Fair, sicher, nachhaltig: Open-Source-Software für Smartphones

Weltweit gibt es derzeit mehr Mobilfunkverträge als Menschen (web.archive.org). Im Jahr 2023 waren rund 6,9 Milliarden Smartphones aktiv, Tendenz steigend (statista.com). Da diese Geräte sowohl für private, geschäftliche, als auch für politische Zwecke genutzt werden, enthalten sie sensible Informationen, die einen sorgsamen Umgang und besonderen Schutz erfordern. Ereignisse der letzten Jahre haben jedoch gezeigt, dass diese Daten von Datenlecks betroffen sind und/oder weltweit zu monetären oder staatlichen Zwecken gesammelt und gehandelt werden – oft rechtswidrig und ohne ausdrückliche Zustimmung der Betroffenen. Wird die Tatsache berücksichtigt, dass die populärsten Betriebssysteme, Systemdienste und Apps allesamt Closed Source sind, dürfte die Dunkelziffer deutlich höher liegen. Allein die Ungewissheit darüber, was mit den eigenen Daten darüber hinaus geschieht, sollte Grund genug sein, aktiv zu werden.

Wie kann ich mich schützen? Ein wesentlicher Beitrag kann bereits durch den Einsatz von Open-Source-Software (OSS) geleistet werden. Diese zeichnet sich im Gegensatz zu proprietärer Software durch ein hohes Maß an Transparenz aus. Jede Person hat die Möglichkeit, den Quellcode zu studieren und damit die Funktionsweise und den Umgang mit den eigenen Daten genau nachzuvollziehen. Bei der blinden Auswahl von OSS ist jedoch Vorsicht geboten. Ein Open-Source-Projekt ist nicht verpflichtet, den Datenschutz über geltende Gesetze hinaus zu respektieren oder die Sicherheit zu garantieren. Dies wäre insbesondere auch nicht sinnvoll, da selbst in gut gemeinten Projekten Fehler passieren können. Eine Bestrafung wäre ungerecht gegenüber den Personen, die meist unentgeltlich ihre Freizeit und Ressourcen investieren. Je größer jedoch die Unterstützung für bestimmte OSS ist, desto eher kann davon ausgegangen werden, dass Digitale Souveränität gewährleistet ist.

Es gibt Smartphones, die bereits ab Werk mit OSS ausgestattet sind. Projekte wie das FairPhone, Volla Phone, PinePhone, Murena Phone etc. haben sich zudem einer Philosophie verschrieben, die über die reine Software hinausgeht. So wird z. B. sowohl bei der Hardware als auch beim Produktionsprozess besonderer Wert auf Nachhaltigkeit und Fairness gelegt. Die große Konkurrenz hinterlässt jedoch Spuren bei diesen Projekten. Im Vergleich zu den Tech-Giganten ist das Budget für Forschung, Entwicklung und Produktion klein, sodass die Geräte relativ teuer sind und bei Hard- und Software hinterherhinken können. 

Je nach Modell der großen Hersteller können jedoch auch proprietäre Betriebssysteme, Systemdienste und Anwendungen durch OSS-Alternativen ersetzt werden. Für den Austausch eines Betriebssystems muss der Bootloader des Gerätes entsperrt werden, damit die Bootkonfiguration geändert werden kann. Anschließend muss dieser jedoch wieder gesperrt werden, damit verschiedene Sicherheitsmechanismen greifen, um persönliche Nutzerdaten vor möglichen Manipulationen am Bootvorgang zu schützen. Während viele Hersteller von Android-Smartphones das Entsperren/Sperren unterstützen, bietet Apple keine offizielle Möglichkeit, den Bootloader von iPhones zu entsperren.

Welches OSS-Betriebssystem für mein Smartphone? Die Basis für das Android-Betriebssystem bildet das Android Open-Source-Project (AOSP), das – frei von proprietären Diensten, Bibliotheken, etc. – unter der Leitung von Google entwickelt wird. Darüber hinaus wird die Kommunikation mit der Hardware über den Linux-Kernel gesteuert, welcher bekanntlich einen wesentlichen Beitrag zur digitalen Freiheit leistet und eine breite Palette an Firmware unterstützt. Die Reife, Offenheit und Kompatibilität bewegt damit nicht nur Smartphone-Hersteller, sondern auch zahlreiche Open-Source-Projekte dazu, Betriebssysteme auf Basis von AOSP zu entwickeln. Projekte wie GrapheneOS, LineageOS, CalyxOS, etc. teilen neben derselben Kernarchitektur (insbesondere das Android-App-Ökosystem), grundsätzlich auch ähnliche Philosophien hinsichtlich Digitaler Souveränität. Die genaue Art und Weise der Implementierung macht jedes Projekt für sich genommen dennoch einzigartig, wobei GrapheneOS hervorzuheben ist, da dieses System besonders gehärtet gegen Sicherheitsrisiken ist und fortschrittliche Datenschutz-Features bereitstellt. Vielversprechende Alternativen zu AOSP-basierten System bilden herkömmliche mobile Linux-Distributionen wie Ubuntu Touch, postmarketOS, Plasma Mobile, etc. Allerdings stecken jene Projekte noch in den Kinderschuhen und sollten daher lediglich für Entwicklungszwecke genutzt werden.

Welche OSS-Systemdienste kann ich nutzen? Systemdienste sind Sammlungen von Apps und Programmierschnittstellen, die tief in das Betriebssystem integriert sind und daher privilegierte Rechte besitzen. Sie stellen grundlegende Funktionen bereit, auf die verschiedene (Dritt-)Apps komfortabel, d. h. ohne eigenen Entwicklungsaufwand, zugreifen können. Beispiele hierfür sind die Bereitstellung von Push-Benachrichtigungen, Lokalisierungsdiensten, Zahlungsabwicklungen, Cloud Storage, virtuellen Assistenten oder App Stores. Bei mobilen Linux-Distributionen besteht in der Regel kein Handlungsbedarf, da diese bereits ab Werk mit Open-Source-Diensten ausgestattet sind.

Bei AOSP-basierten Systemen übernehmen die proprietären Google Mobile Services (GMS) einen Großteil der Funktionen. Es sei darauf hingewiesen, dass es zahlreiche Apps (auch Closed Source) gibt, die nicht auf GMS angewiesen sind. Für bestimmte Funktionen bietet AOSP an sich bereits zahlreiche Schnittstellen (z. B. Standortzugriff über GPS-Daten), die von Apps aufgerufen werden können. Darüber hinaus implementieren einige Apps eine eigene Codebasis oder greifen auf Open-Source-Lösungen für einzelne GMS-Funktionen zurück (z. B. UnifiedPush, OpenStreetMap, Nextcloud, etc.). Insgesamt ist es ratsam, individuell benötigte Anwendungen zunächst ohne GMS auf ihre Funktionalität hin zu überprüfen, wobei ein gewisser Funktionsverlust ggf. zu verschmerzen ist. Sollen dennoch GMS-Funktionen genutzt werden, kann auf das Open-Source-Projekt Sandboxed Google Play (unter GrapheneOS) oder microG zurückgegriffen werden. Alternativ zum Google Play Store können die Projekte Aurora Store, F-Droid (Empfehlung: Droid-ify als Client mit dem IzzyOnDroid-Repository) oder Obtainium konsultiert werden. 

Die Tatsache, dass iOS Closed Source ist, macht den Ersatz proprietärer System-Dienste schwierig. Zudem gibt es für iPhones kein verwendbares Open-Source-Betriebssystem (wie im Fall von AOSP), das einen Großteil der Funktionalitäten für Drittanwendungen und Schnittstellen im Apple-Ökosystem bereitstellt. Im Vergleich zu GMS müssten daher viele weitere Funktionalitäten auf einen möglichen Ersatz hin untersucht werden, was einen eigenen Beitrag erfordern würde. Durch jüngste EU-Regulierungen wurde zumindest im EU-Raum der Weg für Alternativen (z. B. Zahlungsabwicklungen, App Stores, etc.) geebnet. Apple stellt sich jedoch quer, sodass abschließende Urteile abzuwarten bleiben (europa.eu).

Welche OSS-Anwendungen kann ich verwenden? Grundsätzlich gibt es für (fast) alle Kategorien Open-Source-Anwendungen. Alle Interessierten dürfen sich diesbezüglich auf Entdeckungsreise begeben. Unter mobilen Linux-Distributionen sind die standardmäßig vorinstallierten Apps bereits Open Source und austauschbar. Unter iOS sind derzeit einige Apps wie die Start-, Telefon-, SMS- oder Kamera-App aus bereits angedeuteten Gründen nicht ersetzbar. Unter Android gibt es hierfür Alternativen, die grundsätzlich problemlos installiert werden können. 

Für weitere Kategorien folgt ein plattformübergreifender Serviervorschlag, wobei zu beachten ist, dass es vereinzelt bessere, jedoch plattformabhängige Alternativen gibt: Signal (Messenger), ProtonMail und Tuta (E-Mail-Dienste), Brave- und Tor-Browser (Internet-Browser), OsmAnd (Navigation), Nextcloud und Syncthing (Datensicherung), Mastodon und Pixelfed (Social Media). 

Fazit Zahlreiche OSS-Entwickler*innen und die Gemeinschaft hinter diesen Projekten ermöglichen bereits heute eine digital souveräne Smartphone-Nutzung. Der Masse ist diese in Teilen jedoch noch unzugänglich. Für eine breitflächige Umsetzung müssen jene Projekte von Person zu Person überliefert und insbesondere durch Unternehmen und Staaten mit finanziellen Mitteln unterstützt werden.

Dieser Beitrag wurde verfasst von Viktor Charin, Fakultät für Mathematik und Informatik der Universität Würzburg.

Der Text erschien zuerst in unserem Newsletter GI-Radar. Alle Ausgaben gibt es hier zum Nachlesen.