App Stores unter GrapheneOS – wem du vertrauen solltest (und wem nicht)

Ein falsches Sicherheitsgefühl

Nur weil eine App funktioniert, heißt das nicht, dass sie sauber installiert wurde. Viele Nutzer konzentrieren sich bei GrapheneOS ausschließlich auf Berechtigungen. Das ist wichtig – aber unvollständig. Die Quelle einer App ist mindestens genauso entscheidend wie die Frage, auf welche Sensoren oder Daten sie zugreifen darf.
Eine App ist nicht einfach nur eine App.

In diesem Video analysieren wir die verschiedenen App-Quellen, und zeigen dir die sicherste Hierarchie.

• Die Quelle bestimmt, wer sie gebaut hat
• Die Signatur bestimmt, wer Updates ausliefern darf
• Die Update-Kette bestimmt, ob Manipulation überhaupt auffallen würde

Signaturen und Prüfsummen sind kein Nerdkram. Sie sind die Basis jedes ernsthaften Sicherheitsmodells.

Wie App-Vertrauen unter GrapheneOS entsteht

GrapheneOS folgt einem einfachen, aber strengen Prinzip:
Die App-Signatur ist die Identität des Entwicklers.

• Jede App wird mit einem kryptografischen Schlüssel signiert
• Jedes Update muss exakt dieselbe Signatur tragen
• Ändert sich die Signatur, gilt das Update als fremd
• Ausnahme: ein geplanter Schlüsselwechsel, den der alte Schlüssel selbst beglaubigt (APK Signature Scheme v3)

Wird diese Kette gebrochen, gibt es nur zwei Möglichkeiten:

1. Der Entwickler hat den Schlüssel verloren
2. Oder jemand anderes liefert plötzlich Code aus

Beides ist aus Sicherheitssicht ein Problem. Diese Logik ist die Grundlage dafür, warum manche App Stores unter GrapheneOS sinnvoll sind – und andere nicht.

Die empfohlene Store-Hierarchie unter GrapheneOS

1. GrapheneOS App Store – der sichere Standard

Der GrapheneOS App Store ist die erste und wichtigste Anlaufstelle. Er ist auf GrapheneOS standardmäßig vorinstalliert und heißt auf dem Gerät schlicht „App Store“.

Warum?

• Systemnah integriert
• Minimaler Funktionsumfang
• Verifizierte Builds
• Keine Tracker
• Kein Account
• Keine versteckten Abhängigkeiten

Alles, was hier angeboten wird, ist bewusst ausgewählt und sicher eingebunden.

Merksatz:

Alles, was im GrapheneOS App Store verfügbar ist, ist der sichere Standard.

2. Accrescent – klein, aber extrem sauber

Accrescent ist vielen Nutzern unbekannt, spielt aber sicherheitstechnisch in einer eigenen Liga. Accrescent sollte direkt aus dem GrapheneOS App Store installiert werden – genau dafür ist er gedacht.

Merkmale:

• Signaturschlüssel festgepinnt, auch der Erstinstall wird geprüft
• Strikte Signaturprüfung
• Keine Zwischenhändler
• Keine Massen-Distribution

Typisches Beispiel: AppVerifier.

Accrescent bietet nur wenige Apps an – aber genau das ist der Punkt. Kein App-Zoo. Keine Spielereien. Nur überprüfbarer Code.

3. Obtainium – ein Werkzeug für Fortgeschrittene

Obtainium ist mächtig – und genau deshalb gefährlich, wenn man nicht weiß, was man tut. Obtainium wird nicht über klassische App Stores, sondern direkt über das offizielle GitHub-Repository des Projekts installiert.

Vorteile:

• Direkter Bezug vom Entwickler
• GitHub-, GitLab- oder Release-Feeds
• Keine Store-Zwischeninstanzen

Risiken:

• Falsche Repositories
• Falsche Architektur
• Fehlerhafte Release-Zuordnung
• Keine automatische Plausibilitätsprüfung

Kernaussage:

Obtainium ist ein Skalpell, kein Küchenmesser.
Wer es nutzt, übernimmt selbst die Verantwortung für die Quelle.

4. Zapstore – der bequeme Update-Weg

Der Zapstore ist ein App-Store auf Nostr-Basis, ohne zentrale Firma und ohne Konto. Für die meisten Apps holt er genau die Datei, die auch Obtainium holen würde, direkt aus dem Release des Entwicklers und mit dessen Original-Signatur. Vor jeder Installation prüft er Hash und Signatur. Den Unterschied macht der Komfort: kein Regex, keine Architektur-Frage, suchen und installieren.

• Original-Signatur des Entwicklers
• Hash- und Zertifikatsprüfung vor jeder Installation
• Zeigt an, ob der Entwickler selbst veröffentlicht hat („Published by“) oder der Zapstore nur auf die Datei beim Entwickler verweist
• Kein Konto, Zahlungen über Lightning, bei selbst veröffentlichten Apps direkt an den Entwickler

Wichtig: Die meisten Apps dort stellt nicht der Entwickler ein, sondern der Indexer des Zapstore, der auf die Datei im Release des Entwicklers verweist. Die Signatur bleibt dabei die des Entwicklers. Mach dich mit dem Zapstore vertraut, bevor du ihm deine Updates überlässt: Installiere zuerst ein oder zwei Apps darüber und schau dir auf der App-Seite an, wer sie veröffentlicht hat. Danach ist er für die meisten Nutzer der bequemste Update-Weg für alles, was nicht im GrapheneOS App Store oder in Accrescent liegt. Mehr dazu in meinem eigenen Artikel, die Links stehen weiter unten.

5. F-Droid – situativ nutzbar, aber mit Einschränkungen

F-Droid wird oft pauschal als „sicher“ wahrgenommen. Das ist zu kurz gedacht.

• Ja: Open Source, Transparente Builds.
• Aber: Verzögerte Updates, Rebuilds durch Dritte, Teilweise andere Signaturen als beim Original-Entwickler.

F-Droid kann sinnvoll sein:

• Wenn es keine bessere Quelle gibt
• Für einfache, nicht sicherheitskritische Tools

Für sensible Anwendungen ist F-Droid jedoch nicht erste Wahl.

Warum der Aurora Store problematisch ist

Aurora ist bequem. Und genau das ist sein Problem. Sachliche Gründe zur Vorsicht:

• Fremde App-Signaturen
• Unklare Update-Kette
• Umgehung des regulären Play-Ökosystems
• Kein sauberes Vertrauensmodell

„Der Aurora Store ist nicht deshalb problematisch, weil er nachweislich schädliche Apps verteilt, sondern weil er das strenge Signatur- und Update-Vertrauensmodell des originalen Play Stores technisch umgeht. Dadurch wird die kryptografische Vertrauenskette für den Nutzer weniger transparent und schwächer abgesichert.“

Merksatz:

Bequemlichkeit ist kein Sicherheitskonzept.
Wer Wert auf saubere Herkunft und überprüfbare Updates legt, sollte Aurora meiden.

Benutzerprofile – die unterschätzte Superkraft von GrapheneOS

GrapheneOS erlaubt echte Trennung auf Betriebssystem-Ebene.

Mehrere Benutzerprofile

Eigenschaften:

• Physische Trennung von Apps und Daten
• Kein Zugriff zwischen Profilen
• Eigene App Stores pro Profil

Typische Einsatzszenarien: Alltag vs. Banking, Privat vs. Arbeit, Google-frei vs. Google-isoliert.

App-Klonen über Profile

Dasselbe App-Paket kann:

• In verschiedenen Profilen installiert werden
• Mit unterschiedlichen Konten
• Mit völlig getrennten Daten

Ideal für: Messenger, Social Media, Test-Accounts.

Arbeitsprofil mit Shelter – gezielte Isolation

Shelter legt ein Arbeitsprofil an, das an dein Hauptprofil gekoppelt ist.

Wichtige Eigenschaften:

• Getrennte App-Daten
• Keine gegenseitige Einsicht
• Benachrichtigungen funktionieren zuverlässig

Typischer Einsatz: Google Play Store, Google Play Services.

So lassen sich Google-Abhängigkeiten isolieren, ohne auf Push-Benachrichtigungen zu verzichten. Wichtig: Nicht perfekt, aber massiv besser als eine ungefilterte Integration.

Entscheidungslogik für App-Quellen

Eine einfache mentale Checkliste:

• Gibt es die App im GrapheneOS App Store? → nutzen
• Gibt es sie in Accrescent? → nutzen
• Im Zapstore oder offizielle Quelle + Obtainium? → Zapstore für bequeme Updates (nach ein, zwei Probe-Installationen), Obtainium für alles, was dort fehlt. Beim ersten Installieren die Signatur prüfen
• Nur F-Droid verfügbar? → abwägen
• Aurora nötig? → Alternativen suchen

Fazit

GrapheneOS zwingt niemanden zu Sicherheit.
Es stellt Werkzeuge bereit.
Ob daraus echte Sicherheit entsteht, hängt allein von den Entscheidungen des Nutzers ab.
Wer Kontrolle will, muss Verantwortung übernehmen.