Revolut sperrt GrapheneOS-Logins: Zertifizierung statt Sicherheit
Revolut sperrt GrapheneOS-Nutzer beim Login in die Banking-App aus, und das Projekt hinter dem gehärteten Android-System sagt, mit Sicherheit habe das nichts zu tun. In einem Thread vom 6. August 2026 wirft GrapheneOS dem Fintech vor, in Wahrheit die Lizenzierung von Google Play und die Gerätezertifizierung durchzusetzen und das als Schutzmassnahme zu verkaufen. Der Streit zwischen Revolut und GrapheneOS betrifft wenige Menschen und viel Prinzip: Er zeigt sauber, wie ein privates Unternehmen entscheidet, dass ein Telefon nur dann vertrauenswürdig ist, wenn Google es so sieht.
Die Revolut-GrapheneOS-Sperre: Was sich geändert hat
GrapheneOS-Nutzer berichten, dass neue Anmeldeversuche schlicht scheitern. Die Hürde ist Google Play Integrity, eine Schnittstelle, die einer App mitteilt, ob auf dem Gerät von Google zertifizierte Software läuft. Entgoogelte und unabhängig gebaute Android-Systeme fallen bei dieser Prüfung grundsätzlich durch, egal wie aktuell ihr Patchstand ist, denn Zertifizierung ist ein Lizenzstatus und keine Messung der tatsächlichen Sicherheit eines Geräts.
Laut GrapheneOS geht Revolut noch weiter und weist Geräte ab, die einen gelben Android-Verified-Boot-Status melden. Gelb bedeutet, dass der Bootloader mit einem Schlüssel gesperrt ist, der nicht vom Hersteller stammt, und genau so sieht ein verifiziertes Custom-Betriebssystem aus. Dieselbe Einschränkung wurde Berichten zufolge nicht auf den orangen Status angewendet, der einen entsperrten Bootloader anzeigt und objektiv die schwächere der beiden Konfigurationen ist.
Das Android-9-Problem
Das Kernargument des Projekts ist ein Widerspruch, keine Geschmacksfrage. "Revolut hat die Nutzung von GrapheneOS kürzlich ohne jede Begründung untersagt", schrieb GrapheneOS. "Sie behaupten fälschlich, das aus Sicherheitsgründen zu tun. In Wirklichkeit setzen sie die Lizenzierung von Google Play durch. Revolut setzt keine Sicherheitsstandards durch. Es läuft auf Android 9 ohne Patches seit 2018."
Zur Präzisierung dieser letzten Zeile: Der Vorwurf betrifft die Untergrenze, die Revolut seinen Kunden setzt, nicht die Codebasis der App selbst. Revolut lässt seine App weiterhin auf Geräten laufen, die auf Android 9 festhängen, einem Release von 2018, das seit Jahren ohne Sicherheitsunterstützung ist. Diese Geräte bestehen die Prüfung, weil sie mit dem Segen von Google ausgeliefert wurden, während ein Telefon mit einem aktuellen, monatlich gepatchten, gehärteten Build abgewiesen wird, weil es das nicht wurde. Ginge es um den Schutz von Kundenkonten, wäre die Reihenfolge genau umgekehrt.
Play Integrity gegen Hardware-Attestierung
Es gibt eine technische Alternative, und GrapheneOS dokumentiert sie nach eigenen Angaben seit Jahren. Androids Hardware-Attestierung meldet, was auf einem Gerät tatsächlich läuft: Hardwaremodell, Boot-Status, Betriebssystem und Sicherheitspatch-Stand, signiert mit einem Schlüssel, der im Werk fest im Telefon verankert wurde. Play Integrity beantwortet eine andere und deutlich gröbere Frage, nämlich ob die Software von Google abgesegnet ist.
Eine Bank, die wirklich eine Sicherheitsuntergrenze wollte, könnte sie per Attestierung setzen: gesperrter Bootloader, verifizierte Boot-Kette und ein Patchstand nicht älter als ein festgelegter Stichtag, und dann jedes Gerät zulassen, das diese Latte nimmt. Stattdessen auf das Zertifizierungssignal zu setzen bedeutet, dass die Richtlinie den Geschäftsbeziehungen von Google folgt und nicht dem Zustand des Telefons in der Hand des Kunden.
Es ist nicht die erste Runde
Revolut versuchte erstmals im Januar 2025, das System auszusperren. GrapheneOS stellte fest, dass die App prüfte, ob Hostname und Benutzername der Build-Maschine auf "grapheneos" gesetzt waren, und änderte diese Werte auf "build-host" und "build-user", was den Zugang für mehr als ein Jahr wiederherstellte. Die aktuelle Sperre lässt sich schwerer umgehen, weil ein Play-Integrity-Urteil in Googles Infrastruktur entsteht und nicht in einer Zeichenkette innerhalb des ROMs.
Eine ausführliche Antwort auf die Vorwürfe hat Revolut nicht veröffentlicht. Auf Nachfrage teilte das Unternehmen lediglich mit, seine App unterstütze Android und iOS vollständig, und erklärte nicht, warum ein gesperrtes, verifiziertes, vollständig gepatchtes Gerät an einer Prüfung scheitert, die ein aufgegebener Build von 2018 besteht.
Warum das über eine App hinaus zählt
Play Integrity ist still und leise zur Eintrittskarte für den normalen Alltag mit dem Telefon geworden. Banking, Bezahlen, Ticketing und immer mehr Behörden- und Identitäts-Apps fragen es ab, und jede von ihnen übernimmt damit Googles Definition eines akzeptablen Geräts. Praktisch heisst das: Wer ein privateres Betriebssystem wählt, verliert den Zugang zu Diensten, die mit Privatsphäre überhaupt nichts zu tun haben - ein starker Anreiz dagegen, verkleidet als technische Anforderung. Dieselbe Dynamik zeigt sich, wenn ein Plattformanbieter das Telefon selbst zum Ausweisdokument macht, wie Apple es mit der verpflichtenden britischen Altersverifikation über die Apple ID in iOS 26.4 getan hat.
Darunter liegt auch eine Wettbewerbsfrage. Wenn eine europäische Bank eine Google-Lizenz zur Voraussetzung dafür machen kann, an das eigene Geld zu kommen, ist das Zertifizierungsprogramm kein Gütesiegel mehr, sondern ein Nadelöhr, und Regulierer haben sich schon für weit kleinere Formen von Plattformmacht interessiert.
Was betroffene Nutzer tun können
- Bestehende Sitzung behalten: Die gemeldete Sperre trifft neue Logins, also nicht abmelden und das Gerät nicht zurücksetzen, solange die Lage unklar ist.
- Weboberfläche nutzen: Der Browserzugang führt keine Play-Integrity-Prüfungen aus und ist der verlässlichste Rückfallweg für Kontovorgänge.
- Schriftlich beschweren: Support-Tickets und formelle Beschwerden hinterlassen eine Aktenspur, und in der EU und in Grossbritannien schaut genau darauf ein Finanzombudsmann oder Regulierer.
- Den Bootloader nicht zur "Reparatur" entsperren: Ein oranger Boot-Status schwächt das Gerät und ist kein unterstützter Weg zurück.
Die grössere Lehre betrifft die Frage, wer ein vertrauenswürdiges Gerät definieren darf. Wer die Standardsoftware der Plattform verlässt, tut das meist, um weniger über das eigene Verhalten preiszugeben, und das ist dasselbe Publikum, für das Privatsphäre-Werkzeuge auf Netzwerkebene längst Basishygiene sind statt Nischenhobby - weshalb das Interesse an Privatsphäre-Werkzeugen für Android mit jeder solchen Geschichte weiter steigt.
