…denn je weniger Berechtigungen, desto geringer die Chance, eine Berechtigungserhöhung o.ä. zu erwirken oder sonst irgendwelche Exploits zu fahren.
Wenn man sich zusätzlich nicht auf die Sicherheitschecks der großen App Stores verlassen kann, steht man ziemlich hilflos da.
Die ganz grundlegende Empfehlung, auch für bspw. F-Droid, ist also eben nicht ein blindes »Ach, die werden sich das schon penibel angeschaut haben« (wie merkwürdig ist denn jene Aussage eigentlich), sondern: möglichst wenige Berechtigungen zuerkennen. Damit ist schon sehr viel gewonnen. Die meisten Apps haben heutzutage viel zu viele Berechtigungserfordernisse, aber es gibt eben auch ein paar ordentliche Minimalisten.