Fahrer eines Volkswagen mit gehärtetem Android-Betriebssystem kommen seit Kurzem nicht mehr in die VW-App. Ausgesperrt werden ausgerechnet die Geräte, die sicherheitstechnisch besser dastehen als ein durchschnittliches Werkstelefon. Der Grund liegt nicht bei Volkswagen allein, sondern in einer Google-Schnittstelle, deren Prüflogik gerade zum Standard wird.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügenDie VW-App verweigert Nutzern alternativer Android-Systeme den Start, darunter GrapheneOS, LineageOS und /e/OS. Damit fallen Reichweitenanzeige, Werkstatttermin, Ladesteuerung und Klimatisierung aus der Ferne weg. Auf Anfrage von heise online hat Volkswagen mitgeteilt, Betroffene sollten vorerst nicht mit einer Freigabe rechnen, man prüfe den Fall aber.
Das Wichtigste in Kürze
- Die VW-App prüft über Googles Play Integrity API, ob ein zertifiziertes Herstellerabbild läuft.
- GrapheneOS scheitert nicht an schwacher Absicherung, sondern an einem nicht von Google zertifizierten Signaturschlüssel.
- Androids eigene Hardware-Attestation-API könnte alternative Systeme gezielt zulassen, Volkswagen nutzt diesen Weg nicht.
- Für Fuhrparks mit datenschutzgehärteten Diensthandys wird die Fahrzeug-App damit unbrauchbar.
Was blockiert die App tatsächlich?
Der Ausschluss geht auf keine Sicherheitslücke und keinen Missbrauchsfall zurück. Die App ruft Googles Play Integrity API auf und akzeptiert nur ein bestimmtes Urteil dieser Schnittstelle.
Google unterscheidet dabei mehrere Stufen. Die Stufe MEETS_DEVICE_INTEGRITY verlangt ab Android 13 einen hardwaregestützten Nachweis, dass der Bootloader gesperrt ist und ein von einem Hersteller zertifiziertes Android-Abbild läuft.[1]
Genau an der zweiten Hälfte dieser Bedingung scheitern die alternativen Systeme. Eine schwächere Stufe namens MEETS_BASIC_INTEGRITY sieht Google ausdrücklich für Geräte vor, die nicht zertifiziert sind, und die hätten die Systeme bestanden.
Warum ein sichereres System durch die Prüfung fällt
Der Mechanismus dahinter kehrt die Logik um, die Anwender vermuten. GrapheneOS sperrt den Bootloader nach der Installation wieder und nutzt Verified Boot genauso wie ein Werksabbild, es misst aber gegen einen eigenen Signaturschlüssel statt gegen den des Herstellers.
Für die Play Integrity API zählt allein die Zertifizierung durch Google, nicht die tatsächliche Härtung des Systems. Ein veraltetes Billig-Smartphone mit Werksabbild besteht die Prüfung, ein aktuell gepflegtes GrapheneOS-Gerät nicht.
Ein anderer Weg steht seit Jahren offen. Androids eigene Hardware-Attestation-API liefert den Verified-Boot-Schlüssel direkt an den Betreiber, und GrapheneOS veröffentlicht die Fingerabdrücke seiner Schlüssel als signierte Liste, damit Anbieter sie freischalten können.[2] Volkswagen hätte den Ausschluss damit aufheben können, ohne die Prüfung aufzugeben.
Wie die Play Integrity API darüber urteilt, ob ein Android-Gerät als echt gilt
Die Verdikt-Stufen im Vergleich
Bootloader darf entsperrt sein, Gerät muss nicht von Google zertifiziert sein. Ab Android 13 genügt eine Vertrauenswurzel von Google.
GrapheneOS besteht
Verlangt ab Android 13 den hardwaregestützten Nachweis, dass der Bootloader gesperrt ist und ein zertifiziertes Herstellerabbild läuft.
Von VW gewählt, GrapheneOS fällt durch
Wie die Gerätestufe, zusätzlich mit Sicherheitsupdates aus den letzten zwölf Monaten in System und Vendor-Partition.
GrapheneOS fällt durch
Androids eigene Schnittstelle. Betreiber prüfen den Verified-Boot-Schlüssel selbst und können fremde Systeme gezielt zulassen.
GrapheneOS wäre zulassbar
Die Zahlen zum Fall
betroffene Android-Systeme: GrapheneOS, LineageOS und /e/OS
App-Funktionen fallen weg: Reichweite, Werkstatttermin, Laden, Klima
Sicherheitslücken, die den Ausschluss auslösten
Der Kern der Sache: GrapheneOS sperrt den Bootloader und nutzt Verified Boot wie ein Werksabbild. Durchgefallen ist das System nicht an fehlender Härtung, sondern daran, dass sein Signaturschlüssel nicht von Google zertifiziert ist.
Der Fall steht nicht allein. Banking-Apps, Streaming-Dienste und Bezahldienste haben dieselbe Prüfung in den vergangenen Jahren übernommen, und mit der Fahrzeug-App erreicht das Muster nun die Industrie. GrapheneOS hält Googles Vorgehen für einen Wettbewerbseingriff im Gewand einer Sicherheitsfunktion und hat rechtliche Schritte angekündigt.
Volkswagen hat hier keine Sicherheitsentscheidung getroffen, sondern eine Bequemlichkeitsentscheidung. Der Konzern überlässt Google die Definition davon, welches Telefon vertrauenswürdig genug für das eigene Auto ist.
— Markus Seyfferth, Chefredakteur Dr. Web
Was folgt daraus für Fuhrparks im DACH-Raum?
Betroffen sind vor allem Organisationen, die ihre Diensthandys bewusst ohne Google-Dienste betreiben. Behörden, Kanzleien und sicherheitsnahe Betriebe setzen genau deshalb auf gehärtete Android-Varianten, und deren Fahrzeugflotte verliert nun die digitale Anbindung.
Die Abhängigkeit reicht weiter als die eine App. Vergleichbare Kopplungen haben sich gezeigt, als eine Cyber-Regel das Ende des Verbrenner-Macan besiegelte und als LG-Monitore Software ohne Einwilligung nachluden.
Der Vorgang fällt in eine Phase, in der europäische Konzerne ihre technische Unabhängigkeit betonen und etwa wie Airbus Anwendungen in eine europäische Cloud verlagern. Die Frage, wer die Kontrolle über vernetzte Geräte behält, hat Dr. Web bereits am China-Killswitch durchgespielt.
Fuhrparkverantwortliche sollten vor der nächsten Beschaffung prüfen, welche Fahrzeugfunktionen ausschließlich über eine App erreichbar sind und ob der Hersteller diese App an Play-Integrity-Stufen bindet. Wo Ladesteuerung oder Vorklimatisierung betrieblich gebraucht werden, gehört die Frage nach der Attestierungspraxis in den Anforderungskatalog, nicht ins Kleingedruckte nach der Auslieferung.
Quellen
[1] Google / Android Developers: „Play Integrity API: Device integrity verdicts“
[2] GrapheneOS: „Attestation compatibility guide“
Mehr Newshunger?
- 45 Patente, keine Kunden: Die Schwarz Gruppe gibt XM Cyber an CrowdStrike ab
- LG-Monitore installieren über Windows Update stillschweigend Software ohne Einwilligung
- TP-Link-Kasa-Kameras gaben den Standort des Zuhauses ohne Anmeldung preis
- China-Killswitch: Was die Gesetze wirklich fordern
- Nicht die Nachfrage beendet den Verbrenner-Macan, sondern eine Cyber-Regel
- Die Vereinigten Digitalen Staaten von Europa? Ein Aprilscherz?
