Entwicklung der Android-Sicherheit

Bedeutende Sicherheitsverbesserungen der letzten großen Android-Versionen, beginnend mit Android 5.0 Lollipop (API 21).

Android 5.0 (API 21) - Lollipop

Security Enhancements - Android 5

• Ab August 2023 werden Updates für Google Play Services nur noch ab dieser Android-Version empfangen, siehe Google Play services beendet Updates für KitKat (API-Ebenen 19 & 20) ab August 2023
• Full Disk Encryption (FDE) standardmäßig (Hersteller können sich weiterhin dagegen entscheiden), siehe Verschlüsselung und Sicherheitsverbesserungen in Android 5.0
• SELinux vollständig erzwungen, siehe Sicherheitsverbesserungen in Android 5.0
• WebView ist ein separates Paket, siehe Sicherheitsverbesserungen in Android 5.0 und The Updatable WebView on Android 5.0 Lollipop What Is It and Why Should You Care?

Android 6 (API 23) - Marshmallow

Sicherheitsverbesserungen in Android 6

• Keystore-API deutlich erweitert (symmetrische kryptografische Primitive, Unterstützung für AES und HMAC sowie Zugriffskontrollsystem für hardwaregestützte Schlüssel), siehe Hardware-backed Keystore
• TEE ist eine Anforderung, siehe Hardware-backed Keystore und Abschnitt 7.3.10 Fingerprint Sensor der Android-6.0-Kompatibilitätsdefinition
• Neue API (isInsideSecureHardware) zum Prüfen, ob ein KeyStore-Schlüssel in sicherer Hardware gespeichert ist (z. B. Trusted Execution Environment (TEE) oder Secure Element (SE)), siehe isInsideSecureHardware-Methode von KeyInfo
• Apps müssen Berechtigungen zur Laufzeit anfordern, siehe Abschnitt Laufzeitberechtigungen der Android-6.0-Änderungen und Laufzeitberechtigungen anfordern und Sicherheitsverbesserungen in Android 6.0
• Restriktiveres SELinux (IOCTL-Filterung, Verschärfung der SELinux-Domänen usw.), siehe Security-Enhanced Linux in Android und Sicherheitsverbesserungen in Android 6.0

Android 7 (API 24) - Nougat

Sicherheitsverbesserungen – Android 7

• Getrennter Benutzer- und System-Zertifikatsvertrauensspeicher, was bedeutet, dass Man-in-the-Middle-Angriffe ab diesem Zeitpunkt grundsätzlich Root-Zugriff erfordern, siehe Änderungen an vertrauenswürdigen Zertifizierungsstellen in Android Nougat
• Unterstützung für Network Security Config hinzugefügt, sodass Apps das Verhalten ihrer sicheren (HTTPS, TLS) Verbindungen auf einfache deklarative Weise ohne Codeänderung anpassen können. Unterstützt werden benutzerdefinierte Vertrauensanker (welche Zertifizierungsstellen (CA) die App vertraut), Nur-Debug-Überschreibungen, Klartextverkehr-Opt-out sowie Zertifikats-Pinning (Einschränkung, welchen Serverschlüsseln vertraut wird), siehe Abschnitt Network Security Config von Android 7.0 für Entwickler
• Standardmäßig vertrauen Apps, die auf Android 7.0 abzielen, nur systembereitgestellten Zertifikaten und nicht mehr benutzerhinzugefügten Zertifizierungsstellen (CA), selbst ohne benutzerdefinierte Network Security Config, siehe Standardmäßig vertrauenswürdige Zertifizierungsstellen von Android 7.0 für Entwickler
• Update auf Keymaster 2 mit Unterstützung für Key Attestation und Versionsbindung (verhindert ein Zurückrollen auf eine unsichere alte Version, ohne Schlüssel zu verlieren), siehe Abschnitt Key Attestation von Android 7.0 für Entwickler und Keymaster-Funktionen und Verifizieren hardwaregestützter Schlüsselpaare mit Key Attestation und Schlüssel- und ID-Attestierung

Android 8 (API 26) - Oreo

Sicherheitsverbesserungen – Android 8

• JavaScript-Ausführung läuft in WebView in einem separaten Prozess, sodass JavaScript-Code nicht so einfach auf den Speicher der App zugreifen kann, siehe Was ist neu in der WebView-Sicherheit und Abschnitt Sicherheit der Android-8.0-Verhaltensänderungen für alle Apps
• WebView respektiert Network Security Config und das cleartextTrafficPermitted-Flag (auf älteren Android-Versionen lädt es HTTP-Seiten, selbst wenn Klartextverkehr von der Konfiguration nicht erlaubt sein sollte), siehe Abschnitt Sicherheit der Android-8.0-Verhaltensänderungen für Apps, die auf Android 8.0 abzielen
• Safe Browsing API zu WebView hinzugefügt, sodass Benutzer beim Navigieren zu einer potenziell unsicheren Website gewarnt werden (durch Google Safe Browsing verifiziert), sofern aktiviert, siehe Abschnitt WebView-APIs der Android-8.0-Funktionen und -APIs
• Das FLAG_SECURE-Window-Flag wird stärker unterstützt und verbietet das Aufnehmen von Screenshots des Bildschirms, auf dem es gesetzt ist

Android 9 (API 28) - Pie

Android-9-Versionshinweise – Sicherheitsfunktionen

• Klartext-Netzwerkverkehr (HTTP) standardmäßig deaktiviert; Apps müssen cleartextTrafficPermitted explizit auf true setzen in ihrer Network Security Config, wenn sie ihn weiterhin verwenden möchten (nicht empfohlen), siehe Abschnitt Netzwerk-TLS standardmäßig aktiviert der Verhaltensänderungen: Apps, die auf API-Ebene 28+ abzielen und Android: Cleartext-HTTP-Verkehr in Android 9 nicht erlaubt
• Update auf Keymaster 4 mit Unterstützung für 3DES-Verschlüsselung und sicheren Schlüsselimport, siehe Hardware-backed Keystore und Keymaster-Funktionen
• Ersetzen vieler BouncyCastle-Implementierungen kryptografischer Algorithmen durch Conscrypt-Implementierungen, siehe Abschnitt Conscrypt-Implementierungen von Parametern und Algorithmen der Android-9-Verhaltensänderungen: alle Apps
• Unterstützung für eingebettetes Secure Element (SE) hinzugefügt, siehe Abschnitt Secure Element (SE)-Dienst der Android-9-Versionshinweise und CTS-Test für Secure Element
• Disk Encryption (entweder Full Disk Encryption (FDE) oder File Based Encryption (FBE)) ist für alle Geräte verbindlich (die mit dieser Version ausgeliefert werden)

Android 10 (API 29) - Quince Tart

Sicherheitsverbesserungen – Android 10

Android-10-Versionshinweise – Sicherheitsfunktionen

• Dateizugriff in WebView standardmäßig deaktiviert, siehe setAllowFileAccess-Methode von WebSettings
• TLS 1.3 verfügbar und standardmäßig aktiviert, siehe Abschnitt TLS 1.3 standardmäßig aktiviert der Android-10-Verhaltensänderungen: alle Apps
• Zertifikate, die mit SHA-1 signiert sind, werden in TLS nicht mehr vertraut
• Hintergrund-Apps können keine anderen Activities starten (z. B. andere Apps), siehe Abschnitt Starten von Hintergrund-Apps der Android-10-Versionshinweise und Abschnitt Einschränkungen für Hintergrundaktivitäten der Sicherheits- und Datenschutzverbesserungen in Android 10
• File Based Encryption (FBE) ist für Geräte verbindlich, die mit dieser Android-Version auf den Markt kommen (Geräte, die darauf aktualisiert werden, können weiterhin Full Disk Encryption (FDE) verwenden), siehe Verschlüsselung
• Nur die Standard-App für Input Method Editor (IME) kann im Hintergrund auf Zwischenablage-Daten zugreifen, siehe Abschnitt Eingeschränkter Zugriff auf Zwischenablagedaten der Datenschutzänderungen in Android 10 und Abschnitt Zwischenablagedaten der Sicherheits- und Datenschutzverbesserungen in Android 10
• StrandHogg 2.0-Exploit (CVE-2020-0096) nicht mehr möglich (ein Patch für die Schwachstelle wird auch auf , und zurückportiert mit dem – sofern der Hersteller das Update für ein Gerät veröffentlicht hat), siehe und und

Android 11 (API 30) - Red Velvet Cake

Android-11-Versionshinweise – Sicherheit

• Task-Hijacking-Exploit (StrandHogg 1.0) (wenn eine andere App ihre taskAffinity auf dieselbe wie die Ziel-App setzt, um den Benutzer dazu zu bringen, sie zu starten, selbst wenn er die Ziel-App starten wollte und deren legitimes App-Symbol verwendet hat) nicht mehr möglich, siehe StrandHogg-Angriff / Task-Affinity-Schwachstelle und Strandhogg-Schwachstelle
• Apps können standardmäßig keine Informationen mehr über andere installierte Apps abfragen, siehe Paketsichtbarkeitsfilterung auf Android und Paketsichtbarkeit in Android 11
• Laufzeitberechtigungen werden für ungenutzte Apps automatisch zurückgesetzt, siehe Abschnitt Automatisches Zurücksetzen von Berechtigungen ungenutzter Apps der Berechtigungsupdates in Android 11 und Abschnitt Automatisches Zurücksetzen von Berechtigungen ungenutzter Apps von „Laufzeitberechtigungen anfordern“
• Scoped Storage eingeführt, aber Apps können weiterhin über requestLegacyExternalStorage darauf verzichten, siehe Speicherupdates in Android 11 und Abschnitt Opt-out in Ihrer Produktions-App der Android-Speicheranwendungsfälle und bewährten Methoden
• Eigenständigen (nicht nur als Fallback) DEVICE_CREDENTIAL-Authentifikator (PIN, Muster oder Passwort) zu hinzugefügt

Android 12 (API 31) - Snow ConeSicherheitsverbesserungen - Android 12

Android-12-Versionshinweise

• Das android:exported-Flag muss in Manifesten für Komponenten (Activities, Content-Provider usw.), die Intent-Filter deklarieren, explizit definiert werden, siehe Abschnitt „Sichereres Exportieren von Komponenten“ unter „Verhaltensänderungen: Apps, die auf Android 12 abzielen“
• Generische Web-Intents werden an die Standard-Browser-App des Benutzers weitergeleitet, es sei denn, die Ziel-App ist für die spezifische Domain freigegeben, die in diesem Web-Intent enthalten ist, siehe Abschnitt „Web-Intent-Auflösung“ unter „Android-12-Verhaltensänderungen: alle Apps“
• Weitere BouncyCastle-Implementierungen kryptografischer Algorithmen werden durch Conscrypt-Implementierungen ersetzt, siehe Abschnitt „BouncyCastle-Implementierung entfernt“ unter „Android-12-Verhaltensänderungen: alle Apps“
• Der Benutzer wird benachrichtigt, wenn eine App zum ersten Mal auf Zwischenablage-Daten einer anderen App zugreift, siehe Abschnitt „Systembenachrichtigung wird angezeigt, wenn deine App auf Zwischenablagedaten zugreift“ unter „Kopieren und Einfügen“
• Apps können Systemdialoge nicht mehr schließen, siehe Abschnitt „Apps können Systemdialoge nicht schließen“ unter „Android-12-Verhaltensänderungen: alle Apps“
• Tapjacking-Entschärfung: Es wird verhindert, dass Apps Touch-Ereignisse verarbeiten, wenn eine Überlagerung die App verdeckt, siehe Cloak & Dagger
• Scoped Storage wird immer erzwungen; ein Opt-out über requestLegacyExternalStorage ist nicht mehr möglich, siehe

Android 13 (API 33) - Tiramisu

Sicherheitsverbesserungen - Android 13

Android-13-Versionshinweise - Sicherheit

• Nicht übereinstimmende Intents werden durch Intent-Filter blockiert (Apps können keinen Intent an eine exportierte Komponente einer anderen App senden, es sei denn, er entspricht vollständig dem von ihr definierten Intent-Filter), siehe Abschnitt „Intents sollten mit deklarierten Intent-Filtern übereinstimmen“ unter „Android-13- und Android-13-QPR-Versionshinweise“
• Nur die Dateibasierte Verschlüsselung (FBE) ist erlaubt, die Full-Disk-Verschlüsselung (FDE) ist nicht mehr zulässig - auch nicht für Geräte, die von einer Version aktualisiert wurden, in der sie zulässig war
• Shared UIDs sind veraltet. Sie wurden verwendet, um den Sandbox-Zugriff zwischen zwei oder mehr Apps sowie die Möglichkeit, im selben Prozess ausgeführt zu werden, zu teilen. Sie konnten nicht-deterministisches Verhalten im Paketmanager verursachen und werden daher in einer zukünftigen Android-Version entfernt. Siehe Anwendungssignierung
• Keymaster-Unterstützung für symmetrische kryptografische Grundbausteine wie AES (Advanced Encryption Standard), HMAC (Keyed-Hash Message Authentication Code) und asymmetrische kryptografische Algorithmen (einschließlich Elliptic Curve, RSA2048, RSA4096 und Curve 25519)
• Laufzeitberechtigung POST_NOTIFICATIONS zum Senden von nicht ausgenommenen Benachrichtigungen (einschließlich Vordergrunddiensten (FGS)) aus einer App hinzugefügt, siehe Laufzeitberechtigung für Benachrichtigungen und android.permission.POST_NOTIFICATIONS
• Apps benötigen die Laufzeitberechtigung, um Toasts anzuzeigen, wenn die App nicht im Vordergrund ist. Dies kann sehr kontraintuitiv sein, um Benutzern zu erklären, warum die App die Berechtigung zum Posten von Benachrichtigungen benötigt, wenn sie dir nur Toast-Nachrichten anzeigen möchte. Darüber hinaus können Toasts nicht mit verknüpft werden. Siehe

Android 14 (API 34) - Upside Down Cake

Sicherheitsverbesserungen - Android 14

Android-14-Sicherheits-Versionshinweise

• Einführung der Mindestanforderung an targetSdk: Apps, die auf Android-Versionen älter als Android 6 (API 23) abzielen, können nicht mehr installiert werden. Das bedeutet, dass du davon ausgehen kannst, dass die mit Android 6 (API 23) eingeführten Sicherheitsbeschränkungen (in diesem Fall bemerkenswerterweise die Behandlung von Laufzeitberechtigungen) jetzt für alle auf dem Gerät installierten Apps gelten (diese Mindestanforderung wird voraussichtlich mit jeder zukünftigen Android-Version steigen), siehe Abschnitt „Minimales installierbares Ziel-API-Level“ unter „Verhaltensänderungen: alle Apps“
• Der Name der App, die eine bestimmte Mediendatei gespeichert hat, wird standardmäßig geschwärzt (es sei denn, ihr Paketname ist für andere Apps immer sichtbar oder die abfragende App hat die QUERY_ALL_PACKAGES-Berechtigung erteilt bekommen - was eine spezielle manuelle Google-Play-Überprüfung erfordert), siehe Abschnitt „Paketnamen von Medienbesitzern können geschwärzt werden“ unter „Verhaltensänderungen: alle Apps“
• Beschreibungen zu Standortberechtigungsabfragen hinzugefügt, die erklären, warum eine App diese Berechtigung möglicherweise benötigt.
• Erhebliche Verbesserungen an Hardware-assisted AddressSanitizer (HWASan), das bereits in Android 10 als Speicherfehlererkennungstool ähnlich dem veralteten AddressSanitizer eingeführt wurde, das es ersetzt.
• Unterstützung zum Ablehnen von Mobilfunkverbindungen mit Null-Verschlüsselung hinzugefügt, um sicherzustellen, dass leitungsvermittelter Sprach- und SMS-Verkehr immer verschlüsselt und vor passivem Abfangen über die Luft geschützt ist, siehe Android 14 führt erstmals Sicherheitsfunktionen für die Mobilfunkkonnektivität ein

Android 15 (API 35) - Vanilla Ice Cream

Android-15-Sicherheits-Versionshinweise

• Apps, die auf Android-Versionen älter als Android 7 (API 24) abzielen, können nicht mehr installiert werden. Das bedeutet, dass du davon ausgehen kannst, dass die mit Android 7 (API 24) eingeführten Sicherheitsbeschränkungen jetzt für alle auf dem Gerät installierten Apps gelten, siehe Abschnitt „Erhöhte Mindest-Target-SDK-Version von 23 auf 24“ unter „Verhaltensänderungen: alle Apps“
• Das System fragt jetzt nach Biometrie (sofern diese eingerichtet ist), wenn der USB-Modus und das Bildschirm-Timeout geändert werden, siehe Android 15 überprüft, ob du es bist, wenn du eine Verbindung zu einem PC herstellst
• Weitere Entschärfung für Task-Hijacking (StrandHogg): Wenn die oberste Aktivität eine Task beendet, kehrt Android zu der Task zurück, die zuletzt aktiv war. Wenn außerdem eine nicht-oberste Aktivität ihre Task beendet, kehrt Android zum Startbildschirm zurück; es blockiert das Beenden dieser nicht-obersten Aktivität nicht, siehe Abschnitt „Weitere Änderungen“ unter „Verhaltensänderungen: Apps, die auf Android 15 oder höher abzielen“
• Weitere Entschärfung für Task-Hijacking (StrandHogg): Beliebige Aktivitäten können nicht mehr von anderen Apps in deine eigene Task gestartet werden, siehe Abschnitt „Weitere Änderungen“ unter „Verhaltensänderungen: Apps, die auf Android 15 oder höher abzielen“
• Entschärfung für Angreifer, die falsch konfigurierte PendingIntents missbrauchen: PendingIntent-Ersteller blockieren jetzt standardmäßig Starts von Hintergrundaktivitäten, wenn deine App auf Android 15 (API 35) abzielt, siehe Abschnitt „Weitere Änderungen“ unter „Verhaltensänderungen: Apps, die auf Android 15 oder höher abzielen“
• Standardmäßig ist es Apps nicht mehr erlaubt, den Task-Stack in den Vordergrund zu bringen, es sei denn, der PendingIntent-Ersteller erlaubt Startprivilegien für Hintergrundaktivitäten oder der Absender hat Startprivilegien für Hintergrundaktivitäten, wenn deine App auf Android 15 (API 35) abzielt, siehe

Android 16 (API 36) - Baklava

Android-16-Sicherheits-Versionshinweise* Standardmäßige Sicherheit gegen allgemeine Intent-Umleitungsangriffe hinzugefügt. Das Starten von Intents, die von anderen Apps empfangen wurden, z. B. als Extra an den Intent angehängt, der die aktuelle App startet, wird blockiert. Siehe Abschnitt „Verbesserte Sicherheit gegen Intent-Umleitungsangriffe“ unter Verhaltensänderungen: Alle Apps

• Neuer Schutz der Standortprivatsphäre des Benutzers vor bösartigen Apps während des Ablaufs der Companion-Device-Kopplung. Companion-Apps, die auf Android 16 laufen, werden nicht mehr direkt über Discovery-Timeout-Ereignisse mittels RESULT_DISCOVERY_TIMEOUT benachrichtigt. Stattdessen wird der Benutzer über Timeout-Ereignisse mit einem visuellen Dialog informiert. Wenn der Benutzer den Dialog schließt, wird die App über den Kopplungsfehler mit RESULT_USER_REJECTED benachrichtigt. Siehe Abschnitt „Companion-Apps werden nicht mehr über Discovery-Timeouts benachrichtigt“ unter Verhaltensänderungen: Alle Apps
• MediaStore#getVersion() ist jetzt für jede App eindeutig. Dadurch werden identifizierende Eigenschaften aus der Versionszeichenfolge entfernt, um Missbrauch und die Verwendung für Fingerprinting-Techniken zu verhindern. Siehe Abschnitt „MediaStore-Versionssperre“ unter Verhaltensänderungen: Apps, die auf Android 16 oder höher abzielen und getVersion-Methode von MediaStore
• Apps können mithilfe ihres App-Manifests Opt-in für die strikte Intent-Auflösung wählen. „Safer Intents“ (ursprünglich in Android 15 als Teil von StrictMode eingeführt) bedeutet, dass Intents eine nicht-null Action haben und dem Intent-Filter der Ziel-App entsprechen müssen, um zugestellt zu werden. Es kann nun entweder eine dieser beiden Regeln oder nur die Übereinstimmung mit dem Intent-Filter erzwungen werden. Siehe Abschnitt „Safer Intents“ unter Verhaltensänderungen: Apps, die auf Android 16 oder höher abzielen und insbesondere den Abschnitt „Implementierung“

Android 17 (API 37) - Cinnamon Bun

Android 17 Security Release Notes

• Einführung des Android-Kontakt-Pickers, einer standardisierten, durchsuchbaren Oberfläche, über die Benutzer Kontakte mit Ihrer App teilen können, ohne die Berechtigung READ_CONTATCS zu benötigen. Siehe Abschnitt „Android-Kontakt-Picker“ unter Features und APIs
• Keine Zulassung von profilübergreifendem Loopback-Verkehr mehr. Siehe Abschnitt „Profilübergreifenden Loopback-Verkehr blockieren“ unter Verhaltensänderungen: Alle Apps
• Ein Limit (50.000 Schlüssel für Nicht-System-Apps, die auf Android 17 abzielen) für die Anzahl der Schlüssel durchsetzen, die eine App im Android-Keystore erstellen kann, um diese gemeinsam genutzte Ressource zu schützen, da dieser Speicher begrenzt und zwischen Apps gemeinsam genutzt wird. Wenn eine App versucht, Schlüssel über das Limit hinaus zu erstellen, schlägt die Erstellung mit einer KeyStoreException fehl. Siehe Abschnitt „Keystore-Limits pro App“ unter Verhaltensänderungen: Alle Apps
• Neue Erkennungsmöglichkeiten für StrictMode (dies wird in Android 18 standardmäßig erzwungen): Derzeit gewährt das System, wenn eine App einen Intent mit einer URI startet, die die Aktion ACTION_SEND, ACTION_SEND_MULTIPLE oder ACTION_IMAGE_CAPTURE aufweist, der Ziel-App automatisch die Lese- und Schreib-URI-Berechtigungen. Ab Android 18 wird das System diese Berechtigungen nicht mehr automatisch gewähren. Siehe Abschnitt „Implizite URI-Gewährungen einschränken“ unter Verhaltensänderungen: Alle Apps
• Certificate Transparency standardmäßig für Apps aktivieren, die auf Android 17 oder höher abzielen. Siehe Abschnitt „CT standardmäßig aktivieren“ unter Verhaltensänderungen: Apps, die auf Android 17 oder höher abzielen