GrapheneOS ist ein gefährlicher Kult

Die Androiddistribution GrapheneOS hat technische Vorzüge, aber Menschen im Projekt machen einen Einsatz super riskant. Eine Warnung.

Was GrapheneOS ist und wie es entstand

GrapheneOS ist eine Androidvariante (oft Custom ROM oder kurz ROM genannt) mit einem Fokus auf Sicherheit. Das Projekt unterstützt nur die Installation auf Pixeltelefonen unter Verweis auf ihre Sicherheitsfunktionen. Neben einer Vielzahl an laut dem Projekt der Sicherheit dienenden Modifikationen, man beachte die entsprechend gestaltete Featureliste, setzt es zur Unterstützung von unfreien Anwendungen auf eine Sandbox mit Google Play. Das steht im Gegensatz zu vielen anderen ROMs, die hierfür die FOSS-Im­ple­men­tier­ung microG der Dienste einsetzen.

Entstanden ist Gra­phene­OS aus einer Abspaltung von Cop­per­head­OS. Ebenfalls eine Sicherheit bewerbende Androidvariante, kam es zum Zwist zwischen den beiden Projektleitern. Der technische Gründer von Copperhead verließ das Projekt, nahm den Open-Source-Teil und benannte es nach einer Weile in Gra­phene­OS um. Bei diesem Abgang kam es aber zum Eklat, denn Graphenes Gründer löschte die Kryptographischen Schlüssel von Copperhead. Dadurch konnte die Distribution monatelang keine Updates ausliefern.

Hintergrund des Konflikts waren allen Verlautbarungen nach Versuche Copperheads, das Projekt weiter abzuschirmen, nachdem man schon auf eine unfreie Lizenz gewechselt war. So stand der Code ab 2016 unter CC BY-NC-SA. Dazu kam eine Vielzahl weiterer Vorwürfe, laut denen Copperhead seine Nutzer verrate. Es war damals sehr einfach, im Gründer von Gra­phene­OS den betrogenen zu sehen und selbst die Keylöschung als zwar riskanten und sicher illegalen, aber vielleicht ethisch notwendigen Schritt zum Schutz der Nutzer. Gra­phene­OS startete mit dem Image, militant Nutzerinteressen zu vertreten und daher eine tolle Wahl zu sein.

Die Vorwürfe des Rossman-Videos

Dieses Image erwies sich als verfehlt, als der Aktivist für Nutzerrechte und Youtuber Louis Rossmann im Mai 2023 das Video Why I deleted Gra­phene­OS veröffentlichte:

Rossmann zeichnete dort nach intensivem Kontakt mit Graphenes Gründer ein sehr negatives Bild. Und während ich jetzt ein paar Kernpunkte nacherzähle, ist es am einfachsten sich das Video anzuschauen. Rossmann zeige dort Chats, in denen Graphenes Gründer ihn bedrohte. Warum? Unter anderem, weil Rossmann unter einem Video des Linuxchannels Tech­lore kommentiert hatte, in dem Techlore von Angriffen durch Graphene berichtete. Natürlich wurde das auch verlinkt und ich baue es hier ein:

Es stellte sich raus: Graphenes Gründer sah in vielen Projekten Feinde, die aktiv gegen ihn vorgingen. Dafür habe er Beweise, die er aber seltsamerweise nie zeigen konnte – oder behauptete, sie schon gezeigt zu haben. Seine signifikante Präsenz und Gefolgschaft in den sozialen Medien, wo er die Vorwürfe wiederholte, sorge für Angriffe der Gefolgschaft gegen diese anvisierten Projekte. Und wer innerhalb Graphenes Kommunikationskanälen daran Kritik übte, oder auch nur eine entsprechendes Emoticon setzte, wurde gebannt. Öffentlich bezichtigte er angebliche Fans der Androidvariante Calyx sogar des versuchten Mordes:

Da ist eine aktive Polizeiuntersuchung in die Sache. Es gab einen ernsthaften Vorfall, der weit über Onlineangriffe und Verleumdung hinausging. Es gab einen eindeutigen Versuch eines Calyxsupporters mich zu töten, er attackierte unsere Chaträume, spammte Kinderpornographie und attackierte mich.

Harter Tobak. Beweise gab es keine. Aber nehmen wir mal an, das passiert genau so. Da war jemand in deren Matrixchannel, gab sich als Fan von Calyx­OS aus, spammte herum und schickte sogar ein Polizeieinsatzkommando zu seiner Tür. Dann ist das furchtbar. Aber bewiese das, dass die Leute vom Calyxprojekt sich gegen ihn verschwören und das steuerten, sodass später immer wieder die Feindschaft zu dem Projekt betont werden muss? Das braucht nichtmal einer Antwort.

Nachdem Rossmann auf seine Drohungen mit dem sie öffentlich machenden Video reagierte war es zu viel, Graphenes Gründer trat zurück von der Rolle des Hauptentwicklers und aus der Leitung der Gra­phene-Stif­tung.

Rücktritt vom Rücktritt und weiteres Verhalten

Das war es also? Keineswegs.

Der zurückgetretene Gründer blieb im Projekt aktiv. Die unbelegten Anschuldigungen blieben auch Teil des Repertoires. Live bekam ich das im März 2024 bei der Abschaltung von Mozillas Ortungsdienst mit, was mein Miniprojekt izulu betraf. In der Diskussion um ein mögliches Nachfolgeprojekt sprach Graphenes Gründer weiterhin für die Stiftung und nutzte die Bühne um öffentlich gegen Calyx und Tech­lore auszuteilen, die ihn wieder mal angreifen würden.

Wurde denn die technische Arbeit nun von anderen Entwicklern gemacht, da er doch angekündigte die zu übertragen? Das ist etwas unklar, denn Gra­phene­OS ist kein einzelnes und damit einfach zu beobachtendes Repo. Aber ein Blick in die Commitliste des Repositories mit den neuesten Commits, zum Zeitpunkt des Schreibens des Artikels, zeigt nur ihn als aktiven Entwickler, über die letzten Monate hinweg. Die Contributorliste bei Github zeigt auch andere Entwickler, deren Accounts teils privat sind, die öffentlichen scheinen relativ wenig beizutragen. Aber das muss nichts heißen, wer weiß wie das Projekt Code in die Repos fließen lässt.

Was macht es zum Kult?

Das Verhalten eines einzigen Menschens macht ein Projekt nicht zu einem Kult, und was meine ich damit überhaupt? Tatsächlich das Verhalten der anderen.

Beispiel Hackernews. In einem Thread über Gra­phene­OS teilt ein Nutzer, dass er wegen Rossmanns Video auf Calyx­OS gewechselt ist. Ich pflichte ihm bei und fasse das Video zusammen. Da kommt doch tatsächlich jemand daher, der sich als Communitymanager von Gra­phene­OS idenfiziert und behauptet, Rossmann sei ein Mitglied des Kiwiforums (eines der weiteren Feindbilder des Gründers, neben Fairphone) und daher unehrlich und ein Sympathisant der Projektfeinde. Calyx­OS sei sowieso komplett unsicher, die Attacken allesamt keine Halluzinationen behauptet dann ein zweiter, nur in Threads zu Gra­phene­OS aktiver Account. Rossmann diene sich mit seinem Video den Verschwörern im Kiwiforum an, wird wiederholt. Die Forderung nach Beweisen für Attacken durch andere Projekte bleibt natürlich ignoriert.

Genauso war es ja auch initial Teil des Problems, dass Graphenes Gründer über einen Mob an Gefolgsleuten verfügen konnte, die seine Vorwürfe unkritisch übernahmen (und sonst verbannt wurden). In Foren wie Hacker News finden sich Nutzer, die über ihre negativen Erfahrungen mit der Community von Graphene berichten, aber aus Angst vor Repressalien nur unter anonymen Wegwerfaccounts schreiben wollen. Und schreibt man an den einschlägigen Orten über Graphene oder Calyx, kommen unweigerlich Nutzer, die Calyx angreifen und Graphene loben – und immer ein sehr ähnliches Bild wie das von Graphenes Gründer zeichnen.

Übrigens, nur weil die Videos etwas älter sind und der Projektgründer vielleicht eine kleinere Rolle spielt hat sich das Projekt nicht gemäßigt. Erst letzte Woche hetzte der offizielle Mastodonaccount gegen Murena und /e/ – und wieder mal sei der Angriff nur eine Reaktion auf die jahrelange Hetze durch /e/, wird beweislos und ganz nach dem alten Schema behauptet. Um das klar zu sagen: Von Angriffen durch /e/ gegen Graphene gibt es keine Spuren und auch im Thread auf Mastodon werden die Anschuldigungen nicht belegt.

Die gleichgeschaltete Herdenmentalität und die massiven Angriffe unterscheiden das Projekt von einem regulären FOSS-Pro­jekt. Gruppendenken passiert in denen oft zu einem Teil, aber nicht in diesem Ausmaß. Und dass solche unbelegte Anschuldigungen von der Gefolgschaft und anderen Projektmitgliedern dennoch übernommen werden zeigt das Ausmaß der Kultmentalität.

Was macht das alles zum Sicherheitsrisiko?

Ubuntus Gründer Mark Shuttleworth schrieb mal:

Don’t trust us? Erm, we have root. You do trust us with your data already. You trust us not to screw up on your machine with every update.

Genau das gleiche gilt hier. Gra­phene­OS ist Android ist das Betriebssystem, es hat umfassende Rechte und Möglichkeiten. Genau deswegen sind solche Androidprojekte ja eigentlich so wichtig, weil sie ein Gegengewicht zur Kontrolle durch Google bilden. Nun ist bei Gra­phene­OS jemand Root auf deinem Telefon, der seinen Anschuldigungen nach an den unwahrscheinlichsten Ecken Feinde sieht und er wird in diesem Denken durch eine willfährige Gefolgschaft und scheinbar ein gleich denkendes Projektteam bestärkt.

Es ist möglich, dass das keine Auswirkungen hat. Vielleicht sorgt die Wahrnehmung von Feinden einfach für besser abgeschirmte Software. Aber wie weit ist der Sprung noch zu einem aktiveren Vorgehen gegen die Feinde? Wenn im Kiwiforum gegen ihn verschwört wird, macht es dann nicht Sinn im eigenen Browser das mitzukriegen? Sowas wäre ultrariskant für das Projekt, undenkbar ist es nicht. Und immerhin hat er mit dem Löschen der Updateschlüssel von Copperhead schon gezeigt, dass er auch zu als kriminell einzuschätzenden Aktionen bereit ist, die für Nutzer mindestens unkomfortabel waren.

Natürlich – und dafür braucht es keine weitere Verschlimmerung – blockiert dieses Verhalten auch jegliche Möglichkeit einer Kooperation anderer Projekte mit Gra­phene­OS. Dass Graphene viele Dinge selbst entwickelt wird im Kontext des Projektverhaltens von einem möglichen Zeichen der Stärke zu einer Alternativlosigkeit. Niemand kann mit einer Gruppe zusammenarbeiten, die sich so verhält. Ich bin daher sehr gespannt, ob das angekündigte Graphenetelefon wirklich erscheint. Mehr noch, die Existenz einer solchen feindseligen Gruppe schadet der gesamten Szene alternativer Android-Roms, weil sowas natürlich abschreckend für Nutzer und Entwickler ist.

Bedenklich ist insbesondere die fehlende Bereitschaft des restlichen Projekts, das Problem der Feindeinbildung öffentlich anzuerkennen. In einem sich gegenseitig kontrollierenden Team ist ein einzelner Entwickler mit solchen Vorstellungen kein allzu großes Risiko. Graphenes sonstiges Team machte bisher aber keinerlei Anstalten, eine solche Kontrolle vorzubereiten oder auch nur denkbar zu halten. Stattdessen seien einzelne Installationen nicht identifizierbar und Nutzer daher sicher. Als ob grobmaschigere Maßnahmen eines internen Angreifers undenkbar wären. Das genügt nicht. Schlimmer: Es ist nichtmal klar, ob überhaupt ein aktives Team existiert.

GrapheneOS hat technische Lorbeeren geerntet und die stehen hier auch gar nicht zur Debatte. Das hier ist keine technische Kritik, sondern eine Projektmanagerische.

Um die zusammenzufassen: Das ROM hat einen immer noch aktiven Gründer, der von offensichtlich nicht stattgefundenen Angriffen gegen sich und sein Projekt berichtet. Ein einzelner Entwickler mit solchem Verhalten wäre kein Problem, aber andere öffentlich in Erscheinung tretende Projektmitglieder übernahmen in meinen Beobachtungen bisher immer vollständig sein Denken. Gleichzeitig greift diese Gruppe andere Projekte mit verleumderischen Beschuldigungen an, was der FOSS-Gemeinschaft insgesamt schadet.

Die Situation setzt auch Nutzer große Risiken aus. Graphene hat Rootrechte auf den Geräten seiner Nutzer. Und der Gründer hat schon vor der Projektgründung mit dem Löschen der Updateschlüssel gezeigt, dass er zu wahrscheinlich kriminellen Handlungen bereit ist. Selbst wenn das damals im Interesse der Nutzer gewesen sein mag – was ich mittlerweile absolut bezweifel – kann sich sowas jederzeit wiederholen oder viel schlimmere Ausmaße annehmen.

Die Bewertung des Projekts und das Ergreifen von Maßnahmen wird etwas erschwert, weil es auf einer rein technischen Ebene momentan keine völlig gleichwertige Alternative zu Gra­phene­OS zu geben scheint. Sonst wäre die Sache ganz einfach. Calyx­OS ist meinem Eindruck nach noch am nächsten und ist wunderbar zu benutzen, schnitt aber z.B. bei Kuketz im Datenschutzvergleich durch verbliebene Datenlecks an Google schlechter ab. Hier muss man abwägen, welches Angreifermodell man für wie wahrscheinlich hält, welche konkreten Konsequenzen drohen.

Meine Rechnung ist dabei eindeutig: Da Gra­phene­OS bisher nichtmal die Probleme anerkennt und aktiv weiter hetzt halte ich die Software für unbenutzbar. Auf meine Geräten kommt das Rom nicht, in meinen Projekten wird es nicht beworben. Und wie hier rate ich zum momentanen Zeitpunkt öffentlich von der Nutzung ab.

Ein antwortendes Statement eines Projektmitglieds findet sich in den Kommentaren.