Google räumt ein: Sideloading-Warnungen versagen. Freiheit darf nun nicht rationiert werden

Ist ein Warnbildschirm eine Sicherheitsfunktion oder nur ein Weg, die Schuld auf den Nutzer abzuwälzen? Googles Android-Chef hat nun im Grunde mit der zweiten Variante geantwortet. Sameer Samat, Präsident des Android-Ökosystems, sagte in einem Interview, „die Warnungen reichen nicht aus“, wie heise bereits im März berichtete. Das ist seltene Ehrlichkeit. Und sie kommt überfällig.

Das Eingeständnis wiegt schwerer als die Lösung

Was geschehen ist, kurz gefasst: Google koppelt Apps an verifizierte Entwickleridentitäten und baut für Apps von nicht verifizierten Entwicklern einen „erweiterten Ablauf“. Laut Android Authority umfasst dieser Ablauf eine verpflichtende 24-Stunden-Sperre, einen Neustart und zusätzliche Bestätigungen und endet mit einer Schaltfläche „Trotzdem installieren“. Googles Begründung: Betrüger leiten Opfer per Telefon an und bringen sie mit Panik vor rechtlichen Problemen oder einem Notfall in der Familie dazu, Schutzfunktionen abzuschalten.

Bei dieser Diagnose halten wir Google für im Recht. Eine Warnung, die Menschen unter Druck wegtippen, schützt niemanden. Das schwache Glied ist nicht der Text des Dialogs, sondern die Stimme am Telefon. Eine Verzögerung nimmt den Zeitdruck, und Zeitdruck ist das wichtigste Werkzeug der Betrüger. Als Designprinzip ist Reibung gegen Nötigung klug.

Doch eine Regel für Gefährdete sollte Informierte nicht belasten

Unser Problem sind die Kollateralschäden. Android Authority merkt an, Google habe mit Power-Usern eine Verzögerung gesucht, die „lästig, aber kein Ausschlusskriterium“ sei. Das lesen wir als Eingeständnis, dass die Wartezeit auch ein Toleranztest ist: Wie viel Aufwand nehmen Menschen hin, bevor sie aufgeben? Ein Autor von MakeUseOf, der den Ablauf auf einem älteren Android-13-Smartphone ausprobierte, empfand es als nervig, einen ganzen Tag zu warten, um eine Einstellung auf einem eigenen Gerät zu ändern, auch wenn der Schalter danach aktiv bleibt. Das ist der Bericht eines Einzelnen, fasst den Einwand aber gut zusammen. Wer das bewusst einrichtet, wird genauso behandelt wie jemand, der manipuliert wird.

Besorgniserregender ist die Identitätsebene. Die Verifizierung verknüpft die reale Identität eines Entwicklers mit seinen Apps, auch mit jenen außerhalb von Google Play, und MakeUseOf weist darauf hin, dass der Code der App selbst nicht geprüft wird. Samat selbst hat gesagt, dass das Wissen, von wem eine App stammt, nicht bedeute, dass sie sicher ist. Stimmt. Doch sobald Google zur Registerstelle wird, die darüber entscheidet, wer Software frei verbreiten darf, ist Offenheit keine Eigenschaft der Plattform mehr, sondern ein Status, den Google vergibt. Besonders hart trifft das anonyme oder datenschutzbewusste Entwickler: TechBuzz berichtet, dass Gruppen wie Keep Android Open und F-Droid warnten, der Plan beende die Möglichkeit, selbst zu wählen, welche Software man nutzt; die ursprünglichen Vorgaben bezeichnet der Bericht als existenzielle Bedrohung für anonyme Entwicklung.

Die Ausnahmen sind der eigentliche Test

Es gibt Abhilfen. Die eingeschränkte Verteilung erlaubt Hobbyprojekten, bis zu 20 Geräte ohne vollständige Verifizierung zu erreichen, und Googles eigene FAQ nehmen laut MakeUseOf Installationen per ADB von der Verifizierung und der 24-Stunden-Wartezeit aus. Das ist wichtig: Es hält Entwicklern und Tüftlern eine Tür offen. Der Start im September umfasste teilnehmende Stores in Brasilien, Indonesien, Singapur und Thailand, wobei die direkte APK-Installation ausgenommen blieb; eine breitere globale Ausweitung ist für 2027 geplant. US-Nutzer dürften die volle Änderung also noch nicht gespürt haben.

Unserer Ansicht nach wird die Politik weniger an den heutigen als an den künftigen Regeln gemessen. Ausnahmen sind schnell gewährt und leise wieder eingeengt. Der MakeUseOf-Autor sagte, er habe keine Belege dafür, dass Google die Ausnahme abschaffen will, fürchte aber, dass die Regeln später verschärft werden könnten. Wir teilen dieses Unbehagen, und es ist eine Prognose, keine Tatsache.

Fazit

Menschen vor angeleiteten Installationen zu schützen, ist ein legitimes Ziel, und das Eingeständnis, dass Warnungen versagt haben, der richtige Ausgangspunkt. Wer normaler Nutzer ist, merkt nichts, solange er beim Play Store bleibt, und die Reibung bewahrt wohl manchen vor einem sehr schlechten Tag. Wer regelmäßig Sideloading nutzt, sollte den erweiterten Ablauf und ADB jetzt kennenlernen und die Einstellung lange vor dem Bedarf aktivieren. Und Google sollte öffentlich und schriftlich zusagen, dass der erweiterte Ablauf und der ADB-Weg nicht eingeschränkt werden. Sicherheit und Offenheit müssen nicht konkurrieren, aber nur, wenn Letztere nicht vom Wohlwollen Googles abhängt.