Android 17 stärkt Netzwerksicherheit mit ECH, CT und 2G-Kontrolle

Android 17 (API-Level 37) führt vier wichtige sicherheitsrelevante Netzwerkverbesserungen ein: plattformweite Unterstützung für Encrypted Client Hello (ECH) zur Verschleierung der Namen besuchter Domains, eine verpflichtende Zugriffskontrolle auf das lokale Netzwerk, die standardmäßige Aktivierung von Certificate Transparency sowie die Möglichkeit für Mobilfunkanbieter, 2G ohne Zutun der Nutzer zu deaktivieren. Die Neuerungen betreffen alle Apps, die auf API 37 und höher abzielen, und sollen konkrete Angriffsvektoren schließen – von der Ausleitung von Metadaten aus TLS-Verbindungen bis hin zur erzwungenen Herabstufung der Mobilfunkverbindung auf den verwundbaren 2G-Standard. Die Ankündigung von Google wurde am 27. August 2026 veröffentlicht.

Encrypted Client Hello: Verschlüsselung des Servernamens auf Betriebssystemebene

ECH ist eine TLS-Erweiterung, die das Feld Server Name Indication (SNI) im anfänglichen Handshake verschlüsselt. Vor ECH konnte ein Netzwerkbeobachter selbst bei Verwendung von HTTPS sehen, mit welcher Domain sich ein Nutzer verbindet, da SNI im Klartext übertragen wurde. Jetzt bietet Android 17 ECH-Unterstützung auf Plattformebene und nicht mehr nur in einzelnen Browsern.

Zentrale technische Details der Implementierung:

• ECH ist standardmäßig für Apps aktiviert, die auf Android 17 und höher abzielen, aber die tatsächliche Schutzwirkung greift nur, wenn gleichzeitig zwei Bedingungen erfüllt sind: Die Netzwerkbibliothek der App unterstützt ECH und der Zielserver veröffentlicht eine kompatible Konfiguration über HTTPS-DNS-Einträge.
• Für Server ohne ECH-Unterstützung wendet die Plattform automatisch ECH GREASE an – das Senden zufälliger, fingierter ECH-Erweiterungen, damit alle Verbindungen einheitlich aussehen und sich geschützte nicht von ungeschützten unterscheiden lassen.
• ECH arbeitet zusammen mit Private DNS (DNS-over-TLS/HTTPS) und verschleiert Domainnamen sowohl bei der DNS-Auflösung als auch während des TLS-Handshakes. Die Ziel-IP-Adresse bleibt jedoch sichtbar – ECH ist kein Ersatz für ein VPN.

Zuvor war ECH in Chrome und Firefox auf Browser-Ebene verfügbar. Mozilla kündigte die Einführung von ECH im Oktober 2023 an. Die Integration in Android 17 erweitert den Schutz auf das gesamte Betriebssystem, einschließlich Apps von Drittanbietern. Die Bibliothek OkHttp 5.5.0 beschreibt bereits ECH-Unterstützung im Opt-in-Modus, sodass Entwickler den Schutz in ihre Apps einbauen können, ohne eigenen TLS-Code schreiben zu müssen.

Schutz des lokalen Netzwerks: explizite Berechtigung statt stillschweigender Zugriffe

Local Network Protection wird für Apps verpflichtend, die auf API 37 abzielen. Der Traffic zu Geräten im lokalen Netzwerk – TCP-Verbindungen, UDP-Pakete (Unicast, Multicast, Broadcast), einschließlich Zugriffe über Cronet und OkHttp – wird standardmäßig blockiert. Eine App muss entweder die Systemauswahl für Geräte (privacy-preserving picker) verwenden oder beim Nutzer die Berechtigung ACCESS_LOCAL_NETWORK anfordern.

Für Apps, die auf SDK 36 und niedriger abzielen, gilt eine Übergangsphase: Sie behalten den impliziten Zugriff auf das lokale Netzwerk weiterhin über die Berechtigung INTERNET. Die verbindliche Einschränkung greift erst, wenn das Ziel-SDK auf 37 angehoben wird.

Diese Maßnahme schließt Szenarien, in denen eine App unbemerkt das lokale Netzwerk scannen, IoT-Geräte, Drucker, NAS-Speicher entdecken und die gewonnenen Informationen zur Profilerstellung des Heimnetzwerks des Nutzers oder für laterale Bewegungen verwenden konnte.

Certificate Transparency und Verwaltung von 2G

Android 17 aktiviert Certificate Transparency standardmäßig für App-Verbindungen. CT verlangt, dass Zertifikate in öffentlichen Logs registriert werden, was die Erkennung von versehentlich oder böswillig ausgestellten Zertifikaten ermöglicht. Apps können CT bei Bedarf global oder für einzelne Domains über die Netzwerksicherheitskonfiguration deaktivieren.

Ein weiterer Schwerpunkt ist der Schutz vor Angriffen durch Herabstufung der Mobilfunkverbindung. Google beschreibt die Bedrohung durch falsche Basisstationen (SMS blasters), die Geräte zwangsweise von LTE/5G auf 2G umschalten, wo Traffic abgefangen und Phishing-SMS versendet werden können. Die Entwicklung des Schutzes vor dieser Bedrohung in Android:

1. Android 12 – manuelle Option zum Deaktivieren von 2G auf Hardware-Ebene (geräteabhängig).
2. Android 14 – Enterprise-Richtlinien, die es IT-Administratoren ermöglichen, 2G auf verwalteten Geräten zu deaktivieren.
3. Android 17 – Mobilfunkanbieter können die Deaktivierung von 2G standardmäßig für ihre Kunden konfigurieren, ohne dass der Nutzer etwas tun muss.

Die Verfügbarkeit dieser letzten Funktion hängt von der Beteiligung des jeweiligen Anbieters ab – es handelt sich nicht um eine universelle automatische Deaktivierung für alle Geräte mit Android 17.

Praktische Empfehlungen

• Für App-Entwickler: Prüfen Sie beim Anheben des Ziel-SDK auf 37 die Kompatibilität mit Local Network Protection. Wenn Ihre App mit lokalen Geräten kommuniziert, fügen Sie die Anforderung von ACCESS_LOCAL_NETWORK hinzu oder wechseln Sie zur Systemauswahl für Geräte. Um ECH-Schutz zu erhalten, verwenden Sie OkHttp 5.5.0 oder den TLS-Stack der Plattform.
• Für Mobilfunkanbieter: Prüfen Sie die Möglichkeit, die Deaktivierung von 2G standardmäßig für Ihre Kundschaft zu aktivieren – so wird die Angriffsfläche von SMS blasters beseitigt, ohne dass Nutzer geschult werden müssen.
• Für Endnutzer: Aktivieren Sie Private DNS in den Android-Einstellungen (DNS-over-TLS oder DNS-over-HTTPS) – ohne dies verliert ECH einen Großteil seiner Wirksamkeit, da Domainnamen bei der DNS-Auflösung sichtbar bleiben. Deaktivieren Sie auf Geräten mit Android 12–16 2G manuell in den Netzwerkeinstellungen, falls Ihr Anbieter dies nicht automatisch getan hat.
• Für Administratoren von Unternehmensgeräten: Verwenden Sie Android-Enterprise-Richtlinien, um 2G auf dem verwalteten Gerätepark zwangsweise zu deaktivieren, ohne auf das Update auf Android 17 zu warten.

Android 17 etabliert ein mehrschichtiges Modell für Netzwerksicherheit: ECH schließt das Leck von TLS-Metadaten, Local Network Protection begrenzt die Aufklärung im lokalen Netzwerk, CT erhöht das Vertrauen in Zertifikate, und das Management von 2G beseitigt einen veralteten Angriffsvektor auf die Mobilfunkkommunikation. Für maximale Wirksamkeit von ECH müssen Private DNS aktiviert und sichergestellt sein, dass die verwendeten Apps mit kompatiblen Netzwerkbibliotheken arbeiten – ohne diese Voraussetzungen wird die Verschlüsselung von SNI nicht genutzt.