Google zieht den Sicherheitsriegel: Neue Regelung könnte App-Zugang begrenzen

Google hat angekündigt, dass ab 2026 alle Entwickler ihre Identität verifizieren müssen, wenn sie ihre Apps weiterhin auf Android verfügbar machen möchten. Diese Regel gilt für alle Apps, unabhängig davon, wo sie installiert wurden. Entwickler, deren Apps bereits im Google Play Store sind, werden wahrscheinlich wenig Veränderung bemerken.

Google erklärt, dass Entwickler, deren Apps bereits im Play Store sind, schon alle notwendigen Informationen zur Verifizierung angegeben haben. Der Store wird diese Daten einfach nutzen, um die Apps automatisch zu registrieren.

Am meisten betroffen sind Entwickler, die ihre Apps außerhalb des Play Stores anbieten — ebenso wie diejenigen, die auf diese Apps angewiesen sind. Dazu gehören Apps, die über Drittanbieter-Stores wie APKPure, F-Droid, den Amazon Appstore und andere verteilt werden, sowie Apps, die direkt auf den Websites der Entwickler als .APK-Dateien zur Verfügung gestellt werden.

Google erläuterte, dass das Ziel dieses neuen Verifizierungsverfahrens darin besteht, „die Sicherheit zu erhöhen und davor zu schützen, dass schadhafter Code und Betrugsversuche verbreitet werden“. Laut den Daten von Google enthalten Apps im Play Store mehr als 50-mal weniger Malware als solche, die außerhalb des Stores angeboten werden.

Wie wird die Verifizierung aussehen und wer ist betroffen?

Google kündigt an, dass eine neue Android Developer Console speziell für Entwickler entwickelt wird, die ihre Apps außerhalb des Play Stores anbieten. Für diejenigen, die einen ersten Blick darauf werfen möchten, hat das Unternehmen bereits eine Dokumentation veröffentlicht, die die ersten Schritte des neuen Prozesses erklärt.

Wichtig ist, dass Entwickler, die ihre Apps sowohl im Google Play Store als auch außerhalb davon anbieten, kein separates Konto für die Android Developer Console erstellen müssen. Eine neue Option wird zu ihrem bestehenden Play Console-Konto hinzugefügt, mit der sie die Apps registrieren können, die sie außerhalb des Play Stores anbieten. Entwickler, die ihre Apps ausschließlich außerhalb von Google Play anbieten, müssen jedoch ein neues Konto erstellen.

Im Rahmen des Registrierungsprozesses müssen Entwickler — unabhängig davon, ob es sich um Einzelpersonen oder Organisationen handelt — einen gültigen, von der Regierung ausgestellten Ausweis zusammen mit einer verifizierten E-Mail-Adresse und Telefonnummer einreichen. Diese müssen über einen einmaligen Code bestätigt werden, der von Google gesendet wird. Das System führt den Entwickler dann durch den Prozess, bei dem der Paketname der App mit der verifizierten Identität verknüpft wird. Dazu müssen sie den öffentlichen SHA-256-Fingerabdruck ihres Signierschlüssels eingeben und eine signierte APK hochladen, die eine spezifische Verifizierungsdatei enthält. Für die meisten Entwickler — insbesondere diejenigen, die einen einzigen Schlüssel und einen einzigartigen Paketnamen verwenden — sollte der Prozess schnell und unkompliziert sein und etwa 10 Minuten in Anspruch nehmen.

Wichtig zu beachten ist, dass der Inhalt der App während dieses Verfahrens nicht überprüft wird. Google vergleicht diesen Verifizierungsschritt mit einer Ausweiskontrolle am Flughafen — es geht darum, zu bestätigen, wer Sie sind, statt Ihre Taschen mit einem Röntgengerät zu durchsuchen.

Google erklärte auch, dass Hobby-Entwickler und Studierende von den vollständigen Verifizierungsanforderungen befreit sind, da der Prozess für sie sonst möglicherweise zu aufwendig wäre. Stattdessen können sie ein spezielles Konto mit weniger Prüfungen erstellen und müssen keine der üblichen 25 US-Dollar Gebühr zahlen. Alle anderen Entwickler müssen jedoch weiterhin den vollständigen Verifizierungsprozess durchlaufen und die Gebühr zahlen, um ein Konto in der neuen Konsole einzurichten.

Mehr Hürden für Entwickler, aber keine Garantie für mehr Sicherheit

Die neue Regelung hat sofort Kritik aus der Entwicklergemeinschaft hervorgerufen. Ein häufiges Argument ist, dass die neuen Regeln kaum verhindern werden, dass schadhafter Code weiterhin ins System gelangt. Entschlossene Angreifer haben bereits gezeigt, wie sie bestehende Sicherheitsvorkehrungen von Google umgehen können.

Es ist kein Geheimnis, dass weiterhin viele schadhafte Apps in den Google Play Store gelangen, obwohl Entwickler dort schon einer Identitätsverifizierung und Sicherheitsprüfung unterzogen werden. Eine kürzliche Untersuchung von Bitdefender deckte eine große Werbebetrugs- und Phishing-Kampagne auf, bei der mindestens 331 schadhafte Apps im Google Play Store betroffen waren. Diese Apps hatten über 60 Millionen Downloads und umgingen die Sicherheitsbeschränkungen von Android 13 problemlos. Sie verwendeten fortschrittliche Techniken, um ihre Präsenz zu verbergen, und setzten sogar Phishing-Attacken ein, um Nutzerdaten und Kreditkarteninformationen zu stehlen — alles unter dem Deckmantel legitimer Apps.

Für seriöse Entwickler, die deutlich mehr sind als die bösen Akteure, wird das neue System jedoch wahrscheinlich eher Kopfschmerzen als echte Vorteile bringen. Es ist noch nicht klar, wie belastend der Prozess tatsächlich sein wird, aber der Einfluss dürfte spürbar sein. Kleinere Entwickler und diejenigen, die auf Sideloading oder Drittanbieter-Stores statt auf den Google Play Store setzen, werden wohl am stärksten merken, wie sich die neue Regelung auswirkt.

Falsches Sicherheitsgefühl und eingeschränkte Auswahl

Aus der Perspektive der Entwickler könnte die Änderung unbeabsichtigte und potenziell weitreichende negative Folgen haben. Zuallererst wird die Auswahl an Apps, insbesondere außerhalb des Google Play Stores, wahrscheinlich schrumpfen. Legitime Indie-Entwickler, die auf Sideloading oder Drittanbieter-Stores angewiesen sind, könnten sich entscheiden, sich zurückzuziehen, anstatt sich mit den zusätzlichen Verifizierungshürden auseinanderzusetzen.

Ironischerweise könnte dies zu einer höheren Konzentration schadhafter Apps in diesen Bereichen führen, da Betrüger eher bereit sind, die Verifizierung durchzuführen, während kleine Entwickler, die oft kaum oder gar nichts mit ihren Apps verdienen, dies möglicherweise nicht tun.

Es besteht auch die Gefahr, dass die neue Regelung ein falsches Sicherheitsgefühl vermittelt. Wenn Menschen glauben, dass jede App — auch solche, die außerhalb des Play Stores installiert wurde — sicher ist, nur weil sie von einem verifizierten Entwickler stammt, könnten sie unvorsichtiger werden. Das könnte dazu führen, dass Apps heruntergeladen werden, ohne die Risiken richtig abzuschätzen.

Was passiert mit AdGuard für Android?

Diejenigen, die den AdGuard-Werbeblocker auf Android nutzen, wissen, dass die App nicht im Google Play Store zu finden ist. Das liegt daran, dass Googles Richtlinien vollständige, netzwerkbasierte Werbeblocker verbieten. Sie können die vollständige Version von AdGuard direkt von unserer offiziellen Website herunterladen, und sie ist auch in mehreren Drittanbieter-Stores erhältlich.

Für uns bleibt es eine Priorität, AdGuard für alle zugänglich zu machen. Wir versichern Ihnen, dass wir alle notwendigen Schritte unternehmen werden, um die neue Google-Richtlinie einzuhalten und die App auch in Zukunft verfügbar zu halten.