Google hat in Android 17 eine neue Plattformunterstützung für Encrypted Client Hello (ECH) aktiviert, die den Domainnamen verschlüsselt, der beim Verbindungsaufbau übermittelt wird. Die Änderung soll die Sichtbarkeit der Zielseite für Netzbetreiber, WLAN‑Provider und andere Netzwerkbeobachter reduzieren.
Was ECH bewirkt
Bei einer HTTPS‑Verbindung sind die Inhalte bereits verschlüsselt, doch das Verbindungs‑Handshake enthielt bislang im Feld Server Name Indication (SNI) den Klartext‑Domainnamen. ECH verschlüsselt dieses Feld, indem der Client den Namen mit einem vom Zielserver publizierten Schlüssel verschlüsselt. Nur der Zielserver kann diese Angabe dann entschlüsseln; Zwischenknoten sehen lediglich ein nichtssagendes Label.
Die Funktion baut zusätzlich auf privatem DNS auf, das bereits die Namensauflösung vor dem Netz verbirgt. Zusammengenommen reduzieren diese Maßnahmen, welche Ziele ein Gerät anruft, vor Beobachtern entlang des Netzwerkpfads.
Gilt nicht für alle Ziele
Wichtig ist, dass ECH nur für Websites und Apps wirkt, die ECH selbst aktiviert haben. Google beschreibt den Schritt als die erste breite ECH‑Rollout auf einem großen mobilen Betriebssystem und nennt die Zusammenarbeit mit dem Jigsaw‑Team und externen Entwicklern. Wenn ein Ziel ECH nicht unterstützt, bleibt der Domainname für das Netzwerk sichtbar.
Weiterhin ist zu beachten, dass Netzwerke auch mit aktiviertem ECH weiterhin die Ziel‑IP‑Adresse und das Volumen des Datenverkehrs sehen können. Beobachter können daraus auf grobe Aktivität schließen; ECH verschlüsselt nur das Label, nicht das Bestehen einer Verbindung.
Was Entwickler und Nutzer wissen sollten
Google fordert Entwickler auf, auf OkHttp 5.5.0 zu aktualisieren und ECH zu aktivieren, damit der Schutz für mehr Dienste verfügbar wird. Bis die Verbreitung von ECH zunimmt, bleibt ein Teil des Verkehrs weiterhin in Klartext für Netzbeobachter.
Android 17 aktiviert außerdem Certificate Transparency standardmäßig und verlangt künftig, dass Apps um Erlaubnis fragen, bevor sie ein lokales Netzwerk scannen. Diese Änderungen ergänzen Googles Bestreben, die Geräteeinstellungen und den Netzwerkverkehr besser zu schützen.
Die Ankündigung fällt in eine Zeit, in der die Kontrolle über Daten auf Mobilgeräten auch juristisch diskutiert wird: In den USA wurde erstmals eine Person wegen der angeblichen Nutzung eines Zwangs‑Passworts in GrapheneOS angeklagt. GrapheneOS bezeichnete seine Software als legal und durch Verfassungsrechte geschützt; der Fall wirft Fragen zur Datenkontrolle auf. Samuel Tunick, der in diesem Fall genannt wird, äußerte dazu: “I just hope to send the message that the government doesn’t own our data.”
Kurz zusammengefasst lassen sich die praktischen Auswirkungen so auflisten:
- ECH verschlüsselt das SNI‑Feld und reduziert so die Domain‑Sichtbarkeit im Netzwerk.
- Der Schutz gilt nur für Ziele, die ECH unterstützen.
- Netzwerk‑Akteure sehen weiter IP‑Adressen und Datenvolumen.
- Google fördert Anpassungen in Bibliotheken wie OkHttp 5.5.0, um die Verbreitung zu beschleunigen.
Für Anwender bedeutet das: Die Privatsphäre beim Browsen auf Android‑Geräten hat sich mit Android 17 verbessert, ist aber noch nicht vollständig geschützt, solange nicht genügend Serversupport und App‑Anpassungen vorhanden sind.
