Volkswagen sperrt GrapheneOS aus – „Sicherheit“, die Google heißt

Stell dir vor, du kaufst ein Auto für fünfzigtausend Euro – und der Hersteller entscheidet, dass dein Telefon nicht gut genug ist, um damit zu reden. Nicht zu unsicher. Zu sicher. Genau das ist im Juni passiert: Ein Update der Volkswagen-App, ohne Ankündigung und ohne Release Notes, hat GrapheneOS-Nutzer ausgesperrt. Erst flog die Synchronisation raus, dann der Login – und wer sich einmal abgemeldet hat, kommt nicht mehr rein. Dieselben Zugangsdaten funktionieren auf einem Standard-Pixel einwandfrei.

Was passiert ist

Betroffene berichten seit Anfang Juni in Foren und im offiziellen GrapheneOS-Forum vom immer gleichen Muster: App aktualisiert, Sync tot, Login unmöglich. Die Antwort des VW-Supports an einen Betroffenen: GrapheneOS sei „kein offizielles Volkswagen-Angebot“, man möge sich doch an seinen Betriebssystem-Anbieter wenden. In einer weiteren Stellungnahme heißt es, bei Custom-ROMs wie GrapheneOS oder LineageOS könne es zu Einschränkungen kommen, weil die App auf „sicherheitsrelevante“ Prüfungen setze – gemeint ist Googles Play-Integrity-Prüfung, und ein anderer Nutzer wurde direkt gefragt, ob sein Gerät denn „Play Protect zertifiziert“ sei.

„Sicherheit“, die Google heißt

Halten wir die Logik kurz fest: Die Volkswagen-App läuft laut Play-Store-Eintrag weiterhin auf Android 10 – einem Betriebssystem von 2019, das seit Jahren keine Sicherheitsupdates mehr bekommt und dessen Lücken öffentlich dokumentiert sind. Gesperrt wird stattdessen ein gehärtetes, regelmäßig extern auditiertes System, das schneller patcht als Google selbst. Wer ernsthaft um Geräteintegrität besorgt wäre, würde nicht museumsreife Androiden durchwinken und ausgerechnet das härteste System blockieren. Play Integrity prüft nämlich nicht, ob dein Gerät sicher ist – es prüft, ob dein Gerät Google-zertifiziert ist. Das ist ein Unterschied ums Ganze, und er betrifft längst nicht nur Autofahrer: auch bei Banking-Apps entscheidet dieselbe Prüfung darüber, was auf deinem eigenen Gerät laufen darf.

Ein Muster, kein Einzelfall

Der Rauswurf passt in ein Bild. Erst Ende Mai hat Volkswagen still und leise die Authentifizierung seiner Fahrzeug-API umgestellt und damit Drittanbieter-Anbindungen gekappt: Wer über Home Assistant seinen Ladevorgang nach Solarstrom-Angebot gesteuert oder den Fahrzeugstatus abgefragt hat, schaute plötzlich auf abgelaufene Tokens und tote Verbindungen. Erst die externen Werkzeuge, dann die unabhängigen Betriebssysteme – das Ökosystem wird dichtgemacht, Zugriff auf dein Auto gibt es nur noch auf Volkswagens Bedingungen. Daten gelten auch in der Autobranche als das neue Gold, und Gold verschenkt man nicht an Nutzer, die sich dem Sammeln entziehen.

Dass es anders geht, beweisen ausgerechnet Hyundai und Kia

Die GrapheneOS-Entwickler haben öffentlich klargestellt: Es gibt „keinen legitimen Grund“ für die Sperre. Wer Geräte wirklich verifizieren will, kann das über hardwaregestützte Attestierung tun – kryptografisch stärker als Play Integrity und ohne Google als Türsteher. Genau so machen es Hyundai und Kia, die GrapheneOS seit Monaten offiziell in ihren Apps unterstützen. Eine Anleitung dafür liegt öffentlich im Netz; GrapheneOS plant zudem eine Opt-in-Funktion, die Nutzer benachrichtigt, wenn gebündeltes Community-Feedback einen Hersteller umstimmen könnte. Die Werkzeuge existieren. Was fehlt, ist bei Volkswagen der Wille.

Was du tun kannst

Kurzfristig bleibt der Weblogin im Browser, so lange er funktioniert – oder ein Zweitgerät, was ungefähr so praktikabel ist, wie es klingt. Mittelfristig hilft, was Konzerne verstehen: Feedback über die offiziellen Kanäle, Verweis auf Hyundai und Kia als Beleg, dass es geht – und beim nächsten Autokauf die Frage, ob ein Hersteller, der dir vorschreibt, welches Betriebssystem du benutzen darfst, dein Geld verdient hat. Dein Smartphone gehört dir. Dein Auto eigentlich auch.