Android 17 verbirgt, welche Seiten du besuchst, nur nicht überall

Google hat am Donnerstag einen Beitrag über vier Schutzfunktionen für das Netzwerk in Android 17 veröffentlicht. Vorgestellt wird darin nichts, die vier stecken seit dem Start von Android 17 im Juni im System. Neu ist, dass Google sie erstmals an Endnutzer richtet. Passend dazu kommt das Update gerade in der Breite an, Motorola hat über 50 Modelle dafür bestätigt. Beim Nachlesen in Googles eigener Entwicklerdokumentation zeigt sich allerdings, dass die Funktionen längst nicht für jeden greifen.

Was trotz HTTPS sichtbar bleibt

HTTPS verschlüsselt den Inhalt einer Verbindung. Der Name des Ziels wandert beim Verbindungsaufbau aber unverschlüsselt mit, in einem Feld namens Server Name Indication. Wer den Datenverkehr mitliest, kann daraus ein Profil bauen oder passgenaue Betrugsnachrichten schneidern. Encrypted Client Hello, kurz ECH, verschlüsselt dieses Feld. Übrig bleibt für den Beobachter die IP-Adresse. Bei großen Anbietern, hinter deren IP Hunderte Seiten liegen, sagt die kaum noch etwas aus. Bei einem kleinen Server mit eigener IP dagegen schon.

ECH greift nur bei neu gebauten Apps

Googles Blogbeitrag klingt, als wäre die Sache damit erledigt. Die Entwicklerdokumentation ist genauer. Dort steht, ECH werde für Apps aktiviert, die auf Android 17 und API-Level 37 ausgerichtet sind. Eine App, die noch für Android 16 gebaut wurde, bekommt die Verschlüsselung auf einem Android-17-Gerät also nicht.

Dazu muss die App eine Netzwerk-Bibliothek nutzen, die ECH beherrscht. OkHttp 5.5.0 bringt sie mit, allerdings als Option, die Entwickler aktiv einschalten müssen. Googles eigene ECH-Seite für Entwickler steht dagegen bis heute auf dem Stand, die Unterstützung in OkHttp komme erst noch. Ein VPN ersetzt das übrigens nicht zuverlässig, wie unser Blick auf kostenlose VPN-Apps unter Android gezeigt hat.

Ohne verschlüsseltes DNS bringt es nichts

ECH verbirgt den Namen im TLS-Handshake. Dieselbe Adresse steht aber weiterhin in der DNS-Abfrage, mit der dein Handy die passende IP nachschlägt. Läuft die unverschlüsselt, liest dein Anbieter dort mit, und der Gewinn ist dahin. Auf Pixel-Geräten findest du den Schalter unter Einstellungen, Netzwerk und Internet, Privates DNS, bei Samsung unter Verbindungen, Weitere Verbindungseinstellungen, Privates DNS. Und die Gegenseite muss ECH ebenfalls unterstützen. Wie weit das reicht, sagt Google nicht, wohl aber, dass man mit der Branche daran arbeite, die Verbreitung zu beschleunigen.

Heimnetz und Zertifikate, dieselbe Einschränkung

Bisher konnte jede App unbemerkt nachsehen, welche Geräte in deinem WLAN hängen, vom Fernseher bis zur Überwachungskamera. Android 17 verlangt dafür eine neue Berechtigung. Auch die gilt laut Dokumentation nur für Apps, die auf Android 17 ausgerichtet sind, ältere dürfen weiter scannen. Dasselbe Muster bei Certificate Transparency, das gefälschte Zertifikate auffliegen lässt. Ein Blick ins eigene Netz lohnt ohnehin, denn auch Router geraten regelmäßig ins Visier von Angreifern.

Der 2G-Trick, und wer ihn abstellt

Der vierte Punkt zielt auf SMS-Blaster. Das sind tragbare Funkzellen, die Handys in der Umgebung zwingen, von LTE oder 5G auf das alte 2G-Netz zu wechseln. Dort greifen die Spam-Filter nicht mehr, und die Betrugsnachricht landet direkt auf dem Display. Die Hardware kostet laut Google ab rund 3.000 US-Dollar. In Toronto fuhren solche Geräte in Fahrzeugen durch die Innenstadt, in London trugen Täter sie im Koffer durch U-Bahn-Stationen. Einen Schalter dagegen gibt es seit Android 12. Neu ist, dass Mobilfunkanbieter 2G für ihre Kunden von sich aus abschalten können. Welcher Anbieter das tut, sagt Google nicht. Entscheiden darfst du es jedenfalls nicht.