Alien Phone Service

Im Schnellzugriff-Panel (von oben runterziehen) gibt es in modernen GrapheneOS-Versionen das „Datenschutz und Berechtigungssteuerung"-Widget. Damit siehst du auf einen Blick welche Berechtigungen gerade aktiv sind, und kannst Kamera, Mikrofon oder Standort mit je einem Tippen sperren — ohne in die Einstellungen navigieren zu müssen. Das Widget ist standardmäßig versteckt und muss erst im Quick-Settings-Editor manuell aktiviert und nach oben gezogen werden. Ich richte es ein und platziere es ganz oben im Panel — sofort griffbereit ab dem ersten Start.

Die Auditor-App nutzt den Titan-M2-Sicherheitschip des Pixels, um kryptografisch zu beweisen: (1) Das Gerät läuft auf echtem, unverändertem GrapheneOS. (2) Der Bootloader ist tatsächlich gesperrt. (3) Bei späteren Prüfungen mit derselben Paarung meldet Auditor, wenn sich daran etwas geändert hat. Das ist eine hardwarebasierte Attestierung. Ich führe die Verifikation vor dem Versand durch und lege das Ergebnis bei. Es gilt für meine Paarung, selbst nachrechnen kannst du es nicht. Selbst prüfen kannst du mit einem eigenen Auditor-Gerät oder über attestation.app. Dabei entsteht eine eigene Paarung mit eigenem Fingerprint, der sich von meinem Nachweis unterscheidet.

Für die Installation von GrapheneOS muss der Bootloader kurz entsperrt werden — das ist technisch notwendig. Nach der Installation wird er sofort wieder gesperrt und zusätzlich die „OEM-Entsperrung" in den Entwickleroptionen deaktiviert. So kann niemand mit physischem Zugriff auf dein Gerät den Bootloader erneut öffnen und ein manipuliertes System aufspielen. Bei jedem Start prüft der Titan-Chip, ob GrapheneOS unverändert ist (Verified Boot). Stimmt etwas nicht: Das Gerät startet nicht — ohne Ausnahme.

Je nach App nach derselben Rangfolge wie im Buch: zuerst der GrapheneOS App Store, der auf dem Gerät vorinstalliert ist. Danach Accrescent, ein signaturgeprüfter App Store, der direkt aus dem GrapheneOS App Store installiert wird. Ist eine App in keinem der beiden, kommt sie über Obtainium direkt von der offiziellen Quelle des Entwicklers, ohne Store als Zwischenhändler. Auf Wunsch ist auch der Zap Store möglich, F-Droid nur, wenn keiner der anderen Wege passt. Welcher Weg für welche App sinnvoll ist, erklären wir ausführlich im Ebook (Kapitel 8, App-Strategie).

Vertrau mir nicht blind, prüf nach. Das GrapheneOS-Projekt empfiehlt keinen Anbieter vorinstallierter Geräte, auch mich nicht. Seine offizielle Empfehlung lautet: ein unterstütztes Pixel kaufen und GrapheneOS selbst installieren. Das geht mit dem Web-Installer, Schritt für Schritt erklärt in Kapitel 4 des GrapheneOS-Handbuchs.

Für vorinstallierte Geräte nennt GrapheneOS drei Schritte. 1. Echtheit prüfen: Beim Einschalten zeigt das Gerät einen gelben Hinweis mit einer ID, dem Hash seines Verified-Boot-Schlüssels. Ein Druck auf die Ein-/Aus-Taste hält den Hinweis an. Die ID muss mit dem Wert für dein Modell im Abschnitt „Verified boot key hash" der offiziellen Installationsanleitung übereinstimmen. 2. Zurücksetzen: das Gerät aus dem Recovery-Modus auf Werkseinstellungen zurücksetzen, bevor du es nutzt. 3. Auditor einrichten: lokal mit einem zweiten Gerät oder als Fernprüfung.

Der Reset löscht auch die Einrichtung ab dem Digital Bunker mit allen vorinstallierten Apps. GrapheneOS selbst bleibt installiert, der Bootloader bleibt gesperrt. Du hast deshalb die Wahl. Volle Kontrolle heißt: alle drei Schritte, danach richtest du das Gerät selbst ein, etwa mit dem GrapheneOS-Handbuch, und holst dir meine Apps in wenigen Minuten über Obtainium oder den Zap Store zurück. Prüfen ohne Reset heißt: Schritt 1 und 3. Das belegt, dass das Betriebssystem echt und der Bootloader gesperrt ist. Auditor zeigt außerdem, ob Bedienungshilfen, Geräteadministratoren oder ADB aktiv sind. Welche Apps installiert sind und was sie dürfen, prüft es nicht. Bei der Einrichtung vertraust du dann mir. Meinen Auditor-Nachweis lege ich bei, er ersetzt deine eigene Prüfung aber nicht.