# 📱 Step-by-Step: Dein Weg zum Google-freien Smartphone mit GrapheneOS *Eine vollständige Einsteiger-Anleitung – vom Kauf bis zur Profi-Nutzung* V1.2 👉 **Danke an MichaelD. für die Tipps!** --- ## 📋 Inhaltsverzeichnis 1. [Phase 1: Das richtige Smartphone kaufen](#phase-1-das-richtige-smartphone-kaufen) 2. [Phase 2: Vorbereitungen treffen (am Linux-Computer)](#phase-2-vorbereitungen-treffen-am-linux-computer) 3. [Phase 3: GrapheneOS installieren (Der Flash-Vorgang)](#phase-3-grapheneos-installieren-der-flash-vorgang) 4. [Phase 4: Ersteinrichtung und erste Schritte](#phase-4-ersteinrichtung-und-erste-schritte) 5. [Phase 5: Fortgeschrittene Tools – Obtainium, AppVerifier, Accrescent](#phase-5-fortgeschrittene-tools-optional-aber-empfehlenswert) --- ## Phase 1: Das richtige Smartphone kaufen **Google Pixel Smartphones sind die einzigen Geräte, die GrapheneOS offiziell unterstützen, da sie über die notwendigen Hardware-Sicherheitsmodule (Titan M2 Chip) verfügen und Google den Bootloader-Entsperrvorgang offiziell freigibt.** Nur so kann GrapheneOS sein volles Sicherheitsversprechen einhalten – von der Hardware-versiegelten Verified-Boot-Kette bis zur manipulationssicheren Attestierung. ### Schritt 1: Modell wählen | Modellreihe | Besonderheit & Erscheinungsjahr| | :--- | :--- | | **Pixel 10, 10 Pro, 10 Pro XL, Pixel 10 Pro Fold** | Aktuellste Generation, 7 Jahre lang Updates/ 2025| | **Pixel 9, 9 Pro, 9 Pro XL, Pixel 9 Pro Fold** | Gute Generation, 7 Jahre lang Updates/ 2024| | **Pixel 8a, 8, 8 Pro** | Gute Generation, 7 Jahre lang Updates/ 2024| | **Pixel 7a, 7, 7 Pro** | Gute Wahl, 5 Jahre lang Updates/ 2023| | **Pixel 6a, 6, 6 Pro** | Älter, 5 Jahre lang Updates/ 2022 | | **Pixel 5 und älter** | Nicht empfohlen – zu alt, keine Sicherheitsupdates | 👉 **Merke:** Je neuer, desto länger bekommst du Updates. ### Schritt 2: Zustand wählen | Zustand | Worauf achten | | :--- | :--- | | **Neu** | Perfekt – 0 Ladezyklen, volle Garantie | | **Gebraucht / Refurbished** | **Ladezyklen prüfen!** (Einstellungen → Akku → Akkuinformationen). Mehr als 50-100 Zyklen bedeuten Vorbesitz. | | **Als "neu" gekauft, aber mit vielen Zyklen** | **Reklamieren!** Das ist kein Neugerät. | ### Schritt 3: Händler wählen | Händler | Empfehlung | | :--- | :--- | | **Google Store** | Sicherste Quelle, aber oft teurer | | **Amazon** | Gut, aber auf "carrier-frei" achten | | **Refurbished-Anbieter** (z.B. rebuy, asgoodasnew) | Ok, aber Ladezyklen genau prüfen | | **Carrier-gebundene Geräte** (Vodafone, T-Mobile, etc.) | ❌ **Vermeiden!** Oft gesperrte Bootloader | ### Schritt 4: Nach Erhalt prüfen - [ ] Gerät eingeschaltet? - [ ] Ladezyklen geprüft? (bei gebraucht) - [ ] Akku-Datum notiert? - [ ] Äußerer Zustand ok? - [ ] Bei "Neu"-Kauf mit >2-3 Zyklen: **reklamiert?** --- ## Phase 2: Vorbereitungen treffen (am Linux-Computer) Bevor du loslegst, brauchst du einen Computer mit Linux. Hier bereitest du alles vor. **Linux ist die beste Wahl für GrapheneOS-Installationen**, weil die Treiber-Unterstützung hervorragend ist. ### 📦 1. Browser installieren Du brauchst einen **Chromium-basierten Browser** – Firefox funktioniert **nicht** für den Web-Installer! | Distribution | Befehl | Wichtig! | | :--- | :--- | :--- | | **Arch Linux** (auch Manjaro, EndeavourOS) | `sudo pacman -S chromium` | **Kein Flatpak!** Die Version aus dem Repository nehmen. | | **Debian / Ubuntu / Linux Mint** (auch Pop!_OS) | `sudo apt install chromium-browser` | Oder `chromium` – je nach Version. | | **Fedora** | `sudo dnf install chromium` | – | | **openSUSE** (Leap / Tumbleweed) | `sudo zypper install chromium` | – | ### 🔌 2. USB-Kabel bereitlegen Nimm das **Original-USB-C-Kabel deines Pixels**. Kein billiges Ladekabel! 👉 Viele Installationsprobleme liegen an schlechten Kabeln. ### 🛠️ 3. Treiber und Tools installieren Damit dein Linux das Pixel im Fastboot-Modus erkennt, brauchst du die richtigen udev-Regeln. | Distribution | Was installieren? | Befehl | | :--- | :--- | :--- | | **Arch Linux** | `android-udev` | `sudo pacman -S android-udev` | | **Debian / Ubuntu / Linux Mint** | `android-sdk-platform-tools-common` | `sudo apt install android-sdk-platform-tools-common` | | **Fedora** | `android-tools` | `sudo dnf install android-tools` | | **openSUSE** | `android-tools` | `sudo zypper install android-tools` | ### ⚡ 4. Wichtiger Schritt: fwupd stoppen (für ALLE Distributionen) Der Dienst `fwupd` (Firmware-Updater) kann den Zugriff auf dein Handy blockieren. **Stoppe ihn vorübergehend** – nach einem Neustart läuft er wieder normal. ```bash sudo systemctl stop fwupd.service ``` ### ✅ 5. Nach der Installation (nur für bestimmte Distributionen) "Bei Arch Linux, Debian, Ubuntu und Linux Mint musst du dich einmal ab- und wieder anmelden oder den Computer neustarten, damit die neuen udev-Regeln wirksam werden." --- ## Phase 3: GrapheneOS installieren (Der Flash-Vorgang) Jetzt wird es ernst! Folge diesen Schritten **ganz genau** – dann klappt es garantiert. --- ### 🔧 Vorbereitung am Smartphone Bevor du das Handy mit dem Computer verbindest, musst du einige Einstellungen vornehmen: | Schritt | Aktion | Hinweis | | :--- | :--- | :--- | | **1. Entwickleroptionen aktivieren** | Einstellungen → Über das Telefon → 7x auf "Build-Nummer" tippen. | Nach ein paar Tippern erscheint "Sie sind jetzt Entwickler!" | | **2. OEM-Entsperrung aktivieren** | Einstellungen → System → Entwickleroptionen → "OEM-Entsperrung" einschalten. | **Muss einmal mit Internet verbunden sein** – sonst ist der Schalter grau. | | **3. USB-Debugging aktivieren** | (Optional, aber hilfreich) Ebenfalls in Entwickleroptionen. | – | | **4. Akku laden** | Handy mindestens auf 80 % aufladen. | Ein leeres Handy während des Flash-Vorgangs ist problematisch. | | **5. Daten sichern** | Alle wichtigen Daten vom Handy sichern. | **Der Flash-Vorgang löscht ALLES!** | --- ### 🚀 Den Bootloader starten (Fastboot-Modus) 1. **Handy ausschalten** (ganz normal über den Ausschalter). 2. **Leiser-Taste + Ein/Aus-Taste gleichzeitig gedrückt halten.** 3. Warten, bis ein Menü erscheint – oben steht **"Fastboot Mode"**. 4. **Nichts drücken!** Das Handy bleibt einfach so stehen. 5. Jetzt per USB-Kabel mit dem Computer verbinden. 👉 **Wichtig:** Auf dem Handy erscheint ein rotes Warndreieck – das ist völlig normal! --- ### 💻 Installation über den Web-Installer (am Computer) 1. **Browser öffnen** (Chromium, Chrome oder Brave – **kein Firefox!**). 2. Gehe zu: **[https://grapheneos.org/install/web](https://grapheneos.org/install/web)** 3. Die Webseite erkennt automatisch, ob dein Handy angeschlossen ist. #### Schritt 1: Bootloader entsperren | Aktion | Beschreibung | | :--- | :--- | | Auf der Webseite klickst du auf **"Unlock bootloader"**. | Es erscheint eine Sicherheitsabfrage. | | Auf dem Handy musst du jetzt mit den Lautstärketasten **"Unlock bootloader"** auswählen und mit der Ein/Aus-Taste bestätigen. | **Achtung:** Das Handy wird sofort zurückgesetzt! | | Warte, bis der Vorgang abgeschlossen ist. | Das Handy startet neu und bleibt wieder im Fastboot-Modus. | #### Schritt 2: GrapheneOS herunterladen und flashen | Aktion | Beschreibung | | :--- | :--- | | Auf der Webseite erscheint jetzt **"Obtaining factory images"**. | Die richtige Version für dein Pixel wird automatisch erkannt. | | Klicke auf den Button, um das Image herunterzuladen. | Das kann je nach Internetgeschwindigkeit ein paar Minuten dauern. | | Nach dem Download erscheint **"Flashing factory images"**. | Klicke darauf – der eigentliche Flash-Vorgang beginnt. | | **Warte jetzt einfach ab!** | Das Handy wird mehrmals neu starten. **Nichts drücken!** | #### Schritt 3: Bootloader wieder sperren (für maximale Sicherheit) | Aktion | Beschreibung | | :--- | :--- | | Nach dem Flashen erscheint auf der Webseite der Punkt **"Locking the bootloader"**. | Klicke darauf. | | Auf dem Handy mit Lautstärketasten **"Lock bootloader"** auswählen und mit Ein/Aus-Taste bestätigen. | Auch das löscht das Handy **noch einmal** – das ist normal! | | Warte, bis der Vorgang abgeschlossen ist. | Das Handy bleibt im Fastboot-Modus. | #### Schritt 4: Neustart | Aktion | Beschreibung | | :--- | :--- | | Auf dem Handy ist jetzt **"Start"** vorausgewählt. | Einfach die **Ein/Aus-Taste drücken**. | | Das Handy bootet jetzt zum ersten Mal mit GrapheneOS. | Beim ersten Start kann es etwas länger dauern. | --- ### 🔍 Wichtige Hinweise für diese Phase | Punkt | Erklärung | | :--- | :--- | | **Gelbe Warnung beim Start** | Nach der Installation erscheint beim Booten eine gelbe Warnmeldung mit einem langen Code (Hash). Das ist **völlig normal** und zeigt nur, dass ein alternatives Betriebssystem installiert ist. Keine Sorge! | | **Hash überprüfen (optional)** | Du kannst den angezeigten Hash mit dem offiziellen Wert für dein Gerät vergleichen. Für das **Pixel 8a** lautet der offizielle Hash: `096b8bd6d44527a24ac1564b308839f67e78202185cbff9cfdcb10e63250bc5e`. Stimmt er überein? Dann ist die Installation authentisch. | | **Bootloader sperren** | Das Sperren des Bootloaders ist der **wichtigste Schritt für die Sicherheit**. Mach das unbedingt – sonst kann jeder einfach ein anderes Betriebssystem aufspielen. | | **Handy wird zweimal gelöscht** | Ja, das ist normal! Einmal beim Entsperren, einmal beim Sperren. Das gehört zum Sicherheitskonzept dazu. | --- ### 🆘 Häufige Probleme und Lösungen | Problem | Mögliche Lösung | | :--- | :--- | | **Handy wird nicht erkannt** | Anderes USB-Kabel probieren (muss Daten übertragen können!). Einen anderen USB-Port verwenden (direkt am PC, kein Hub). | | **Webseite zeigt "Unavailable, as your browser doesn't support WebUSB"** | Du benutzt Firefox. Wechsle zu Chromium, Chrome oder Brave. | | **Bootloader lässt sich nicht entsperren** | Prüfe, ob "OEM-Entsperrung" in den Entwickleroptionen **wirklich an** ist. Manchmal muss das Handy einmal mit Internet verbunden sein. | | **Flash-Vorgang hängt** | Einfach abwarten – kann manchmal ein paar Minuten dauern. Nicht abbrechen! | | **Handy bootet nicht** | Versuche, den Fastboot-Modus neu zu starten (aus → Leiser + Ein/Aus). Dann nochmal versuchen. | --- ## Phase 4: Ersteinrichtung und erste Schritte Nach dem Neustart begrüßt dich GrapheneOS. Jetzt richtest du es ein und installierst die ersten Apps – **ganz ohne Google**. --- ### 📱 Ersteinrichtung | Schritt | Was du tun musst | Hinweis | | :--- | :--- | :--- | | **1. Assistenten folgen** | Sprache, WLAN, Datum, etc. einstellen. | Ganz am Ende: **"OEM-Entsperrung deaktivieren"** – den Schalter **anlassen** (also deaktivieren). | | **2. Bildschirmsperre einrichten** | PIN, Passwort oder Muster festlegen. | **Wichtig für die Verschlüsselung!** | | **3. Fingerabdruck / Gesichtserkennung** | optional einrichten. | Läuft sicher über den Titan M2-Chip. | --- ### 🛍️ Schritt-für-Schritt: Die ersten App-Stores Da GrapheneOS **keine App-Stores vorinstalliert** hat, musst du sie selbst installieren. Die gute Nachricht: Es ist einfach und du hast danach alle Möglichkeiten. #### 📥 1. Neo Store installieren (für Open-Source-Apps) Der **Neo Store** ist der beste Client für F-Droid (Open-Source-Apps). Er ist modern, schnell und datenschutzfreundlich. **🔗 APK direkt herunterladen:** 1. Öffne den vorinstallierten **Vanadium-Browser** (das ist der sichere Browser von GrapheneOS). 2. Gehe zu: **[https://github.com/NeoApplications/Neo-Store/releases](https://github.com/NeoApplications/Neo-Store/releases)** 3. Lade die neueste **APK-Datei** herunter (suche nach einer Datei mit `.apk` am Ende, z.B. `Neo-Store-v3.0.0.apk`). 4. Tippe nach dem Download auf die Benachrichtigung oder öffne die Datei über den Download-Ordner. **📲 Installation erlauben:** 1. GrapheneOS fragt: **"Darf Vanadium APKs installieren?"** 2. **Einmalig erlauben** (das ist die normale Sicherheitsabfrage). 3. Der Installations-Assistent öffnet sich – tippe auf **"Installieren"**. **🚀 Neo Store einrichten:** 1. Nach der Installation findest du das Neo-Icon in deiner App-Übersicht. 2. Öffne Neo Store – er fragt, ob du das **IzzyOnDroid-Repository** hinzufügen möchtest. **Das ist empfehlenswert!** (IzzyOnDroid hat oft aktuellere Apps.) 3. Tippe auf **"Ja"** oder **"Hinzufügen"**. --- #### 📦 2. Aurora Store installieren (für "normale" Apps) Der **Aurora Store** ist ein anonymer Client für den Google Play Store. Damit bekommst du alle normalen Apps (Banking, soziale Netzwerke, Spiele) – **ganz ohne Google-Konto!** **Installation über Neo Store (einfach):** 1. Öffne **Neo Store** (den du gerade installiert hast). 2. Tippe oben auf das Suchsymbol und gib **"Aurora Store"** ein. 3. Wähle **"Aurora Store"** aus den Suchergebnissen aus. 4. Tippe auf **"Installieren"**. 5. Fertig! Aurora Store ist jetzt installiert. **🔧 Aurora Store einrichten:** 1. Öffne Aurora Store. 2. Beim ersten Start kannst du wählen: - **"Anonym anmelden"** (empfohlen) – dann siehst du Google nicht, wer du bist. - Oder mit Google-Konto anmelden (nur nötig, wenn du gekaufte Apps wiederherstellen willst). 3. Jetzt kannst du wie gewohnt nach Apps suchen und sie installieren. --- ### 🧭 Übersicht: Welcher Store für welche Apps? | Store | Wofür? | Beispiel-Apps | | :--- | :--- | :--- | | **Aurora Store** | "Normale" Apps aus dem Play Store | Banking-Apps, Instagram, Spotify, WhatsApp | | **Neo Store / F-Droid** | Open-Source-Apps, datenschutzfreundliche Alternativen | Fennec (Browser), K-9 Mail, Organic Maps, NewPipe | --- ### 🌐 Browser einrichten (Fennec) Ein guter Browser ist das A und O. **Fennec** ist eine datenschutzfreundliche Version von Firefox. | Schritt | Was du tun musst | Hinweis | | :--- | :--- | :--- | | **1. Fennec installieren** | Öffne Neo Store, suche nach **"Fennec"** und installiere ihn. | Das Icon ist ein brauner Fuchs. | | **2. uBlock Origin installieren** | Öffne Fennec → Menü (drei Punkte) → Add-ons → nach **"uBlock Origin"** suchen → installieren. | Blockiert Werbung und Tracker. | | **3. Firefox Translations aktivieren** | In Fennec → Menü → Add-ons → **"Firefox Translations"** installieren. | Übersetzt Webseiten **lokal und offline**, ganz ohne Google. | | **4. Datenschutz optimieren** | Fennec-Einstellungen → Telemetrie ausschalten, DuckDuckGo als Standardsuche wählen. | – | --- ### 🔋 Akku-Optimierung (wichtiger Tipp!) Damit dein Akku jahrelang hält, aktivierst du gleich die 80%-Ladegrenze. | Schritt | Was du tun musst | Hinweis | | :--- | :--- | :--- | | **1. 80%-Ladegrenze aktivieren** | Einstellungen → Akku → Akkuzustand → **"Bis 80 % begrenzen"** einschalten. | Schont den Akku massiv – besonders beim Laden über Nacht. | | **2. Kalibrierung verstehen** | Ein paar Mal im Monat lädt das Handy doch auf 100 % – das ist die **Kalibrierung** und völlig normal. | – | --- ### ✅ Kurz-Check: Was hast du jetzt erreicht? - [ ] GrapheneOS läuft und ist eingerichtet - [ ] Neo Store installiert (per APK) - [ ] Aurora Store installiert (für normale Apps) - [ ] F-Droid installiert (optional) - [ ] Fennec-Browser mit uBlock Origin - [ ] 80%-Ladegrenze aktiviert ---- ## Phase 5: Fortgeschrittene Tools (Optional, aber empfehlenswert) Du hast jetzt ein laufendes GrapheneOS mit den wichtigsten Stores und Apps. Wer noch mehr Kontrolle und Sicherheit möchte, findet hier die **Profi-Werkzeuge**. --- ### 🧰 1. Obtainium – Der App-Manager für Direktdownloads **Obtainium ist kein App-Store, sondern ein App-Manager.** Du fügst die Adresse (URL) einer App-Quelle hinzu – meist die GitHub-Seite des Projekts. Obtainium lädt dann die aktuelle Version herunter, installiert sie und überprüft regelmäßig, ob es Updates gibt. #### 🔧 Wofür ist Obtainium gut? - Für Apps, die **nicht in F-Droid oder Aurora Store** sind - Wenn du **immer die neueste Version** direkt vom Entwickler haben willst - Für Apps, die der Entwickler **nur auf GitHub** veröffentlicht #### 📲 Installation 1. Öffne **Neo Store**. 2. Suche nach **"Obtainium"**. 3. Tippe auf **"Installieren"**. #### ⚙️ Einrichtung | Schritt | Was du tun musst | Hinweis | | :--- | :--- | :--- | | **1. Obtainium öffnen** | Das Icon findest du in der App-Übersicht. | – | | **2. App hinzufügen** | Tippe unten rechts auf das **Plus-Symbol**. | – | | **3. URL eingeben** | Füge die GitHub- oder Webseiten-URL der App ein, z.B. `https://github.com/AppVerifier/AppVerifier` | Obtainium erkennt die Quelle automatisch. | | **4. Einstellungen prüfen** | Du kannst wählen: nur stabile Releases, auch Vorabversionen, Update-Intervall, etc. | Die Standardeinstellungen sind meist gut. | | **5. Hinzufügen** | Tippe auf "Add". | Obtainium lädt die App jetzt herunter. | | **6. Installation** | Folge dem Installationsdialog. | Einmalig bestätigen. | #### 🔄 Automatische Updates Obtainium kann Updates **automatisch im Hintergrund** herunterladen und installieren: 1. Gehe zu **Obtainium-Einstellungen** (Zahnrad-Symbol). 2. Aktiviere **"Enable Background Updates"**. 3. Stelle das gewünschte **Update-Intervall** ein (z.B. täglich). 👉 **Wichtig:** Bei manchen Apps klappt die automatische Installation nicht – dann bekommst du eine Benachrichtigung und kannst das Update manuell starten. --- ### 🔐 2. AppVerifier – Der Sicherheits-Check für Apps **AppVerifier prüft, ob eine App wirklich vom echten Entwickler stammt.** Es vergleicht den kryptografischen Fingerabdruck (Hash) der installierten App mit dem offiziellen Wert des Entwicklers. #### 🔧 Wofür ist AppVerifier gut? - Für Apps, die du **per Obtainium oder APK** installiert hast - Um sicherzugehen, dass die App **nicht manipuliert** wurde - Für alle, die **keinem Store blind vertrauen** wollen #### 📲 Installation 1. Öffne **Neo Store**. 2. Suche nach **"AppVerifier"**. 3. Tippe auf **"Installieren"**. #### ✅ So prüfst du eine App | Methode | Vorgehen | | :--- | :--- | | **Automatisch (wenn App in Datenbank)** | Öffne AppVerifier → "App List". Hinter Apps mit grünem Haken ist der Hash bekannt und stimmt überein. | | **Manuell mit Clipboard** | 1. Such den offiziellen Hash auf der Entwickler-Webseite oder GitHub.<br>2. Kopiere den Hash.<br>3. Öffne AppVerifier, wähle die App, tippe auf **"Verify from clipboard"**. | | **Perfekt mit Obtainium** | In Obtainium-Einstellungen: **"Share new Apps with AppVerifier"** aktivieren. Nach jedem Download öffnet sich AppVerifier automatisch. | #### 🔍 Wo finde ich den offiziellen Hash? - Oft auf der **GitHub-Releases-Seite** der App - Manchmal in der **README** des Projekts - Auf der **offiziellen Webseite** des Entwicklers - In Foren oder von vertrauenswürdigen Quellen (aber Vorsicht!) 👉 **Wichtig:** Hol den Hash nicht von der gleichen Seite, von der du die App geladen hast – sonst ist die Prüfung sinnlos. --- ### 🏛️ 3. Accrescent – Der besonders sichere App-Store **Accrescent** ist ein neuer, aufstrebender App-Store mit strengen Sicherheitsanforderungen. Apps werden geprüft, die Entwickler-Signaturen bleiben erhalten – kein zentraler Signaturschlüssel wie bei F-Droid. #### 🔧 Wofür ist Accrescent gut? - Für **besonders sicherheitsbewusste Nutzer** - Als **zusätzliche Quelle** für geprüfte Apps - Weil es das **Vertrauensmodell reduziert** (nur Entwickler + Accrescent, kein F-Droid-Zwischenschlüssel) #### 📲 Installation **Methode A: Über GrapheneOS App Store (empfohlen)** 1. Öffne den vorinstallierten **"App Store"** (Einkaufstaschen-Symbol). 2. Suche nach **"Accrescent"**. 3. Tippe auf **"Installieren"**. **Methode B: Direkt von der Webseite** 1. Öffne Vanadium-Browser. 2. Gehe zu **[https://accrescent.app](https://accrescent.app)** 3. Lade die APK herunter und installiere sie. #### 📦 Erste Schritte - Öffne Accrescent – die Auswahl ist noch klein, aber wächst. - Installiere von dort Apps wie **Aves** (Galerie), **IronFox** (Browser) oder **AppVerifier**. - Accrescent kann Updates automatisch im Hintergrund installieren (auf Android 12+). --- ### 📦 4. IzzyOnDroid-Repository einbinden **IzzyOnDroid** ist ein inoffizielles F-Droid-Repo mit oft **aktuelleren Versionen** vieler Apps. 1. Öffne **Neo Store**. 2. Gehe zu **Einstellungen** → **Repositories**. 3. Tippe auf das **Plus-Symbol**. 4. Füge diese URL ein: `https://apt.izzysoft.de/fdroid/repo` 5. **Aktivieren** und aktualisieren lassen. Jetzt hast du Zugriff auf noch mehr Apps – oft mit Updates, die schneller kommen als im offiziellen F-Droid-Repo. --- ### 🔐 Sicherheits-Check (für Fortgeschrittene) - [ ] Bootloader ist gesperrt? (prüfen: Handy aus → Leiser + Ein/Aus → "Lock State: locked") - [ ] OEM-Entsperrung ist deaktiviert? (in Einstellungen → Entwickleroptionen) - [ ] Bildschirmsperre aktiv? - [ ] 80%-Ladegrenze aktiv? - [ ] Wichtige Apps mit AppVerifier geprüft? - [ ] Obtainium für GitHub-Apps eingerichtet? - [ ] Accrescent als zusätzliche Quelle? --- ### 🎯 Wann brauchst du welche Tools? | Tool | Empfohlen für ... | | :--- | :--- | | **Obtainium** | Alle, die Apps direkt von GitHub laden und automatisch updaten wollen | | **AppVerifier** | Jeden, der APKs aus unsicheren Quellen prüfen will – oder einfach sichergehen möchte | | **Accrescent** | Sicherheits-Enthusiasten, die einen zusätzlichen, geprüften Store wollen | | **IzzyOnDroid** | Alle, die aktuellere Versionen ihrer Lieblings-Open-Source-Apps haben wollen | --- ## ⚠️ Punkt 6: Hinweis zur Nutzung von F-Droid und Alternativen ## 🔐 Meine Hinweise zur sicheren App-Verwaltung auf GrapheneOS Für eine sichere und datenschutzfreundliche App-Verwaltung auf GrapheneOS habe ich mir die folgenden Grundsätze erarbeitet. Die Wahl der richtigen Quelle ist entscheidend für die Sicherheit meines Geräts. ## ⚠️ Problematische App-Quellen, die ich vermeide ### F-Droid Das offizielle F-Droid-App bringt einige **Sicherheitsrisiken** mit sich, die in [dieser ausführlichen Analyse](https://privsec.dev/posts/android/f-droid-security-issues/) detailliert beschrieben werden: - **Fremdsignierung:** Apps werden nicht von den Entwicklern selbst, sondern von F-Droid signiert. Das fügt eine zusätzliche Vertrauenspartei hinzu und umgeht das Android-eigene Vertrauensmodell. - **Langsame Updates:** Durch manuelle Build- und Signierprozesse erscheinen Sicherheitsupdates oft stark verzögert. - **Veraltete Bibliotheken:** Die strenge Aufnahmepolitik zwingt Entwickler manchmal zu veralteten Builds, was Sicherheitslücken verursachen kann. - **Infrastruktur-Probleme:** Es gab wiederholt Sicherheitsbedenken bezüglich der Build-Umgebungen von F-Droid. **Deshalb habe ich das F-Droid App nicht installiert!.** ### Aurora Store Das GrapheneOS-Projekt empfiehlt den Aurora Store nicht – und ich halte mich daran. Meine Gründe: - **Fehlende Signaturprüfung:** Aurora prüft die Signatur heruntergeladener Apps nicht so, wie es der offizielle Play Store tut. Manipulierte oder falsche Versionen sind daher schwerer zu erkennen. - **Unzuverlässige Updates:** Aurora bietet keine funktionierenden automatischen Updates. Dadurch könnte ich kritische Sicherheitsupdates für Apps verpassen. - **Kein Datenschutzvorteil:** Entgegen der landläufigen Meinung bietet Aurora **keinen Datenschutzvorteil** gegenüber der Nutzung des offiziellen Play Store mit sandboxed Google Play Services auf GrapheneOS. - Viele Apps bündeln Google-Bibliotheken, die unabhängig von den Play Diensten laufen und die gleichen Daten sammeln. - Die sandboxed Play Services auf GrapheneOS laufen völlig ohne Systemprivilegien und sind in der starken App-Sandbox isoliert. > **Für mich gilt:** Ich verzichte auf den Aurora Store für die regelmäßige Nutzung. (Habe aber ein oder zwei App installiert) ## ✅ Meine bevorzugten Bezugsquellen (in dieser Reihenfolge) Für maximale Sicherheit und Privatsphäre nutze ich diese Quellen prioritär: | Quelle | Warum ich sie nutze | | :--- | :--- | | **GrapheneOS App Store** (vorinstalliert) | Enthält wichtige System-Apps von GrapheneOS. Absolut vertrauenswürdig. | | **[Accrescent](https://accrescent.app)** | Ein moderner, sicherer App-Store von einem GrapheneOS-Mitwirkenden. Bietet signierte Apps und starke Sicherheitsgarantien. **Hier suche ich zuerst.** | | **Play Store** (mit sandboxed Google Play Services) | Die offizielle, sicherste Quelle für Apps, die ich nicht anders bekomme. Ich nutze es mit einem anonymen Google-Konto (ohne Telefonnummer) **Verwende ich als Prinzip nicht!**. | | **IzzyOnDroid Repo** (über Neo Store) | Sehr gute, aktuelle Quelle für FOSS-Apps – oft tage- oder wochenlang vor F-Droid. Deutlich besser als das Haupt-F-Droid-Repo. | | **Entwickler-eigene Repos** (über Neo Store) | Die sicherste Wahl für FOSS-Apps: Apps direkt vom Entwickler signiert mit schnellsten Updates. | | **[Obtainium](https://obtainium.imranr.dev/) + [AppVerifier](https://github.com/soupslurpr/AppVerifier)** | Zum Sideloading von APKs direkt aus Entwickler-Quellen. **Nur in Kombination mit AppVerifier** verwende ich das, um die Authentizität der APKs zu prüfen. | | **Guardian Project Repo** (über Neo Store) | Für hochwertige Sicherheits-Apps (z.B. Orbot) von einer vertrauenswürdigen Organisation. | ## 🛠️ Meine Neo Store-Konfiguration Für die Verwaltung von F-Droid-kompatiblen Repositories nutze ich den **[Neo Store](https://github.com/NeoApplications/Neo-Store)** als modernen Client. Er unterstützt mehrere Quellen gleichzeitig, bietet eine moderne Oberfläche (Material You) und ermöglicht mir die einfache Verwaltung verschiedener Repositories. **Kurze Anleitung zum Deaktivieren des F-Droid-Haupt-Repos im Neo Store:** | Schritt | Was zu tun ist | | :--- | :--- | | 1 | Neo Store öffnen, auf das **Profil-Symbol** (oben rechts) tippen | | 2 | **"Einstellungen"** → **"Repositories"** auswählen | | 3 | In der Liste nach **"F-Droid"** oder **"F-Droid Classic"** suchen | | 4 | **Haken bei diesem Eintrag entfernen** (nicht auf "Entfernen" klicken!) | | 5 | Fertig – das Repo ist jetzt deaktiviert | ### So habe ich meinen Neo Store konfiguriert: | Repository | Status | Meine Begründung | | :--- | :--- | :--- | | F-Droid Haupt-Repo | ❌ Deaktiviert | Vermeidet die bekannten Sicherheitsprobleme | | IzzyOnDroid | ✅ Aktiviert | Beste Quelle für aktuelle FOSS-Apps | | Guardian Project | ✅ Aktiviert | Für Sicherheits-Apps wie Orbot | | Entwickler-Repos | ✅ (bei Bedarf) | Für maximale Sicherheit bei wichtigen Apps | ## 📝 Fazit für mich Mit dieser Auswahl habe ich die **volle Kontrolle**, woher meine Apps kommen – und vermeide die Sicherheitsprobleme problematischer Quellen, ohne auf freie Software verzichten zu müssen. Die Prioritätenliste hilft mir, für jede App die sicherste verfügbare Quelle zu wählen. --- ## 📱 eSIM unter GrapheneOS – Installation und wichtige Hinweise ## So installierst du eine eSIM direkt in GrapheneOS | Schritt | Was zu tun ist | | :--- | :--- | | 1 | **eSIM-Unterstützung aktivieren:** *Einstellungen → Netzwerk & Internet → eSIM‑Unterstützung* – Schalter an | | 2 | **Neue eSIM hinzufügen:** *Einstellungen → Netzwerk & Internet → SIM-Karten → + SIM-Karte hinzufügen* | | 3 | **„eSIM einrichten“** antippen und den Anweisungen folgen | | 4 | **QR-Code scannen** oder Aktivierungscode eingeben (je nach Anbieter) | --- ## 📌 Wichtige Hinweise - **Bereits installierte eSIMs:** eSIMs, die **vor dem Flashen** im original Android installiert wurden, bleiben erhalten und funktionieren sofort – ohne zusätzliche Einstellungen. Ein Nutzer bestätigt: *"When I bought my pixel I first installed the eSIM, checked everything worked, then installed GOS. I've recently put another esim on within GOS. Either method works flawlessly."* - **Keine Google-Abhängigkeit:** Die eSIM-Funktion arbeitet unabhängig von Google Play und benötigt keine Google-Dienste für den Betrieb. Die optionale eSIM-Unterstützung in den Einstellungen ist eine Google-Komponente, sendet aber **keine Daten an Google**. - **Internetverbindung nötig:** Für die Aktivierung wird **WLAN** benötigt, da die eSIM selbst noch keine Verbindung herstellen kann. - **Provider-Apps:** Falls dein Anbieter eine App zur Aktivierung benötigt, kannst du diese problemlos in einem separaten Profil installieren – sie muss nicht dauerhaft laufen. - **Bei Problemen:** Bleibt die Installation bei *„Netzwerkinformationen werden überprüft“* hängen, **##4636##** wählen und dort **DSDS aktivieren**. --- ## ⚠️ Wichtig bei PIN-geschützter eSIM - Lasst die **eSIM‑Unterstützung dauerhaft aktiviert**. Nur so könnt ihr die eSIM im Notfall vom Sperrbildschirm deaktivieren. - **Achtung:** Ist die eSIM‑Unterstützung **aus** und ihr vergebt die eSIM-PIN, kommt ihr **ohne PUK nicht mehr ans Gerät**! --- ## 📝 Zusammenfassung der Erkenntnisse 1. **Vor dem Flashen:** Funktioniert – die eSIM bleibt beim Installieren von GrapheneOS erhalten. 2. **Nach dem Flashen:** Funktioniert ebenfalls – mit aktivierter eSIM-Unterstützung und ggf. QR-Code. 3. **Beide Wege sind gleichwertig:** Die Community-Erfahrungen zeigen, dass beide Methoden *"flawlessly"* funktionieren. Die offizielle Dokumentation bestätigt zudem, dass die eSIM-Funktion unabhängig von Google Play arbeitet und keine Daten teilt. --- ## 🔍 Quellen | Quelle | Link | | :--- | :--- | | Offizielle GrapheneOS Dokumentation: "eSIM support" | [grapheneos.org/features#esim-support](https://grapheneos.org/features#esim-support) | | GrapheneOS Forum: "Install eSIM before install GrapheneOS or after?" | [discuss.grapheneos.org/d/20808](https://discuss.grapheneos.org/d/20808-install-esim-before-install-grapheneos-or-after/4) | | GrapheneOS Forum: "eSIM activation" | [discuss.grapheneos.org/d/5863](https://discuss.grapheneos.org/d/5863-esim-activation/11) | --- ## 🚗 Android Auto unter GrapheneOS **Kurzzusammenfassung:** - **Installation:** Android Auto wird **ausschließlich über den GrapheneOS App Store** installiert – nicht aus dem Play Store. - **Sandboxed Google Play:** Android Auto benötigt die sandboxed Google Play Services. Diese werden separat installiert (entweder vorab oder du wirst während der Einrichtung dazu aufgefordert). - **Konfiguration:** Nach der Installation erfolgt die Einrichtung unter *Einstellungen → Apps → Sandboxed Google Play → Android Auto*. Dort findest du: - Berechtigungsschalter für kabelgebundenes und kabelloses Android Auto - Verknüpfungen zu den Benachrichtigungseinstellungen - Konfigurationstipps und Links zu optionalen Abhängigkeiten - **Berechtigungen:** Standardmäßig hat Android Auto **keinerlei privilegierte Zugriffe**. Du musst explizit die benötigten Berechtigungen erteilen: - **Kabelgebunden:** Benötigt weniger Zugriffe - **Kabellos:** Benötigt umfangreichere Berechtigungen - *Hinweis:* Manche Autos benötigen auch bei kabelgebundener Verbindung die Berechtigungen für kabelloses Android Auto - **Benachrichtigungen:** Damit Benachrichtigungen im Auto angezeigt werden, muss Android Auto der **Benachrichtigungszugriff** erteilt werden. - **Apps im Auto:** Damit Apps auf dem Autodisplay erscheinen, müssen sie **aus dem Play Store installiert sein** und Android Auto unterstützen. - **Private Space:** Für die Nutzung im privaten Bereich: *Einstellungen → Sicherheit & Datenschutz → Privater Bereich → Sandboxed Google Play → Android Auto*. **Wichtig:** Alle Berechtigungen müssen vor der ersten Verbindung mit dem Auto konfiguriert werden . --- **Quelle:** [1] Offizielle GrapheneOS Dokumentation: "Android Auto" – [grapheneos.org/features#android-auto](https://grapheneos.org/features#android-auto) --- *Stand: März 2026 | Bei Fragen oder Anmerkungen gerne melden!*