Android-Warnung zur Netzwerküberwachung: die Vertrauensänderung lesen

Drei Hinweise sehen auf einem Telefon gleich aus, doch nur einer betrifft ein Zertifikat. Eine VPN-Statuszeile, eine Warnung zum Vertrauensspeicher und ein Banner für ein verwaltetes Gerät benennen jeweils eine andere Kontrolle, und die App auf dem Bildschirm besitzt vielleicht keine davon. Wer zuerst den genauen Wortlaut liest, löscht nicht das Falsche. Arbeiten Sie die fünf Prüfungen unten der Reihe nach ab und halten Sie bei der ersten an, die fehlschlägt, denn die richtige Maßnahme ändert sich bei jedem Schritt vollständig.

Schritt 0: feststellen, welchen Hinweis Sie sehen

Der Wortlaut zählt mehr als das Symbol. Ein VPN-Statushinweis bedeutet, dass eine App einen aktiven VpnService hält. Eine Zertifikatswarnung bedeutet, dass etwas in einem Vertrauensspeicher installiert ist. Ein Hinweis auf ein verwaltetes Gerät bedeutet, dass ein Administrator eine Richtlinie angewendet hat, die womöglich auch Vertrauen installiert hat.

Wenn der Text wörtlich sagt, das Netzwerk könne überwacht werden, ist der Absender das System und nicht der VPN-Anbieter: Android druckt diese Zeile immer, wenn eine App einen aktiven VpnService hält, also erzeugt sie ein gängiger kommerzieller Client, ohne etwas in den Vertrauensspeicher zu legen. Zwei der drei Hinweise können gleichzeitig zutreffen, deshalb nennt die Beschwerde meist den falschen. Steht im Satz, es sei eine CA installiert, ist das VPN höchstens verdächtig, und eine Deinstallation lässt die Warnung womöglich genau dort, wo sie war.

Schritt 1: den Nachweis und seinen Speicher finden

Unter Android 9 bis 12 lautet der Pfad Einstellungen, Sicherheit, Verschlüsselung und Anmeldedaten, Vertrauenswürdige Anmeldedaten; Android 13 und neuer verschieben denselben Bildschirm unter Sicherheit und Datenschutz, dann Weitere Sicherheitseinstellungen, und OEM-Oberflächen benennen die Ebenen erneut um, suchen Sie also in der Einstellungen-App nach Vertrauenswürdige Anmeldedaten, wenn der Pfad nicht passt. Der Reiter Benutzer enthält Autoritäten, die eine Person oder eine App installiert hat, der Reiter System das, was mit dem Build kam. Eine von der Verwaltung eingeschobene Autorität erscheint über die Geräterichtlinie oder in einem Arbeitsprofil, nicht als beiläufiger Tipp im Benutzerspeicher.

Notieren Sie Aussteller, Gültigkeitsdaten und wer sie installiert hat. Steht der Eintrag gar nicht im Benutzerspeicher, hören Sie hier auf, denn er ist ein System- oder Verwaltungsobjekt, und es ist nicht Ihre Sache, ihn von einem Einstellungsbildschirm zu löschen. Die falsche Zeile dort zu löschen ist der Weg, auf dem ein Telefon WLAN oder eine Arbeitsanmeldung verliert, während die Vertrauensfrage unbeantwortet bleibt.

Schritt 2: die CA eines VPN-Profils vom Vertrauen des Telefons trennen

Ein OpenVPN-Profil oder jeder Client, der seinen Server über TLS authentifiziert, kann eine CA mitführen, die nur dieser Client zur Prüfung seines eigenen Servers nutzt. Ein WireGuard-Profil führt gar keine CA mit: Es stützt sich auf öffentliche Schlüsselpaare, eine Autorität im Vertrauensspeicher von Android kann also nie aus einer WireGuard-Konfiguration stammen. Das profillokale Zertifikat erreicht keine andere Anwendung, und es in den System-Vertrauensspeicher zu kopieren ist ein eigener Vorgang mit eigener Reichweite. Beides auseinanderzuhalten ist der ganze Punkt dieses Schritts, denn nur das Zweite ändert, was andere Apps akzeptieren.

Ein VPN-Profil mit CA ist daher kein Beweis für eine Abfangung, und eine VPN-App ist nicht Eigentümer eines Vertrauenseintrags, den sie nie erzeugt hat. Der Test ist billig: Stoppen Sie das VPN und lesen Sie den Hinweis erneut. Steht die Zertifikatswarnung weiterhin da, hat das VPN sie nicht dorthin gesetzt, und das Entfernen der App entfernt sie nicht.

Schritt 3: Server-Autorität und Client-Identität unterscheiden

Ein Client-Identitätszertifikat und sein privater Schlüssel weisen dieses Gerät gegenüber einem Server aus. Einer CA wird vertraut, damit sie Server gegenüber Anwendungen ausweist. Beide liegen zusammen und sehen in einer Liste ähnlich aus, erfüllen aber völlig unterschiedliche Aufgaben.

Das Entfernen einer Client-Identität kann WLAN- oder VPN-Authentifizierung brechen, ohne etwas am HTTPS-Vertrauen zu ändern, und das Entfernen einer CA betrifft jede App, die diese Autorität akzeptiert. Entscheiden Sie vor jedem Tastendruck, welche der beiden Sie vor sich haben, denn die Antwort nennt den Eigentümer und den Wiederherstellungsweg.

Schritt 4: fragen, welche Apps ihr tatsächlich vertrauen

Androids Netzwerksicherheitskonfiguration setzt die App-Grenze. Apps mit Ziel-API 24 oder neuer vertrauen standardmäßig System-Autoritäten, während Apps mit Ziel-API 23 oder älter standardmäßig auch vom Benutzer hinzugefügten Autoritäten vertrauen, und eine App kann eigene Anker nennen, Regeln pro Domäne ergänzen oder sich den Standards ganz entziehen.

Auf dem Telefon installiert beschreibt also nicht das HTTPS-Vertrauen jeder App: Eine vom Benutzer hinzugefügte Autorität kann von einer älteren App beachtet, von einer aktuellen ignoriert und von einer App mit eigenen Ankern ausdrücklich akzeptiert werden. Wurde die Autorität für Arbeits-WLAN, einen privaten Webdienst oder eine genehmigte Prüfung installiert, lautet die nützliche Frage, welche Anwendungen und Profile davon abhängen. Der Network Security Configuration guide ist die Referenz dafür, wie weit eine installierte Autorität in einer bestimmten App reicht, und genau diesen Teil lassen die meisten Zusammenfassungen dieser Warnung aus.

Schritt 5: entscheiden, dann Eigentümer und Ausstiegsplan festhalten

Ist die Autorität erwartet, dokumentieren Sie, wer sie installiert hat, welche Verbindungen davon abhängen und wie sie außer Betrieb genommen wird. Einer Autorität zu vertrauen ist eine bedeutende Entscheidung, auch wenn heute keine Abfangung stattfindet, denn das Vertrauen ist es, was Abfangung später möglich macht.

Ist sie unerwartet, klären Sie die Sache über den Eigentümer des Geräts oder des Dienstes, bevor Sie auf diesem Telefon sensible Daten eingeben. Ist sie veraltet, entfernen Sie genau diesen Eintrag über den, der ihn installiert hat, nachdem Sie geprüft haben, was davon abhängt, und beginnen Sie nie mit dem Löschen aller Anmeldedaten. Die Warnung zu verbergen ändert die Anzeige und sonst nichts. Ein privater Schlüssel oder ein vollständiges Profil gehört nie zu einem öffentlichen Zertifikatsprüfdienst, um die Frage zu klären.

Bevor Sie den Bildschirm verlassen, wollen Sie drei Antworten: wer sie installiert hat, welche Verbindungen davon abhängen und wie sie außer Betrieb genommen wird.