Die App für den Behörden-Login AGOV in der Schweiz unterstützt kein GrapheneOS, eine sichere Android-Alternative für Smartphones.
GrapheneOS ist für Nutzerinnen und Nutzer von Android-Smartphones eine empfehlenswerte Betriebssystem-Alternative.
Viele Rechtsanwältinnen und Rechtsanwälte, die kein iPhone einsetzen, verwenden GrapheneOS, um ihre beruflichen und privaten Daten möglichst gut zu schützen.
Im Gegensatz zu Android ist GrapheneOS auf Datenschutz und Sicherheit ausgerichtet. Ausserdem nutzt GrapheneOS standardmässig keine Apps und Dienste von Google.
Rechtsanwältinnen und Rechtsanwälte müssen gleichzeitig in der Lage sein, die Plattform justitia.swiss für den digitalen bzw. elektronischen Rechtsverkehr zu nutzen. Für den Login bei der Plattform ist die AGOV-App erforderlich, die aber kein GrapheneOS unterstützt.
Wieso unterstützt die AGOV-App kein GrapheneOS?
Die Digitale Verwaltung Schweiz (DVS) erklärt die fehlende Unterstützung für GrapheneOS wie folgt:
«Die AGOV access App funktioniert nicht auf GrapheneOS, weil das Hardening-Framework, welches die AGOV access App vor unzulässigen Manipulationen schützt, nicht mit GrapheneOS kompatibel ist. Die Bundeskanzlei hat den Lieferanten beauftragt, die Kompatibilität herzustellen.»
Die AGOV-App ist abhängig von Google, insbesondere von den Google Mobile Services (GMS):
«Technisch betrachtet unterscheidet sich GrapheneOS in sicherheitsrelevanten Architekturdetails signifikant von Google-zertifizierten Standard-Distributionen, insbesondere bei der Bereitstellung von Systemdiensten und der Implementierung von Schnittstellen, auf welche die Runtime Application Self-Protection der App zwingend angewiesen ist (es fehlen die Google Mobile Services – GMS).
So verwendet die AGOV access App Firebase Cloud Messaging (FCM) für das Versenden von verschlüsselten Push-Notifications und Google Play Integrity API zum Ausstellen von Attestationen.»
Die AGOV-App soll in Zukunft unabhängig von Google funktionieren, doch wird kein Zeithorizont genannt:
«Der Lieferant arbeitet an einer Version der App, ohne Abhängigkeit zu den Services von Google unter Sicherstellung derselben Funktionalität, ohne Kompromittierung der Sicherheitsanforderungen von AGOV. Bis zur Umsetzung dieser Anpassungen bleibt die App auf diesem Betriebssystem jedoch vollständig blockiert.»
Wieso können viele Rechtsanwältinnen und Rechtsanwälte nicht auf die Unterstützung von GrapheneOS warten?
Rechtsanwältinnen und Rechtsanwälten, die ausschliesslich GrapheneOS verwenden, läuft – mindestens im Kanton Zürich – die Zeit davon.
Im Kanton Zürich müssen sich Rechtsanwältinnen und Rechtsanwälte bis spätestens am 1. September 2026 bei der «produktiven» Plattform justitia.swiss registrieren.
Ab dem 1. Januar 2026 ist für kantonale «strittige Verfahren im Geltungsbereich des VRG» die Nutzung der Plattform justitia.swiss vorgeschrieben.
Das verlangt die Aufsichtskommission über die Anwältinnen und Anwälte mit Beschluss KI260127 vom 7. Mai 2026.
Für die Registrierung bei der Plattform justitia.swiss ist die AGOV-App unter Android oder iOS erforderlich.
Empfehlung: Günstiges Zweit-Smartphone oder FIDO2-Sicherheitsschlüssel
Es ist allerdings nicht sinnvoll, aufgrund der Google-Abhängigkeit des Behörden-Logins AGOV auf den Datenschutz und die Sicherheit von GrapheneOS zu verzichten, wenn man sich in der Android-Welt bewegt.
Eine naheliegende Lösung für Nutzerinnen und Nutzer von GrapheneOS ist ein günstiges Zweit-Smartphone mit dem regulären Android-Betriebssystem, um dort die AGOV-App verwenden zu können.
Daneben besteht die Möglichkeit, anstelle der AGOV-App einen Sicherheitsschlüssel gemäss dem FIDO2-Standard zu verwenden. AOGV unterstützt Schlüssel von YubiKey und weiteren Herstellern.
Smartphone: Was muss die Strafverteidigung über technische Fragen wissen?
Ergänzend zur im Artikel erwähnten Möglichkeit kann AGOV auch ohne Smartphone mit einem FIDO2-Sicherheitsschlüssel genutzt werden. AGOV führt eine Liste kompatibler Modelle:
https://agov.ch/fido
Das derzeit günstigste dort aufgeführte Modell mit USB-C ist nach meiner Preisrecherche der Token2 T2F2-PIN+ NFC-Slim. In der Schweiz kostet er einschliesslich Versand rund 26 Franken.
Damit ist diese Lösung günstiger als ein separates Android-Gerät und dürfte in vielen Bedrohungsmodellen auch sicherer sein: Der kryptografische Schlüssel wird in einem dedizierten, hardwaregeschützten Secure Element gespeichert und kann nicht exportiert oder synchronisiert werden. Ausserdem muss kein zusätzliches Smartphone eingerichtet, aktualisiert und ausschliesslich für AGOV aufbewahrt werden.
Hinzu kommt, dass bei Android-Geräten der Preis häufig mit der Sicherheitsqualität korreliert: Sehr günstige Geräte erhalten tendenziell kürzer oder unregelmässiger Sicherheitsupdates, verfügen über schwächere Sicherheitskomponenten und werden vom Hersteller weniger lange unterstützt. Je günstiger das Gerät, desto grösser ist daher häufig auch das Sicherheitsrisiko.
In Kombination mit einem sicherheitsorientierten Betriebssystem wie Qubes OS ergibt sich eine interessante, gut isolierbare und von einem Smartphone sowie von Google weitgehend unabhängige Lösung. Auch zum Ausprobieren dürfte ein solcher Sicherheitsschlüssel interessanter sein als ein günstiges Android-Zweitgerät.
Merci für die hilfreiche Ergänzung!
Auch ich habe lange Zeit einen USB-C Token verwendet bis ich mir das Handling bei Verlust angeschaut habe. Bei AGOV kann ich wenigstens ein zweites Smartphone anmelden … Zudem wird es wohl kaum bei einer Applikation bleiben, welche einen Token als Authentifierung verwendet. Somit ist ein einzelner Token ein zu grosses Risiko bei Totalverlust….
Der Verlust und ein nicht (schnell genug) erreichbares oder gar nicht funktionierendes Backup sehe ich bei Sicherheitsschlüsseln auch als grosses Risiko.
Das Risiko das einen einzelner FIDO-Key ausfällt oder verlohren geht, ist wohl mit dem gleichen Risiko bei der AGOV-App auf einem Gerät vergleichbar. Daher ist generell ein Setting mit Backup (2. Gerät mit APP oder 2. FIDO-Keys) empfehlenswert. AGOV lässt die Registrierung mehrerer Apps und Keys zu.
Bei FIDO2 Key unbedingt auf das Level 2 achten. Leider hat nicht jeder FIDO2 Key auch Level 2.
Gemäss meiner Info, sollte die App im Q3 oder Q4 erscheinen wie mir vom Support der AGov versichert wurde.
Mich stört aber etwas ganz anderes, in den Datenschutzerklärung (agov.ch/privacy) verlieren Sie kein darüber, dass Sie Google Dienste verwenden und Google evtl. etwas mitliest.
Die App wird zwar noch nicht offiziell unterstützt, aber sie kann dennoch einfach zum Laufen gebracht werden: Betroffene Nutzer müssen die Einstellung «secure app spawning» deaktivieren. Diese Einstellung hat sich früher systemweit ausgewirkt, seit Kurzem ist sie App-spezifisch. Vermutlich wird man um installierte Google Play-Dienste nicht herumkommen, aber dieses Übel lässt laut einem Nutzerbericht in ein sekundäres Profil verfrachten wenn gewünscht: https://github.com/PrivSec-dev/banking-apps-compat-report/issues/856#issuecomment-4881321798
Funktionieren mit deaktiviertem «Secure App Spawning» für die AGOV-App auch die Push-Benachrichtigungen?
Das hat keinen Einfluss auf Benachrichtigungen also dürften die problemlos ankommen, angenommen die Google Play-Dienste sind installiert und korrekt konfiguriert. Vereinfacht gesagt senden Android Apps Benachrichtigungen über Firebase Cloud Messaging (FCM) und das wird letzten Endes über Google Play abgewickelt. Manche Apps wie z.B Signal bieten eine Ausweichlösung, andere wiederum nicht. Tja und wenn es keine Alternative gibt und Google Play in dem jeweiligen Profil fehlt dann bleiben die Benachrichtigungen einfach aus. :D
Schau Dir bitte mal https://chaos.social/@datacyclist@swiss.social/116919580486541414 an. Was hältst Du davon?
Eine GrapheneOS kompatible Version scheint in Kürze zu folgen:
Siehe Diskussion hier:
https://discuss.grapheneos.org/d/23378-app-thinks-phone-is-rooted/52
Link zur app: https://www.agov.ch/?c=agovapk&l=de