Umzug meines GrapheneOS-Setups auf ein neues Pixel

Ich nutze GrapheneOS seit mehreren Jahren auf einem Pixel 6a. Doch der Support für dieses Gerät läuft bald aus, also habe ich mir ein Pixel 10a zugelegt und das gesamte Setup von Grund auf neu aufgebaut — kein Google-Konto, kein Play Store, nichts, das im Hintergrund nach Hause funkt. Alles darauf stammt aus Quellen, die ich selbst gewählt habe und überprüfen kann.

Das ist kein einmaliges Experiment. Es ist das Handy, das ich jeden Tag nutze — für E-Mail, Nachrichten, Banking, Notizen, Musik, Kalender, alles. Hier ist, was drauf ist, und warum.

Warum GrapheneOS

Gewöhnliche Android-Handys — selbst «datenschutzfreundliche» — bauen auf einem Google-Konto auf, das im Stillen deinen Standort, deine Kontakte, deine Suchhistorie und deine App-Nutzung zu einem einzigen Profil verknüpft. GrapheneOS entfernt dieses Fundament vollständig. Es härtet das Betriebssystem selbst, mit stärkerem Speicherschutz und einer deutlich kleineren Angriffsfläche, bleibt dabei aber im Alltag voll nutzbar. Der Haken: Es läuft nur auf Google-Pixel-Hardware, und Apps zu bekommen erfordert bewusstere Entscheidungen, als einfach den Play Store zu öffnen. Diesen Kompromiss, und die Alternative der Murena-Handys, habe ich ausführlicher in Das mächtigste Überwachungsgerät, das du besitzt behandelt — lesenswert, wenn du überlegst, ob das etwas für dich ist.

Eine Präzisierung zur «kein Google»-Beschreibung: Google Play Services ist installiert und aktiv auf dem Handy, weil das der Baustein ist, der Push-Benachrichtigungen unter Android zuverlässig macht. Entscheidend dabei: Es läuft sandboxed — GrapheneOS‘ eigene Kompatibilitätsschicht, isoliert vom restlichen System und ohne besondere Berechtigungen, im Gegensatz zu einer Standard-Android-Installation, wo Play Services standardmässig tiefen Systemzugriff hat. Es ist kein Google-Konto angemeldet und kein Play Store vorhanden. Das ist ein Mittelweg, kein vollständig radikales Setup.

Wie ich an Apps komme

Statt eines einzigen App Stores nutze ich eine Hierarchie: zuerst Obtainium, das Apps direkt von ihrer Quelle bezieht (meist GitHub) und Updates ohne Mittelsmann verfolgt. Dann F-Droid für Open-Source-Apps. Aurora Store nur als letzte Möglichkeit, für die wenigen Closed-Source-Apps ohne Alternative. Google Play kommt gar nicht erst ins Spiel. Ausserdem halte ich die Liste installierter Apps bewusst kurz — nur Apps, die ich wirklich regelmässig nutze, schaffen es drauf, statt Dinge «für alle Fälle» anzusammeln. Weniger Apps bedeuten eine kleinere Angriffsfläche für Probleme und ein Handy, das sich tatsächlich einfacher pflegen lässt.

Die Apps, und warum

Kommunikation: Mein Alltagshandy hat weder eine SIM-Karte noch eine Telefonnummer, daher funktionieren Nachrichten und Anrufe anders als bei einem gewöhnlichen Handy. Signal — der Messenger, den wir jedem empfehlen würden, und den wir auch in Schreib, als würde niemand mitlesen empfehlen — ist mein wichtigstes Mittel für Nachrichten und Sprachanrufe — Ende-zu-Ende-verschlüsselt und nicht an eine Telefonnummer gebunden, wie es bei normalen Anrufen der Fall ist. Für echte Voice-over-IP-Anrufe, bei denen noch eine klassische Nummer nötig ist, übernimmt Linphone diese Aufgabe. Thunderbird verwaltet meine E-Mails über meinen eigenen Mail-Anbieter, nicht Gmail. Proton Mail und SimpleLogin, für Wegwerf-E-Mail-Aliasse, halten bestimmte Konten voneinander getrennt — mehr dazu, warum wir uns für diese Anbieter entschieden haben, in Diese Email-Anbieter lesen nicht mit. Mastodon ersetzt die überwachungsgetriebenen Feeds der grossen Social-Media-Plattformen.

Eingabe: FUTO Keyboard übernimmt Tippen und Spracheingabe, wobei die gesamte Sprachtranskription lokal auf dem Gerät stattfindet — nichts wird zur Transkription an einen Cloud-Dienst gesendet. Mehr dazu, warum lokale Sprachtranskription wichtig ist, habe ich in diesem Beitrag geschrieben.

Browsen: Brave und Waterfox blockieren beide standardmässig Tracker, sodass mein Surfverhalten nicht verpackt und verkauft wird — mehr dazu in Browser, die dich schützen, ohne darüber nachdenken zu müssen.

Passwörter und Dateien: KeePassDX speichert meine Passwörter in einer verschlüsselten Datenbank, synchronisiert mit meinem eigenen NAS zu Hause — nicht mit einer Firmen-Cloud. Cryptomator verschlüsselt sensible Dateien, bevor sie mit Nextcloud synchronisiert werden, sodass nicht einmal der Speicheranbieter sie lesen kann.

Kalender und Kontakte: DAVx⁵ und Etar synchronisieren meinen Kalender und meine Kontakte direkt mit meinem eigenen NAS — kein Google Kalender, keine Google Kontakte.

Netzwerk-Privatsphäre: Proton VPN verschlüsselt meine Verbindung, und Orbot leitet den Verkehr durch Tor, wenn ich eine zusätzliche Ebene der Anonymität möchte — warum ein VPN wichtig ist, und was es nicht schützt, behandeln wir in Verstecke deinen Datenverkehr, nicht nur deine Adresse.

Medien: NewPipe und AntennaPod lassen mich schauen und hören, ohne dass ein Konto einen Empfehlungsalgorithmus füttert. VLC und MuPDF spielen Dateien einfach lokal ab, ohne nach Hause zu funken.

Alltagswerkzeuge: Breezy Weather, Obsidian und Joplin für Notizen, und Kvaesitso als Launcher, der die App-Nutzung nicht verfolgt.

KI, selbst gehostet: Ich betreibe seit über einem Jahr Open WebUI auf meinem eigenen Server, wodurch ich private KI-Chats vollständig auf Infrastruktur laufen lassen kann, die ich selbst kontrolliere, statt Prompts an einen externen Anbieter zu senden. Es gibt dafür keine native Android-App — es ist bewusst rein webbasiert —, daher rufe ich es als progressive Web-App auf, die auf dem Homescreen angeheftet ist, und sie öffnet sich und fühlt sich genauso an wie eine native App. Das ist eigentlich ein Muster, das ich generell empfehlen würde: Ich setze auf progressive Web-Apps statt auf native Installationen, wann immer ein Dienst eine anbietet, besonders bei proprietären Apps, weil das ein geschlossenes Binärprogramm weniger auf dem Handy bedeutet, das Berechtigungen, Speicherplatz und Vertrauen braucht. Das gesamte Setup für selbst gehostete KI verdient einen eigenen Beitrag, daher spare ich mir die Details für einen künftigen Artikel auf.

Isolation: GrapheneOS unterstützt mehrere Benutzerprofile auf einem Gerät, daher behalte ich ein zweites, vollständig getrenntes Profil für alles, dem ich noch nicht ganz vertraue — zum Ausprobieren einer neuen App oder für alles weniger Geprüfte — komplett abgeschottet von meinem Hauptprofil und meinen Daten. Dieses zweite Profil dient zusätzlich als Zuhause für Banking-Apps, die Google Play Services und den Play Store benötigen, um zu funktionieren — so bleibt alles, was vom Play Store abhängt, vollständig getrennt von meinem Hauptprofil ohne Play Store.

Was mir das tatsächlich bringt

Kein einziges Unternehmen besitzt ein vollständiges Profil meines Lebens. Meine Daten liegen auf meinem eigenen Server, nicht in einer Firmen-Cloud. Es gibt auch einen leiseren Vorteil, den man leicht übersieht: keine Werbung, nirgends — nicht im Browser, nicht bei Videos, nirgendwo sonst auf dem Handy — und praktisch kein Spam. Ohne Google-Konto oder Apps voller Werbe-SDKs gibt es von vornherein nichts, das ein Werbeprofil füttert. Und weil jede E-Mail-Adresse, die ich weitergebe, ein eindeutiger SimpleLogin-Alias ist, lösche ich diesen Alias einfach, sobald auf ihm eine einzige Spam-Nachricht ankommt — der Absender verliert sofort den Zugriff, alles andere bleibt unberührt. Und vor allem: Nichts davon erfordert, auf ein Smartphone oder moderne Annehmlichkeiten zu verzichten — alles oben Genannte funktioniert im Alltag einfach so, wie es auf jedem Handy sollte.

Foto: das eigene Pixel 10a des Autors, in der Schutzhülle mit angebrachtem Privacy-Displayschutz.