/e/OS by e.foundation, Paris, France

Der Gründer der gemeinnützige Organisation e.foundation, Gaël Duval, beschreibt /e/OS sinngemäß so: »/e/OS ist weder auf ideologische Haltungen noch auf gehärtete Sicherheit bedacht, die für gezielte Personen nützlich sein könnte, sondern eher auf einen pragmatischen Ansatz, um ein benutzbares mobiles Betriebssystem anzubieten und gleichzeitig die Sammlung persönlicher Daten von (normalen) Nutzern vor Google und kommerziellen Anbietern von Apps zu schützen.« /e/OS wird definitiv nicht für Nutzer empfohlen, die von ihren Regierungen oder Geheimdiensten überwacht werden. /e/OS kümmert sich um den Schutz des durchschnittlichen Benutzers vor dem Datenklau durch Big Tech. Stock-ROMs, ob aus einem bestimmten Land oder von einem beliebten Hersteller, haben alle mehrere Anwendungen, die Ihre Informationen preisgeben. Wie diese Informationen verwendet werden, liegt nicht in Ihrer Kontrolle. Ihre Informationen werden unter dem Vorwand der "Optimierung des Benutzer-/Geräteerlebnisses" extrahiert, kurz gesagt, bei Stock-ROMs gibt es keine Heiligen.

/e/ stellt sicher, dass die Standardanwendungen, die mit /e/OS geliefert werden, keine Daten nach außen senden. Die Benutzer müssen auch sicherstellen, dass sie nicht wahllos Anwendungen aus verschiedenen Repositories installieren. Seien Sie sich bewusst, was Sie installieren und seien Sie vorsichtig, welche Berechtigungen Sie erteilen.

/e/OS ist anders

als die meisten CustomROMs, insbesondere im Vergleich zu LineageOS, obwohl /e/OS auf dem Open Source Code von LineageOS basiert. Was passiert beispielsweise beim Start des Gerätes? Welche Verbindungen werden initiiert, wenn die GPS-Schnittstelle aktiviert wird? Und welche Daten überträgt der Standardbrowser nach dem Aufruf? Noch während des Boot-Vorgangs bzw. sobald ein Netzwerkinterface (WiFi, Mobile) verfügbar ist, werden folgende DNS Namensauflösungen initiiert: pool.ntp.org und connectivity.murena.io. Nach der Auflösung der Domainnamen in die zugehörige IP-Adresse startet das System eine Aktualisierung der (Netzwerk-)Zeit via NTP zum Server pool.ntp.org. Unmittelbar danach erfolgt ein Connectivity- bzw. Captive-Portal-Check, um sicherzustellen, dass ein Gerät vom Access-Point bzw. Internet Service Provider nicht nur eine IP-Adresse erhalten hat, sondern tatsächlich auch Ziele im Internet erreichen kann. Zur Prüfung, ob eine Verbindung besteht, sendet /e/ eine Anfrage an die Adresse connectivity.murena.io. Eine zweite Verbindung erfolgt dann erneut zu connectivity.murena.io und ist eine Art Fallback, wenn die unverschlüsselte HTTP-Verbindung zu connectivity.murena.io fehlschlägt.

Anders bei LineageOS: Hier werden www google com, time android com und connectivitycheck.gstatic.com kontaktiert. Die dritte Verbindung erfolgt dann (wieder)zu www google com und ist eine Art Fallback, wenn die unverschlüsselte HTTP-Verbindung zu connectivitycheck.gstatic.com fehlschlägt. Dieser Verbindungsaufbau zu www google com erfolgt jedes Mal, sobald der Captive-Portal-Check durchgeführt wird. Bei der (ersten) Inbetriebnahme der SIM-Karte initiiert die App Carrier Settings eine Verbindung zu Google Firebase – eine Entwicklungsplattform für mobile Anwendungen. Dieser ganze Vorgang nicht zwingend notwendig, denn Projekte wie CalyxOS, /e/OS, DivestOS und GrapheneOS entfernen die Carrier-Settings-App (und mehr) aus ihrem System.

Bei LineageOS kommt der LOS-Browser Jelly zum Einsatz. Unmittelbar nach dem ersten/initialen Start werden folgende Verbindungen initiiert: google com, fonts gstatic com, apis google com, consent google com (Startseite) sowie update googleapis com, dl google com und edgedl me gvt1 com (Update-Check). Quintessenz: Das Datensendeverhalten des Jelly-Browsers ist insgesamt stark von Google geprägt, insbesondere vor dem Hintergrund, dass die Update-Funktion auf Google-Infrastruktur angewiesen ist.

Der (GPS-)Standort eines Smartphones kann auf verschiedene Arten ermittelt werden. Bei LineageOS wird hierbei die Gegenstelle supl google com über Port 7275 kontaktiert.Dadurch wird Google mit ungefähren Standortdaten beliefert, die unter anderem mit der IP-Adresse verknüpft werden können. Das ist nicht datenschutzfreundlich - LOS. Andere CustomROM Android,Distributionen z.B. /e/OS by e.foundation, sind hier bei deutlich "datensparsamer".

/e/ wird mit dem /e/OS Browser ausgeliefert. Der Browser ist ein Fork von Cromite (ehemals Bromite), der auf Chromium basiert und unter der GNU General Public License v3.0 lizenziert und verbreitet wird. Unmittelbar nach dem Start werden die folgenden Verbindungen initiiert: Laden von Favicons, e.foundation, spot.murena.io, community.e.foundation und laden einer Filterliste zum Blockieren von Werbung und Tracking via www bromite org. Somit ist am Datensendeverhalten des /e/Browsers nichts auszusetzen.

Das ursprüngliche Motto »Don’t be evil« von Google ist längst Geschichte. Unter dem Mutterkonzern Alphabet gilt seit Oktober 2015 das Motto: »Do the Right Thing«, von dem wohl nur die Chefetage von Alphabet bzw. Google wissen wird, was damit tatsächlich gemeint ist. Ungeachtet dieser »Image-Korrektur« gilt das Hauptinteresse des Konzernz der Sammlung und Auswertung möglichst vieler Daten.

Google ist längst mehr als eine Suchmaschine: YouTube-Videos, E-Mails über Gmail, Navigation per Google Maps, der Chrome-Browser oder das weit verbreitete Android-System – die Datenkrake ist überall. Bei jeder Nutzung dieser Dienste und Produkte hinterlassen wir Datenspuren, die Google wiederum sammelt, auswertet und in einem Nutzerprofil zusammenführt.

Diese bereits im Jahr 2010 oben zitierte getätigte Bemerkung von CEO Eric Schmidt ist heute aktueller denn je. Android und andere Google-Produkte beziehungsweise Dienste sind perfekt ineinandergreifende Zahnräder, die dem Nutzer eine Illusion der Kontrolle über seine Daten vortäuschen. Google setzt auf 'Dark Patterns' bzw. 'Nudging', um Datenschutz-Einstellungen zu verstecken, diese missverständlich darzustellen oder den Nutzer mit irreführenden Formulierungen vom Schutz seiner Privatsphäre abzuhalten.

DNS (Domain Name Service) Google DNS-Server (wie 8.8.8.8 und 8.8.4.4) wer­den in An­droid stan­dar­dmäßig ver­wen­det. Da­durch kann Google po­ten­ziell alle Auf­rufe von In­ter­net­ser­vern und -dien­sten vom Be­triebs­sys­tem oder von An­wen­dun­gen, die vom Be­nut­zer aus­ge­führt wer­den, ver­fol­gen.

Con­nec­ti­vi­ty Check Beim Ein­schal­ten ei­nes Android-Te­le­fons wird eine Kon­nek­tiv­itäts­prü­fungs­fun­ktion als HTTP-An­fra­ge an ei­nige Google-Ser­ver aus­ge­führt, um si­cher­zu­stel­len, dass der In­ter­net­zu­gang in IPv4 und IPv6 ver­füg­bar ist. Da­durch er­fährt Google, dass ein Google An­droid-Ge­rät ge­star­tet wurde.

NTP (Netz­werk-Zeit­pro­to­koll) Tra­di­tio­nell wer­den NTP-Ser­ver von frei­wil­li­gen Or­ga­ni­sa­ti­onen auf der gan­zen Welt un­ter­hal­ten, um je­des Be­triebs­sys­tem bei der Syn­chro­ni­sier­ung mit der kor­rek­ten Zeit über das In­te­rnet-Netz­werk zu un­ter­stüt­zen. Google be­treibt sei­ne ei­ge­nen NTP-Ser­ver und An­droid ver­wen­det stan­dar­dmäß­ig Google NTP-Ser­ver.

Die Kom­po­nen­te "Google Play-Ser­vices" bie­tet den An­wen­dun­gen eine Reihe von Dien­sten an. Ei­ner die­ser Dienste ist der "Net­work Lo­ca­tion Pro­vi­der". Da­bei han­delt es sich um ei­nen Geo­lo­ka­li­sie­rungs­dienst, der in ein­igen Fäl­len die Geo­lo­ka­li­sie­rung schnel­ler und effi­zien­ter macht, ins­be­son­dere bei der Ver­wen­dung in Ge­bäu­den. Stan­dard­mäß­ig wird der Google-Geo­lo­ka­li­sie­rungs­dienst ver­wen­det. Google kennt da­her den geo­gra­fi­schen Stand­ort al­ler An­droid-Smart­phones mit In­ter­net­zu­gang in Echt­zeit und welt­weit.

Die von den Anwendungen in Google Android verwendeten Push-Benachrichtigungen nutzen die Google Push-Benachrichtigungsdienste über die GCM/FCM-Cloud-Messaging-Infrastruktur.

Der Application Store (App Store) in Google Android ist standardmäßig der Google Play Store. Seine API ist nicht öffentlich und die Nutzungsbedingungen des Google Play Store verbieten den Zugriff auf den Google Play Store, ohne den offiziellen Dienst zu nutzen. Der Google Play Store ist in keiner Weise interoperabel.

Die SafetyNet-Funktion in Google Android bietet Anwendungsentwicklern und -herausgebern die Möglichkeit, zu überprüfen, ob das Smartphone, auf dem die Anwendung läuft, so genannt "sicher" ist. Diese Funktion macht es selbst seriösen Android-Anbietern schwer, Anwendungen, die diese Funktion nutzen, zum Laufen zu bringen. Es ist auch allgemein anerkannt, dass SafetyNet den Anwendungen eigentlich keine Sicherheitsgarantie bietet: Falsch-positive und falsch-negative Ergebnisse sind in jedem Fall möglich.

Der Webbrowser Google Chrome wird standardmäßig in Google Android installiert, wobei die Google-Suche standardmäßig eingestellt ist. Google Chrome verwendet standardmäßig DoH (DNS über HTTPS) zu Google DNS-Servern, was es Google möglicherweise ermöglicht, den gesamten Browserverlauf des Nutzers in Echtzeit zu verfolgen.

Eine der ersten Anfragen, die Chrome stellt, ist an den Google-Konten- und ID-Verwaltungsdienst (GAIA). Mit dieser Anfrage wird versucht, den Benutzer mit einem bestehenden Google-Konto zu verknüpfen. Google Chrome stellte über 90 (i.W. neunzig) Netzwerkanforderungen an mindestens fünf verschiedene Top-Level-Domains (googleapis_com, google_de, gstatic_de, gvt1_com, googleusercontent_com), die alle zu Google LLC gehören. Bei der Abfrage von Metadaten für Doodles (die künstlerischen Varianten des Google-Logos) teilte Chrome Google beispielsweise harmlos mit, dass die Daten für die neue Registerkarte bestimmt waren.

Übertragung von Tastatureingaben und eingefügten Inhalten. Google Chrome überträgt alle Tastatureingaben an google com/complete/search, die in die Adressleiste eingegeben und aus dieser gelöscht werden. Das Gleiche wurde beobachtet, als "password" in die Adressleiste eingefügt und anschließend wieder entfernt wurde.

Bei der Eingabe jedes Zeichens in die Adressleiste sendete Chrome diese Eingabe ("q") an Google. Jede Anfrage enthält mindestens 7 (und bis zu 14) Datenelemente. Die meisten dieser Werte standen in keinem Zusammenhang mit dem Nutzer und/oder seiner Anfrage. Chrome erkannte die Art des verwendeten Geräts ("gs_ri"), wo in der Anwendung/UI diese Anfragen ihren Ursprung hatten ("client"), ob eine Präambel für die seitenübergreifende Skripteinbindung in die Antwort aufgenommen werden sollte ("xssi"), die aktuelle Position des Cursors ("cp"), die zu verwendende Suchversion ("gs_rn"), ein 12 Byte großes, base64-kodiertes, 60 Sekunden langes Sitzungs-Token ("psi"), die Klassifizierung der aktuellen Seite ("pgcl") und einen API-Schlüssel ("sugkey"). Dies ergab eine Überprüfung von Sampson, Senior Developer Relations Specialist bei Brave.

Es ist fast unmöglich, Android ohne ein Google-Konto zu verwenden, das im laufenden Betriebssystem eingerichtet ist. Die Standard-Mail-Anwendung in Google Android ist Gmail, früher googlemail, und sie wird in den meisten Fällen sofort mit einem Google Gmail-Konto konfiguriert. Gmail-E-Mails werden serverseitig nicht verschlüsselt: Google hat Zugriff auf sie und räumt in den GMail-Dienstebedingungen implizit ein, dass alle Gmail-Inhalte automatisch analysiert werden. Payment - Zahlungslösung: Google Pay standardmäßig in Google Android.

Mein Fazit: »Google versucht erst gar nicht für Privatsphäre oder Datenschutz zu werben. Angesichts der vorliegenden Ergebnisse wäre das auch völlig daneben. Im Grunde ist Chrome nur für jene empfehlenswert, die schon jetzt Google nutzen bzw. kein Problem damit haben, dass Google alle Informationen über einen selbst zentral speichert und auswertet. Datenschutzsensible Nutzer sollten hingegen einen großen Bogen um Chrome machen. Persönlich möchte ich gar nicht wissen, welche Daten zwischen dem Browser und Google übermittelt werden, wenn jemand tatsächlich sein Google-Konto verknüpft. Dass Google den Nutzer ohne seine Einwilligung trackt dürfte ebenso wenig überraschen, wie die Übermittlung jeder Download-URL an den Tech-Konzern.«

Im Verfahren zwischen Epic Games (Fortnite) und Google wurde am 11. Dezember 2023 am Bezirksgericht von San Francisco geurteilt, dass Google mit dem Google Play Store und dem Google Play Billing Service ein illegales Monopol betreibe. In einem Vergleich verpflichtet sich Google zu folgenden Maßnahmen …

• Eine Zahlung von insgesamt 700 Millionen US-Dollar.
• 629 Millionen US-Dollar gehen an Konsumenten in den USA, die möglicherweise zu viel für Apps und In-App-Käufe über Google Play bezahlt haben.
• Eine Zahlung von insgesamt 700 Millionen US-Dollar.
• 629 Millionen US-Dollar gehen an Konsumenten in den USA, die möglicherweise zu viel für Apps und In-App-Käufe über Google Play bezahlt haben.
• 70 Millionen US-Dollar gehen an die US-Bundesstaaten und sollen verwendet werden, wie es die obersten Rechtsberater der Regierung für richtig befinden.
• 1 Million US-Dollar gehen an die Administration des Vergleichs.
• Für 7 Jahre verpflichtet sich Google dazu, Android technisch die Installation von Drittanbieter-Apps über andere Wege als Google Play zu ermöglichen.
• Für 5 Jahre lässt Google Entwickler andere In-App-Zahlungssysteme als Google Play nutzen (User Choice Billing).
• Für 5 Jahre zwingt Google Entwickler nicht mehr dazu, ihre besten Preise nur Kunden über Google Play und Google Play Billing anzubieten.
• Für 4 Jahre zwingt Google Entwickler nicht mehr dazu, ihre Titel auf Google Play zur selben Zeit mit denselben Features anzubieten.
• Für 5 Jahre werden Unternehmen nicht mehr dazu gezwungen, Google Play exklusiv auf dem Endgerät zu installieren oder auf den Homescreen zu legen.
• Für 4 Jahre dürfen OEMs nicht mehr davon abgehalten werden, für vorinstallierte Apps auch Installationsrechte zu erteilen.
• Für 5 Jahre muss Google nicht mehr um Zustimmung gebeten werden, bevor ein OEM einen Drittanbieter-App-Store auf dem Gerät vorinstalliert.
• Für 4 Jahre wird Google Drittanbieter-App-Stores die Aktualisierung von Apps ohne Zustimmung des Anwenders erlauben.
• Für 4 Jahre wird Google Drittanbieter-App-Stores, die mittels Sideloading installiert wurden, Zugriff auf die eigenen APIs und „Feature Splits“ geben.
• Für 5 Jahre wird Google die zwei Sideloading-Warnhinweis zu einem zusammenfassen.
• Für 5 Jahre wird Google Entwicklern erlauben, bei Nutzung des alternativen User Choice Billing den Kunden mitzuteilen, dass anderweitig bessere Preise angeboten werden und dass die Transaktion auch über webbasierte Zahlungssysteme des Entwicklers in einer Webansicht innerhalb der App abgeschlossen werden kann
• Für 6 Jahre wird es Google Entwicklern ermöglichen, dass diese nach Einwilligung des Kunden deren außerhalb oder innerhalb einer App gewonnenen Kontaktinformationen für die Out-of-App-Kommunikation nutzen dürfen.
• Für 6 Jahre wird Google reinen „Konsum-Apps“ wie zum Beispiel Netflix ermöglichen, die Kunden über bessere Preise zu informieren, ohne dass diese jedoch darauf verlinken dürfen. Erlaubt ist etwa ein Hinweis auf einen niedrigeren Preis auf der Website, allerdings ohne Link.
• Für 6 Jahre darf Google Entwickler nicht daran hindern, mit Google Play oder Googles Zahlungssystem verbundene Gebühren den Kunden mitzuteilen.

Die Anzahl der Massnahmen verdeutlicht, wie Google die App-Entwickler bisher regelmentiert hat …

Massive Datenschnüfflerei von Google, Huawei, Realme, Samsung und Xiaomi

Die Google Play Services aka Google Play-Dienste, sind seit Jahren dafür bekannt, personenbezogene Daten von den Nutzern bzw. den Android-Geräten zu sammeln und an Google in Realtime zu übermitteln (siehe weiter oben). In einer Studie fanden Sicherheitsforscher um Douglas J. Leith, School of Computer Science & Statistics, Trinity College Dublin, Ireland, 25th March, 2021 heraus, dass Android-Geräte von Google im großen Umfang Daten an den Konzern schicken, auch wenn man diese Übermittlung von Telemetrie-Daten eigentlich abgestellt wähnte. Sie kommen dabei zu dem Schluss, dass alle Geräte außer denen mit /e/-OS "große Mengen an Informationen an die Betriebssystem-Entwickler und Drittfirmen" verschicken. Und das schon, wenn der Nutzer kaum eigene Apps installiert. Außerdem sei es bei den meisten dieser Dienste unmöglich°, die Datensammelwut einzuschränken, geschweige denn sie ganz zu unterbinden. °unmöglich - nicht wirklich, denn das Blockieren ausgehender Daten, wie bspw. Telemetrietraffic, ist selbst bei Android Geräten ohne sog. 'rooten' möglich - mit NetGuard No-Root-Firewall.

"Kürzlich" haben die Forscher Haoyu Liu, Paul Patras, Douglas J. Leith, University of Edinburgh, UK, Trinity College Dublin, Ireland Smartphones von Samsung, Xiaomi und Huawei untersucht. Sie übermitteln umfangreiche Telemetriedaten, was sich nicht abstellen lässt.

Professor Doug Leith und seine Kollegen vom Trinity College in Dublin haben sich in einer wissenschaftlichen Veröffentlichung »Android Mobile OS Snooping By Samsung, Xiaomi, Huawei and Realme Handsets« die Daten angeschaut, die von werksseitig vorinstallierten Apps auf in Europa verkauften Geräten der Hersteller Samsung, Xiaomi, Huawei, Realme, LineageOS und /e/-OS verschickt werden. Dazu gehören die Apps von Google (samt den Play Services und dem App Store der Firma) und andere System-Apps von Facebook, Microsoft und LinkedIn. Sie kommen dabei zu dem Schluss, dass alle Geräte außer denen mit /e/-OS "große Mengen an Informationen an die Betriebs­system-Entwickler und Drittfirmen" verschicken. Und das schon, wenn der Nutzer kaum eigene Apps installiert. Außerdem sei es bei den meisten dieser Dienste unmöglich, die Datensammelwut einzuschränken, geschweige denn sie ganz zu unterbinden.

LineageOS 'core' sammelt keine Daten, die über diese von Google gesammelten Daten hinausgehen, und ist daher vielleicht die die nächste private Wahl nach /e/OS. Es dürfen allerdings nicht optionale Drittanbieter­Paket wie OpenGApps installiert sein, welche Google Apps auf den Geräten der Hersteller nachrüstet. Werksseitig seien diese Apps nicht installiert, so die Lineage-Entwickler.

Zusammenfassend lässt sich sagen, dass /e/OS im Wesentlichen keine Daten sammelt und ist in diesem Sinne die bei weitem privatste der untersuchten Android OS-Varianten, die wir untersucht haben. Auf allen anderen Handgeräten senden die Google Play Services und die System-Apps des Google Play Store eine eine beträchtliche Menge an Daten an Google, deren Inhalt unklar und nicht öffentlich dokumentiert ist und Google bestätigt, dass es Google bestätigt, dass es keine Möglichkeit gibt, sich von dieser Datenerfassung abzumelden.

Nebenbemerkung: Xiaomi sperrt bei seinen Geräten den Bootloader ab Werk. Um das Entsperren des Bootloaders durchzuführen, muss zuerst die Genehmigung des Geräteherstellers eingeholt werden. Das Antragsverfahren kann bis zu 30 Tage dauern. 336 Stunden (14 Tage) Wartezeit musst ich schon mehrfach ausharren, 168 Stunden (7 Tage) Wartezeit sind bei mir die Regel.

Es ist bekannt, dass Google Play Services und der Google Play Store große Mengen an Handydaten an Google sendet und langlebige Gerätekennungen sammelt, obwohl bis vor bis vor Kurzem ein bemerkenswerter Mangel an Messstudien herrschte. Andere Google-Apps wie YouTube und Gmail senden ebenfalls Handydaten und Telemetriedaten an Google.

Es ist erwähnenswert, dass das Volumen der von Google hochgeladene Datenvolumen erheblich größer ist als das Datenvolumen, das an andere Parteien. Es ist zu erkennen, dass keine Daten an die LineageOS oder /e/OS-Entwickler hochgeladen werden. [Zitat, Seite 7; frei übersetzt von ungoogled]

SCHLUSSFOLGERUNGEN: Wir prä­sen­tie­ren ei­ne ein­geh­en­de Ana­lyse der Da­ten, die von den Sam­sung, Xiaomi, Huawei, Realme, LineageOS und /e/OS Vari­anten von Android. Wir stel­len fest, dass, mit der be­mer­kens­wer­ten Aus­nahme e/OS, selbst bei mini­ma­ler Kon­fi­gu­ra­tion und im Ruhe­zu­stand des Ge­räts die­se her­stel­ler­an­ge­pass­ten An­droid-Vari­anten selbst im Leer­lauf er­heb­li­che Men­gen an In­for­ma­tio­nen an den Be­triebssys­tem­ent­wickl­er und auch an Dritt­an­bie­ter (Google, Micro­soft, Linked­In, Face­book usw.), die Sys­tem­an­wen­dun­gen vor­in­stal­liert ha­ben. Währ­end ei­ne ge­le­gent­li­che Kom­mu­ni­ka­tion mit OS-Ser­vern zu er­war­ten ist, geht die be­ob­ach­te­te Da­ten­über­tra­gung weit da­rü­ber hin­aus und wirft eine Reihe von Be­den­ken hin­sicht­lich des Da­ten­schut­zes. [Zitat, Seite 12; über­setzt von ungoogled]