Das NitroPhone 5 von Nitrokey vermählt das Google-Smartphone Pixel 9 mit dem gehärteten Custom-ROM GrapheneOS.

Die meisten Menschen nutzen ihre Smartphones freiwillig mit dem vorinstallierten Android oder iOS. Dabei ist ihnen oft nicht bewusst, dass auch die Software sie teuer zu stehen kommt: Sie bezahlen dafür mit ihren persönlichen Daten, die die Hersteller abfischen und ausschlachten. Die Erkenntnis, dass uns das zum gläsernen Menschen macht, den die Konzerne jederzeit und überall verfolgen, setzt sich jedoch immer weiter durch. Das hat die Entwicklung mobiler Betriebssysteme begünstigt, die den Schutz der Privatsphäre als schützenswertes Gut begreifen. Hier finden sich neben reinen Linux-Systemen wie dem Librem 5 von Purism vor allem Custom-ROMs.

Custom-ROMs

Als Custom-ROMs bezeichnet man Distributionen, die auf Googles Android Open Source Project (AOSP) basieren und sich meist dem Datenschutz und der Steigerung der Sicherheit verschrieben haben. Zu den bekanntesten Vertretern dieser Gattung zählen LineageOS, /e/OS, DivestOS, CalyxOS und GrapheneOS. Sie alle lassen sich mehr oder weniger einfach auf verschiedenen Smartphones installieren. Das ermöglicht, ältere Geräte nachhaltig weiterzubetreiben, nachdem die Aktualisierungen von Google oder den Drittausstattern ausbleiben.

Wer sich die Installation eines Custom-ROM nicht zutraut, kann ein mit /e/OS oder GrapheneOS vorinstalliertes Smartphone erwerben – beispielsweise bei Nitrokey [1]. Das Berliner Unternehmen wurde durch die gleichnamigen Open-Source-Sicherheits-Dongles bekannt. Vor einigen Jahren ergänzte die Firma ihr Portfolio dann um PCs, Notebooks und Smartphones mit Fokus auf höchstmögliche Sicherheit und rigorosen Datenschutz bei gleichzeitiger Wahrung der Alltagstauglichkeit. Entsprechende unter der Marke NitroPhone vertriebene Smartphones gibt es seit 2021. Sie setzen hardwareseitig auf die Pixel-Baureihe von Google und softwareseitig auf das speziell gehärtete Custom-ROM GrapheneOS.

GrapheneOS

Das vom streitbaren Sicherheitsforscher Daniel Micay federführend entwickelte GrapheneOS [2] bietet weitestgehende Kompatibilität mit Android-Apps, verzichtet aber standardmäßig auf die Nutzung der Google-Play-Dienste. Die kann der Anwender aber bei Bedarf in einer Sandbox nachinstallieren. Der deutsche Sicherheitsforscher Mike Kuketz [3] bezeichnet GrapheneOS als Goldstandard in Sachen Datensendeverhalten, selbst Edward Snowden [4] gehört zu den Anhängern des Systems.

Micay entwickelte GrapheneOS ausschließlich für Googles Pixel-Smartphones. Wer eine gewisse Ironie darin sieht, dass für Google-Hardware entwickelte Software ohne die Dienste des Konzerns daherkommt, dem sei versichert, dass es für die Wahl der Pixel-Reihe gute Gründe gibt. Zunächst einmal ist es recht einfach und offiziell erlaubt, das ausgelieferte Standard-Android auszutauschen, da man keine proprietären Zusätze anderer Hersteller berücksichtigen muss. Der Bootloader lässt sich im Gegensatz zu vielen anderen ROMs hinterher wieder schließen, was eine verifizierte Bootkette ermöglicht.

Hinzu kommt der auf dem freien CPU-Befehlssatz RISC-V basierende Sicherheitschip Titan M2 [5]. Damit realisiert Google die sogenannte Android Strongbox, eine Sammlung härtender Sicherheitsmerkmale, die unter anderem biometrische Daten sicher aufbewahrt. Nicht zuletzt genießen die Google-Geräte seit dem Pixel 8 sieben Jahre Unterstützung mit Betriebssystem- und Sicherheitsupdates. Damit bieten sie eine hohe Nachhaltigkeit. Auch die Kernel-Version fällt mit v6.1 beim Pixel 9 [6] aktueller aus als bei anderen Geräten.

Die Firma Nitrokey hat uns freundlicherweise zum Test das NitroPhone 5 [7] zur Verfügung gestellt, ein aktuelles Pixel 9 mit vorinstalliertem GrapheneOS. Neben dem von uns getesteten Modell bietet der Hersteller mit dem NitroPhone 5 Pro, Pro XL und Pro Fold drei weitere Modelle an. Unser Testgerät verfügt über ein 6,3-Zoll-Display, 12 GByte RAM sowie 128 GByte Hauptspeicher, die sich bei der Bestellung gegebenenfalls verdoppeln lassen. Als SoC dient ein Google Tensor G4 mit Octa-Core-CPU und Mali-G715-MC7-GPU. Ein Tensor-Sicherheitskern, ein zertifizierter Titan-M2-Sicherheitschip und die vertrauenswürdige Ausführungsumgebung Trusty erhöhen die Sicherheit.

Software

Die Softwareausstattung umfasst neben AOSP-Apps für Dateimanager, Galerie, Telefon, Uhr und Rechner den auf Chromium basierenden gehärteten Browser Vanadium [8] sowie einen PDF-Viewer und eine eigene Kamera-App von GrapheneOS. Die App Auditor (Abbildung 1) stellt ein weiteres Sicherheitsmerkmal dar: Sie verwendet Hardwarefunktionen des Pixel 9, um sicherzustellen, dass das Betriebssystem authentisch ist und nicht kompromittiert wurde [9]. Die vorinstallierten Anwendungen gelten als sicher. Nichts dringt nach außen, Tracker haben keine Chance.

Abbildung 1: Unter Zuhilfenahme eines zweiten Android-Phones und der App Auditor lässt sich das NitroPhone 5 auf Manipulationen bei Bootloader und Betriebssystem überprüfen.

Das NitroPhone beschränkt Sie aber nicht auf die vorinstallierten Apps. Die Entwickler empfehlen die Installation des in eine Sandbox gesperrten Google Play Stores (Abbildung 2), den Sie gegebenenfalls aber problemlos über den Browser durch F-Droid (Abbildung 3), Aurora oder einen anderen App-Store Ihrer Wahl ersetzen. Alle Anwendungen in Android laufen standardmäßig in einer Sandbox, die GrapheneOS zusätzlich härtet. Zudem können Sie jeder App, die Sie installieren, den Netzwerkzugang untersagen. Das hilft beispielsweise dabei, die Google-Tastatur Gboard zu nutzen, ohne dass die App nach Hause telefonieren kann.

Abbildung 2: GrapheneOS empfiehlt für zusätzliche Apps den Google Play Store, den es bei der Installation in eine Sandbox sperrt.

Abbildung 3: Die Wahl des App-Stores liegt bei Ihnen. Neben F-Droid steht auch Aurora als an Google Play angelehnte Alternative bereit.

Es ist nicht gerade ein Schnäppchen, ein aktuelles Smartphone wie das Pixel 9 mit vorinstalliertem GrapheneOS zu erwerben. Das von uns getestete Einstiegsmodell NitroPhone 5 kostet 1258 Euro, das Pixel 9 Pro und Pro XL 1539 respektive 1679 Euro. Die Unterschiede [10] zwischen den vier Editionen führt die Webseite von Logitel auf. Das NitroPhone 5 Pro Fold spielt in einer anderen Liga und kostet 2660 Euro.

Der Aufschlag von Nitrokey auf den Preis für das jeweilige Pixel-Modell beträgt rund 500 Euro. Sie können allerdings auch ein Standard-Pixel-Phone erwerben und GrapheneOS selbst darauf installieren. Dank des webbasierten Installers [11] ist das heute kein Hexenwerk mehr.

Fazit

Nitrokey bietet mit der Kombination aus dem aktuellen Pixel 9 von Google und dem gehärteten Custom-ROM GrapheneOS ein sehr sicheres, sofort gebrauchsfertiges Produkt. Die Grundlage für die exzellente Security legt Google mit dem Tensor-Sicherheitskern und dem zertifizierten Titan-M2-Sicherheitschip, hinzu kommen die zusätzlichen Härtungen durch GrapheneOS und der Verzicht auf Google-Dienste. Beides zusammen macht das NitroPhone 5 zum derzeit vermutlich sichersten Smartphone des Planeten. Das gilt allerdings nur ohne Google Play – Sandbox hin oder her. (jlu)