GrapheneOS: Die Konfiguration der Souveränität – vom Smartphone zum digitalen Bunker

Du hast dein Telefon „de-googled“. Du hast GrapheneOS installiert. Das ist ein Sieg.

Aber: Direkt „out of the box“ muss auch GrapheneOS Kompromisse zwischen maximaler Sicherheit und Bequemlichkeit eingehen. Um sich in einer feindlichen Umgebung wirklich auf ein Gerät verlassen zu können, musst du es konfigurieren.

Wir ändern hier nicht einfach nur ein paar Klingeltöne. Wir reduzieren die Angriffsfläche massiv. Hier sind sechs kritische Konfigurationen, die dein Telefon in einen gehärteten Knotenpunkt verwandeln.

1. Die Notbremse: Automatischer Neustart (Auto Reboot)

Das Konzept

Sobald dein Telefon eingeschaltet und mindestens einmal entsperrt wurde, befinden sich die Verschlüsselungs-Keys im Arbeitsspeicher (Status: After First Unlock). Wenn ein fähiger Angreifer dein Telefon in diesem Zustand beschlagnahmt, hat er ein größeres Zeitfenster, um Daten zu extrahieren.

Startet das Telefon neu, wechselt es in den Zustand Before First Unlock (BFU). Die Keys werden aus dem Speicher geworfen. Das Gerät ist „at rest“ verschlüsselt. Es ist effektiv ein Ziegelstein.

Die Konfiguration

GrapheneOS erlaubt dir, diesen Prozess zu automatisieren. Wenn das Gerät eine bestimmte Zeit lang nicht entsperrt wurde, erzwingt es einen Neustart.

• Pfad: Einstellungen → Datenschutz & Sicherheit → Exploit-Protection → Auto Reboot
• Empfehlung: Stelle dies auf 12 Stunden oder weniger. (Standard sind 18 Stunden; je nach deinem Bedrohungsmodell kannst du bis auf 10 Minuten runtergehen).

2. Die nukleare Option: Duress-Passwort (Zwangspasswort)

Das Konzept

Verschlüsselung schützt dich vor Mathematik. Sie schützt dich nicht vor einem Schraubenschlüssel („Rubber-Hose Cryptanalysis“).

Wenn du unter Androhung von Gewalt gezwungen wirst, dein Telefon zu entsperren, hilft dir eine normale PIN nicht weiter. Hier kommt das Duress-Passwort ins Spiel. GrapheneOS verlangt dafür eine zweite PIN und ein zweites Passwort. Gibst du eines davon ein, wird das Gerät nicht entsperrt, sondern unwiderruflich gelöscht: Alle Daten werden dauerhaft unlesbar, installierte eSIMs werden gelöscht, danach schaltet sich das Gerät aus.

Die Konfiguration

Dies ist deine letzte Verteidigungslinie. Nutze sie nur, wenn physischer Zwang Teil deines Bedrohungsmodells ist. An Grenzen und bei behördlichen Durchsuchungen kann das Auslösen selbst strafbar sein, in den USA läuft dazu seit November 2025 ein Strafverfahren. GrapheneOS selbst bleibt installiert, deine Daten sind unwiederbringlich weg.

• Pfad: Einstellungen → Datenschutz & Sicherheit → Geräteentsperrung → Duress password (manchmal als Zwangspasswort übersetzt)
• Aktion: Lege eine Duress-PIN und ein Duress-Passwort fest, die sich klar von deinem echten Code unterscheiden. Einrichten lässt sich das nur im Hauptprofil, wirksam ist es aber in jeder Code-Abfrage.

3. Netzwerk-Hygiene: Privates DNS & VPN-Killswitch

Das Konzept

Dein Mobilfunkanbieter oder ISP sieht jede Domain, die du aufrufst. Diese Metadaten sind oft wertvoller als der Inhalt der Verbindung. Außerdem: Wenn deine VPN-Verbindung auch nur für eine Sekunde abbricht, können Daten über deine normale Leitung „leaken“.

Die Konfiguration

Du musst sicherstellen, dass kein Datenpaket das Gerät ohne VPN-Tunnel verlässt, auch keine DNS-Anfrage. Die DNS-Auflösung übernimmt dann das VPN durch seinen eigenen Tunnel.

• Privates DNS: Einstellungen → Netzwerk & Internet → Privates DNS → Aus. Mit dem Kill Switch verträgt es sich nicht, DNS-Filter übernimmt die VPN-App selbst (z. B. Proton NetShield oder Mullvads DNS-Inhaltssperren), oder du nimmst eine VPN-App mit eigenem Filter wie RethinkDNS. Privates DNS gilt für alle Profile und lässt sich nur im Hauptprofil umstellen.
• VPN-Killswitch: Einstellungen → Netzwerk & Internet → VPN → (Zahnrad-Icon beim Anbieter) → Aktiviere „Durchgehend aktives VPN“ UND „Verbindungen ohne VPN blockieren“. Das gilt je Profil, jedes Nutzerprofil braucht seine eigene VPN-App und beide Schalter.

4. Abschottung: Nutzerprofile (User Profiles)

Das Konzept

In einem Standard-Android-Setup leben fast alle Apps im selben Nutzerprofil. Das ist riskant. Apps können untereinander kommunizieren oder Daten abgreifen.

Nutzerprofile verwenden die Isolationsebene des Betriebssystems, um Nutzer in Sandboxen zu stecken – mit getrennten App-Instanzen und getrennten Daten. Deine Banking-App sollte nicht wissen, dass deine Social-Media-App existiert.

Die Konfiguration

Behandle Profile wie physisch getrennte Räume.

• Pfad: Einstellungen → System → Mehrere Nutzer
• Aktion: Erstelle separate Profile für „Banking“, „Social Media“ oder „Hochsicherheit“.
• Hinweis: Du kannst bis zu 32 sekundäre Nutzerprofile anlegen.

5. Hardware-Härtung: Sensoren und Biometrie

Das Konzept

Biometrie (Fingerabdruck) dient der Bequemlichkeit, nicht der Sicherheit. In manchen Rechtsräumen kannst du leichter gezwungen werden, deinen Finger aufzulegen, als ein Passwort herauszugeben. Kameras und Mikrofone sind die ultimativen Spionage-Werkzeuge.

Die Konfiguration

• Kamera & Mikrofon: Füge die Kacheln „Kamerazugriff“ und „Mikrofonzugriff“ zu deinen Schnelleinstellungen (Quick Settings) hinzu. Wenn du diese ausschaltest, sperrt das Betriebssystem Kamera und Mikrofon systemweit, und keine App kann sie aktivieren, bis du die Sperre aufhebst.
• Sensoren: GrapheneOS erlaubt es zudem, Apps standardmäßig den Zugriff auf Sensoren (Beschleunigungsmesser etc.) zu verwehren.
• Fingerabdruck: Wenn du Grenzen überschreitest oder dich in kritischen Situationen befindest, deaktiviere die biometrische Entsperrung vorübergehend. Verlasse dich auf eine starke alphanumerische Passphrase.

6. Die strategische Stille: Wi-Fi Calling & Flugmodus

Das Konzept

Solange dein Mobilfunkmodem aktiv ist, kommuniziert es zwangsläufig mit Funkmasten. Das ermöglicht Triangulation und erstellt ein lückenloses Bewegungsprofil bei deinem Provider – selbst ohne GPS. Das ist ein Leck in deiner Positionsdaten-Sicherheit.

Zudem ist die ständige Suche nach Netzempfang einer der größten Energiefresser. Ein Stratege verschwendet keine Ressourcen. Wenn du dich in einer sicheren WLAN-Umgebung befindest, ist die Verbindung zu den Türmen ein unnötiges Risiko.

Die Konfiguration

Wir leiten die Kommunikation durch den WLAN-Tunnel und schalten das Mobilfunk-Radio physisch ab. Du bleibst telefonisch erreichbar, aber für die Funkmasten bist du effektiv unsichtbar.

• Pfad: Einstellungen → Netzwerk & Internet → SIM-Karten → [Deine SIM auswählen] → Anruffunktion (Calling)
• Aktion: Setze die Einstellung auf „WLAN bevorzugt“ (Wi-Fi preferred).
• Operatives Vorgehen: Aktiviere den Flugmodus (kappt alle Verbindungen) und schalte danach manuell nur das WLAN wieder an. Dein Gerät funkt nun nicht mehr an Masten, empfängt aber Anrufe und SMS verschlüsselt über das Internet.

Fazit: Souveränität ist ein Prozess

Souveränität ist kein Produkt, das du kaufst. Es ist ein Prozess. GrapheneOS liefert die Mauern. Diese Einstellungen liefern die Schlösser.

Nimm dir die Zeit, dein eigenes Bedrohungsmodell zu verstehen.

„Bequemlichkeit ist der Feind der Sicherheit.“