Android-Apps ohne Google
Der App-Store F-Droid mit Privatsphäre
Etliche Apps aus Googles Play Store sind mit Trackern verseucht, auch Google selbst nimmt es mit der Privatsphäre nicht so genau. Beim alternativen F-Droid Store finden Sie Apps ohne Schnüffelfunktionen und das Ganze, ohne dass Sie sich anmelden müssen.
Die App-Sammlung auf dem Smartphone verrät viel über seinen Benutzer. Der Google Play Store protokolliert im obligatorischen Google-Konto genau mit, welche der rund 2,5 Millionen Apps man installiert und wann man sie updatet. Zusätzlich ist die Privatsphäre durch die zahlreichen Apps bedroht, die mit Trackern den Nutzern hinterherspionieren beziehungsweise passgenau Werbung zuspielen wollen. Beim alternativen App-Store F-Droid sollen Sie derlei nicht fürchten müssen.
F-Droids Markenkern ist, dass sein App-Store die Privatsphäre seiner Nutzer respektieren will. Damit geht F-Droid nicht gerade hausieren, denn auf den ersten Blick ähnelt die Optik. Wie der Google Play Store lässt sich F-Droid nach Apps durchsuchen, die man aufs Smartphone laden und installieren kann. Und wie gewohnt übernimmt ein F-Droid-Client fürs Smartphone das Installieren und Aktualisieren von Apps. Da enden schon die Gemeinsamkeiten, denn einen Store Client benötigt man bei F-Droid nicht – er macht die Sache nur bequemer.
Ein gewichtiger Unterschied wird beim Download von Apps sichtbar: Man benötigt dazu kein Konto, der Zugriff erfolgt anonym. Nur die IP-Adresse des Nutzers, ohne die ja ein Download nicht möglich wäre, wird an den Server übermittelt. F-Droid archiviert die Logs seines Webservers aber nach eigenem Bekunden nicht.
Nutzt man die F-Droid-App, finden sämtliche Interaktionen lokal statt: Suchen, Anzeigen der Details von Apps – dazu verwendet sie einen lokalen Index verfügbarer Apps, den die App üblicherweise täglich aktualisiert. Icons und Screenshots lädt sie bei jedem Aufruf einer Beschreibungsseite für eine App vom F-Droid-Server nach.
Geld verdienen ohne Kauf-Apps
Google verdient im Play Store an Provisionen der verkauften Apps sowie an der Verwertung von Nutzerdaten. Bei F-Droid hingegen gibt es keine Bezahl-Software, an der die Betreiber mitverdienen könnten. Das Projekt wurde 2010 vom britischen Softwareentwickler Ciaran Gultnieks gegründet und firmiert als gemeinnützige F-Droid Limited in Großbritannien. F-Droid finanziert sich durch Spenden, die Arbeit leisten zurzeit rund 60 Ehrenamtliche.
App-Nutzer können Entwickler von Apps durch Spenden zum Weitermachen motivieren. Dass dies funktioniert, merkt man am mittlerweile auf rund 2900 Apps angewachsenen Katalog – inklusive bereits archivierten, was zugegeben nichts gegen Googles 2,5 Millionen ist.
Selektive Empfehlung
Der alternative App-Store ist so anonym, dass selbst eine Alterskontrolle – etwa für den Zugang zu „Erwachsenen“-Apps – nicht möglich ist. Die gibt es aber dort sowieso nicht. Wo es anonym zugeht, kann man analog zum Darknet schnell Illegales oder sonstwie Riskantes vermuten. Dem wirkt F-Droid durch scharfe Kriterien beim Aufnehmen von Apps in seinen Katalog entgegen. Darin finden sich nur sogenannte FOSS-Apps. Das Kürzel steht für Freie und Open-Source-Software, also kostenlose und uneingeschränkt nutzbare Apps mit frei verfügbarem Quellcode [1]. Ohne diese Bedingung wäre die obligatorische rigide Sicherheitskontrolle nicht möglich.
Damit hier keine Schad-Apps durchrutschen, musste F-Droid von Anfang an mehr tun, denn als unbedarfter Nutzer hört man ja oft genug: Seine Apps soll man sich ausschließlich im Google Play Store besorgen, nur der bürge für Sicherheit. Das ist zu einem guten Teil Google-PR. Software kann immer Schadcode enthalten und es ist leichtfertig, ungeprüfte Apps aus zwielichtigen Quellen zu installieren. Selbst wenn sie wie erwartet funktionieren, können sie im Hintergrund das Nutzerverhalten ausspähen beziehungsweise Daten stehlen.
Das tun aber auch etliche Apps aus Googles Play Store. Nur selten entfernt Google eine App, die unangenehm auffällt. Doch sogar wenn es nur saubere Apps ohne Tracker dort gäbe, sammelt Google selbst Daten seiner Nutzer. Diese Bigotterie gipfelte neulich sogar in der Empfehlung des IT-Sicherheitsexperten Mike Kuketz, den Google Play Store zu meiden und lieber auf alternative Quellen wie F-Droid umzusteigen [2].
Apps in der Einzelprüfung
Der Kernpunkt bei F-Droid: App-Anbieter müssen den Quellcode jeder App zum Sichten offenlegen. Die Prüfung findet in mehreren Stufen statt. Automatisierte Prozesse untersuchen den Code auf unerwünschte Bestandteile. Dazu definiert F-Droid Negativ-Listen, also unerlaubte Bibliotheken, und Positiv-Listen. Apps dürfen fremde Bestandteile (etwa Bibliotheken) nur von definierten vertrauenswürdigen Quellen importieren. Welche das Okay erhalten, legt das F-Droid-Team gemeinschaftlich und transparent fest.
Finden sich in eingereichten Apps Bestandteile, deren Quellcode nicht offen liegt (proprietäre Elemente) beziehungsweise Tracker wie Google Analytics und Werbemodule, welche die Privatsphäre beeinträchtigen, haben Apps keine Aussicht auf Aufnahme in den F-Droid-Katalog.
Hat eine App die Prüfung bestanden, erstellt sie das F-Droid-Team aus dem geprüften Quellcode selbst und signiert sie. So kann man sicher sein, dass exakt das Geprüfte dort zu finden ist.
Nebeneffekt: Da die bei F-Droid gelisteten Apps keinen Ballast wie Tracker und Werbemodule mitbringen, gehen sie im Vergleich zu Apps aus Googles Play Store gesamtheitlich schonender mit den Ressourcen des Smartphones um. Der Akku hält länger durch, und der Datenverbrauch ist deutlich reduziert. Nach einer Studie der Purdue Universität (USA) verbrauchten etliche Apps im Play Store bis zu 75 Prozent der Akkuenergie allein fürs Tracken und Werben [3].
Dass das Prinzip der scharfen Begutachtung und Freigabe von Apps funktioniert, zeigt das Ergebnis einer japanischen Studie vom September 2017: Als einzige von 27 untersuchten Plattformen fanden sich bei F-Droid keinerlei Apps mit Malware – im Google Play Store waren es rund 2 Prozent [4].
Die Macher von F-Droid lassen ihre eigenen Systeme, also ihre Server sowie ihre Website, durch externe Audits auf Sicherheitsmängel abklopfen. Bislang geschah das drei Mal: 2013, 2015 und im laufenden Jahr. Die Prüfer fanden kleinere Mängel, die laut F-Droid sogleich behoben wurden. Die Tester bescheinigten aber auch, dass das Kernsicherheitsmodell und die Standardoperationen solide sind.
Da F-Droid ausschließlich quelloffene Software zulässt, sind viele bekannte Apps aus dem Google Play Store bei F-Droid nicht zu finden. Ein Grund hierfür ist, dass nur wenige Entwickler den Code ihrer App offen legen oder ihn auf Verlangen Dritter anpassen. Das erklärt die im Vergleich zu Google geringe Zahl von Apps. Für viele Einsatzgebiete wird man aber fündig (siehe Tabelle) – und manche App gibt es ausschließlich bei F-Droid.
F-Droid installieren
Im Google Play Store stößt der konkurrierende App Store nicht auf Gegenliebe. Die echte F-Droid-App sucht man dort vergebens, nur einige Fake-Apps dafür gibts. Überdies ist die F-Droid-App selten auf dem Smartphone vorinstalliert. Ausnahmen: Geräte der Firmen Shift und Fairphone. Auch in einigen angepassten Custom-ROMs ist F-Droid zu finden, zum Beispiel in Replicant, CopperheadOS und LineageOS for microG. Wer F-Droid deswegen schon hat, kann das Folgende überspringen. Alle anderen müssen zum Installieren selbst Hand anlegen.
Zur Installation muss man auf seinem Smartphone die Installation von Apps aus unbekannten Quellen zulassen. Für F-Droid kann man das ruhig tun, trotz der vom Smartphone eingeblendeten Sicherheitswarnung, denn aus den zuvor beschriebenen Gründen droht hier kaum Gefahr.
Bis einschließlich Android Version 7 („Nougat“) gilt die Freigabe global. Daher stellen vorsichtige Naturen den Schalter nach der F-Droid-Installation wieder zurück. Ab Android 8 ist das komfortabler. Nun gibt es keinen globalen Schalter mehr, sondern man erlaubt einzelnen Apps gezielt, andere zu installieren. F-Droid kann man das unbesorgt erlauben, nicht aber etwa dem Browser oder der Mail-App.
Wer technisch versiert ist, nimmt die Abkürzung: die APK-Datei per PC von der Homepage https://f-droid.org/de/ herunterladen und mit adb install org.fdroid.*.apk auf das angeschlossene Smartphone installieren. Fertig. Wem das nichts sagt, der nutzt folgende Anleitung:
Nachdem im Einstellungen-Menü unbekannte Quellen freigeschaltet sind, startet man den Webbrowser und ruft https://f-droid.org auf. Dort klickt man auf den blauen Knopf mit dem Download-Schriftzug. Nach dem Download tippt man im Benachrichtungsbereich einmal auf den Eintrag „FDroid.apk Download abgeschlossen“. Das startet die Installation. Im Dialog bejaht man die Frage, ob man das denn nun auch wirklich ganz doll will. Nach der Installation lässt sich die neue App wie gewohnt mit „Öffnen“ starten.
Zuerst grüßt der Hinweis: „Paketquellen werden aktualisiert“. Bedeutet: Die App lädt einen Katalog aller Apps, die es im F-Droid-Store gibt. Er ist ungefähr 1 MByte groß. Jede App erscheint in der Liste zunächst nur als ein einheitlich graues F-Droid-Logo, denn ihre Logos werden bei jedem Aufruf erneut geladen und somit etwas später sichtbar.
Eine App für einen bestimmten Zweck zu finden, ist einfach. Das Durchstöbern der ganzen Liste ist unpraktikabel, aber über die schwebende Lupe kann man Suchbegriffe eingeben und damit die Liste filtern. Alternativ lassen sich Apps über Kategorien aufstöbern, die man im App-Fenster unten über das zweite Icon von links ansteuert. Etwas wenig intuitiv ist der Aufruf einer Liste bereits installierter F-Droid-Apps gelöst. Sie findet sich im „Optionen“-Menü, wie etliche interessante Einstellmöglichkeiten (siehe Kasten „Das Optionsmenü“).
Apps aktualisieren und weitergeben
F-Droid greift wie beschrieben auf einen lokalen Katalog zu, der regelmäßig aktualisiert werden muss. Das geschieht normalerweise täglich. Gibt es Updates für installierte Apps, benachrichtigt F-Droid die Benutzer. Das schließt auch die F-Droid-App selbst ein.
Wer über jede Installation die volle Kontrolle behalten will, kann sie per Voreinstellung manuell freigeben. Man kann aber auch festlegen, dass Updates automatisch zumindest heruntergeladen werden, sodass man sich darum nicht mehr kümmern muss. Dabei ergibt sich nur eine Schwierigkeit: Sofern die F-Droid App nicht vorinstalliert war, darf sie Updates nicht automatisch installieren – das erlaubt ein Android-Smartphone nur System-Apps wie dem Google Play Store. Wie man das umgehen kann, erklären wir in einem späteren Artikel.
Auch auf andere Weise kommt man an Apps: Im App-Fenster verbirgt sich unter „Nah“ eine Funktion zum Weitergeben von Apps an andere Nutzer in Bluetooth- beziehungsweise WLAN-Reichweite. Das spart Datenvolumen. Alle lokal installierten Apps stehen für den Tausch zur Verfügung, also nicht nur die aus dem F-Droid-Store. In Kuba – einem Land mit teuren Mobilfunktarifen – lockt ein Geschäft damit Leute in seinen Laden. Dort kann man in einer gedruckten „App-Speisekarte“ nach Apps blättern – ein Mitarbeiter schiebt sie dann vom Smartphone des Ladens auf die Geräte ihrer Kunden.
Diesen etwas umständlich erscheinenden Weg muss man gehen, weil ein App-Empfänger selbst nicht sehen kann, was ein App-Spender auf seinem Smartphone hat. Es handelt sich um ein Senden von Apps und nicht um ein Holen. Auch wenn man nicht in Kuba ist: Es ist einfacher, jemandem eine App im Nahbereich rüberzuschieben statt ihn zu bitten, sie erst mal im App-Katalog auf seinem Gerät zu suchen und sie dann selbst zu laden.
Individuelle Hilfe statt Formulare
Zum Kasten: Anti-Features: die Giftliste
Bei Problemen mit der F-Droid-App, der Website oder falls man Apps für den Store vorschlagen möchte, findet man auf der F-Droid-Website Verweise zu passenden Diskussionsforen auf der Entwicklerplattform GitHub und andere Kontaktmöglichkeiten.
Knirscht es bei einer von F-Droid installierten App, nimmt man hingegen mit den jeweiligen Entwicklern Kontakt auf. Die dafür nötigen Links finden sich in den App-Beschreibungen im F-Droid-Store in der App und auf der Website. Der Meldebereich im jeweiligen GitHub- oder GitLab-Repository des Entwicklers heißt in der Regel „Issue Tracker“.
Fazit
Beim App Store F-Droid sucht man etliche bekannte Apps vergebens – für viele Anwendungsfälle findet man hier aber geprüfte privatsphärenfreundliche Alternativen. Im Vergleich zu Googles Play Store bekommt man bei F-Droid schnell echte menschliche Ansprechpartner zu fassen und muss sich nicht mit Schema-F-Automaten-Antworten plagen. (mil@ct.de)