GrapheneOS: ein Telefon, das nicht gegen dich aussagt

Die meisten Datenschutzratschläge verlangen von dir, eine Einstellung zu ändern. Dieser verlangt von dir, das Betriebssystem auf deinem Telefon zu ersetzen. Das ist eine echte Zumutung, deshalb widmet dieser Leitfaden dem, was du aufgibst, genauso viel Zeit wie dem, was du gewinnst, und er sagt dir klar, wann die Antwort lass es bleiben lautet.

01Was es tatsächlich behebt

Es ist einfach, Funktionen aufzulisten. Nützlicher ist es, von den vier Wegen auszugehen, auf denen ein Telefon Menschen in Schwierigkeiten bringt, und zu sehen, was jedem entgegengesetzt wird.

Bedrohung: Das Telefon wird dir weggenommen

An einem Kontrollpunkt, bei einer Razzia, an einer Grenze. Forensische Extraktionswerkzeuge, die weltweit an Polizei und Geheimdienste verkauft werden, funktionieren am besten gegen ein Telefon, das eingeschaltet ist und seit dem Start mindestens einmal entsperrt wurde; in diesem Zustand ist ein großer Teil deiner Daten bereits im Speicher entschlüsselt und das Betriebssystem bietet eine große Angriffsfläche. Ein Telefon, das neu gestartet und noch nicht entsperrt wurde, ist ein weit schwierigeres Ziel: Die Verschlüsselungsschlüssel sind schlicht nicht vorhanden.

GrapheneOS greift das direkt an:

• Automatischer Neustart. Wenn das Telefon für einen festgelegten Zeitraum nicht entsperrt wird, startet es sich selbst in diesen stark verschlüsselten Zustand vor dem Entsperren zurück. Konfigurierbar, und kann auf nur zehn Minuten eingestellt werden. Ein Telefon, das morgens beschlagnahmt und nachmittags in ein Labor gebracht wird, kommt kalt an.
• Duress-PIN. Du legst eine zweite PIN oder ein zweites Passwort fest. Wenn du sie eingibst, sieht es wie ein normaler Entsperrversuch aus und löscht stattdessen unwiederbringlich das Gerät — Datenpartition und eSIMs, indem die Schlüssel zerstört werden. Es funktioniert vom Sperrbildschirm aus und von überall, wo das Gerät deine Anmeldedaten verlangt.
• USB-Anschlusskontrolle. Der Anschluss kann auf reines Laden beschränkt oder ganz deaktiviert werden, während das Gerät gesperrt ist. Forensische Werkzeuge kommen in der Regel über USB.
• PIN-Verschleierung und keine Fingerabdruck-Fallback-Fallen. Das Tastenfeld-Layout kann randomisiert werden, damit ein Schulterblicker oder eine Deckenkamera deine PIN nicht erfahren kann, und die Behandlung fehlgeschlagener Versuche ist strenger als bei Standard-Android.

Bedrohung: Die Apps auf deinem eigenen Telefon

Auf Standard-Android kann eine App, die deinen Speicher lesen kann, alles davon lesen. Eine App mit Kontaktberechtigung nimmt dein gesamtes soziales Umfeld. Und jede installierte App hat automatisch Internetzugang — Android hatte nie eine Berechtigung, um ihn zu verweigern.

• Netzwerkberechtigung. GrapheneOS fügt eine hinzu. Du kannst eine App installieren und sie einfach nicht mit dem Internet sprechen lassen, eine Kamera-App, einen PDF-Reader, einen Metadaten-Scrubber, eine Offline-Karte. Dieser einzelne Schalter tötet die meisten Telemetriedaten sofort ab.
• Sensoren-Berechtigung. Blockiert das Beschleunigungsmessgerät, Gyroskop, Kompass, Barometer und andere Sensoren, die Android ganz ohne Berechtigung bereitstellt. Diese Sensoren reichen aus, um ein Gerät zu fingerprinten und, laut veröffentlichter Forschung, um Tippen und Bewegung abzuleiten.
• Speicher-Scopes. Statt einer App den Speicherzugriff zu verweigern und zuzusehen, wie sie kaputtgeht, sagst du ihr, der Speicher sei leer, und gewährst dann einzelne Dateien oder Ordner. Die App glaubt, sie habe vollen Zugriff, und sieht nur, was du ausgewählt hast.
• Kontakt-Scopes. Derselbe Trick für deine Kontakte. Einer Messaging-App können genau drei Personen gezeigt werden statt deines ganzen Adressbuchs.

Bedrohung: Google selbst

Auf einem Standard-Android-Telefon läuft Google Play Services mit umfassendem privilegiertem Zugriff, der tief im Betriebssystem verankert ist. Es lässt sich nicht sinnvoll entfernen, einschränken oder prüfen, und es ist ein Ziel für rechtmäßigen Zugriff — Google erhält und beantwortet Geofence- und Kontoanfragen.

GrapheneOS wird ganz ohne Google-Code ausgeliefert. Wenn du den Play Store brauchst, kannst du sandboxed Google Play installieren: die gewöhnlichen Google-Apps, die als normale unprivilegierte App in dem Profil deiner Wahl laufen, unterworfen allen oben genannten Berechtigungen, einschließlich des Netzwerk-Schalters. Die meisten Apps, die Play Services benötigen, funktionieren einfach. Google bekommt, was jede andere App bekommt: was du ihm erlaubst.

Bedrohung: jemand, der das Telefon aus der Ferne angreift

Söldner-Spyware, die Pegasus/Predator-Klasse von Werkzeugen, wurde wiederholt gegen Journalisten und Menschenrechtsaktivisten in dieser Region eingesetzt. Kein Telefon ist immun. Aber diese Exploit-Ketten werden gegen Standard-Betriebssysteme entwickelt und getestet, und GrapheneOS verändert den Boden unter ihnen: ein gehärteter Speicher-Allocator, ein gehärteter Kernel und libc, strengere Compiler-Mitigationen und aggressive Reduzierung der Angriffsfläche. Mehrere dokumentierte Exploit-Ketten sind daran beiläufig gescheitert, einfach weil Annahmen, auf die der Exploit sich stützte, nicht mehr zutrafen.

02Warum es nur für Pixel gilt und welches du kaufen solltest

Die Pixel-Voraussetzung frustriert viele, und sie ist keine Bevorzugung. Sie folgt aus dem oben genannten Verified-Boot-Punkt. Google Pixels sind in der Praxis die einzigen breit verfügbaren Telefone, die es einem Drittanbieter-Betriebssystem erlauben, den Bootloader mit seinem eigenen Schlüssel neu zu sperren und vollständiges Verified Boot sowie hardwaregestützte Attestierung beizubehalten. Sie verfügen außerdem über ein dediziertes Secure Element und erhalten langen, planbaren Firmware-Support, und Firmware ist die eine Ebene, die kein OS-Projekt für dich reparieren kann.

Kaufen ohne eine Papierspur zu hinterlassen

Wenn dein Bedrohungsmodell jemanden einschließt, der feststellen will, dass dir ein gehärtetes Telefon gehört, ist der Kauf der Schwachpunkt, nicht das Gerät.

• Bargeld, persönlich, gebraucht ist am saubersten. Prüfe den IMEI-Blacklist-Status, bevor du bezahlst.
• Kaufe nicht carrier-locked oder carrier-branded Ware, einige Carrier-Varianten können überhaupt nicht für die Installation entsperrt werden.
• Kaufe das Telefon und die SIM an verschiedenen Orten, idealerweise an verschiedenen Tagen.
• Ein brandneues versiegeltes Telefon von einem großen Händler, bar bezahlt, ist ebenfalls in Ordnung und beseitigt jede Sorge darüber, was ein Vorbesitzer damit gemacht hat.

03Worauf du verzichtest

Jeder Leitfaden, der diesen Abschnitt überspringt, verkauft dir etwas. Hier ist die echte Liste.

04Installation

Der offizielle Web-Installer erledigt das Ganze von einem Browser aus. Es ist die einfachste Installation eines Custom-OS, die es gibt, und es ist sehr schwer, ein Pixel auf diese Weise dauerhaft zu beschädigen, eine fehlgeschlagene Installation kann durch einen Neustart wiederhergestellt werden.

1. Halte die offiziellen Anweisungen vor dir

   Öffne grapheneos.org/install/web und folge ihr parallel zu dieser Seite. Der offizielle Leitfaden ist maßgeblich und wird aktuell gehalten; dieser hier erklärt die Gründe und die Entscheidungen, die der Installer nicht für dich trifft. Tippe die Adresse von Hand ein, erreiche sie nicht über eine Suchmaschine, wo ähnlich aussehende Domains Anzeigen kaufen.

2. Verwende einen Chromium-basierten Browser auf einem Computer

   Der Installer benötigt WebUSB, das bedeutet Chrome, Edge, Vanadium oder ähnliches. Firefox und Safari funktionieren nicht. Verwende ein hochwertiges USB-C-Kabel, das mit dem Telefon gelieferte ist ideal. Die meisten gemeldeten Installationsfehler sind ein schlechtes Kabel oder ein wackeliger Hub, also stecke direkt in den Rechner.

3. Aktiviere Entwickleroptionen und entsperre den Bootloader

   Auf dem Telefon: Einstellungen → Über das Telefon → tippe siebenmal auf Build-Nummer. Dann Einstellungen → System → Entwickleroptionen → aktiviere OEM-Entsperrung und USB-Debugging.

   Wenn OEM-Entsperrung ausgegraut ist

   Das Telefon ist carrier-locked oder zu neu für das Konto. Verbinde es mit dem Internet und lass es eine Weile liegen, oder löse die Carrier-Sperre. Erzwinge es nicht – ein carrier-locked Pixel ist möglicherweise gar nicht installierbar, weshalb der Kaufrat oben sagt, sie zu vermeiden.

4. Führe den Web-Installer aus

   Arbeite die Seite der Reihe nach durch: Bootloader entsperren, Release herunterladen, flashen. Der Browser wird dich auffordern, das Gerät auszuwählen – wähle das Pixel, wenn der Dialog erscheint. Die gesamte Flash-Phase dauert bei einer anständigen Verbindung typischerweise zehn bis fünfzehn Minuten. Ziehe es nicht ab.

5. Bootloader wieder sperren, das nicht überspringen

   Der letzte Schritt des Installers. Wer ihn überspringt, lässt sein Telefon dauerhaft für jeden mit physischem Zugriff angreifbar und wirft einen der Hauptgründe weg, überhaupt GrapheneOS zu nutzen. Der Installer lässt dich eine kaputte Installation nicht sperren, wenn der Befehl also erfolgreich ist, ist alles in Ordnung.

6. Den Boot-Zustand bestätigen

   Beim ersten Start solltest du den gelben Verified-Boot-Hinweis mit GrapheneOS' eigenem Signaturschlüssel sehen, dann den Einrichtungsassistenten. Gelb mit dem GrapheneOS-Schlüssel ist korrekt und zu erwarten. Orange bedeutet, dass der Bootloader noch entsperrt ist — geh zurück und sperre ihn.

05Die erste Stunde: Einstellungen, die zählen

Die Installation ist der Großteil der Arbeit, aber die Standardeinstellungen sind bewusst moderat, damit normale Menschen nicht aus ihren eigenen Telefonen ausgesperrt werden. Diese Änderungen lohnen sich sofort.

1. Eine echte Passphrase festlegen, keine 4-stellige PIN

   Das ist die einzelne Maßnahme mit dem höchsten Nutzen auf dieser Seite. Jeder andere Schutz ruht letztlich auf deinem Zugangsmittel. Sechs zufällige Wörter oder eine PIN mit mindestens acht Ziffern. Aktiviere dabei auch die PIN-Verschleierung.

2. Automatischen Neustart aktivieren und verkürzen

   Einstellungen → Sicherheit. Wähle ein Zeitfenster, das zu deinem Leben passt. Wenn du dich an einem Ort befindest, an dem Beschlagnahme ein reales Risiko ist, ein paar Stunden oder weniger. Der Kompromiss ist, dass nach einem Neustart Wecker und Benachrichtigungen erst ankommen, wenn du entsperrst — und genau das ist der Punkt.

3. Den USB-Anschluss im gesperrten Zustand einschränken

   Einstellungen → Sicherheit → USB. Mindestens nur Laden im gesperrten Zustand; vollständig deaktiviert, wenn du damit leben kannst.

4. 2G deaktivieren

   Das alte 2G hat eine kaputte Verschlüsselung, und IMSI-Catcher funktionieren, indem sie dein Telefon dazu zwingen, darauf herunterzufallen. GrapheneOS lässt dich das verweigern. Es gibt auch einen Nur-LTE-Modus. Schalte 2G aus, es sei denn, du bist irgendwo mit wirklich keiner anderen Abdeckung.

5. Entscheide dich wegen Google, bevor du irgendetwas installierst

   Wenn du ohne den Play Store leben kannst, tu es — hol dir Apps von F-Droid, von Accrescent oder direkt von Entwicklern, und genieße ein Telefon ohne Google-Code darauf. Wenn du Play Services brauchst, installiere sandboxed Google Play aus dem eingebauten Apps-Repository, aber packe es in ein sekundäres Benutzerprofil, nicht in dein Hauptprofil, damit es von deiner sensiblen Arbeit abgeschottet ist.

6. Apps mit sandboxed Google Play zum Laufen bringen

   Öffne die GrapheneOS Apps App in dem Profil, in dem du eine App verwenden möchtest, und installiere dann Google Play services. Damit werden sowohl Play services als auch der Play Store installiert. Installiere die App in demselben Profil: Sandboxed Play kann keine Dienste für eine App in einem anderen Profil bereitstellen. Halte Play services, den Play Store und die App über die Apps App und den Play Store aktuell.

   Wenn eine App geöffnet wird, aber Anmeldung, Benachrichtigungen, Karten, Käufe oder Hintergrundaktualisierung nicht funktionieren, prüfe Folgendes, bevor du ihr umfassenderen Zugriff gibst:

   • Profil: Stelle sicher, dass die App und sandboxed Google Play im selben Benutzerprofil installiert sind.
   • Akku: Erlaube in den Einstellungen der Google Play services App, ohne Akkuoptimierung ausgeführt zu werden, damit sie Hintergrundbenachrichtigungen zustellen kann. Tue dasselbe für die App nur, wenn sie es weiterhin benötigt.
   • App-Berechtigungen: Aktiviere nur die Berechtigung, die die fehlgeschlagene Funktion benötigt — üblicherweise Benachrichtigungen, Standort, Geräte in der Nähe, Kamera oder Dateien. Beginne eng begrenzt, teste und füge erst dann eine weitere hinzu, wenn es notwendig ist.
   • Standort: Gib der App die Standortberechtigung, wenn sie den Standort benötigt. Die standardmäßige Standortumleitung von GrapheneOS ist normalerweise ausreichend; ändere die Google-Standorteinstellungen nur, wenn die gewöhnliche Standortnutzung tatsächlich fehlschlägt.
   • Updates und Neustart: Aktualisiere alle drei Komponenten, erzwinge das Schließen und öffne die App erneut und installiere sie dann neu, wenn ein Update sie blockiert hat.

   Eine kleine Anzahl von Apps lehnt GrapheneOS ab, weil sie ein bestimmtes Urteil zur Geräteintegrität verlangen. Das ist eine Einschränkung des App-Herstellers, keine fehlende Berechtigung; es sollte keine Einstellung abgeschwächt werden, nur um sie zu umgehen.

7. Richte Profile ein

   Getrennte Benutzerprofile haben getrennte Verschlüsselungsschlüssel. Eine praktische Aufteilung:

   • Owner, nichts außer Einrichtung. Du benutzt es selten.
   • Persönlich — das gewöhnliche Leben, Play Services, wenn du sie brauchst, Banking, Karten.
   • Arbeit — Dokumentation, Signal, Kamera, das Archiv. Kein Google.

   Ein Profil, in dem du nicht angemeldet bist, ruht und ist verschlüsselt. Du kannst Profile auch so konfigurieren, dass sie ihre Sitzung automatisch beenden, wenn du wegwechselst.

8. Überprüfe die Berechtigungen App für App

   Jede App, die du installierst: Braucht sie das Internet? Sensoren? Echten Speicher oder einen Bereich mit drei Dateien darin? Gehe standardmäßig von Nein aus und schalte Dinge ein, wenn etwas sichtbar kaputtgeht. Das dauert einmal zwanzig Minuten und zahlt sich dauerhaft aus.

9. Überprüfe, ob die Installation echt ist

   Installiere die GrapheneOS-Auditor-App und koppele sie mit einem zweiten Gerät, oder nutze den offiziellen Attest-Dienst. Er bestätigt kryptografisch, dass dein Telefon ein echtes, unverändertes GrapheneOS mit gesperrtem Bootloader ausführt, und kann dies fortlaufend überprüfen, wodurch du Manipulationen erkennen könntest, nachdem das Telefon außer Sichtweite war.

06Wovor es dich nicht schützt

Genau das klarzustellen, macht den Rest des Leitfadens vertrauenswürdig.

• Das Netz weiß, dass du existierst. Dein Anbieter sieht weiterhin, mit welchen Funkzellen du dich verbindest. So funktioniert Mobilfunk nun einmal. Nur das Telefon zurückzulassen, behebt das.
• Was du sendest, verlässt dich trotzdem. Etwas auf einer Plattform zu posten oder jemandem zu schreiben, dessen eigenes Telefon kompromittiert ist, wird von deinem Betriebssystem nicht geschützt.
• Metadaten in deinen Dateien bleiben unangetastet. Ein Video, das du filmst, trägt weiterhin GPS- und Gerätedetails, es sei denn, du entfernst sie.
• Zwang. Keine Software widersteht jemandem, der dich festhalten kann, bis du sie entsperrst.
• Firmware und Baseband. Das Mobilfunkmodem führt seinen eigenen proprietären Code aus. GrapheneOS isoliert es so weit, wie Android es zulässt; ersetzen kann es es nicht.
• Du. Einen Benutzernamen wiederzuverwenden, sich von einem Arbeitsprofil aus in ein persönliches Konto einzuloggen oder ein Foto mit einem erkennbaren Fenster darauf zu posten, macht all das zunichte. Die meisten Menschen werden durch Gewohnheiten identifiziert, nicht durch Exploits.

07Fragen, die Leute tatsächlich stellen

08Quellen und weiterführende Literatur

• GrapheneOS — offizielle Website grapheneos.org
• Vollständige Liste der Funktionen und Härtungsmaßnahmen grapheneos.org/features
• Offizieller Web-Installer grapheneos.org/install/web
• Unterstützte Geräte und End-of-Life-Daten, vor dem Kauf prüfen grapheneos.org/faq#device-support
• Dokumentation zur Duress-PIN grapheneos.org/usage#duress
• Amnesty International Security Lab — Pegasus-Forensik-Methodik amnesty.org · Hintergrund zur Bedrohung durch Söldner-Spyware
• The Citizen Lab — laufende Forschung zu gezielter Überwachung citizenlab.ca

Zuletzt geprüft: 25. September 2026