Frage ins "Epicenter Nerd": lohnt sich die Investition in ein #GrapheneOS Telefon noch (trotz im Sommer anstehender Änderungen an Android)?

@GrapheneOS

@AwetTesfaiesus @GrapheneOS Wenn du graphene nutzt, wirst du wohl nicht Google (Play) benutzen. Ich sehen da keinen Zusammenhang 🤷‍♂️

Disclaimer: Ich nutze noch kein GrapheneOS aber bin auf der Suche nach einem günstigen gebrauchten Gerät um es mal auszuprobieren

@lennybacon @AwetTesfaiesus @GrapheneOS

Man kann Google Play auf GrapheneOS installieren. Und das schlimme am App-Verifikations-System ist ja genau, dass es sich auch auf Apps bezieht, die nicht vom Google Play Store sind.

GrapheneOS wird das aber einfach nicht haben, so wie ich das verstehe, und man kann Apps weiter normal installieren.

@lennybacon @GrapheneOS doch, in einer vm schon

@AwetTesfaiesus @GrapheneOS Zack. Da sieht man es wieder: Die use cases sind verschiedene

Meiner ist ein non-big-tech phone

@besendorf @lennybacon @GrapheneOS

Sondern?

Parallel-Installation?

@AwetTesfaiesus @lennybacon @GrapheneOS Ich weiß ja nicht was du konkret vorhast aber ich emfehle mal die Doku zu lesen
https://grapheneos.org/usage#sandboxed-google-play
GrapheneOS usage guide

Usage instructions for GrapheneOS, a security and privacy focused mobile OS with Android app compatibility.

GrapheneOS

@besendorf @lennybacon @GrapheneOS

… falls jemand fragt: es sind Vorschläge, wie dieser. Genau, wie dieser.

@besendorf @AwetTesfaiesus @lennybacon @GrapheneOS

Ich hatte mein erstes Smartphone Ende August 2023 bekommen (zuvor saß ich einige Zeit in Haft, als ich in Haft kam, gab es noch keine Smartphones).

Die Genoss:innen stellten mir eines mit GraphenOS zur Verfügung und ich will das nicht mehr missen.

Selbst wenn, was ich technisch nicht beurteilen kann, alternative App-Stores wie FDroid künftig nicht mehr funktionieren sollten, ist GraphenOS auch weiterhin die bessere Alternative zu einem normalen Betriebssystem, denn es lassen sich die Zugriffsrechte aller Apps zentral und fein granular regeln und alle Apps laufen sandboxed, haben also nicht ansatzweise die zahllosen Zugriffsrechte wie sonst üblich.

GraphenOS ist zudem besser verschlüsselt, und Funktionen wie Auto-Boot nach einer frei wählbaren Zeitspanne erhöhen die Sicherheit zusätzlich (wenn ich mein Smartphone eine definierte Zeit nicht nutze bootet es neu, was dann, wenn es abhanden kommen sollte, einen Zugriff im Grunde fast unmöglich macht).

#smartphone #grapheneos #graphene #ostermontag #ostermontag2026 #montag #fdroid #fdroidstore

@breakdownthewalls @besendorf @AwetTesfaiesus @GrapheneOS Soweit ich verstanden habe, sollte FDroid als Bezugsquelle für Apps auf graphene weiterhin funktionieren - auch wenn Google um seinen Store Stacheldraht spannt und Grenzkontrollen einführt.

Was für mich interessant ist/wird, sind halt z.B. die App meiner Bank. Die wird vermutlich nicht laufen… auf FDroid nicht verfügbar… aber das gilt es herauszufinden

@lennybacon @breakdownthewalls @AwetTesfaiesus @GrapheneOS alternative App Stores werden weiterhin funktionieren auch auf offiziellen Google Android Smartphones. An deiner Banking App ändert sich auch nichts. Lies doch mal die offizielle Ankündigung
https://developer.android.com/developer-verification
Android developer verification  |  Android Developers

Get started building your Android apps.

Android Developers
@besendorf @breakdownthewalls @AwetTesfaiesus @GrapheneOS Die Banking App funktioniert ggf. jetzt schon nicht, korrekt 😂
@besendorf @lennybacon @breakdownthewalls @AwetTesfaiesus Yes, what they're doing is adding additional friction for cases where apps aren't signed by app developers verified by Google. This does not apply to GrapheneOS which will not enforce app developer verification. There's no impact on GrapheneOS from these changes. Even for Google Mobile Services Android, it's going to be possible to install unverified apps. They're adding a process requiring an initial 24 hour wait before enabling it.
@besendorf @lennybacon @breakdownthewalls @AwetTesfaiesus Most open source apps have someone who can perform the verification process and avoid additional friction for Google Mobile Services Android. It will be possible to install apps without it regardless, just with more friction. The initial 24 hour wait is a one time thing and then there isn't a further delay for subsequent installs of apps without ID verified devs. GrapheneOS is a separate OS and isn't impacted by these kinds of things.
Keep Android Open

Advocating for Android as a free, open platform for everyone to build apps on.

@fdroidorg @lennybacon @breakdownthewalls @AwetTesfaiesus Yes really. Give some arguments or this discussion makes no sense.

@besendorf @lennybacon @breakdownthewalls @AwetTesfaiesus #FDroid won't be a registered developer or a registered store, most app developers won't either. To install apps, 3.9 billion users will need to activate developer options, reboot then wait 24h. No one will do that.

Which were your arguments though, when you just repeated the Google PR blurb of "nothing changes"? Because we see a lot of change...

@fdroidorg @lennybacon @breakdownthewalls @AwetTesfaiesus
There is already a lot of friction when installing F-Droid lots of people do that. Installing other operating system requires even more friction and lots of people do that.
I provided a factual statement and quoted a source. This is how civilized people have debates.

@besendorf @lennybacon @breakdownthewalls @AwetTesfaiesus The friction of "save APK, toggle allow, install APK" means nothing compared to the proposed "advanced flow". Again, if the #keepandroidopen didn't make the danger clear, please say as much, so we can update it.

Custom Android? Good luck unlocking a bootloader in these days, and it might take some time until Motorola (or some other OEM) comes as the saviour.

@fdroidorg @lennybacon @breakdownthewalls @AwetTesfaiesus I can unlock bootloaders on Pixels justs fine as well.
Android will continue to be open. There are issues that should be talked about like how often the source is published for example but calling it a closed system is just fearmongering and not helpful. You can see so very clearly by how OP framed her question. She clearly had a wrong impression of what exactly changes.

@besendorf @fdroidorg @lennybacon @breakdownthewalls @AwetTesfaiesus it doesn't matter what you can unlock or install if you try hard enough.

When the providers of banking or electronic ID apps require particular Google Play APIs, and those APIs get implemented in ways that, for example, GrapheneOS' emulation layer cannot provide (e.g. requiring specific signing keys for integrity checks), then "you can build Android yourself, therefore it's open" is a hollow phrase that means nothing.

@fdroidorg @lennybacon @breakdownthewalls @AwetTesfaiesus You should really think about security of non-techy users. Keeping devices secure when an attacker has physical access for a short time is a hard problem and implementing friction is part of the solution.
This is highly relevant for cases of spyware and stalkerware in particular.

@besendorf @fdroidorg @lennybacon @AwetTesfaiesus

And that is precisely why GraphenOS is particularly helpful for non-tech-savvy users; after all, if someone over the age of 50 can pick up their very first smartphone and, within a matter of days, use the operating system with ease and reap its benefits, then this should certainly apply all the more to those who have been using them for years.

Physical access to a smartphone is always a problem, but if you want to, you can do a lot to improve security with just a few simple clicks. For example, you can disable the USB port so that it cannot be used to gain access.

You don’t need to be a tech-savvy user to do this

@besendorf @lennybacon @breakdownthewalls @AwetTesfaiesus @GrapheneOS wenn du 100% im Google-Ökosystem bleibst, ändert sich nichts, richtig.

Wenn du das nicht tust - und das war ja Grundlage der Frage, was ist, wenn du GrapheneOS installierst - dann gibt es durchaus Unterschiede.

Die Ankündigung von Google ist natürlich inhaltlich richtig, sie ist aber natürlich auch unvollständig, denn natürlich gibt es auch Nachteile dieser Änderung. Nicht für Google, klar, aber für Benutzer und Entwickler, die nicht wollen, daß Google genau weiß, wann und wo das Telefon ein- oder ausgeschaltet wurde, welche Apps um welche Zeit für wie lange geöffnet waren und wieviel damit interagiert wurde, wo und wie sehr das Gerät zu welcher Tageszeit bewegt/geschüttelt - also herumgetragen - wurde...

Wer das alles nicht will, oder aus irgendeinem anderen Grund GrapheneOS installiert, der darf und muss wissen, was sich ändert.

Und das ist zur Zeit nicht abschließend zu beantworten, denn es hängt ab von Implementierungsdetails in den Play Services einerseits und von den API- und Store-Entscheidungen der App Entwickler andererseits.

"Nix" ist jedenfalls falsch. Bestenfalls "nix was diese konkrete Person beeinträchtigt".

"Lies die PR/Doku", egal ob die von Google oder die von GrapheneOS oder beide, ist abfällig und abwertend. Und auch falsch, weil ohne zusätzliches Hintergrundwissen beides keine Klarheit schafft.

@lennybacon @besendorf @AwetTesfaiesus @GrapheneOS

Aber dann kann es helfen sich bei FDroid Shelter zu holen und ein isoliertes Arbeitsprofil einzurichten.

Dann kann man über Aurora anonym die Bankapp runter laden, oder alle sonstigen benötigten Apps und in diesem isolierten Arbeitsprofil betreiben, aber auch dann gezielt ruhend stellen, wenn man das Arbeitsprofil pausiert.

#shelter #Arbeitsprofil

@breakdownthewalls @besendorf @AwetTesfaiesus @GrapheneOS Spannend. Begriffe, die ich dann mal in die Suchmaschine werfe. Dankeschön
@breakdownthewalls
@lennybacon
Ich hab meine banking-app eher zufällig unter Android und e/OS verglichen: download auf Android mit Aurora funktioniert nicht / download nach e/OS mit AppLounge (was zu eOS mitgeliefert wird) funktioniert auf Anhieb.
@besendorf @AwetTesfaiesus @GrapheneOS

@semaphor @breakdownthewalls @lennybacon @besendorf @AwetTesfaiesus AppLounge in /e/ acts as a frontend for the Play Store. You're still using the Play Store, not avoiding it. The app likely checks the install source and /e/ is spoofing that for AppLounge while it isn't for Aurora Store.

/e/ isn't a safe option and has poor privacy and atrocious security. You should read https://discuss.grapheneos.org/d/24134-devices-lacking-standard-privacysecurity-patches-and-protections-arent-private and the third party sources linked in it. You don't have bare minimum patches and protections on /e/.

Devices lacking standard privacy/security patches and protections aren't private - GrapheneOS Discussion Forum

GrapheneOS discussion forum

GrapheneOS Discussion Forum

@semaphor @breakdownthewalls @lennybacon @besendorf @AwetTesfaiesus /e/ and Murena aren't on the side of privacy. Here's a clear example of it in their own words:

https://grapheneos.social/@GrapheneOS/116353973732143171

They've have repeatedly claimed serious privacy and security protections are only for pedophiles, criminals and spies. It's not a one-off thing but rather a consistent view repeated many times. There are a bunch of posts where they've made the same thing both with and without saying it about GrapheneOS.

@GrapheneOS
Might be true but the question was: will banking-apps (only available in playstore) run on not-google platforms. I have no basic understanding of grapheneOS, so I could only tell my personal experience.
@breakdownthewalls @lennybacon @besendorf @AwetTesfaiesus

@AwetTesfaiesus @besendorf @lennybacon @GrapheneOS Das korrekte Wort ist "Profil", eine VM ist ähnlich, aber anders. Macht aber für die Frage keinen Unterschied.

GrapheneOS und nicht-Google App Stores sind von den Änderungen nicht betroffen. Aber alles, was über Google läuft, schon. Kurzfristig ist das egal, denn der Google App Store installiert ja von sich selber, sozusagen, die Play Anforderungen bleiben darin also erfüllt.

Die Sorge ist eher, daß Apps, die anstelle der eigentlichen Android Schnittstelle zur Überprüfung ihrer eigenen Integrität die Schnittstelle von Google Play verwenden, dann den Dienst verweigern. Das passiert gelegentlich jetzt schon, könnte aber häufiger werden, also auch Apps betreffen, die zur Zeit tadellos funktionieren. Kandidaten sind natürlich vor allem Banking Apps, im Prinzip aber alle, die ausschließlich über Google verfügbar sind.

Ob das für dich von Belang ist, weißt nur du. Wenn du auf sowas z.B. per Reiselaptop Zugriff hast und nicht eventuell kritisch auf das Reisephon angewiesen bist (z.B. Szenario Hotelzimmer ausgeraubt), rote ich auf ein vertretbares Risiko, das abzuwarten.

(Anbei: Im Falle des Nichtfunktionierens wird eine Anfrage, ein sicheres Handy-OS zu unterstützen, vom typischen App Hersteller eher gelesen und etwas schwerer gewichtet, wenn es mit "MdB" unterschrieben ist. Deine Unterstützung bei solchen relativen Kleinigkeiten ist ein Vielfaches einer durchschnittlichen Einzelperson wert, die ja einfach als Computerfreak abzutun ist. Ich wäre dir jedenfalls dankbar.)

@besendorf @AwetTesfaiesus @GrapheneOS Graphene kann keine VMs laufen lassen (nach kurzer Recherche). Man kann graphene selber bauen sodass es als VM im Android Emulator läuft.

Graphene selbst ist ein sog. ROM was du auf das Device einspielst (Flash).

@AwetTesfaiesus Nur zur Information: Sandboxed Google Play ist keine VM, sondern eigentlich wird hier nur das Standardverhalten von Android Apps erzwungen und es werden keine unnötigen Berechtigungen erteilt.

Alle Apps laufen unter Android standardmäßig in einer Sandbox. Die einzige Ausnahme sind Google Play Services, wenn sie von einem Hersteller auf dem Gerät vorinstalliert werden.

In anderen Worten: Google Apps erhalten keine privilegierte Sonderbehandlung unter GrapheneOS, sondern werden einfach gezwungen, in der standardmäßigen Android App Sandbox zu laufen.

@lennybacon @AwetTesfaiesus The changes don't impact GrapheneOS. They only impact Google Mobile Services Android. Even for GMS Android, it's still going to be possible to install arbitrary apps. They're only making it less convenient including an initial 24 hour wait in order to enable installing arbitrary apps after which there isn't a delay for installing them anymore. GrapheneOS isn't impacted by any of that. GrapheneOS isn't a modification of the stock OS and is not bound by what it does.

@AwetTesfaiesus @GrapheneOS

Ich schließe mich der Frage mal an, auch wenn ich eher den Eindruck habe dass die Änderungen es umso wichtiger machen.

Schwierig ist meines Wissens stand jetzt v.a. das neu-unterstützen der neuen Pixel Geräte schwierig ist. Wenn es aber einmal klappt, dann ist es einfach den Support aufrechtzuerhalten.

@jonasgraphie @AwetTesfaiesus @GrapheneOS

Graphene ist im Moment mit Motorolla im Gespräch, damit Geräte von denen in Zukunft mit Graphene laufen können.

@v_d_richards
Das wäre dann auch der Moment, an dem GrapheneOS anfängt interessant zu werden. Moto ist zwar auch nicht das Gelbe vom Ei, aber lieber gebe ich denen mein Geld als Google. De-Googling mit Google-Hardware ist gefühlt nichtmal die halbe Miete.🤷
@AwetTesfaiesus Die App-Registrierung wird GrapheneOS nicht betreffen
@anselmschueler und die Änderungen im Design ansich? Wird Android nicht closed source?
@AwetTesfaiesus @anselmschueler Ich dachte, das betrifft nur Geräte *ab* dann. Wenn man *jetzt* ein unterstütztes Pixel irgendwas kauft, kann man das nachher auch weiter mit Graphene benutzen und es gibt Sicherheitsupdates. Bitte korrigiert mich, wenn ich falsch liege. 🤗

@AwetTesfaiesus Nein, wird es nicht. Android hat lediglich das Entwicklungsmodell geändert, sodass ab jetzt nur immer mal wieder der Quellcode als ganzes Archiv veröffentlicht wird, und nicht mit Git oder so die Entwicklung nachvollziehbar ist. Der Code ist trotzdem frei lizensiert.

Auch hat Google aufgehört, bestimmten Treibercode für Pixel-Handys zu veröffentlichen. Für das Pixel 10 z.B. musste GrapheneOS einiges rekonstruieren. Deswegen hat GrapheneOS eine Partnerschaft mit Motorola gemacht, un hoffentlich in der Zukunft ein anderes GrapheneOS-kompatibles Telefon zu produzieren.

Das Pixel 10 wird aber weiterhin von GrapheneOS unterstützt. Ich würde aber bei zukünftigen Geräten (Pixel 11) erst mal warten ob GrapheneOS offiziell Support ankündigt.

@AwetTesfaiesus @anselmschueler das hat niemand je behauptet
@AwetTesfaiesus @besendorf @anselmschueler da gehts nicht um closed-source oder nicht, sondern um die installation von Apps deren Entwickler sich nicht bei Google registriert haben auf Google zertifiziertem Android.
GrapheneOS ist nicht Google zertifiziert und nicht an solche Änderungen gebunden. Die Änderungen sind nicht Teil von Android selbst, sondern den Google Services (welche in fast allen Geräten ab-werk vorhanden sind). GrapheneOS kommz standardmäßig ohne Google Services. Diese lassen sich im Nachhinein ohne erhöhte Privilegien nachinstallieren. (Nachinstallieren heißt nicht, dass alles immer Play Services hat. Diese kann man ebenfalls/alternativ in Arbeitsprofile oder das vertrauliche Profil installieren. Sind die Profile gesperrt laufen dann auch keine Google Services). Alternativ kann man auch einen klassischen 2. Nutzer anlegen in dem die Google Dienste installiert sind. (Ist allerdings etwas umständlicher, weil man dann immer aktiv den User wechseln muss)
@jrt @AwetTesfaiesus @anselmschueler Es geht nichmal um Apps aus unbekannten Quellen, das bleibt auch bei Google Android weiterhin möglich, lediglich Apps deren Developer sich nicht gegenüber Google ausgewiesen haben können nicht ohne wieteres installiert werden. Ist der Developer registriert kann man sie weiterhin installieren.
Und selbst wenn er*sie es nicht ist, kann man die Apps über den "advanced flow" installieren!
@besendorf @AwetTesfaiesus @anselmschueler ja hab ich mich ungenau ausgedrückt :D
@jrt @AwetTesfaiesus @anselmschueler War garnicht böse gemeint. Es wird nur leider sehr viel durcheinandergeworfen bei dem Thema. Wollte es einmal ganz deutlich machen
@besendorf hab ich auch nicht so aufgefasst ;)
Das mit den durcheinanderwerfen kenne ich. Stört mich auch. Danke für die Korrektur, habs in meinem Post angepasst.
@jrt @AwetTesfaiesus @anselmschueler Und nochmal in aller Deutlichkeit: Diese Änderung ist im Ergebnis gut. Sie schützt vor Malware, Spyware und Stalkerware. Advanced User können weiterhin alle Apps installieren die sie wollen. Zu GrapheneOS wechseln ist auch unabhängig davon gut.
@besendorf @AwetTesfaiesus @anselmschueler zumal gerade die Wartedauer im Advanced Flow die erzeugte Dringlichkeit von Angreifern bricht und damit den Hauptweg wie Malware auf das Telefon kommt.

@besendorf @jrt @AwetTesfaiesus @anselmschueler

Die Sicherheit ist sogar so gut, das alternative AppStores außen vor bleiben und sich alle mit ClosedAndroid den GoogleStore und seinen Regeln unterwerfen müssen. (zB. Werbung und somit Tracking in der APP - wenn nicht Bezahlt)
Außerdem erhöht es mit dieser Regel die Schwelle für Verbrauch umzusteigen.

Unglaubliche Sicherheit und unglaublich kurzsichtiger Kommentar..

@AwetTesfaiesus @anselmschueler mein Verständnis war, dass das AOSP weiter Quellcode bekommt, aber nur zu "geraden" Quartalen (QPR 2 + 4). Das bedeutet, dass a) Feature-Updates nur noch halbjährig verfügbar sind, aber vor allem, dass b) Security-Patches in Q1 & 3 deutlich schwieriger (aber nicht unmöglich) zu integrieren sind.
Es steht natürlich zu befürchten, dass sich die Frequenz der Code-Releases zum AOSP weiter reduziert, der Wechsel auf quartalsweise ist ja noch nicht so lange her.
Das ist zumindest mein Verständnis auf Basis der Kommunikationen von Graphene, CalyxOS, und Lineage, bin kein Android-Entwickler.
@thasl @AwetTesfaiesus Ich hatte das mit den Security-Patches nicht so verstanden. Das ist tatsächlich doof, wenn die sich auch verzögern.

@anselmschueler @AwetTesfaiesus ich bin mir bei Graphene auch gerade nicht 100% sicher, finde den Blogpost nicht. Aber basierend auf https://calyxos.org/news/2026/04/01/calyxos-progress-update-3/:

"On Android 16 QPR2 and the impact of AOSP release changes
[...]
Effectively, QPR1 and QPR3 releases after January 2026 will be exclusive to Pixel devices on the stock OS and thus not accessible publicly.
[...]
As a result, our ability to timely integrate any security updates from QPR1 and QPR3 Stock Pixel OS updates will be severely limited."

Sie schreiben auch, dass das alle anderen Customs ROMs betrifft, und ich wüsste nicht wieso das nicht so sein sollte. Die Implementierung der monatlichen Security-Patches auf eine veraltete Codebasis dürfte in jedem Fall mehr Anpassungen und Tests erforderlich machen.

CalyxOS progress report - a detailed breakdown

CalyxOS progress report - a detailed breakdown

@AwetTesfaiesus
GrapheneOs wird weiterhin funktionieren und auch freie Apps werden weiterhin funktionieren (z.B. aus dem F-Droid-Store oder dem von GrapheneOS mitgelieferten "Accrescent"),
Apps aus dem Google-Play-Store entscheiden dann selbst, ob sie außerhalb einer offiziellen Google-Umgebung betrieben werden können.
Wenn man auf solche angewiesen ist, muss man bei denen nachfragen, ob sie dieses Feature nutzen werden, um entscheiden zu können, ob man GrapheneOS danach noch nutzen kann.
@dkl Aber es soll ggF. schon auch so aussehen, als wäre es ein normales Telefon ;-)

@AwetTesfaiesus @dkl du kannst ja auch alternative launcher installieren. dann Sieht es halt wie Android aus.

Ich nutze seit über einem jahr @GrapheneOS auf einem refurbed Pixel 8a und habe nur wenige Apps über #Aptoide installiert. Der Rest alles via @fdroidorg. Mir fehlt nichts.