Nutzer von Android 17 haben soeben eine neue Ebene an Surf-Privatsphäre erhalten – auch wenn der Schutz nicht vollständig vor der Offenlegung ihrer Aktivitäten bewahrt.

Googles mobiles Betriebssystem Android 17 aktiviert nun Encrypted Client Hello (ECH), einen Privatsphäre-Standard, der das Ziel einer Webanfrage vor dem übertragenden Netzwerk verbirgt. Google stellte die Einführung in einem am Mittwoch veröffentlichten Sicherheitsbeitrag vor und beschreibt sie als erste breite Encrypted-Client-Hello-Einführung auf einem großen mobilen Betriebssystem, entwickelt gemeinsam mit dem Jigsaw-Team von Google und externen Entwicklern.

Die Funktion schließt eine lange bestehende Lücke in der Web-Verschlüsselung. Eine Seite wird über HTTPS geladen, ihr Inhalt ist also verschlüsselt – doch der Handshake, der die Verbindung öffnet, nennt die Website weiterhin im Klartext über ein Feld namens Server Name Indication (SNI). Jeder Knoten zwischen einem Smartphone und einem Server kann dieses Feld lesen und protokollieren, wohin ein Gerät sich verbindet – darunter Netzbetreiber, WLAN-Betreiber und Netzwerk-Schnüffler. Desktop-Browser wie Firefox und Chrome haben in den letzten Jahren ECH-Unterstützung eingeführt; Androids Schritt erweitert den Schutz auf die Plattform, auf der heute der Großteil des weltweiten Browserverkehrs stattfindet.

ECH versiegelt dieses Feld. Der Client verschlüsselt den Website-Namen mit einem Schlüssel, den das Ziel veröffentlicht, und nur dieser Server kann ihn entschlüsseln. Der Rest des Pfads sieht nur ein bedeutungsloses Label statt der Domain. Der Mechanismus setzt auf privatem DNS auf, das bereits den separaten Schritt verbirgt, der einen Namen in eine IP-Adresse übersetzt – und da ECH zur Übermittlung dieser öffentlichen Schlüssel auf verschlüsseltem DNS angewiesen ist, arbeiten beide Funktionen als Paar.

Der Schutz gilt nur für Websites und Apps, die ECH aktiviert haben. Google beschränkt die Aussage in seinem Beitrag auf „unterstützte Websites und Apps“ und drängt Entwickler, auf OkHttp 5.5.0 zu aktualisieren und die Funktion zu aktivieren. Bis sich die Verbreitung ausweitet, legt eine Anfrage an eine Website ohne ECH deren Domain weiterhin gegenüber dem Netzwerk offen. Der Einsatz hängt zudem davon ab, dass Websites ihre ECH-Konfigurationen über ihre DNS-Einträge veröffentlichen – Hosting-Anbieter und CDNs müssen die Funktion also unterstützen, damit sie ihre Kunden erreicht.

Selbst wo ECH aktiv ist, bleiben Grenzen. Das Netzwerk kann weiterhin die IP-Adresse des Zielservers und das übertragene Datenvolumen sehen. Ein Beobachter kann Aktivitäten auf grober Ebene ableiten, selbst wenn der Name verborgen ist – die Verschlüsselung ist ein Schloss auf dem Label, nicht auf der Tatsache, dass eine Verbindung stattgefunden hat. ECH hat zudem Widerstand von Netzbetreibern ausgelöst, die für Filterung und Überwachung auf sichtbare Domainnamen angewiesen sind – eine Spannung, die bestimmt, wie weit sich der Standard bei Betreibern und Unternehmensnetzwerken durchsetzen wird.

Googles Schritt auf Netzwerkebene kommt, während die Privatsphäre auf Geräteebene von Android vor Gericht auf die Probe gestellt wird. Samuel Tunick, ein Aktivist aus Atlanta, wurde als erste bekannte US-Person unter Bundesrecht angeklagt, weil er angeblich ein in GrapheneOS eingebautes Notfall-Passwort genutzt haben soll – eine gehärtete Android-Version, die das Gerät löscht, wenn der Code eingegeben wird. GrapheneOS erklärte, seine Software sei „vollkommen legal“ und verfassungsmäßig geschützt, während das Verfahren läuft; ein damit zusammenhängendes Strafverfahren hat den Streit als Frage dargestacht, wer die Daten auf einem Smartphone kontrolliert.

„Ich möchte einfach die Botschaft senden, dass die Regierung nicht unsere Daten besitzt“, sagte Tunick der New York Times in einem am Freitag veröffentlichten Interview.

Über ECH hinaus aktiviert Android 17 zudem standardmäßig Certificate Transparency – was es einer betrügerischen Zertifizierungsstelle erschwert, unbemerkt gefälschte Zertifikate für eine Website auszustellen – und verlangt von Apps eine Erlaubnis, bevor sie ein lokales Netzwerk scannen.