Ihr Smartphone weiß mehr über Sie als jedes andere Gerät. GrapheneOS ist ein alternatives Betriebssystem für Google-Pixel-Smartphones, das genau diese Daten besser schützt – ohne dass Sie auf gewohnte Apps verzichten müssen. Dieser Artikel erklärt die wichtigsten Funktionen in einfachen Worten. Wer tiefer einsteigen will, findet in den blauen Kästen die technischen Hintergründe.
Was ist GrapheneOS?
Stellen Sie sich Android vor, nur ohne Google-Zwang und mit deutlich besseren Schlössern an allen Türen. GrapheneOS ersetzt das vorinstallierte Android auf einem Google-Pixel-Smartphone. Telefonieren, Messenger, Banking und Navigation funktionieren weiterhin – nur behalten Sie die Kontrolle darüber, welche App was darf.
Technisch: Quelloffenes, gehärtetes Betriebssystem auf Basis des Android Open Source Project (AOSP). Läuft ausschließlich auf Google-Pixel-Geräten, weil nur diese die nötigen Hardware-Sicherheitsfunktionen bieten (u. a. Verified Boot mit eigenem Schlüssel und sperrbarem Bootloader).
Die Vorteile auf einen Blick
- Schwerer angreifbar: Schadsoftware hat es deutlich schwerer, Sicherheitslücken auszunutzen.
- Privat ab Werk: Keine Google-Dienste vorinstalliert, keine Werbe-Apps.
- Volle Kontrolle über Apps: Sie können jeder App einzeln das Internet oder den Zugriff auf Sensoren abschalten.
- Mehrere Handys in einem: Banking, Arbeit und Social Media lassen sich in getrennten Profilen nutzen.
Technisch: Gehärteter Speicher-Allokator (hardened_malloc), Hardware-Speicher-Tagging (MTE) auf Pixel 8 und neuer, Kernel-Härtung. Die Berechtigungen „Netzwerk“ und „Sensoren“ sind GrapheneOS-Erweiterungen – unter normalem Android bekommt jede App beides automatisch.
Benutzerprofile: mehrere Handys in einem Gerät
Jedes Profil ist wie ein eigenes Smartphone. Apps und Daten aus Profil A sind für Profil B unsichtbar. So können Sie zum Beispiel Ihre Banking-App in einem Profil nutzen, in dem sonst nichts installiert ist.
So wechseln Sie das Profil: Zweimal von oben über den Bildschirm wischen, auf das Personen-Symbol tippen und das gewünschte Profil wählen.
Technisch: Jedes Profil verschlüsselt seine Daten mit eigenen Schlüsseln. Die Trennung ist kryptografisch, nicht physisch – alle Profile teilen sich Hardware und Kernel. Nach einem Wechsel läuft das alte Profil im Hintergrund weiter; erst „Sitzung beenden“ stoppt es und legt seine Daten wieder verschlüsselt ab.
Was die Trennung im Alltag bedeutet
- Links: Ist eine App nur im anderen Profil installiert, öffnet sich ein Link als normale Webseite im Browser. Die App bekommt davon nichts mit.
- Dateien: Einen gemeinsamen Ordner gibt es bewusst nicht. Dateien lassen sich aber gezielt übertragen, etwa über einen lokalen Dateiserver auf dem Gerät.
Technisch: Die Zwischenablage ist pro Profil getrennt. Für den Dateiaustausch eignet sich z. B. die Open-Source-App Material Files mit lokalem FTP-Server auf 127.0.0.1 (mit Passwort). Das bereitstellende Profil muss dafür im Hintergrund laufen; die Daten verlassen das Gerät nicht.
Google-Apps nutzen – aber ohne Sonderrechte
Ein verbreiteter Irrtum: Auf GrapheneOS laufen keine Google- oder Banking-Apps. Das stimmt meist nicht. Die Google-Dienste lassen sich nachinstallieren. Der Unterschied zu einem normalen Android-Handy: Sie sind dort nicht fest ins System eingebaut, sondern verhalten sich wie jede andere App. Standort, Kontakte und andere Rechte können Sie ihnen jederzeit entziehen.
So installieren Sie die Google-Dienste:
- Die vorinstallierte App App Store von GrapheneOS öffnen.
- Google Play services auswählen und auf Installieren tippen.
- Fertig: Google-Dienste und Play Store werden automatisch eingerichtet.
Technisch: „Sandboxed Google Play“ – eine Kompatibilitätsschicht bedient die Play-Services-APIs, ohne den Diensten privilegierte Systemrechte zu geben. Installiert werden Google Services Framework, Google Play-Dienste und Play Store, jeweils als normale App pro Profil.
Hinweis zu Banking-Apps: Die meisten laufen problemlos. Einzelne Apps lehnen aber jedes System ab, das nicht von Google zertifiziert ist. Prüfen Sie vor dem Umstieg, ob Ihre Bank-App funktioniert.
Technisch: Ursache ist Googles Play-Integrity-Prüfung („Device/Strong Integrity“). GrapheneOS unterstützt Hardware-Attestation, die App-Anbieter stattdessen prüfen könnten.
Google im Hauptprofil oder getrennt?
| Im Hauptprofil | In einem eigenen Profil | |
|---|---|---|
| Komfort | Sehr hoch – alle Apps an einem Ort | Geringer – für manche Apps Profil wechseln |
| Benachrichtigungen | Sofort | Solange das Profil im Hintergrund läuft |
| Privatsphäre | Hoch – Google bleibt in der Sandbox | Maximal – nach „Sitzung beenden“ läuft nichts von Google |
Unsere Empfehlung
Für die meisten Nutzer ist die einfache Variante die richtige: Google-Dienste im Hauptprofil installieren und ihnen Standort und Kontakte entziehen. Das verbindet gewohnten Komfort mit deutlich mehr Privatsphäre. Wer maximale Trennung möchte, legt ein eigenes Profil nur für Google-abhängige Apps an.
Sie möchten GrapheneOS im Unternehmen oder privat einsetzen? Wir beraten Sie gern und übernehmen die Einrichtung.
Quellen: GrapheneOS Features · GrapheneOS Usage Guide · Wikipedia: GrapheneOS