung der Datentrennung habe ich sowohl im Bereich »Privat« als auch im Bereich »Geschäftlich« Kontakte angelegt. Auf der linken Seite sind alle Kontakte sichtbar, die Apps aus dem Bereich Privat abfragen bzw. erreichen können. Entsprechend sind auf der rechten Seite all jene Kontakte sichtbar, auf die Apps zugreifen können, die im Bereich Geschäftlich installiert sind. Anhand des kleinen Aktenkoffers rechts oben in der Android-Statusleiste könnt ihr übrigens erkennen, dass ihr die Kontakte-App aus dem Arbeitsprofil aufgerufen habt:

Das Aktenkoffer-Icon an einem App-Shortcut visualisiert euch, dass die App im Arbeitsprofil gestartet wird:

Einschränkungen von Shelter

Die Nutzung von Shelter kann für diverse Anwendungsszenarien sinnvoll sein. Allerdings hat der dadurch erzielte Schutz auch seine Grenzen, die der Autor in den FAQs klar benennt. So schützt Shelter unter anderem nicht vor:

• Sicherheitslücken innerhalb des Android-Systems oder des Linux-Kernels
• Hintertüren, die im Android-System integriert sind
• Hintertüren, die in der Firmware des Geräts integriert sind
• Alle anderen Fehler oder Einschränkungen, die durch das Android-System verursacht werden

Außerdem kann Shelter nicht mehr als ein Arbeitsprofil auf einem Android-Gerät erstellen und nicht mit anderen Apps koexistieren, die ebenfalls Android-Arbeitsprofile verwalten.

Ebenfalls solltet ihr bedenken: Apps können weiterhin einmalige Identifier wie die Bitte melde dich an, um diesen Link zu sehen., Seriennummer des Geräts oder dergleichen auslesen und an (Dritt-)Anbieter übermitteln. Der Schutz, der durch Shelter erreicht wird, beschränkt sich im Grunde genommen also auf die (Nutzer-)Daten (Kontakte, Dateien etc.), die ihr selbst auf dem Gerät erzeugt. Vor dem Auslesen von Identifiern, mit denen es Tracking-Firmen unter anderem möglich ist, einen Personenbezug herzustellen, schützt Shelter hingegen nicht. Das erledigen wiederum Apps wie AdAway, die bereits im Rahmen der Artikelserie vorgestellt wurden.

Eine App isolieren

Nachfolgend beschreibe ich den Vorgang zur Überführung (Klonen) einer App in das Arbeitsprofil. Zunächst wird über den Bereich »Privat« eine App aus F-Droid oder einem vergleichbaren App-Store (bspw. Google Play Store) installiert. Hierbei gilt zu beachten, die App lediglich zu installieren und diese anschließend nicht zu starten – ansonsten wird die App im Bereich »Privat« ausgeführt und hat Zugriff auf jene Informationen, die wir eigentlich vor dem Auslesen schützen möchten. Als Beispiel installiere ich die App Bitte melde dich an, um diesen Link zu sehen. aus dem F-Droid Store:

Nach dem Abschluss der Installation wird direkt Shelter aufgerufen. Mit einem langen Fingertipp auf FairEmail erscheint ein Popup. Dort wird Clone to Shelter (Work Profile) ausgewählt – anschließend wird die App im Android-Arbeitsprofil installiert:

Ob die Installation erfolgreich war, könnt ihr über den Reiter »Shelter« einsehen – FairEmail wird dort nun ebenfalls aufgelistet. Für Apps innerhalb des Shelters hält die App zudem zusätzlich Verwaltungsoptionen (langer Fingertipp auf eine App) bereit. Auf Wunsch können die Apps in einen automatischen Ruhezustand versetzt werden, um die Akkulaufzeit zu erhöhen. Apps, die nur ganz selten genutzt werden, lassen sich zudem auch dauerhaft einfrieren:

Bedenkt: Die Isolation bzw. Datentrennung kann nur dann funktionieren, wenn ihr die App ausschließlich über das Arbeitsprofil aufruft. Sobald ihr die App aus dem Bereich »Privat« startet, hat sie wiederum Zugriff auf alle Daten bzw. Informationen der Privatumgebung. Ihr solltet euch daher einen App-Shortcut anlegen und dadurch vermeiden, die App aus dem Privatprofil heraus zu starten.

Hinweis

Aufgrund einer Einschränkung von AFWall+ muss die App sowohl im Privat- als auch im Geschäftsbereich installiert sein. Ist die App ausschließlich im Arbeitsprofil installiert, findet AFWall+ die App nicht, was letztendlich eine Freigabe für den Internetzugriff unmöglich macht.

Zusammenarbeit mit AFWall+

Eine App im Arbeitsprofil kann aufgrund der Firewall-App AFWall+ nicht ohne weiteres Daten mit der Außenwelt austauschen. Damit eine App aus dem Arbeitsprofil überhaupt in AFWall+ zur Freigabe sichtbar wird, muss unter »Einstellungen -> Experimentell« zunächst ein Häkchen bei der Option Unterstützung für Dual Apps gesetzt werden. Erst danach erscheint die App in der AFWall+-Auflistung und kann entsprechend für den Internetzugriff freigeschaltet werden. Zur Unterscheidung innerhalb AFWall+ erhält die App im Arbeitsprofil das Suffix bzw. die Endung (M). Soll die FairEmail-App aus dem Arbeitsprofil Zugriff auf das Internet bekommen, wird folgendes Häkchen ergänzt:

Deinstallation von Shelter

Die Deinstallation von Shelter ist etwas aufwendiger als bei herkömmlichen Apps. Wer Shelter wieder loswerden möchte, muss folgende Schritte befolgen:

• Über Einstellungen -> Konten wird zunächst das Arbeitsprofil entfernt
• Anschließend wird unter Sicherheit & Standort das Untermenü »Apps zur Geräteverwaltung« aufgerufen und die Häkchen bei Shelter entfernt
• Danach kann die App wie gewohnt deinstalliert werden

Fazit

Mit Shelter gelingt die Abschirmung sensibler bzw. privater Daten, auf die nicht jede App Zugriff haben muss. Insbesondere »Big-Brother-Apps« aus dem Google Play Store, die in der Regel relativ ungeniert auf Kontakte, Kalender usw. Zugriff einfordern, können damit reglementiert werden. Wunder solltet ihr allerdings keine erwarten – vor dem Auslesen eindeutiger Identifier schützt Shelter wie bereits angemerkt nicht. Vielmehr bezieht sich der Schutz von Shelter auf (Nutzer-)Daten (Kontakte, Dateien etc.), die ihr selbst auf dem Gerät angelegt habt.

Im nachfolgenden Beitrag der Artikelserie »Bitte melde dich an, um diesen Link zu sehen.« werde ich auf Android-Systemeinstellungen wie die Geräteverschlüsselung eingehen und aufzeigen, welche Einstellungen ihr zur Steigerung eurer eigenen Sicherheit und Privatsphäre innerhalb von LineageOS vornehmen solltet.

Bitte melde dich an, um diesen Link zu sehen.

No more Google!

Mit jedem Teil der Artikelserie »Take back control!« haben wir uns näher an das Ziel herangetastet, die Herrschaft und Kontrolle über unsere Daten zurückzugewinnen und die Datenkrake Google von unserem Smartphone zu verbannen. Trotz aller Bemühungen hat sich Google allerdings noch immer an der ein oder anderen Stelle im System eingenistet – diese kleinen »Lücken« gilt es nun noch zu schließen.

Anschließend seid ihr dann mit dem entsprechenden Rüstzeug ausgestattet, mit dem ihr auch in Zukunft die Herrschaft und Kontrolle über euer Android-Gerät bzw. eure Daten behalten könnt.

Hinweis

Die nachfolgenden Tipps und Einstellungen sind für LineageOS 16.0 bzw. Android 9.0. Benutzt ihr eine davon abweichende Android-Version könnt ihr die vorgestellten Einstellungen eventuell nicht 1:1 auf eurem System durchführen. Es kann also vorkommen, dass ihr eine Einstellung in einem anderen Menü findet oder auf eurem Gerät so nicht verfügbar ist.

Ortungsmöglichkeiten | Standort | (A-)GPS

Im Rahmen der Positionsermittlung können Smartphone-Anbieter bzw. Apps euren Standort relativ genau bestimmen. Dies geschieht über verschiedene Datenpunkte bzw. Informationsquellen wie verfügbare WLAN-Netzwerke, eingeloggte Mobilfunkmasten, Bluetooth-Beacons oder GPS-Positionsdaten eures Geräts.

Sofern GPS in geschlossenen Räumen nicht zur Verfügung steht, weicht die Positionsbestimmung auf andere Informationsquellen aus. Eine dieser Informationsquellen ist bspw. die Bitte melde dich an, um diesen Link zu sehen., die auch in geschlossenen Räumen eine relativ genaue Positionsbestimmung ermöglicht. Diese Bestimmung erfolgt relativ einfach mittels der vom Smartphone übermittelten WLAN- und Mobilfunk-Informationen. Diverse Anbieter wie Google, Apple, Mozilla und Co. haben über die Zeit gigantische Datenbanken aufgebaut, in denen die genaue Position von Mobilfunkmasten und WLAN-Hotspots bzw. WLAN-SSIDs vermerkt sind. Hierdurch sind sie in der Lage, die mit dem Smartphone gesammelten Informationen mit denen aus den Datenbanken abzugleichen, wodurch die jeweiligen Anbieter sofort Kenntnis über den Standort des Smartphones erhalten können.

Standort nur bei Bedarf aktivieren

Generell solltet ihr die Positions- bzw. Standortbestimmung nicht dauerhaft aktiviert haben. Abgesehen von der hohen Beanspruchung des Akkus, fragen insbesondere Apps aus dem Play Store gerne die Positionsdaten ab, um Bewegungsprofile von Nutzern zu erstellen. Ihr solltet die Standortbestimmung daher nur bei Bedarf aktivieren und lediglich ausgewählten Apps den Zugriff auf die Berechtigung »Standort« erlauben.

WLAN- und Bluetooth-Tracking deaktivieren

Android sammelt auch dann im Umkreis befindliche WLAN-Netzwerkinformationen und Bluetooth-Beacons, wenn die WLAN- bzw. Bluetooth-Schnittstelle »vordergründig« deaktiviert ist. Das kostet nicht nur Akku, sondern wird von Apps auch zum Positions-Tracking missbraucht. Die permanente Suche nach WLAN- und Bluetooth-Netzwerken könnt ihr folgendermaßen über die Einstellungen deaktivieren:

Sicherheit & Standort -> Standort -> Suche. Entfernt anschließend die Häkchen bei WLAN-Suche und Bluetooth-Suche.

WLAN-Tracking entgegenwirken

Weiterhin gilt es einen Trend zu berücksichtigen, der auch vor deutschen Städten keinen Halt macht: Das Bitte melde dich an, um diesen Link zu sehen.. Anbei ein paar Vorschläge, wie ihr euch davor schützen könnt:

• Wenn ihr außer Haus geht, solltet ihr eure WiFi-Schnittstelle manuell deaktivieren. WiFi-Randomizer oder andere Schutzmechanismen gegen das WLAN-Tracking sind leider nur bedingt dazu geeignet, um Schutz zu bieten. Besser ist es noch immer, die WiFi-Schnittstelle zu deaktivieren.
• Wer die manuelle Deaktivierung der WiFi-Schnittstelle gerne mal vergisst, der kann sich die App Bitte melde dich an, um diesen Link zu sehen. aus dem F-Droid Store installieren. Ihr wolltet euch überlegen, ob das WLAN aktiviert wird, wenn ihr das Gerät entsperrt und auch nach wie vielen Minuten das WLAN deaktiviert wird, sobald das Display aus ist – je nach Bedarf könnt ihr die Zeiten anpassen bzw. einzelne Funktionen der App auch deaktivieren.
• Ebenfalls einen Blick Wert ist die F-Droid-App Bitte melde dich an, um diesen Link zu sehen.. Diese merkt sich die Funkzellen-IDs in der Nähe, während ihr mit einem WiFi-Netzwerk verbunden seid. Durch die Speicherung bzw. den Abgleich dieser Informationen kann die App anschließend das WiFi-Interface deaktivieren.
• Unter LineageOS gibt es noch eine elegante Möglichkeit die WLAN-Schnittstelle über ein Systemprofil automatisch zu deaktivieren. Öffnet dazu:
  Code

  Einstellungen -> System -> Systemprofile -> Standard -> Tippt auf das Zahnrad bzw. Systemicon.

  Dort tippt ihr unter Auslöser, die dieses Profil aktivieren auf WLAN. Wählt dort anschließend euer WLAN aus und legt als Auslöser fest:

  Code

  Beim Trennen

  Dann wechselt ihr zurück (1x) und selektiert unter Drahtlos & Netzwerke WLAN und legt dort fest:

  Code

  Ausschalten

  Was passiert nun? Ganz einfach: Sobald ihr euch vom definierten WLAN trennt oder einfach außer Reichweite kommt, wird sich die WiFi-Schnittstelle automatisch deaktivieren. Ihr müsst in Zukunft also nicht mehr selbst daran denken euer WLAN abzuschalten, sondern über die Systemprofile lässt sich das ganz einfach steuern.

(A)GPS deaktivieren

LineageOS kontaktiert für SUPL-Daten standardmäßig einen Google-Server unter der Adresse »supl.google.com«. Diese Anfrage beschleunigt die Bestimmung des (GPS-)Standorts bei der Verwendung von Bitte melde dich an, um diesen Link zu sehen. (abgekürzt als A-GPS) – übersendet dabei allerdings bei jedem Aufruf ebenfalls die IMEI-Nummer des Geräts. Das Problem: Die Kombination der IMEI-Nummer mit der Funkzellen-ID ermöglicht dem Betreiber eines SUPL-Servers die eindeutige Identifizierung eines Nutzers, sobald das Smartphone via SUPL-Anfrage den Standort lokalisiert bzw. eingrenzt. Das SUPL-Protokoll ist so gesehen also eigentlich relativ sinnvoll, nur wissen wir nicht, was die Betreiber der SUPL-Server mit diesen Informationen anfangen.

Es gibt zwei unterschiedliche Konfigurationsdateien, in der ein anderer SUPL-Server definiert werden kann:

/etc/system/gps.conf

oder

/vendor/etc/gps.conf

Dort sucht ihr nach folgenden Einträgen:

SUPL_HOST=supl.host.com or IP
SUPL_PORT=7275 (kann variieren)

Bisher identifizierte SUPL-Server-Alternativen sind:

• supl.vodafone.com: Standort Deutschland, Eigenhosting
• supl.sonyericsson.com: Standort ist Irland, Hosting bei Amazon
• agpss.orange.fr: Standort ist Frankreich, Eigenhosting
• supl.qxwz.com: Standort China, Hosting unbekannt
• agps.supl.telstra.com: Standort Australien, Eigenhosting

Jetzt müsst ihr euch die Frage stellen, ob euch eine schnelle GPS-Positionsbestimmung via SUPL wichtig ist oder doch vielleicht eure Privatsphäre. Sollte es die Privatsphäre sein, dann müsst ihr folgende Änderung an der gps.conf vornehmen und danach euer Gerät neu starten:

SUPL_HOST=localhost
SUPL_PORT=7275

Hinweis

Es genügt nicht die Zeilen auszukommentieren. Dann wird ein Fallback aktiv. Woher die Fallback-Informationen stammen konnte ich leider noch nicht feststellen. Das BQ Aquaris Pro nutzt als Fallback den Google-SUPL-Server. Die SUPL-Anfrage wird übrigens immer nach einem Geräte-Neustart abgesetzt, sobald eine Standortbestimmung erfolgt – über die Einstellungen bzw. GUI lässt sich das Verhalten nicht deaktivieren bzw. steuern.

Weitere Informationen zur Thematik und wie man mittels Bitte melde dich an, um diesen Link zu sehen. kontrolliert, wohin die SUPL-Anfrage abgesendet wird sind im Beitrag »Android: IMSI-Leaking bei GPS-Positionsbestimmung« zusammengefasst.

Telefonnummernsuche deaktivieren

Sobald man die Telefon-App startet, sucht die App lokal auf dem Gerät nach der eingegebenen Nummer bzw. dem Namen. Allerdings nicht nur lokal, sondern auch online wird gesucht – standardmäßig über Google. Das bedeutet: Jedes mal wenn ihr lokal nach einer Nummer bzw. Namen sucht, erhält Google diese Informationen ebenfalls.

Das ist aus Datenschutzperspektive natürlich mehr als unschön und ich kann ehrlich gesagt nicht nachvollziehen, weshalb LineageOS solche Funktionen aktiv lässt, ohne den Nutzer darauf hinzuweisen. Immerhin lässt sich die Funktion deaktivieren bzw. auch andere Anbieter auswählen:

Telefon-App starten und rechts oben im Suchfeld auf die drei Pünktchen tippen -> Einstellungen -> Telefonnummernsuche

Dort entfernt ihr die Häkchen bei:

• Vorwärtssuche
• Personensuche
• Rückwärtssuche

Alternativ könnt ihr auch andere Dienste wählen. Beim Dienst für die Vorwärtssuche bspw. OpenStreetMap. Wie gut das funktioniert, habe ich bisher allerdings nicht ausprobiert.

Schnittstellen (Bluetooth / NFC)

Moderne Rechner und auch Smartphones sind mit einer Vielzahl an Schnittstellen und Sensoren wie WiFi, Bluetooth, Kamera, Mikrofon, NFC usw. ausgestattet. Insbesondere die nicht verwendeten Schnittstellen sollten, da sie durchaus weitere Angriffsvektoren darstellen, nur dann aktiv sein, wenn ihr sie wirklich benötigt. Für die meisten Android-Geräte bedeutet das: Generell solltet ihr die WiFi-, Bluetooth- und auch NFC-Schnittstelle nur bei Bedarf aktivieren und bei längerer Nichtbenutzung das Smartphone in den Flugmodus versetzen.

DNS-Einstellungen

Via Bitte melde dich an, um diesen Link zu sehen. wird ein Domainname in eine dazugehörige IP-Adresse übersetzt. Im Grunde ist dies zunächst ein harmloser Vorgang. Allerdings sollte man sich darüber im Klaren sein, dass man bei jeder Kommunikation mit einem DNS-Server mannigfaltige Informationen von sich übermittelt. So wird bei jedem Kontakt des DNS-Servers bspw. immer die (eigene) IP-Adresse inklusive der zu besuchenden Webseite bzw. dem zu besuchenden Webdienst an den DNS-Server transferiert und vielfach von diesem auch abgespeichert. Durch die Auswertung dieser gespeicherten Informationen wäre ein DNS-Serverbetreiber theoretisch in der Lage, euer komplettes Internetnutzungsverhalten feingranular nachzuvollziehen.

WLAN-Netzwerk

IT-Unternehmen wie Google betreiben oftmals ihre eigenen DNS-Server. Im Falle von Google laufen die Haupt-DNS-Server unter den IP-Adressen 8.8.8.8 und 8.8.4.4. Falls ihr euch mit eurem eigenen oder mit einem fremden WLAN verbinden wollt, empfiehlt es sich, die DNS-Einstellungen eures Smartphones zu kontrollieren. Zumeist sind standardmäßig die Google-DNS-Server eingestellt. Dies solltet ihr vermeiden, indem ihr lieber einen von euch selber ausgewählten DNS-Server einstellt:

Einstellungen → WLAN → Ein langer Fingertipp auf eure aktive WLAN-Verbindung → Bleistiftsymbol (oben rechts) antippen.

Anschließend geht ihr wie folgt vor:

• Wählt »Erweiterte Optionen einblenden« und selektiert bei IP-Einstellungen anschließend »Statisch«.
• Definiert eure IP-Adresse, die des Gateways und ganz unten setzt ihr zum Abschluss die IP-Adresse für den DNS 1 und DNS 2.
• Bei DNS 1 und DNS 2 trag ihr jeweils einen neuen DNS-Server ein. In der Empfehlungsecke findet ihr DNS-Server, die weder loggen noch zensieren.
• Alternativ könnt ihr natürlich auch die IP-Adresse eures Routers als DNS-Server eintragen. Ihr müsst dann allerdings auf eurem Router die entsprechenden DNS-Server konfigurieren. Im Normalfall werden euch nämlich die DNS-Server von eurem Netzbetreiber automatisch zugewiesen.

Hinweis

Um herauszufinden, ob die eingestellten DNS-Server auch tatsächlich genutzt werden, eignet sich bspw. der Bitte melde dich an, um diesen Link zu sehen..

Mobiles (Provider-)Netzwerk

Eine Sonderstellung nehmen die DNS-Server vom Mobilfunkprovider ein. Diese könnt ihr mit herkömmlichen Mitteln nicht einfach über ein Menü für das 4G/5G Datennetzwerk ändern. Das bedeutet: Ihr bekommt von eurem Mobilfunkanbieter DNS-Server fest zugewiesen. Es gibt allerdings drei unterschiedliche Lösungswege, mit dem ihr den DNS-Server eures Mobilfunkanbieters »überschreiben« könnt.

[1. Lösung] Bei der schnellen Lösung aktiviert ihr einfach DNS over TLS (DoT) – möglich ab Android-Version 9.x (Pie). Alle DNS-Anfragen und Antworten werden anschließend über eine Bitte melde dich an, um diesen Link zu sehen.-gesicherte Verbindung übertragen, die zwischen eurem Android und einem DNS-Server aufgebaut wird. Die Aktivierung von DoT ist relativ simpel:

Einstellungen -> Netzwerk & Internet -> Erweitert -> Privates DNS

• Selektiert dort Hostname des privaten DNS-Anbieters
• Im Feld darunter tragt ihr dann die Adresse des DNS-Servers ein, der DoT unterstützt. Empfehlungen findet ihr hier.
  • Beispiel Bitte melde dich an, um diesen Link zu sehen.: fdns1.dismail.de
    

Anschließend werden alle DNS-Anfragen, die von eurem System abgesetzt werden, via TLS-verschlüsselter Verbindung zum gewählten DNS-Server übermittelt und beantwortet. Dies ist eine globale Einstellung und gilt für alle Netzwerk-Interfaces (WLAN, Mobil etc.).

[2. Lösung] Bei der zweiten Lösung seid ihr flexibler bzw. die DNS-Einstellungen gelten nicht global für alle Schnittstellen. Der Eingriff ist allerdings komplexer und erfordert die Nutzung der CustomScripts der Bitte melde dich an, um diesen Link zu sehen.. Mit folgendem Codeschnipsel könnt ihr andere DNS-Server für das mobile Interface (rmnet*) erzwingen:

# Force a specific dns server for rmnet[*] interface
$IPTABLES -t nat -I OUTPUT -o rmnet+ -p tcp --dport 53 -j DNAT --to-destination 85.214.20.141:53
$IPTABLES -t nat -I OUTPUT -o rmnet+ -p udp --dport 53 -j DNAT --to-destination 85.214.20.141:53

Nachteil dieser Lösung: Die DNS-Anfragen werden nicht verschlüsselt, sondern im Klartext übermittelt. Im vierten Teil der Serie ist der Umgang mit AFWall+ bzw. CustomScripts ausführlich beschrieben.

[3. Lösung] Denkbar ist auch die dauerhafte Nutzung eines VPN-Tunnels. Bei dieser Variante werden die DNS-Server vom VPN-Gateway vorgegeben und der gesamte Verkehr über den VPN-Tunnel abgewickelt – also ebenfalls die DNS-Anfragen. Bei dieser Lösung benötigt ihr allerdings eine VPN-Gegenstelle bzw. Gateway. Am ehesten eignet sich für die Umsetzung ein Raspberry Pi, OpenWrt-Router oder vergleichbares mit Bitte melde dich an, um diesen Link zu sehen., der zu Hause auf die Anfragen von unterwegs wartet. Dann könnt ihr den gesamten Traffic – egal ob fremdes WLAN oder Mobilfunknetz – durch den VPN-Tunnel leiten und profitiert ebenfalls von euren lokalen Erweiterungen wie einem Pi-hole bzw. Bitte melde dich an, um diesen Link zu sehen. etc.

Diese Variante funktioniert in der Praxis außerordentlich gut, da das WireGuard-Protokoll schnell eine Verbindung aufbaut, kaum Overhead mitbringt und äußerst stabil läuft. Eindeutig zur Nachahmung empfohlen.

Captive-Portal

Zum Captive-Portal-Check hatte ich bereits einen Abschnitt im Bitte melde dich an, um diesen Link zu sehen. untergebracht. Zur Erinnerung:

Zur Prüfung, ob eine Verbindung zum Internet besteht, sendet Android eine Anfrage an die Adresse »connectivitycheck.gstatic.com«. Ist die Anfrage erfolgreich, besteht Zugang zum Internet. Mit dieser Anfrage übermittelt das System jedes Mal Informationen zur IP-Adresse des Anschlusses, dem Zeitpunkt des Internet-Zugangs und welcher Browser aktuell verwendet wird an Google. Gerade datenschutzbewusste Nutzer wollen allerdings nicht jedesmal einen »Ping« an Google versenden, wenn sie online gehen.

Mein Lösungsvorschlag:

• Entweder ihr deaktiviert den Captive-Portal-Check vollständig
• oder ihr nutzt einen alternativen Captive-Portal-Check. Unter der Adresse »captiveportal.kuketz.de« biete ich einen solchen Captive-Portal-Check an – es wird nichts geloggt oder ausgewertet.

Für welche Variante ihr euch auch entscheidet, Bitte melde dich an, um diesen Link zu sehen., wie ihr den Captive-Portal-Check vollständig deaktiviert oder einen alternativen Server verwendet.

Geräteverschlüsselung

Die Vollverschlüsselung eines Smartphones soll Angreifern nach einem Diebstahl den Zugriff auf die Daten des Geräts erschweren. Alle aktuellen Modelle werden im Normalfall ab Werk mit einer aktiven Geräteverschlüsselung ausgeliefert. Ausnahmen finden wir allerdings bei Custom-ROMs – auch bei LineageOS. Je nach Maintainer bzw. Problemen bei der Anpassung für LineageOS kann es vorkommen, dass die Geräteverschlüsselung (temporär) nicht aktiviert ist. Ist die Geräteverschlüsselung nicht aktiv, solltet ihr wie folgt vorgehen:

• Erkundigt euch im Bitte melde dich an, um diesen Link zu sehen. oder beim Maintainer, weshalb die Geräteverschlüsselung nicht aktiv ist
• Gibt es dafür keinen nachvollziehbaren Grund bzw. ist eine Geräteverschlüsselung problemlos für euer Gerät aktivierbar, dann solltet ihr diese auch aktivieren
• Vor der Aktivierung der Geräteverschlüsselung solltet ihr eure Daten (regelmäßig) sichern. Falls der (Verschlüsselungs-)Vorgang abbricht oder ihr euch nicht mehr an die PIN/Passwort erinnert, ist die Verschlüsselung nur mit einem Zurücksetzen des Geräts rückgängig zu machen – und dabei gehen alle Daten auf dem internen Speicher verloren.

Falls die Geräteverschlüsselung bei euch noch nicht aktiv sein sollte, solltet ihr das wie folgt nachholen:

Sicherheit & Standort -> Erweitert -> Verschlüsselung & Anmeldedaten -> Smartphone verschlüsseln

Beachtet bitte die Hinweise auf dem Bildschirm, bevor ihr die Verschlüsselung ausführt. Anschließend werden alle (Benutzer-)Daten des internen Gerätespeichers verschlüsselt. Zu beachten ist, dass bisher nur der interne Gerätespeicher verschlüsselt wird, Daten auf einer eventuell vorhandenen externen (SD-)Speicherkarte oder Daten, die in der Cloud gespeichert werden, jedoch nicht. Ihr könnt euch überlegen, ob ihr die eventuell vorhandene (SD-)Speicherkarte ebenfalls verschlüsselt. Hierbei solltet ihr bedenken:

• Aufgrund der Verschlüsselung lässt sich die (SD-)Speicherkarte nicht mehr entnehmen und einfach am PC benutzen.
• Wollt ihr euer Smartphone zurücksetzen, dann solltet ihr zuvor nicht vergessen, die SD-Karte wieder zu entschlüsseln. Andernfalls könnt ihr auf die Daten später nicht mehr zugreifen und müsst die SD-Karte neu formatieren.

Displaysperre einrichten

Eine aktive Geräteverschlüsselung ist nur der erste Schritt. Mindestens ebenso wichtig ist ein sicheres Passwort bzw. PIN, mit dem der Zugriff auf das Smartphone geschützt wird. Es gilt folgender Merksatz:

Die Geräteverschlüsselung bzw. der Schutz, den sie bietet, ist nur so gut, wie das verwendete Passwort / PIN.

Das bedeutet: Der Sinn und insbesondere die Sicherheit der Geräteverschlüsselung steht und fällt mit der Qualität des verwendeten Passworts / PINs. Dieses insbesondere deshalb, weil Google noch immer keinen (softwareseitigen) Brute-Force-Schutz integriert hat, der das Gerät bspw. nach der dritten Fehleingabe einfach herunterfährt.

Folgendes müssen wir uns daher schonungslos vor Augen führen: Das Passwort bzw. die PIN stellt die einzige Hürde dar, die ein Angreifer überwinden muss. Ist das Passwort schlecht gewählt oder die PIN zu kurz, kann ein Angreifer mit vertretbarem Aufwand (bspw. Brute-Force-Angriff) Passwort bzw. PIN berechnen.

Rechenbeispiel

Bei einer vierstelligen PIN existieren insgesamt 10^4 unterschiedliche Kombinationen, also insgesamt 10000. Im Mittel benötigt ein Angreifer also 5000 (10000 / 2) Versuche, um die PIN zu berechnen. Folgendes gilt es zu berücksichtigen:

• Nach 5 Fehlversuchen erzeugt Android (Pie) eine 30-Sekunden-Verzögerung zwischen der nächsten Eingabe
• Ab der 11. Fehleingabe erzeugt Android (Pie) nach jeder Fehleingabe eine 30-Sekunden-Verzögerung

Das ergibt ca. einen mittleren Zeitaufwand von: 5000 * 30 Sekunden = 150000 Sekunden. Das entspricht:

• 2500 Minuten
• 41,666 Stunden

In gut 41 Stunden ist eine vierstellige PIN im Mittel zu knacken. Zum Vergleich eine achstellige PIN:

• 25000000 Minuten
• 416666,666 Stunden
• 17361,111 Tage
• 2480,158 Wochen
• 47,564 Jahre

Rein rechnerisch betrachtet stellt die Verwendung einer achtstelligen PIN auch einen versierten Angreifer vor ein Problem – außer natürlich, er kann sich eine Schwachstelle (bspw. Umgehung der 30-Sekunden-Verzögerung) zu Nutze machen und den Vorgang beschleunigen. Unsere Überlegung klammert Geheimdienste und andere Organe mit entsprechenden finanziellen Mitteln und Manpower natürlich aus. Es wäre utopisch zu glauben, dass ein achtstelliger PIN jeden Angreifer aufhalten würde – dem ist nicht so.

PIN | Passwort

Android bietet euch unterschiedliche Displaysperren an:

• Keine
• Wischen
• Muster
• PIN
• Passwort

Ihr solltet in jedem Fall eine PIN oder Passwort wählen. Sowohl die Option Keine als auch Wischen bieten keinen Schutz und führen die Geräteverschlüsselung ad absurdum. Von der Entsperrung via Entsperrmuster (Pattern) solltet ihr ebenfalls absehen. Verglichen mit einem ausreichend langen PIN / Passwort leiden Entsperrmuster bspw. an Bitte melde dich an, um diesen Link zu sehen..

Rein rechnerisch bietet eine achstellige PIN einen ausreichenden Schutz gegen einen Angreifer. Ihr könnt natürlich auch eine längere PIN oder ein komplexes bzw. langes Passwort (Maximal 16 Zeichen) wählen, um euer Gerät zu schützen. Das hängt ganz von eurem persönlichen Bedrohungslevel ab.

Damit ihr eure PIN bzw. Passwort nicht bei jedem Entsperrvorgang eingeben müsst, bietet euch Android eine Entsperrung via Fingerabdruck an – sofern euer Gerät einen Fingerabdrucksensor integriert hat. Ob ihr diesen Fingerabdrucksensor nutzen wollt, ist von euch abhängig. Allerdings sollte man bedenken, dass biometrische Merkmale wie Fingerabdrücke, Gesichter etc. imitiert werden können – es gibt sogar bereits sogenannte »Generalschlüssel« (künstliche Fingerabdrücke), mit denen sich der Fingerabdrucksensor überlisten lässt. Der 0815-Dieb von der Kirmes wird sich vermutlich allerdings kaum die Mühe machen, den Fingerabdrucksensor zu überlisten – möglich ist es aber. Das solltet ihr bei der Einrichtung berücksichtigen:

Sicherheit & Standort -> Displaysperre

• Wählt dort »PIN« und vergebt eine mindestens achtstellige PIN. Je nach Sicherheitsbedarf bzw. eurem individuellen Risikomanagement sind natürlich auch längere PINs oder sogar ein Passwort denkbar.
• Nachdem ihr die PIN festgelegt habt, solltet ihr das Systemicon (ganz rechts) in der Zeile »Displaysperre« antippen. Dort solltet ihr die Zeit für das »automatische Sperren« nicht höher als 30 Sekunden setzen.

WrongPinShutdown

Mit der F-Droid-App Bitte melde dich an, um diesen Link zu sehen. könnt ihr einen softwareseitigen Brute-Force-Schutz nachrüsten. Innerhalb der App könnt ihr einstellen, nach wie vielen fehlgeschlagenen Anmeldeversuchen das Gerät abgeschaltet wird. Standardmäßig sind 3 Fehleingaben voreingestellt:

Nach einem Neustart des Geräts wird ein potenzieller Angreifer erneut mit der PIN- bzw. Passworteingabe konfrontiert. Die Verzögerungen bzw. Timeouts sind dann allerdings länger – nach mehrmaliger falscher PIN-Eingabe werden Timeouts von ca. 20 – 30 Sekunden erzeugt. Nach ca. 50 Fehleingaben erscheint dann auch die Meldung:

Achtung: Sollten die nächsten 9 Versuche, das Gerät zu entsperren, fehlschlagen, werden die Gerätedaten gelöscht!

Fazit

Die Wiedererlangung der Datenhoheit im Android-Universum ist kein Ziel, das sich mal eben so an einem freien Wochenende erreichen lässt. Der Weg zu mehr Selbstbestimmung ist steinig und voller unvorhersehbarer Stolpersteine. Aber die Mühe lohnt sich – auch wenn ein »blinder Fleck« bleibt. Denn sobald ihr Daten mit anderen Menschen austauscht, sei es über E-Mail oder Messenger, so gibt es schlichtweg keine Garantie, dass die übermittelten Daten vom Empfänger sensibel behandelt werden oder nicht direkt nach Erhalt in der Microsoft-Cloud landen bzw. die Kontaktdaten via Google-Konto synchronisiert werden.

Es ist also nicht damit getan die Artikelserie 1:1 umzusetzen. Denn selbst wenn ihr mit euren Daten verantwortungsvoll umgeht und ausschließlich Dienste und Software einsetzt, mit denen ihr die Kontrolle behaltet, seid ihr eben immer externen Einflüssen ausgesetzt. Daher gilt auch weiterhin: Macht euch die Mühe und klärt andere Menschen auf – in der Empfehlungsecke findet ihr eine ganze Menge an Tipps und Anregungen, die auch für eure Mitmenschen von Interesse sein könnten.

Rückblickend ziehe ich eine positive Bilanz und bin überzeugt, euch einen praktikablen Weg aufgezeigt zu haben, mit dem ihr die Herrschaft und Kontrolle über euer Android-Gerät bzw. eure Daten auch in Zukunft behalten könnt.