Keine freie/anonyme Entwicklung von Android-Apps mehr?

Allgemein
1

Guten Tag zusammen!

Ich bin im Android-Entwickler-Blog auf etwas beunruhigendes gestoßen. Wenn ich es richtig verstehe, soll das Sideloading von APKs, sowie Apps aus alternativen App-Stores nur noch auf von Google zertifizierten Geräten laufen, wenn die App-Entwickler sich zuvor bei Google mit ihrer Identität ausgewiesen haben.

Bisher war das doch nur so, wenn man auf dem Play Store direkt etwas veröffentlicht hat, aber nicht, wenn man z.B. aus Privatsphäregründen oder ähnlichem sich nicht bei Google authentifizieren wollte und daher nur auf F-Droid oder über Github und Co. veröffentlicht hat. Oder habe ich da jetzt etwas falsch verstanden?

Für mich sieht das eher so aus, als dass sich hier langsam auf allen Ebenen die Schlinge zuzieht (nur subjektive Empfindung).

Hier der Artikel aus dem oben genannten Blog mit DeepL auf deutsch übersetzt:

Android-Geräte

Veröffentlicht von Suzanne Frey – VP, Product, Trust & Growth für Android

Sie sollten sich nicht zwischen Offenheit und Sicherheit entscheiden müssen. Durch die Integration von Sicherheitsfunktionen in den Kern des Betriebssystems hat Android bewiesen, dass beides möglich ist, und wir unternehmen weiterhin neue Schritte in diese Richtung.

Mit dem Aufkommen neuer Bedrohungen haben wir unsere Abwehrmaßnahmen weiterentwickelt. Nach den jüngsten Angriffen, darunter auch solche, die auf die Finanzdaten von Nutzern auf ihren Smartphones abzielten, haben wir daran gearbeitet, die Verantwortlichkeit der Entwickler zu erhöhen, um Missbrauch zu verhindern. Wir haben gesehen, wie böswillige Akteure sich hinter Anonymität verstecken, um Nutzern zu schaden, indem sie sich als Entwickler ausgeben und deren Markenimage nutzen, um überzeugende gefälschte Apps zu erstellen. Das Ausmaß dieser Bedrohung ist erheblich: Unsere jüngste Analyse ergab, dass es über 50 Mal mehr Malware aus Internet-Sideloading-Quellen gibt als in Apps, die über Google Play verfügbar sind.

Um Nutzer besser vor wiederholten Angriffen durch böswillige Akteure zu schützen, die Malware und Betrugsversuche verbreiten, fügen wir eine weitere Sicherheitsebene hinzu, um die Installation von Apps für alle sicherer zu machen: die Entwicklerüberprüfung.

Ab nächstem Jahr verlangt Android, dass alle Apps von verifizierten Entwicklern registriert werden müssen, damit sie von Nutzern auf zertifizierten Android-Geräten installiert werden können. Dies schafft eine wichtige Rechenschaftspflicht und erschwert es böswilligen Akteuren erheblich, schnell eine weitere schädliche App zu verbreiten, nachdem wir die erste entfernt haben. Vergleichen Sie dies mit einer Ausweiskontrolle am Flughafen, bei der die Identität eines Reisenden überprüft wird, die jedoch nichts mit der Sicherheitskontrolle seines Gepäcks zu tun hat. Wir überprüfen, wer der Entwickler ist, aber nicht den Inhalt seiner App oder deren Herkunft. Diese Änderung wird zunächst in einigen ausgewählten Ländern eingeführt, die besonders von dieser Art von betrügerischen App-Scams betroffen sind, die oft von Wiederholungstätern ausgehen.

Seit wir 2023 Verifizierungsanforderungen für Google Play eingeführt haben, haben wir aus erster Hand erfahren, wie hilfreich die Identifizierung von Entwicklern ist, um böswillige Akteure daran zu hindern, ihre Anonymität auszunutzen, um Malware zu verbreiten, Finanzbetrug zu begehen und sensible Daten zu stehlen. Die breitere Einführung eines ähnlichen Verfahrens für Android wird eine einheitliche, vernünftige Grundlage für die Verantwortlichkeit von Entwicklern im gesamten Ökosystem schaffen.

Um diesen Prozess so reibungslos wie möglich zu gestalten, entwickeln wir eine neue Android Developer Console speziell für Entwickler, die ihre Apps ausschließlich außerhalb von Google Play vertreiben, damit sie ihre Verifizierung problemlos abschließen können. Werfen Sie schon jetzt einen ersten Blick darauf, wie das funktioniert. Ein Hinweis für studentische und hobbyorientierte Entwickler: Wir wissen, dass Ihre Anforderungen sich von denen kommerzieller Entwickler unterscheiden, daher richten wir für Sie einen separaten Account-Typ für die Android Developer Console ein.

Wenn Sie Apps über Google Play vertreiben, haben Sie diese Verifizierungsanforderungen wahrscheinlich bereits über den bestehenden Play Console-Prozess erfüllt. Weitere Informationen darüber, wie diese Anforderungen für Sie gelten, finden Sie in unseren Leitfäden.

Zur Klarstellung: Entwickler haben weiterhin die gleiche Freiheit, ihre Apps direkt über Sideloading an Nutzer zu vertreiben oder einen App Store ihrer Wahl zu nutzen. Wir glauben, dass ein offenes System so funktionieren sollte – indem es die Auswahlmöglichkeiten bewahrt und gleichzeitig die Sicherheit für alle verbessert. Android zeigt weiterhin, dass mit den richtigen Design- und Sicherheitsprinzipien Offenheit und Sicherheit Hand in Hand gehen können. Weitere Informationen zu den spezifischen Anforderungen finden Sie auf unserer Website. Wir werden in den kommenden Monaten weitere Informationen veröffentlichen.

Zeitplan und Vorbereitungen

Um Ihnen bei den Vorbereitungen zu helfen, empfehlen wir allen Entwicklern, die Apps auf zertifizierten Android-Geräten vertreiben, sich für den Early Access anzumelden. Dies ist der beste Weg, um sich vorzubereiten und auf dem Laufenden zu bleiben.

Frühe Teilnehmer erhalten außerdem:

  • Eine Einladung zu einem exklusiven Community-Diskussionsforum.

  • Vorrangige Unterstützung für diese neuen Anforderungen.

  • Die Möglichkeit, Feedback zu geben und uns bei der Gestaltung der Erfahrung zu helfen.

Melden Sie sich jetzt für den frühen Zugang an

Hier ist der Zeitplan, der Ihnen bei der Planung hilft:

Oktober 2025: Der frühe Zugang beginnt. Die Einladungen werden nach und nach verschickt.

März 2026: Die Verifizierung wird für alle Entwickler geöffnet.

September 2026: Diese Anforderungen treten in Brasilien, Indonesien, Singapur und Thailand in Kraft. Zu diesem Zeitpunkt müssen alle Apps, die auf einem zertifizierten Android-Gerät in diesen Regionen installiert sind, von einem verifizierten Entwickler registriert werden.

2027 und darüber hinaus: Wir werden diese Anforderungen weiterhin weltweit einführen.

Mir ist klar, dass das vermutlich die Custom Roms, die keine Zertifizierung von Google haben/wollen nicht so sehr betrifft. Aber wer weiß, was als nächstes kommen könnte

Hier noch der Originallink zum übersetzten Text:
https://android-developers.googleblog.com/2025/08/elevating-android-security.html

2

Ich denke eher, daß man, mit einem Custom ROM am Telefon, von F-Droid so lange etwas herunterladen und installieren kann, solange a) F-Droid das zuläßt und, b) das Telefon mit Custom ROM (welches auch immer) diese Software bzw. App eben installiert ohne wegen ‘Sicherheitsrisiko’ oder sonst was, dies zu verweigern.

3

Ich sehe das doppelt kritisch:

  • Als Anwender möchte ich nur Software aus vertrauenswürdigen Quellen. Unter Windows gibt es zwei Filter: eine gültige Signatur (da kann man seinen eigenen vertrauen oder ein Zertifikat kaufen, die sind allerdings unverschämt teuer) und den Smart-Filter, der wird von MS kontrolliert (für kleine Anbieter wie mich ein Problem). Dagegen ist das was Google verlangt eigentlich zu wenig, denn sie wollen Namen, Telefonnummer, Email und (manchmal) eine Kopie eines Ausweises, das kann man alles fälschen. Also aus Anwendersicht Murks.
  • Als potentieller Anbieter (bisher keine Android-Software in meinem Portfolio) weiß ich nicht ob ich diskriminiert werde, denn der ganze Prozess läuft über Google und kann daher genauso problematisch sein wie Google-Play. Also aus Anbietersicht Murks.

Nur wie geht es besser solange der Durchschnittsanwender die üblichen Vertrauensmechanismen nicht versteht und benutzen kann?

4

Wir sollten beispielhaft etwas Funktionierendes auf die Beine stellen und nicht warten, bis Otto Normalverbraucher geruht, seine Meinung zu diesem Thema zu ändern (oder gar, bis er selber sein Gesäß zu bewegen anfängt).

5

Ja, die Argumente kann ich nachvollziehen.

Aber könnte man vielleicht nicht stattdessen eine Funktion implementieren, welche aufploppt und sagt “Achtung, XYZ ist nicht geprüft. Installation auf eigene Gefahr” und fertig? So ähnlich ist es ja schon, wenn ich Drittquellen-Apps per apk installieren will, da warnen die Einstellungen ja auch deutlich.

Wie gesagt: Klar betrifft das Custom Roms weniger, aber ich denke viele Menschen, die in OEM-Roms “eingesperrt” sind, hatten mit F-Droid zumindest etwas ihre Situation verbessern können. Und ich bin mir nicht sicher, wie viele F-Droid Entwickler*innen sich gerne bei Google “ausweisen” wollen.

@anon9332209
Ich habe es so verstanden, dass dann alle Apps von Entwickler*innen auf zertifizierten Roms nicht mehr laufen, die nicht zuvor von Google “autorisiert” wurden, unabhängig ob über F-Droid, Github oder Co.

Vielleicht habe ich es auch missverstanden.

6

Alle Apps die auf Google zertifizierten ROMS laufen müssen von verifizieren Devs stammen. Verifiziert heißt durch Pass, Ausweis usw verifiziert. Apps die nicht verifiziert sind zB von GitHub oder F-Droid werden eben auf den normalen Telefonen nicht mehr laufen. Die Installation wird verweigert usw.

Die fangen auch nicht in Ländern an wo die kriminalität besonders hoch ist sondern sie nehmen Länder in denen die Gefahr gering ist dagegen zu klagen. In Europa wird es weitaus schwieriger das durchzusetzen :slight_smile: Aber Google verpackt es als Sicherheit und einige der deutschen App Entwickler sind so naiv zu glauben das Google das für sie macht und feiern das schon mal ausgiebig

7

Wer ist den in diesem Fall „wir“?

8

Allgemein, Menschen die sich nicht mit dem GAFAM Oligopol abfinden wollen, kritische Konsumenten, User von ‘alternativen’ Betriebssystemen, datenschutz-interessierte Leute, die Entwickler der diversen ‘Custom ROMs’, natürlich auch die Benützer derselben, Computerbastler, Hobby-Hacker, wer immer sich des Problems bewußt ist und was dagegen machen will und/oder sich schützen oder irgendwie von den Datenkraken fernhalten will.

Alle, die mit Stock-Android wie-es-ist unzufrieden sind.

9

Es geht und ging schon seit ewigen Jahren in Wahrheit nur um Kontrolle und Macht in diesem Spiel. Und wer davon profitiert, sollte einem gut informierten Menschen eigentlich klar sein.

In einem gläsernen Käfig eines “Drittlands” festzusitzen, macht digitale Souveränität nämlich unmöglich und vor allem eins, abhängig.

Der normale Durchschnittsbürger begreift diese Tragweite aber eh nicht. Es ist schlecht für Deutschland und die EU. Und ja somit auch für alle EU-Bürger, was da geplant wird.

Es bräuchte dringendst passende technische Antworten und funktionsfähige Lösungen aus der EU. Und wenns eben eine neue Linuxdistribution ist, besser als nix.

Die Chinesen haben dies auch längst verstanden und setzen es sehr fleissig um.

10

Du hast mich ein bisschen wieder auf sailfish gebracht und wie ich sehe wird ja fleißig an einem neuen Gerät geplant. Da werde ich mal am Ball bleiben und schauen wo da die Reise hingeht

11

Die planen immer. Schauen wir mal was dabei rauskommt.

12

solange Nutzer auf Phishing oder den Enkel-Trick reinfallen?
Ich bin da pessimistisch.

13

F-Droid signiert die Apps selbst bzw. “baut” sie selbst neu, bevor sie im Repo landen. Von daher könnte es dem Fall so sein, dass F-Droid selbst nur registriert sein muss.

14

irgendwie fehlt mir in der Argumentation noch der Hinweis “Schutz vor Terror und Kipo”. Dann lassen doch viele quasi alles mit sich machen. :frowning:

15

Ja, das kann ich nachvollziehen. Die Frage ist aber, wo wir die Grenze ziehen zwischen “Das ist kompliziert und Nutzer*innen brauchen Hilfe.” und Eigenverantwortung im Sinne von “Wenn ich mich nicht auskenne, dann erst informieren oder nur offizielle Apps installieren”.

Ich bin absolut dafür, Menschen zu helfen. Wenn es um handwerkliche Dinge geht bin ich auch froh, wenn mir jemand helfen kann. Daher käme ich nie auf die Idee ein mir unbekanntes Werkzeug zu nutzen, ohne zuvor die Handhabung gelernt zu haben.

Ist eine schwierige Gratwanderung, wo der Schutz von Anwender*innen vor gefährlichen Entscheidungen aufhört und die Eigenverantwortung anfängt

@Hadel

Wäre möglich. Trotzdem hat das in meinen Augen alles einen bitteren Beigeschmack. Es fühlt sich einfach so an, als würde Stück für Stück der Sack zu gemacht…

@ChrisK

Ja, das fehlt noch. Gerne werden diese beiden Argumente für viele Dinge zweckentfremdet, um als Totschlagargument Kritiker*innen von Vorhaben in die Ecke zu treiben.

16

das halte ich für nicht ausreichend, denn wie schützt F-Droid dann vor Supply-Chain-Angriffen?

17

Naja das Thema wird uns erst mal nicht betreffen hier also würde ich abwarten. Geplant ist viel umgesetzt wird hier bei uns erst mal nichts. Daher keine Panik verbreiten und entspannen :slight_smile:

18

Was ist mit Registrierung andere als jetzt?

19

Es geht im Grunde darum das Entwickler sich nun per Ausweis registrieren müssen um auf googlezertifizierten Geräten Software installieren zu dürfen. Nicht jeder möchte aber seine Daten an Google übergeben (kommt uns hier im Forum bekannt vor, oder?)

20

besser als jede Regulierungforderung:

brain.exe