CalyxOS – microG als ein Problem

Mike Kuketz hat sich für das Jahr ein paar AftermarketOS als Testsysteme vorgenommen. Zuerst war CalxyOS an der Reihe. Es zeigte sich, dass microG eben ein Problem für den Datenschutz ist und die Herauslösung von Google aus dem Android Basissystem kein Kinderspiel.

Ein zentrales Problem von CalxyOS ist microG. Zwar kann es lediglich optional bei der Installation mitinstalliert werden, aber die Verfügbarkeit von microG ist der große Unterschied zu GrapheneOS. Aus diesem Grund werden sich wohl die meisten Nutzer für CalxyOS entscheiden.

Ich hatte mich schon kritisch zu microG geäußert und den Begriff Schlangenöl dafür aufgegriffen. Der Hintergrund ist simpel: Die Entwickler von microG machen auf ihrer Seite vollmundige Versprechen, die sie nicht einhalten können. Das zeigt nun auch die Analyse von Mike Kuketz. Im Hintergrund arbeitet weiter die Google-Infrastruktur. Das bedeutet im Klartext, ein Smartphone mit microG nimmt regelmäßig Kontakt zu Google-Servern auf.

Nach jedem Neustart überträgt das CalxyOS-Smartphone mit microG einen happigen Datensatz an Google. Dieser ist zwar weitestgehend anonymisiert und sollte für Google keine eindeutige Gerätezuordnung ermöglichen, aber es werden eben Daten übertragen. Damit wird das Prinzip der Datensparsamkeit durchbrochen und niemand kann die Implikationen für den Datenschutz vollständig abschätzen.

Den String kann man im Kuketz Blog nachlesen. Die Zusammenfassung lautet:

Es werden etliche Gerätedaten (Gerätemodell, Sprache, Land, installierte System-Bibliotheken, Hardware-Features, CPU-Type, UUIDs, Android-Version etc.) an Google übermittelt.

Kuketz-Blog – CalyxOS: De-Googled geht anders – Custom-ROMs Teil2

Neben microG waren die CalyxOS-Entwickler auch in anderen Punkten nicht gründlich genug. Google hat sich natürlich tief in das eigene System eingegraben. Für eine Abkopplung müssen Captive-Portal-Check, SUPL-System, Zertifikatsprüfung etc. aus der Google-Infrastruktur herausgelöst werden. Das sind alles seit vielen Jahren bekannte Faktoren und all dies bietet CalxyOS nicht.

Es zeigt sich wieder einmal, dass der pure Glaube an Open Source keinen Datenschutz garantiert. Nur weil ein proprietärer Dienst, wie die Play Services in Form von microG quelloffen reimplementiert wurde, ist die Privatsphäre nicht gleich optimal geschützt, da im Hintergrund die Google-Infrastruktur steht und dort weiterhin Daten übertragen werden.

Mike Kuketz ist in seinem abschließenden Fazit sehr gnädig. Ich persönlich sehe in solchen vollmundigen Versprechungen, wie sie die Entwickler CalxyOS oder microG auf ihren Webseiten machen eine kolossale Täuschung der Anwender. Deren Sorgen um Privatsphäre und Datenschutz werden ausgenutzt, um das Produkt anzupreisen, ohne ihnen eine konsequente Verbesserung zu bieten. Natürlich ist ein AftermarketOS wie CalxyOS im Vergleich zu irgendwelchen China-Systemen immer noch im Vorteil, aber die Messlatte sollte hier schon höher liegen. Immerhin ist deren Slogan: “Reclaim your privacy with CalyxOS.”

Ich bin schon auf die nächsten Teile der Serie gespannt. Vor allem auf den Test von GrapheneOS.

Cruiz
Cruizhttps://curius.de
Moin, meine Name ist Gerrit und ich betreibe diesen Blog seit 2014. Der Schutz der digitalen Identität, die einen immer größeren Raum unseres Ichs einnimmt ist mir ein Herzensanliegen, das ich versuche tagtäglich im Spannungsfeld digitaler Teilhabe und Sicherheit umzusetzen. Die Tipps, Anleitungen, Kommentare und Gedanken hier entspringen den alltäglichen Erfahrungen.
  1. Man sollte richtig lesen bevor man nur die, für sich relevanten Teile rausholt und hierher kopiert.
    microG ohne Geräteregistrierung überträgt gar nichts und Kuketz schreibt das auch. Nur hier wird es vergessen zu erwähnen.
    Hauptsache wieder Schlangenöl und Verschwörungstheorien verbreiten….
    In den anderen, hier genannten, Artikeln wird das in den Kommentaren doch auch angesprochen. Schon wieder vergessen?

    Panikmache. Ich habe diesen Blog aus meiner Feeder Liste gestrichen. Brauche keine amateurhafte Berichterstattung. Sorry, Ciao….

    • Es ist Dein gutes Recht, Dein geschlossenes Weltbild zu schützen, indem Du alle kritischen Informationen ignorierst.

      Es geht bei CalyxOS nicht nur um microG und ich habe geschrieben, dass eine Installation ohne microG möglich ist – und auch, warum ich vermute, dass die meisten CalyxOS-Benutzer es trotzdem benutzen.

      • Es ging dem Vorkommentator nicht darum, dass migroG nicht installiert werden muss, sondern man microG auch ohne Geräte-Registrierung verwenden kann. Dann dient es im Wesentlich nur für einstellbare Ortungsdienst, aber das verkürzt Du eben.

        • Und was macht das für einen Unterschied? Ich habe ja deutlich gemacht, dass CalxyOS auch ohne microG läuft – ob nicht installiert oder nicht genutzt ist dabei unerheblich. Aber man kann microG eben nicht nutzen, ohne die Daten an Google zu senden. Jaja die eine Funktion eben doch, natürlich nutzen nur wegen GPS alle microG… 😉 Es gibt sowieso noch ein paar andere Verbindungen zu Google, die nicht an microG hängen, die CalxyOS aber aus Nachlässigkeit (?) nicht geändert hat.

          Es ist leider immer das gleiche Problem: Es gibt eine feste CalxyOS-Fangemeinde, die sich in diesem hanebüchenen Konflikt mit GrapheneOS fest positioniert hat und alle negativen Fakten ignorieren will. Jeder CalyxOS-kritische Artikel zieht diese Kommentare auf sich. Genauso wie jeder Artikel über GrapheneOS einen Kommentar über dessen Hauptentwickler auslöst. Vermutlich von der gleichen Fanbase.

  2. hahaha…echt jetzt. auf das Niveau runter?

    kann ich dich aber beruhigen. ich bin weder calyx fan noch nutze ich es. ich bin nochmals anderweitig unterwegs.

    und zu guter letzt, ich habe mit keinem Wort calyx erwähnt. es geht um microg und deine stümperhafte recherche darüber. sonst nichts.

    aber bei dir hört man immer bashing gegen anderes als graphene heraus und auch jetzt fälkst du wieder auf das Niveau ab. schade

    • Nachdem du unter einem Blogpost zu CalxyOS einen Kommentar geschrieben hattest, ging ich davon aus, dass es dir auch um CalxyOS geht. Nachvollziehbar, oder?

      Ansonsten ist die Rechnung ja sogar noch einfacher. MicroG reimplementiert Google-Dienste. Es gaukelt dem Nutzer vor, ihn unabhängig von Google zu machen, aber das bezieht sich nur auf ein paar Bereiche. Ansonsten überträgt microG Daten an Google-Server. Ja, wenn ich es nicht nutze, dann natürlich nicht. Wogegen sollte das nochmal ein Argument sein? Das ist soweit auch technisch logisch und mit Beschreibungen wie “user space apps and services” auch angedeutet. Man sieht aber an vielen Diskussionen, dass die Anwender das nicht verstehen und glauben, sie würden mit microG unabhängig von Google. Die irreführende Projektbeschreibung, die bei den harten Punkten Nebelkerzen wirft, ist dafür mit verantwortlich. Projektdokumentationen sind nie neutral, sondern es ist eine hohe und gern geübte Kunst, problematische Teile zu benennen und gleichzeitig zu verstecken.

      Was war nochmal dein Punkt?

  3. @Gerrit: Ich gebe dir völlig recht. Es ist eben die Crux (bei fast jedem AftermarketOS), dass sich die Nutzer einbilden, damit sicherer und datengeschützter unterwegs zu sein als mit einem StockOS, das keine Updates mehr bekommt. Wenn man jedoch gewillt ist, hinter die Kulissen zu schauen, erkennt man die Augenwischerei.

    Und so ist es auch mit microG. Wie wird das immer angepriesen: “Android datenschutzfreundlich und googlefrei – mit OS x,y,z und microG – jetzt umsteigen!” (auf vielen einschlägigen Seiten), oder ähnlich. Doch die sogenannten Redakteure sind nicht gewillt oder gar in der Lage, mal die Hintergründe zu recherchieren.

    Googledienste – und -funktionalitäten lassen sich nunmal nicht ohne Google(datenübertragung) nutzen. Wollen die meisten Nutzer aber nicht wahr haben. Du, Gerrit, Mike und Daniel Micay informieren wenigstens über die Hintergründe ohne ideologische Verblendung.

    GrapheneOS geht imho den einzigen richtigen Weg: OHNE Google, und wer dessen Dienste nutzen will, kann sich die original Googledienste installieren – weiß dann aber auch, was er tut.

  4. >> GrapheneOS geht imho den einzigen richtigen Weg: OHNE Google, und wer dessen Dienste nutzen will, kann sich die original Googledienste installieren – weiß dann aber auch, was er tut. <<
    Nicht zu vergessen, dass man die originalen Google-Dienste unter GrapheneOS dann immerhin noch weitgehend in ihren Rechten einschränken kann weil sie in einer Sandbox laufen und im Gegensatz zu allen anderen Android Derivaten, in GrapheneOS keinen besonderen, privilegierten Zugriff haben. Natürlich stehen dann auch diverse Funktionen der Services nicht zur Verfügung, wenn man ihnen die entsprechenden Rechte nicht einräumt.

    Über eins muss sich letztendlich jeder im Klaren sein: einen Tod muss man sterben. Wenn ich eine App nutzen will/muss, die zwingend die Google-Services voraussetzt und ich dafür den Google-Services den Netzwerkzugriff erlauben muss, dann ist die Wahrscheinlichkeit sehr hoch, dass Daten abfließen, die über das hinausgehen, was zur Erbrinung der eigentlichen Serviceleistung notwendig ist. Als Beispiel sei hier die DHL App genannt. Diese kontaktiert fröhlich Adobe Server für das Dynamic Tag Management. Wenn ich das nicht will, muss ich weitere Maßnamen ergreifen, wie beispielsweise diese Zugriffe über eine Firewall wie Netguard verhindern. Letzteres führt allerdings dazu, dass die DHL App eine halbe Ewigkeit braucht, wohl auf Basis eines implementierten Timeouts anzunehmen, dass die Adobe Server down sind, um einem dann doch noch die Sendungsinformationen anzuzeigen. Das dauert mit steigender Versionsnummer der App auch immer länger und ich könnte mir vorstellen, dass die App irgendwann auch gar nicht mehr ohne diesen Datenabfluss funktioniert.

    Der Vorteil von GrapheneOS gegenüber einem stock Android System liegt darin, dass ich selbst die Kontrolle habe, zu entscheiden welche Apps und Services für mich so wichtig oder unverzichtbar sind, dass ich einen Datenabfuss in Kauf nehme. Komplette "privacy" gibt's nur mit ausgeschaltetem Smartphone oder einer alten Handymöhre ohne Internet und bei letzterem strenggenommen auch nur mit anonymer SIM-Karte.

  5. Moin,

    ich bin ein wenig verwirrt über die Diskussionen und den Umgang.

    Der Kerngedanke von microG ist doch, die proprietären Google-Bibliotheken wieder in Open Source zu machen. Oder verstehe ich dies falsch?

    Damit Frage ich mich wieso microG gleich Datenschutzfreundlich gesetzt wird?

    Denn die Möglichkeit das Sende Verhalten an Google zu minimieren ist eine nette Sache, aber nicht Kern der Anwendung.

    Bzgl. Calyx OS, nun Kuketz Blog hat in seiner Analyse interessante dinge herausgefunden, woran das Projekt noch arbeiten muss. Ich hoffe, dass dies auch passieren wird.

    Was ich aber nicht nachvollziehen kann, ist der ständige Vergleich der beiden Betriebssysteme.
    Den nach meiner Auffassung haben beide Systeme unterschiedliche Anwendungsszenarien.

    Mit GrapheneOS bekommst du ein System komplett losgelöst von Google, ohne eine Option nicht doch Google Apps zu nutzen.

    Bei Calyx OS ist es auch möglich es so einzurichten ohne Google, aber der größte Teil wird es aus Sicht der Anwendungsfreundlichkeit mit microG nutzen.
    Dies ist natürlich datenschutzfreundlicher als ein Android Smartphone mit Google ONE, aber auch nur so weit, dass die Anwendungsfreundlichkeit nicht eingeschränkt wird.

    So meine Sichtweise in groben Zügen.

    Ich selbst finde es schade, dass bei Calyx OS nicht auch erwähnt wird, dass Fairphone unterstützt wird.

    Ich fand es schon immer sehr paradox, um sich von Google zu lösen, ist der Kauf eines Google Smartphone notwendig. (So Führer bei beiden System, seit diesem Jahr nur noch bei GrapheneOS)

    Ich gebe einem Unternehmen Geld, obwohl ich mich von diesem Unternehmen abwenden möchte. Wieso? Findet ihr nicht auch?

    Diese eine Sache fand ich schon immer sehr paradox. Und wollte ich mal ansprechen.

    Verzeiht bitte Rechtschreibfehler.

  6. “Ich persönlich sehe in solchen vollmundigen Versprechungen, wie sie die Entwickler CalxyOS oder microG auf ihren Webseiten machen eine kolossale Täuschung der Anwender.”

    Was microG betrifft, stützt sich deine gesamte Argumentation hier in diesem Artikel auf die Analyse von Mike Kuketz. Diese Analyse wiederum bemängelt die Weitergabe vieler gerätespezifischer Daten (s. Artikel) an Google.

    In der Analyse von Mike Kuketz wird im Folgenden ein Entwickler des microG-Projekts zitiert: “Generell sind die Daten, die bei der Geräte-Registrierung gesendet werden, soweit möglich, praktisch anonymisiert. Wenn der Speicher des Geräts zurückgesetzt wird, ist es aus Googles Sicht nicht mehr wiederzuerkennen. Die gerätespezifischen Daten sind alle nur Modell-spezifisch, aber nicht auf das individuelle Gerät zugeschnitten – alle Pixel 6a mit CalyxOS und deutscher Sprache sehen für Google also gleich aus.”.

    Der letzte Satz ist hierbei maßgeblich und war auch mein erster Gedanke zu dieser Auswertung. Denn prinzipiell kann ich im Netz innerhalb weniger Minuten 90% dieser Daten selbst in Erfahrung bringen, wenn ich nur das Gerätemodell kenne. Google bietet nämliche alle Firmwares aller Modelle, die sie vertrieben haben, gut sortiert als Download an. Die Mobilfunkdaten kenne ich dann zwar noch immer nicht, aber die stehen auch nicht zur Debatte.

    Zusammenfassung: Die Daten, die Übertragen werden, sind fast ausschließlich allgemeine Gerätespezifikationen. Es handelt sich dabei nicht um personenbezogene Daten!

    microG schreibt auf deren Startseite: “[…]privacy-caring users can reduce or monitor data that is sent to Google[…]”

    Das nennst du eine “kolossale Täuschung der Anwender”?

    ko·los·sal
    /kolossál/
    Adjektiv
    1.
    von ungewöhnlicher Größe und beeindruckender Wucht
    “kolossale Bauten”
    2a.
    UMGANGSSPRACHLICH EMOTIONAL
    sehr groß, stark (in Bezug auf Ausmaß, Intensität, Wirkung)
    “kolossales Glück haben”
    2b.
    UMGANGSSPRACHLICH EMOTIONAL
    ganz besonders, sehr
    “eine kolossal verfahrene Situation”

    Also ich persönlich finde, dass microG genau das liefert, was sie auch versprechen. Nirgends wird behauptet, keine Daten zu senden und ich verstehe nicht, wieso du diese Erwartungshaltung gegenüber microG hast?

Kommentieren Sie den Artikel

Ergänzungen dienen der Diskussion über die Inhalte des Artikels. Nachfragen, Anmerkungen und Ergänzungen sind dezidiert erwünscht. Ergänzungen werden vor der Veröffentlichung moderiert. Wir behalten uns vor Kommentare ohne inhaltlichen Bezug oder abseitige Diskussionen nicht zu veröffentlichen.

Bitte geben Sie Ihren Kommentar ein!
Bitte geben Sie hier Ihren Namen ein

Weitere Artikel