CalyxOS ist zurück und setzt auf eine neue HSM-Signierung. GrapheneOS bleibt auf Pixel-Geräten dennoch die deutlich sicherere Lösung.
Knapp ein Jahr lang hat CalyxOS keine regulären Sicherheitsupdates mehr bereitgestellt. Jetzt kehrt das Projekt mit Version 7.2.2.0 zurück. Die neue Ausgabe basiert auf Android 16 und bringt neben aktuellen Patches eine vollständig überarbeitete Signierlösung mit.
Hintergründe der langen Auszeit
CalyxOS hatte seine Veröffentlichungen im August 2025 eingestellt, nachdem mehrere führende Personen das Projekt verlassen hatten. Darunter befanden sich Calyx-Gründer Nicholas Merrill und der technische Leiter Chirayu Desai. Beide hatten zuvor Zugriff auf wichtige Teile der Infrastruktur und die Signierschlüssel.
CalyxOS erklärte zwar, dass es keine Hinweise auf gestohlene oder missbrauchte Schlüssel gebe. Das Team tauschte sie dennoch vollständig aus und strukturierte den gesamten Veröffentlichungsprozess neu. Eine sichere Lösung ließ sich nicht innerhalb weniger Wochen umsetzen. Aus der ursprünglich angekündigten Pause von vier bis sechs Monaten wurden am Ende fast elf Monate.
In dieser Zeit blieben die installierten Geräte auf ihrem alten Sicherheitsstand. Weder neue Android-Patches noch aktuelle Firmware der Hersteller erreichten die Smartphones. Deshalb empfahl CalyxOS seinen Nutzern, vorübergehend zu einem anderen gepflegten System zu wechseln, um die Sicherheit ihrer Geräte weiterhin gewährleisten zu können.
CalyxOS verteilt die Verantwortung neu
Version 7.2.2.0 nutzt erstmals die neue Signierinfrastruktur. CalyxOS speichert die privaten Schlüssel nicht mehr als gewöhnliche Dateien auf einem Rechner, sondern schützt sie mithilfe von Hardware Security Modules, kurz HSM.
Dafür kommen zwei YubiHSM-2-Geräte zum Einsatz. Eines übernimmt die reguläre Signierung, das zweite dient als Reserve. Der interne Speicher der HSMs reicht allerdings nicht für alle Schlüssel aus, die CalyxOS für seine verschiedenen Geräte und Systemkomponenten benötigt. Deshalb setzt das Projekt auf Key Wrapping.
Die eigentlichen Signierschlüssel liegen verschlüsselt außerhalb des HSM. Der Schlüssel, der sie wieder entschlüsseln kann, verlässt die Hardware jedoch nicht. Dadurch sollen die privaten Schlüssel während der Signierung nie im Klartext auf dem Rechner landen.
CalyxOS signiert seine Builds weiterhin manuell auf einem dafür vorgesehenen System. Das HSM wird nur für diesen Vorgang angeschlossen. Das Team hat den zentralen Sicherungsschlüssel außerdem mit Shamir’s Secret Sharing in fünf Teile aufgeteilt. Drei davon reichen aus, um ihn wiederherzustellen. Damit kann keine einzelne Person allein über die vollständige Sicherung verfügen.
Auch die Rollen für Signierung, Administration und Kontrolle liegen nun bei verschiedenen Personen. Der Ausfall oder Rückzug eines Mitarbeiters soll das Projekt dadurch nicht erneut ins Wanken bringen oder vollständig blockieren.
Trail of Bits hat die Skripte für die Einrichtung der HSMs sowie den Ablauf der sogenannten Provisioning Ceremony geprüft. Leider deckt der Audit nur diesen Teil der Infrastruktur der CalyxOS-Entwickler ab. Er bestätigt nicht automatisch die Sicherheit des gesamten Betriebssystems, aller Änderungen am Android-Code oder jeder vorinstallierten App.
Alte Installationen lassen sich nicht aktualisieren
Nutzer von CalyxOS 6.10.10, 6.10.20 oder einer älteren Version können nicht auf Version 7.2.2.0 aktualisieren. Diese Installationen vertrauen nur den alten Signierschlüsseln und akzeptieren die neuen Builds deshalb nicht als reguläres Update.
Betroffene Nutzer müssen den Bootloader entsperren, das Gerät löschen und CalyxOS vollständig neu installieren. Nur der zuvor veröffentlichte Testbuild 7.2.1.0 kann direkt per OTA-Update auf die neue Version wechseln.
Auf jeden Fall empfiehlt sich vorher eine vollständige Sicherung. Die Backup-Software SeedVault kann Apps, App-Daten und Dateien übernehmen, erfasst aber nicht alles. Einige Programme verweigern den Zugriff auf ihre Daten oder verwenden eigene Sicherungsverfahren. Auch Berechtigungen, Benachrichtigungseinstellungen und verschiedene Systemdaten müssen nach der Wiederherstellung erneut eingerichtet werden.
Der Web Installer unterstützt derzeit nur Pixel- und Motorola-Geräte. Besitzer eines Fairphone oder SHIFTphone müssen den Device Flasher unter Windows oder Linux verwenden.
Die Bootloader-Sperre bleibt kompliziert
CalyxOS setzt grundsätzlich auf Verified Boot und einen nach der Installation wieder gesperrten Bootloader. Das Projekt nennt die Möglichkeit zum Entsperren und anschließenden Sperren sogar als Voraussetzung für die offizielle Geräteunterstützung.
Bei den Geräten gelten jedoch aus unbekannten Gründen unterschiedliche Bedingungen. Im Fall von Pixel-Smartphones bezeichnet CalyxOS das erneute Sperren jederzeit als sicher. Bei Geräten von Motorola, Fairphone und SHIFTphone warnt die Dokumentation dagegen vor einem manuellen Relock (Sperren des Bootloaders) ohne zusätzliche Prüfungen.
Der Web Installer und der Device Flasher prüfen während der Installation, ob der jeweilige Zustand das Sperren zulässt. Welche Bedingungen dabei für jedes Modell gelten, legt CalyxOS auf seiner allgemeinen Hinweisseite leider weder vollständig noch nachvollziehbar offen. Nutzer von Nicht-Pixel-Geräten sollten deshalb später keinen Fastboot-Befehl zum Sperren auf eigene Faust ausführen.
In diesem Punkt bleibt ein Pixel das bessere Gerät – egal, was man von Google halten mag. Smartphones können sie bauen. Dort lässt sich der Bootloader nach der Installation mit minimalem Risiko zuverlässig wieder schließen. Bei anderen Herstellern hängt dieser Vorgang stärker vom jeweiligen Gerät, dessen Firmware und den Prüfungen des Installers ab.
Nicht jedes Gerät erreicht denselben Sicherheitsstand
CalyxOS kann die freien Bestandteile von Android und Teile des Kernels selbst aktualisieren. Bei Modem, Bootloader und anderer proprietärer Firmware bleibt das Projekt jedoch wie jedes andere Custom-ROM vollständig vom Hersteller abhängig.
Google erschwert diese Arbeit inzwischen zusätzlich. So erscheint der vollständige AOSP-Quellcode nicht mehr wie früher zu jeder vierteljährlichen Android-Ausgabe. Gleichzeitig veröffentlicht Google keine öffentlichen Pixel-Gerätebäume mehr. Dadurch können proprietäre Komponenten aus dem Pixel-Stock-System neuer sein als die frei verfügbaren Quellen.
CalyxOS und LineageOS pflegen deshalb gemeinsame Werkzeuge, mit denen sie Dateien, Sicherheitsrichtlinien und gerätespezifische Anpassungen aus den Originalsystemen extrahieren können.
Weitere Skripte sollen die monatlichen Android-Patches schneller übernehmen und einpflegen. Ein Teil der Arbeit bleibt trotzdem manuell.
Bei Motorola, Fairphone und SHIFT hängt CalyxOS noch stärker vom Willen bzw. Unwillen der jeweiligen Hersteller ab. Veröffentlichen diese die neue Firmware verspätet, kann CalyxOS sie auch erst später übernehmen.
Bei Geräten mit erweitertem Support fällt dies noch stärker ins Gewicht. Beim Moto g52, g42 und g32 sowie beim Pixel 5, 5a und 4a 5G liefern die Hersteller keine neuen proprietären Komponenten mehr. CalyxOS kann die freien Systemteile zwar weiter pflegen, aber keine veraltete Modem-, Bootloader- oder Treiber-Firmware ersetzen.
Ein aktuelles Android-Patchdatum sagt bei solchen Geräten deshalb nur einen Teil der Wahrheit. Das System kann neue freie Sicherheitskorrekturen enthalten, während wichtige geschlossene Komponenten auf ihrem letzten Stand und damit potenziell anfällig bleiben.
Das SHIFTphone 8 wird erst spät unterstützt
Mit Version 7.2.2.0 unterstützt CalyxOS erstmals das SHIFTphone 8. Damit erweitert sich die Geräteauswahl um ein reparaturfreundliches Smartphone abseits von Google, Fairphone und Motorola.
Der derzeit genannte Supportzeitraum fällt allerdings auffallend kurz aus. CalyxOS schätzt das Ende der Sicherheitsupdates auf Dezember 2026, sodass nach dem Start im Juli nur wenige Monate blieben. Das Projekt kennzeichnet den Termin zwar als vorläufig und kann ihn noch verlängern. Für einen Neukauf schafft diese Angabe trotzdem wenig Vertrauen und dürfte eher vom Kauf abhalten, da Sicherheitsupdates schlicht essenziell sind. Beim Pixel 9a nennt CalyxOS dagegen April 2032 als voraussichtliches Supportende. Das Fairphone 5 soll bis September 2031 Updates erhalten.
CalyxOS hält an microG fest
Der Neustart verändert das Konzept des Projekts kaum. CalyxOS richtet sich an Nutzer, die Google möglichst wenig verwenden möchten, aber trotzdem ihre gewohnten Android-Apps nutzen wollen.
Zu diesem Zweck integriert das System microG als freie Nachbildung verschiedener Google-Play-Schnittstellen. Diese übernehmen unter anderem Push-Benachrichtigungen, Standortfunktionen und weitere Dienste, auf die viele Apps angewiesen sind.
Damit Programme microG als Google Play Services akzeptieren, nutzt CalyxOS eine eingeschränkte Form des Signature Spoofing: microG verwendet denselben Paketnamen wie das Original und gibt gegenüber Apps eine nachgebildete Google-Signatur aus.
CalyxOS beschränkt diese Sonderberechtigung auf die vorgesehenen microG-Komponenten. Normale Apps können keine beliebigen Signaturen vortäuschen. Trotzdem bleibt microG ein tief in das System eingebauter Nachbau proprietärer Schnittstellen. Ändert Google seine Dienste, muss microG die Neuerungen nachvollziehen. Einige Apps funktionieren deshalb nur eingeschränkt oder fallen nach Änderungen vorübergehend aus. CalyxOS bezeichnet microG selbst nicht als vollständigen und ausgereiften Ersatz für Google Play Services.
CalyxOS setzt auf F-Droid & Aurora
F-Droid dient weiterhin als bevorzugter App-Store. Der Aurora Store lädt Programme aus dem Google-Play-Katalog auch ohne persönliches Google-Konto. SeedVault übernimmt die Datensicherungen, während die Datura-Firewall den Netzwerkzugriff einzelner Apps begrenzt. Die Datura-Firewall lässt sich allerdings durch ein besseres Programm wie RethinkDNS ersetzen. Nach dem letzten Release ist RethinkDNS allerdings, wie wir berichtet haben, mit Vorsicht zu genießen.
GrapheneOS ist die eindeutig bessere Lösung, da es CalyxOS sicherheitstechnisch überlegen ist. Auf unterstützten Pixel-Geräten härtet es Android deutlich stärker und greift tiefer in die Speicherverwaltung, den Kernel und die App-Sandbox ein. Dazu gehören eine gehärtete Speicherverwaltung, Hardware Memory Tagging, eine zusätzliche Kernel-Härtung und weitere Verbesserungen an der App-Sandbox.
Warum GrapheneOS die bessere Wahl ist
Auch der Browser „Vanadium” und die WebView-Komponente des Systems erhalten zusätzliche Schutzmechanismen. GrapheneOS setzt unter anderem auf eine stärkere Website-Isolation, Control Flow Integrity, einen härteren Stack-Schutz sowie weitere Maßnahmen gegen verschiedene Arten von Speicherangriffen. Diese Änderungen greifen früher als gewöhnliche App-Berechtigungen. Sie sollen verhindern, dass sich ein Fehler ausnutzen lässt, und im Falle eines Angriffs dessen Folgen begrenzen.
CalyxOS verwendet dagegen größtenteils das normale Android-Sicherheitsmodell und ergänzt dieses vor allem um Datenschutz-, Backup- und Komfortfunktionen. Das macht CalyxOS mit geschlossenem Bootloader jedoch nicht zu einem unsicheren System. Es erreicht jedoch bei Weitem nicht die zusätzliche Härtung von GrapheneOS.
Google Dienste machen den Unterschied
Beim Umgang mit Google Play zeigt sich der Unterschied zwischen beiden Projekten besonders deutlich. GrapheneOS integriert weder Google-Dienste noch einen Nachbau dieser Dienste fest in das Betriebssystem. Nutzer können die originalen Google-Play-Dienste bei Bedarf jederzeit als normale Apps installieren. Diese erhalten keine privilegierten Systemrechte und laufen innerhalb der gewöhnlichen Android-Sandbox. Auch nach der Installation dient Google Play nicht als privilegiertes Backend für das Betriebssystem. Die Dienste bleiben auf das Benutzerprofil beschränkt, in dem sie installiert wurden.
Wer Google Play zusätzlich trennen möchte, installiert es in einem eigenen Profil oder im Private Space. Apps außerhalb dieses Bereichs können die Dienste dort nicht verwenden.
GrapheneOS geht mit Google Play und den Google-Diensten wesentlich sauberer und pragmatischer um als CalyxOS. Anstatt Google-Schnittstellen nachzubauen und Apps per Signature Spoofing eine andere Signatur vorzutäuschen, zwingt GrapheneOS die unveränderten Originalkomponenten in die App-Sandbox. Das verbessert zugleich die Kompatibilität. Wer Google Play nicht benötigt, installiert es nicht. Wer darauf angewiesen ist, kann Berechtigungen einschränken, den Netzwerkzugriff entziehen und die Dienste vollständig vom Hauptprofil trennen.
Weitere Informationen zu MicroG findet man hier und zum sandboxed Google Play dort.
GrapheneOS ergänzt diese Isolation mit eigenen Schaltern für Netzwerk und Sensoren sowie mit Storage Scopes und Contact Scopes. Dadurch erhalten Apps nur ausgewählte Dateien oder Kontakte, ohne echten Zugriff auf den gesamten Speicher oder das Adressbuch.
CalyxOS bleibt eine bequem vorkonfigurierte Alternative für Nutzer, die microG, F-Droid und eine weitgehend Google-arme Grundausstattung bevorzugen. Auf einem unterstützten Pixel-Gerät bleibt GrapheneOS trotzdem die bessere Wahl.
CalyxOS muss jetzt dauerhaft liefern
Die Android-Alternative CalyxOS ist zurück. Es muss seine Zuverlässigkeit aber erst wieder unter Beweis stellen. Die neue HSM-Infrastruktur beseitigt einen wichtigen organisatorischen Schwachpunkt. Mehrere Personen können nun am Signierprozess mitwirken, ohne dass private Schlüssel als gewöhnliche Dateien weitergegeben werden müssen. Mehr Informationen dazu gibt es dort.
Neue Server, regelmäßige Backups und getrennte Zuständigkeiten senken zudem das Risiko, dass eine einzelne Person oder Maschine das gesamte Projekt erneut ausbremst. Genau daran war CalyxOS nach dem Führungswechsel fast ein Jahr lang gescheitert.
Diese Pause macht Version 7.2.2.0 trotzdem nicht ungeschehen. Die Nutzer blieben rund elf Monate ohne reguläre Sicherheitsupdates und mussten ihre Geräte teilweise vollständig neu einrichten. Bei einzelnen Modellen fehlen weiterhin aktuelle Herstellerkomponenten oder der Support endet bereits nach wenigen Monaten. Das spricht eher für andere mobile Betriebssysteme mit dem Fokus auf Datenschutz und Sicherheit.
CalyxOS kann nur nach besten Möglichkeiten neue Sicherheits- und Funktionsupdates versprechen. Parallel arbeitet das Team bereits an CalyxOS 8 auf Basis von Android 17, doch erst einmal sind regelmäßige Updates für die bereits unterstützten Geräte entscheidend. Eine weitere monatelange Unterbrechung kann sich das Projekt nicht erneut leisten.
